防火墙的设计与实现完整版本.docx

1、防火墙的设计与实现完整版本课 程 设 计 报 告课程名称 计算机网络 课题名称 1、防火墙技术与实现 2、无线WLAN的设计与实现 专 业 计算机科学与技术 班 级 0802班 学 号 200803010212 姓 名 王 能 指导教师 刘铁武 韩宁 2011年 3 月 6 日湖南工程学院课 程 设 计 任 务 书一设计内容：问题1：基于802.1X的认证系统建立为了便于集中认证和管理接入用户，采用AAA（Authentication、Authorization 和Accounting）安全体系。通过某种一致的办法来配置网络服务，控制用户通过网络接入服务器的访问园区网络，设计内容如下：1掌握I

2、EEE820.1X和RADIUS等协议的工作原理，了解EAP协议 2掌握HP5308/HP2626交换机的配置、调试方法3掌握WindowsIAS的配置方法和PAP，CHAP等用户验证方法4建立一个基于三层交换机的模拟园区网络，用户通过AAA方式接入园区网络问题2：动态路由协议的研究与实现建立基于RIP和OSPF协议的局域网，对RIP和OSPF协议的工作原理进行研究，设计内容如下：1掌握RIP和OSPF路由协议的工作原理 2掌握HP5308三层交换机和HP7000路由器的配置、调试方法3掌握RIP和OSPF协议的报文格式，路由更新的过程4建立基于RIP和OSPF协议的模拟园区网络5设计实施与测

3、试方案问题3：防火墙技术与实现建立一个园区网络应用防火墙的需求，对具体实施尽心设计并实施，设计内容如下：1掌握防火墙使用的主要技术：数据包过滤，应用网关和代理服务 2掌握HP7000路由器的配置、调试方法3掌握访问控制列表ACL，网络地址转换NAT和端口映射等技术4建立一个基于HP7000路由器的模拟园区网络出口5设计实施与测试方案问题4：生成树协议的研究与实现建立基于STP协议的局域网，对STP协议的工作原理进行研究，设计内容如下：1掌握生成树协议的工作原理 2掌握HP5308三层交换机和HP2626交换机的配置、调试方法3掌握STP/RSTP/MSTP协议的的工作过程4建立基于STP协议的

4、模拟园区网络5设计实施与测试方案问题5：无线WLAN的设计与实现建立一个小型的无线局域网，设计内容如下：1掌握与无线网络有关的IEEE802规范与标准 2掌握无线通信采用的WEP和WPA加密算法3掌握HP420无线AP的配置方法4建立基于Windows server和XP的无线局域网络5设计测试与维护方案二设计要求：1在规定时间内完成以上设计内容。2画出拓扑图和工作原理图（用计算机绘图）3编写设计说明书 4. 见附带说明。5.成绩评定：指导老师负责验收结果，结合学生的工作态度、实际动手能力、创新精神和设计报告等进行综合考评，并按优秀、良好、中等、及格和不及格五个等级给出每位同学的课程设计成绩。

5、具体考核标准包含以下几个部分： 平时出勤 （占20%） 系统分析、功能设计、结构设计合理与否（占10%）个人能否独立、熟练地完成课题，是否达到目标（占40%） 设计报告（占30%）不得抄袭他人的报告（或给他人抄袭），一旦发现，成绩为零分。三进度安排（注意：17周必须提交课设报告，迟交或未交只能计零分。下面是三个班总的时间安排，课设报告中，每班只需填写其实际设计时间）因是3个班滚动执行，没有过多衔接时间，各位同学必须严格按时执行。第 1周时间8：00-12：0012：0015：0015：00-17：00星期一080108020803星期二080208030801星期三080308010802星期

6、四080108020803第 2周时间8：00-12：0012：0015：0015：00-17：00星期二080208030801星期四080308010802附：课程设计报告装订顺序：封面、任务书、目录、正文、评分、附件（A4大小的图纸及程序清单）。 正文的格式:一级标题用3号黑体,二级标题用四号宋体加粗,正文用小四号宋体;行距为22。正文的内容:一、课题的主要功能；二、课题的功能模块的划分（要求画出模块图）；三、主要功能的实现（至少要有一个主要模块的流程图）；四、程序调试；五、总结；六、附件（所有程序的原代码，要求对程序写出必要的注释）。正文总字数要求在5000字以上（不含程序原代码）。

7、实验报告一 、 防火墙技术与实现（必做）一、防火墙的简介和使用技术.1 1、防火墙的简介 2、防火墙的使用技术 3、网络地址转换NAT技术二、网络拓扑图.3三、调试过程.4 1、建立内部网络 2、建立模拟internet网络 3、建立内外网络的连接 4、配置NAT与ACI及其转换四、实验结果.五、实验总结.六、附件. 实验报告二、无线WLAN的设计与实现（选做）1、工作原理. 2、网络拓扑图.3、调试过程.4、实验结果.5、总结.6、附件. 实验报告一、防火墙技术与实现（必做）一、 防火墙的基本概念和使用技术 1、防火墙简介 防火墙是目前一种最重要的网络防护设备。从专业角度讲，防火墙是位于两个

8、或两个以上的网络间，实施网络之间访问控制的一组组件集合。对于普通用户来说，所谓“防火墙”，指的就是一种被放置在自己的计算机与外界网络之间的防御系统，它对从网络发往计算机的所有数据都进行判断处理，并决定能否把这些数据交给计算机，一旦发现有害数据，防火墙就会拦截下来，实现对计算机的保护功能。 设置防火墙的目的是防火墙是在网络之间执行控制策略的系统，它包括硬件和软件，目的是保护内部网络资源不被外部非授权用户使用、防止内部网络受到外部非法用户的攻击。 防火墙的主要功能检查所有从外部网络进入内部网络的数据包；检查所有从内部网络流出到外部网络的数据包；执行安全策略，限值所有不符合安全策略要求的数据包通过；

9、具有防攻击能力，以保证自身的安全性;防火墙实现的主要技术：数据包过滤、应用网关和代理服务。2 、防火墙使用的技术： 数据包过滤：包过滤路由器可以决定对它所收到的每个数据包的取舍。是基于路由器技术的，建立在网络层、传输层上。路由器对每发送或接收来的数据包审查是否与某个包过滤规则相匹配。包过滤规则即访问控制表，通过检查每个分组的源IP地址、目的地址来决定该分组是否应该转发。如果找到一个匹配，且规则允许该数据包通过，则该数据包根据路由表中的信息向前转发。如果找到一个与规则不相匹配的，且规则拒绝此数据包，则该数据包将被舍弃。包过滤路方法具有以下优点：（1）执行包过滤所用的时间很少或几乎不需要什么时间。

10、（2）对路由器的负载较小（3）由于包过滤路由器对端用户和应用程序是透明的，因此不需要在每台主机上安装特别的软件。包过滤路方法的缺点：（1）在路由器中设置包过滤规则比较困难（2）由于包过滤只能工作在“假定内部主机是可靠地，外部诸暨市不可靠的”这种简单的判断上，它只是控制在主机一级，不涉及包内容的内容与用户一级，因此它有很大的局限性。 应用级网关：多归属主机具有多个网络接口卡，因为它具有在不同网络之间进行数据交换的能力，因此人们又称它为“网关”。多归属主机用在应用层的用户身份认证与服务请求合法性检查，可以起到防火墙的作用，称为应用级网关。应用网关防火墙检查所有应用层的信息包，并将检查的内容信息放入

11、决策过程，从而提高网络的安全性。然而，应用网关防火墙是通过打破客户机服务器模式实现的。每个客户机服务器通信需要两个连接：一个是从客户端到防火墙，另一个是从防火墙到服务器。另外，每个代理需要一个不同的应用进程，或一个后台运行的服务程序，对每个新的应用必须添加针对此应用的服务程序，否则不能使用该服务。所以，应用网关防火墙具有可伸缩性差的缺点。 应用代理：应用代理是应用级网关的另一种形式，是以存储转发方式，检查和确定网络服务的用户身份是否合法，检查和确定网络服务请求的身份时候合法，决定是转发还是丢弃该服务请求。3 、网络地址转换NAT技术： NAT的工作原理如下图所示： 图1 NAT的基本工作原理如

12、图所示，如果内部网络地址为10.0.1.1的主机希望访问Internet上地址为202.0.1.1的Web服务器，那么它就会产生一个源地址S=10.0.1.1，目的地址为202.0.1.1的分组为1。NAT常与代理、防火墙技术一起使用。在防火墙中起到了重要的作用。二、网络拓扑图 防火墙的实现与技术的实验拓扑图如下所示： 本实验采用2台HP2626交换机、一台HP7102路由器、HP5308三层交换机来实现防火墙的设计与实现其功能。三、调试过程这次实验的重点在于防火墙的配置，在配置防火墙的过程中，重点在于设置NAT和ACL，NAT用来配置内网计算机访问外网时的地址转换，保证内网与外网的计算机相互

13、之间能够成功地访问对方。ACL是访问控制，主要用来设置内网计算机的访问权限，通过配置ACL，可以禁止或允许内网中的计算机之间的相互访问以及内网计算机访问外网，实验过程中，ACL访问控制配置在HP5308交换机。防火墙是在内网和外网中设置的气到网络安全的。实现防火墙技术的实验就需要建立内部网络、外部网络，内部网络和外部网络中的局域网都是通过交换机来设计的。因此分以下4步。 1、建立内部网络：内部网络是将PC2、Edge和Core连接起来，然后利用超级终端软件对各个设备进行 配置， 配置如下： 首先在PC2计算机中对网络地址进行配置，IP地址设置为10.10.10.15，子网掩码为255.255.

14、255.0；其次对交换机2626B进行配置，将其分为多个局域网，此次实验只分配Vlan 1，其IP地址的范围是10.1.1.3/24，在超级终端上的命令是2626B(config)#Vlan 1 2626B(Vlan-1)#ip address 10.1.1.3/242626B(Vlan-1)#Vlan 110 tagged 25调试图如下： B.其次是对HP ProCurve 5308xl三层交换机，其背板交换引擎速度为76.8G bps，吞吐量高达48mpps，并配置双冗余电影，保证核心层高速、可靠的三层交换；给它配置两个Vlan，Vlan 1的地址为10.1.1.1/24，Vlan 10

15、的地址为10.10.110.1/24，并在vlan 10上配置中继端口B1，在vlan 1上配置中继端口在vlan 10上配置中继端口B2，启用三层转发协议。设置局域网Vlan 1：Core (config)#Vlan 1 Core（Vlan-1）# ip address 10.1.1.1/24Core（Vlan-1）#tagged B2设置局域网Vlan 10：Core (config)#Vlan 10 ip address 10.10.110.1/24Core (config)#Vlan 110 tagged B1调试图如下：C. 给7102的两个以太网口配置地址，并激活。ETH0/1的地

16、址为10.1.1.2/24，ETH0/2的地址为202.100.1.2/24，指令如下：NAT (config)#interface Ethernet 0/1NAT (config-eth 0/1)#ip address 10.1.1.2 255.255.255.0NAT (config-eth 0/1)#no shutdownNAT (config)#interface Ethernet 0/2NAT (config-eth 0/2)#ip address 202.100.1.2 255.255.255.0NAT (config-eth 0/2)#no shutdown运行图如下：在内部网络

17、的各个设备设置完后，尝试使用PC2 ping 7102A的出口地址，但是因为缺少路由，所以ping不通。所以我们还需要在5308上写上内网默认路由，在7102A上添加10.10.110.0网络的出口路由，指令如下：Core(config)#Ip route 0.0.0.0 0.0.0.0 10.1.1.2NAT (config)#Ip route 10.10.10.15 255.255.255.0 10.1.1.1添加上默认路由后，内部网络即构建完毕。如果从PC2 ping 7102A的出口地址10.1.1.2，不通的话，还需要认真的检查确保各vlan或端口之间的tagged和untagged

18、配置是否正确。2 、构建模拟internet网络给2626A创建两个vlan，Vlan 1的地址为202.100.1.1/24，Vlan2的地址为202.100.2.1/24。给vlan2上分配1号端口，并配置中继端口26，启用三层转发。2626A(config)Vlan 1 ip address 202.100.1.1/242626A(config)Vlan 2 ip address 202.100.2.1/242626A(config)Vlan 2 tagged 12626A(config)Vlan 2 tagged 26用PC1 ping 2626A的vlan1 和 vlan2的地址，p

19、ing通检验配置正确。3 、建立内外网络的连接给7102A写指向2626A的静态路由，给2626A写指回7102A的静态路由。2626A(config) Ip route 0.0.0.0 0.0.0.0 202.100.1.2NAT(config) Ip route 0.0.0.0 0.0.0.0 202.100.1.1这时，整个内外网络构建完毕，PC2能直接ping 通PC1，通过查看流量检测软件。4 、配置NAT转换NAT：1、设置外部接口IP Router(config)#interface serial 0/0 Router(config-if)#ip address 202.100.

20、1.2 255.255.255.0 2、设置内部接口IP Router(config)#interface fa0/0 Router(config-if)#ip address 10.1.1.2 255.255.255.0 3、建立映射 Router(config)#ip nat inside source static 10.1.1.2 202.100.1.2 4、在接口上启用NAT Router(config)#interface serial 0/0 Router(config-if)#ip nat outside Router(config)#interfacefa 0/0 Route

21、r(config-if)#ip nat insideACL：hostnamecore_5308max-vlans256connection-rate-filtersensitivityhighipaccess-listextended101rule permit source 10.10.110.10 0.0.0.255 202.100.2.10 0.0.0.255rule deny source anyNAT与ACL的转换：ip firewallip access-list standard insidepermit anyip policy-class NATinsidenat sourc

22、e list MatchAll address 202.100.1.2 overloadinterface eth 0/1 access-policy NATinside做了nat转换后，从pc2 ping PC1的截图，源地址为202.100.1.2四、实验结果 在完成刚刚的配置后，还需对三层交换机5308增加一些配置，即配置ACI。再次过程中，我们在添加很多PC主机。给5308添加vlan10 10.1.10.1/24、vlan11 10.1.20.1/24、vlan12 10.1.30.1/24，把D1-D4分配给vlan10，E1-E4分配给vlan11，E5-E8分配给vlan12.

23、并再此基础上配置ACl命令，实现只允许节点地址10.1.10.10和网络地址10.1.30.1/24网段的地址对vlan11（10.1.20.1/24）网段进行访问。其中，D1-D4，E1-E4，E5-E8都是用来接主机的接口。Core (config)#Vlan 10 ip address 10.1.10.1/24Core（config)#Vlan 10 untagged D1-D4Core (config)#Vlan 11 ip address 10.1.20.1/24Core (config)#Vlan 11 untagged E1-E4Core (config)#Vlan 12 ip

24、address 10.1.30.1/24Core (config)#Vlan 12 untagged E5-E8Core (config)#Access-list 10 permit host 10.1.10.10Core (config)#Access-list 10 permit 10.1.30.1/24Core (config)#vlan 11 ip access-group 10 out在Ip地址为202.100.1.11 pingpc2，不通，ping 10.10.110.15则能通。结果如： PC1为外网的主机，IP地址为202.100.1.11；PC2为内网的主机，IP地址为10

25、.10.110.15。 1、PC1的网络连通测试PC1的地址为202.100.1.1，测试它与交换机出口的连接。测试结果如图1.2所示。图1.2 PC2与交换机出口的连通测试 2 、PC2的连通测试（1）PC2与内网接入层交换机的连通测试，测试结果如图1.3和图1.4所示。图1.3 PC2与内网接入层交换机的连通测试图1.4 PC2与内网接入层交换机的连通测试（2）PC2与核心层交换机的连通测试，测试结果如图1.5所示。图1.5 PC2与核心层交换机的连通测试（3）PC2与防火墙的连通测试。测试结果与图1.6所示。图1.6 PC2与防火墙的连通测试（4）PC2与PC1的连通测试，测试结果如图1

26、.7所示。图1.7 PC2与PC1的连通测试五、实验小结 通过这次课设我从中学习到了很多的东西,熟悉了网络的基本知识的运用。但是在课设期间我遇到了很多的问题，为此我发现了我对网络的了解不是很透彻。1、我对防火墙的实现起到重要作用的ACI控制表和网络地址转换NAT技术了解的很少，无疑给我的课题增加了一定的难度。在实验的全过程，我一边认真做实验，一边查漏补缺，解决了我许多在ACl控制列表方面的知识漏洞与不足，增强了网络知识掌握广度与深度。2、对网络的中所用的交换机、路由器、三层交换机的原理不是很清楚。但是通过网上的查询与跟老师和同学的交流对这些东西有了很深的了解。从而在做实验时能够基本的做出来。

27、三、其实这次设计不算顺利，虽然我和同学最后顺利完成了设计任务，但是我觉得从团队的角度来说是一种顺利的合作。但是我还发现了一下问题。 1）首先，作为团队，我们没有把各自的任务分配清楚，而是一起走步，我觉得这样遇到问题的时候容易产生依赖心理，也不容易调动每个人的积极性。明确的分工是合作的必要因素，而遇到问题集体讨论才是发挥集体力量的时候。 2）其次，我觉得我们没有在设计初期对问题的分析还不够深入，而在后期在遇到问题的时候有点对自己的东西掌控不住的感觉。我们基本上是走一步看一步，打个比方，把整个问题比作一棵树，我们在初期没有把整棵树进行遍历，以做到大致心中有数，而我们走的只是其中一枝，在遇到问题的时

28、候在回过头找其他的树杈，却在岔路口徘徊。 3）总体上看来，我觉得我们比较乱，缺少条理性或者是规划。我个人以前独自做课程设计的时候，都习惯先分析，再动手，而这次总体上不是这种风格。也许这里面涉及到一个集体合作的融洽性问题，但是我倒觉得有个进行总体部署的“牵头人”比较好。 总而言之这次课设给我的不仅仅是知识，更重要的是学习的积极性跟与同学何老师的交流。让我在这次课设受益匪浅。让我对网络的学习有了进一步的了解。让我多网络的学习有更深一步的了解，让我体会到了网络的魅力。 六、附件 7102A(config)#interface Ethernet 0/17102A(config-eth 0/1)#ip address 10.1.1.2 255.255.255.07102A(config-eth 0/1)#no shutdown7102A(config)#interface Ethernet 0/27102A(config-eth 0/2)#ip address 202.100.1.2 255.255.255.07102A(config-eth 0/2)#no shutdown 给5308创建两个vlan，Vla