防火墙测试方案.docx

1、防火墙测试方案防火墙测试方案防火墙测试方案测试项目主要测试项目（必测）NAT/PATSite-to-Site IPSec/VPNDynamic Remote-Access IPSec/VPNIPSec/VPN的NAT穿透Remote-Access PPTP VPN的穿透ACL和会话数的限制Syslog、SNMP、远程管理辅助测试项目（选测）认证功能P2P流量限制测试一、NAT/PAT拓扑图测试要求(如防火墙inside接口不够，则使用交换机连接内部三台pc并将内部网络合并为/16)1.将(pc1)静态翻译（地址翻译）为2.将-动态翻译（端口翻译）为检查方法及检查项目 PC1通过FTP方式从教育

2、网下载数据 PC2和PC3使用LoadRunner分别模拟500台电脑浏览网页 查看设备负载和网络延迟测试二、Site-to-Site IPSec/VPN拓扑图测试要求1.ISAKMP配置AuthenticastionPre-ShareEncryptionAES(256-bit)Diffie-HellmanGroup 2HashSha2.IPSec配置Transform-Setah-sha-hmac esp-aes(256-bit)3.只对10.0.1.1和之间互访的流量进行IPSEC的加密检查方法及检查项目 PC1和PC2能否相互PING通，在ASA5540上检测数据是否为加密数据。 修改P

3、C2的ip地址为10.0.2.22，使用pc1 PING pc2，在asa5540上检查数据是否为明文。测试三、Dynamic Remote-Access IPSec/VPN拓扑图测试要求1.ISAKMP配置AuthenticastionPre-ShareEncryptionAES(256-bit)Diffie-HellmanGroup 2HashSha2.IPSec配置Transform-Setah-sha-hmac esp-aes(256-bit)3.其他地址池/24DNS1.1.1.14.防火墙Outside外任何主机都可以与防火墙建立IPSec/VPN连接。5.只对PC1和PC2互访的

4、数据加密。检查方法及检查项目 PC2修改IP地址为10.0.2.22后是否能与防火墙建立IPSec/VPN连接。 PC2能否获得正确的DNS。 PC1和PC2能否相互PING通。 检查防火墙Outside接口收到的数据是否为明文。测试四、IPSec/VPN的NAT穿透拓扑图测试要求1.ISAKMP配置AuthenticastionPre-ShareEncryptionAES(256-bit)Diffie-HellmanGroup 2HashSha2.IPSec配置Transform-Setah-sha-hmac esp-aes(256-bit)3.Cisco ASA 5540上允许以下流量进入

5、其内网UDP 500AH 50ESP 51UDP 4500UDP 10000TCP 10000检查方法及检查项目 两测试设备是否可以正常建立IPSec/VPN连接 PC1和PC2是否可以相互PING通测试五、Remote-Access PPTP VPN拓扑图测试要求认证方式MSCHAP加密方式MPPE地址池/24DNS1.1.1.1检查方法及检查项目 PC2使用Windows自带的VPN与防火墙建立PPTP连接 PC2能否获得正确的DNS PC2和PC1能否相互PING通测试六、的穿透拓扑图测试要求1.测试防火墙配置静态地址翻译，将(PC翻译为2.测试防火墙配置端口翻译，将(PC翻译为检查方法

6、及检查项目 配置静态地址翻译后，PC和PC否可以用NetMeeting进行语音通话，如果可以正确建立连接，是否存在单向音问题。 配置端口翻译后，PC和PC否可以用NetMeeting进行语音通话，如果可以正确建立连接，是否存在单向音问题。测试七、ACL和会话数的限制拓扑图测试要求1.配置ACL只允许WWW流量到防火墙内部的PC1。2.限制PC1的会话数为5。检查方法及检查项目 PC1上建立WWW服务，提供一文件下载，PC2用多线程下载软件从PC1下载文件，检查连接数是否被限制在5个。测试八、Syslog、SNMP、远程管理检查方法及检查项目 是否支持syslog功能 是否支持snmp管理（通过

7、snmp能否检测cpu利用率，连接数） 是否支持远程管理，通过outside口登陆防火墙进行管理测试九、认证功能拓扑图测试要求1.防火墙上配置认证功能检查方法及检查项目 内部主机PC1主动发起HTTP请求连接PC2时，防火墙通过WEB页面方式（其他方式也可以）对PC1进行认证，认证通过后PC1才可正常访问PC2。测试十、P2P流量限制拓扑图测试要求1.防火墙上配置P2P流量限制功能。检查方法及检查项目 PC1能否进行BitTorrent或E-Donkey的下载测试结果主要测试项目（必测）NAT/PAT是否支持NAT 是否支持PAT 设备负载 _网络延迟 _Site-to-Site IPSec/

8、VPN是否支持Site-to-Site IPSec/VPN 是否支持只对需要数据进行IPSec/VPN加密 Dynamic Remote-Access IPSec/VPN是否支持Remote-Access IPSec/VPN 是否支持Dynamic Remote-Access IPSec/VPN 能否获得正确的DNS IPSec/VPN的NAT穿透是否支持IPSec/VPN的NAT穿透 Remote-Access PPTP VPN是否Remote-Access PPTP VPN 能否获得正确的DNS 的穿透是否支持NAT下的穿透 是否支持PAT下的穿透 ACL和会话数的限制是否支持ACL 是否支持会话数限制 Syslog、SNMP、远程管理是否支持Syslog 是否支持SNMP 是否支持远程管理 远程管理方式 WEB 命令行 其他 _辅助测试项目（选测）认证功能是否支持认证功能 认证方式 WEB 其他_P2P流量限制是否支持P2P流量限制 注释