網(wǎng)絡(luò)安全與防火實(shí)訓(xùn)指導(dǎo)書.doc

網(wǎng)絡(luò)安全與防火墻實(shí)訓(xùn)指導(dǎo)書目錄項(xiàng)目一防火墻NAT.3項(xiàng)目二防火墻DHCP.5項(xiàng)目三防火墻ACL.7項(xiàng)目四Web過濾.8項(xiàng)目五郵件過濾.8項(xiàng)目六配置L2TP.9項(xiàng)目七配置IPsec.15項(xiàng)目一防火墻NAT(1)組網(wǎng)需求一個(gè)公司通過SecPath防火墻連接到Internet。公司內(nèi)部網(wǎng)段為/24。由ISP分配給防火墻外部接口的地址范圍為。其中防火墻的接口GigabitEthernet0/0連接內(nèi)部網(wǎng)絡(luò)，地址為；接口GigabitEthernet0/1連接到Internet，地址為。WWWServer和FTPServer位于公司網(wǎng)絡(luò)內(nèi)部，地址分別為和。要求公司內(nèi)部網(wǎng)絡(luò)可以通過防火墻的NAT功能訪問Internet，并且外部的用戶可以訪問內(nèi)部的WWWServer和TelnetServer。(2)組網(wǎng)圖4-6NAT配置組網(wǎng)圖(3)配置步驟第一步：創(chuàng)建允許內(nèi)部網(wǎng)段訪問所有外部資源的基本ACL，以供NAT使用。創(chuàng)建ACL的方法可參見5.2.1ACL配置。點(diǎn)擊“防火墻”目錄中的“ACL”，在右邊的ACL配置區(qū)域中單擊按鈕。在“ACL編號(hào)”中輸入基本ACL的編號(hào)2001（基本ACL的編號(hào)范圍為20002999），單擊按鈕。在下面的列表中選擇此ACL，單擊按鈕。在ACL配置參數(shù)區(qū)域中，從“操作”下拉框中選擇“Permit”，在“源IP地址”欄中輸入，“源地址通配符”中輸入55，單擊按鈕。第二步：創(chuàng)建NAT地址池。在“業(yè)務(wù)管理”目錄下的“NAT”子目錄中點(diǎn)擊“地址池管理”，在右邊的配置區(qū)域中單擊按鈕。在“地址池索引號(hào)”欄中輸入1，“起始地址”欄中輸入，“結(jié)束地址”欄中輸入，單擊按鈕。第三步：配置NAT轉(zhuǎn)換類型。點(diǎn)擊“地址轉(zhuǎn)換管理”，在右邊的配置區(qū)域中單擊按鈕。在“接口名稱”下拉框中選擇“GigabitEthernet0/1”，選中“ACL編號(hào)”復(fù)選框并輸入已創(chuàng)建好的基本ACL編號(hào)2001。在“地址池”下拉框中選擇地址池索引號(hào)“1”。由于地址池的地址數(shù)量有限且內(nèi)部主機(jī)較多，所以在“轉(zhuǎn)換類型”中選擇“NAPT”以啟用NAT地址復(fù)用，單擊按鈕。第四步：配置NAT內(nèi)部服務(wù)器映射。點(diǎn)擊“內(nèi)部服務(wù)器”，在右邊的配置區(qū)域中單擊按鈕。在“接口名稱”中選擇“GigabitEthernet0/1”，“協(xié)議類型”選擇“TCP”，“外部地址”欄中輸入。選中“外部起始端口”輸入欄選項(xiàng)，輸入WWW服務(wù)器使用的端口號(hào)，這里假設(shè)為80端口。在“內(nèi)部起始地址”欄中輸入內(nèi)部WWW服務(wù)器的IP地址。選中“內(nèi)部端口”輸入欄選項(xiàng)，輸入內(nèi)部WWW服務(wù)器使用的端口號(hào)，這里也假設(shè)為80端口，單擊按鈕。內(nèi)部Telnet服務(wù)器映射的配置方法與此相同。項(xiàng)目二防火墻DHCP(1)組網(wǎng)需求防火墻作為DHCP服務(wù)器，為同一網(wǎng)段中的客戶端動(dòng)態(tài)分配IP地址，地址池網(wǎng)段為/24。DHCP服務(wù)器GigabitEthernet0/0接口地址為/24。地址租用期限為3天12小時(shí)，域名為，DNS地址為，NetBIOS地址為，出口網(wǎng)關(guān)地址即為防火墻的內(nèi)部地址。并且其中一個(gè)客戶端要求使用固定的IP地址00，其MAC地址為000f-1f7e-fec5。(2)組網(wǎng)圖(3)配置步驟第一步：將防火墻的GigabitEthernet0/1接口地址配置為/24。在“系統(tǒng)管理”目錄中的“接口管理”，單擊按鈕。選擇“GigabitEthernet0/1”接口。在“IP地址”欄中輸入，掩碼中輸入“”第二步：?jiǎn)⒂梅阑饓Φ腄HCP服務(wù)器功能。在“業(yè)務(wù)管理”下的“DHCP”子目錄中點(diǎn)擊“全局DHCP基本配置”，在右側(cè)配置區(qū)域中的“使能或禁止DHCP服務(wù)”下拉框中選擇“Enable”，單擊按鈕。第三步：配置全局DHCP地址池。點(diǎn)擊“全局DHCP地址池”，在右邊的配置區(qū)域中單擊按鈕，在“地址池名稱”欄中dhcppool，單擊按鈕?；氐脚渲脜^(qū)域頁(yè)面后單擊按鈕，從下拉框中選擇“dhcppool”，將租約期限設(shè)置為3天12小時(shí)，在“客戶端域名”欄中輸入，單擊按鈕。回到配置區(qū)域頁(yè)面后單擊按鈕，從下拉框中選擇“dhcppool”，在“IP地址范圍”欄中輸入，“網(wǎng)絡(luò)掩碼”中輸入，單擊按鈕。第四步：配置地址池的DNS。點(diǎn)擊“全局DHCP的DNS”，在右側(cè)的配置區(qū)域中單擊“配置”按鈕，從下拉框中選擇“dhcppool”，在“DNS服務(wù)器地址”欄中輸入，單擊“應(yīng)用”按鈕。第五步：配置地址池的網(wǎng)關(guān)。點(diǎn)擊“全局DHCP網(wǎng)關(guān)”，在右側(cè)的配置區(qū)域中單擊按鈕，從下拉框中選擇“dhcppool”，在“網(wǎng)關(guān)地址”欄中輸入，單擊按鈕。第六步：配置地址池的NetBIOS。點(diǎn)擊“全局DHCP的NetBIOS”，在右側(cè)的配置區(qū)域中單擊按鈕，從下拉框中選擇“dhcppool”，在“NetBIOS”節(jié)點(diǎn)類型中選擇“h-node”，然后輸入NetBIOS服務(wù)器的地址，單擊按鈕。點(diǎn)擊“地址轉(zhuǎn)換管理”，在右邊的配置區(qū)域中單擊按鈕。在“接口名稱”下拉框中選擇“GigabitEthernet0/1”，選中“ACL編號(hào)”復(fù)選框并輸入已創(chuàng)建好的基本ACL編號(hào)2001。在“地址池”下拉框中選擇地址池索引號(hào)“1”。由于地址池的地址數(shù)量有限且內(nèi)部主機(jī)較多，所以在“轉(zhuǎn)換類型”中選擇“NAPT”以啟用NAT地址復(fù)用，單擊按鈕。項(xiàng)目三防火墻ACL(1)組網(wǎng)需求該公司通過一臺(tái)SecPath防火墻訪問Internet。公司內(nèi)部對(duì)外提供WWW、FTP和Telnet服務(wù)，公司內(nèi)部子網(wǎng)為，其中，內(nèi)部FTP服務(wù)器地址為，Telnet服務(wù)器地址為，WWW服務(wù)器地址為，通過配置防火墻，希望實(shí)現(xiàn)以下要求：內(nèi)部網(wǎng)絡(luò)中只有特定主機(jī)可以訪問外部網(wǎng)絡(luò)，外部網(wǎng)絡(luò)中只有特定用戶可以訪問內(nèi)部服務(wù)器假定外部特定用戶的IP地址為。(2)組網(wǎng)圖(3)配置步驟第一步：配置訪問列表允許公司內(nèi)部特定主機(jī)和服務(wù)器訪問外部網(wǎng)絡(luò)。在“防火墻”目錄中點(diǎn)擊“ACL”，在右邊的ACL配置區(qū)域中單擊按鈕。在“ACL編號(hào)”欄中輸入基本ACL的編號(hào)2001，單擊按鈕，在下面的列表中選擇此A