網(wǎng)絡(luò)安全和管理實(shí)驗(yàn)報(bào)告

1、網(wǎng)絡(luò)安全和管理實(shí)驗(yàn)指導(dǎo)書(shū)電子與信息工程系網(wǎng)絡(luò)工程教研室2011-10-25實(shí)驗(yàn)一為WWW服務(wù)配置SSL一、實(shí)驗(yàn)?zāi)康募由畈⑾谡n內(nèi)容，掌握SSL的基本概念；了解并熟悉萬(wàn)維網(wǎng)服務(wù)器的配置；掌握在萬(wàn)維網(wǎng)服務(wù)器上部署SSL協(xié)議；二、實(shí)驗(yàn)要求掌握Security Socket Layer在應(yīng)用層的作用；獨(dú)立完成在萬(wàn)維網(wǎng)服務(wù)器上部署SSL；實(shí)驗(yàn)結(jié)束后，用統(tǒng)一的實(shí)驗(yàn)報(bào)告用紙編寫(xiě)實(shí)驗(yàn)報(bào)告。三、實(shí)驗(yàn)環(huán)境Windows 2003企業(yè)版服務(wù)器+IIS服務(wù)，Linux企業(yè)版服務(wù)器+Apache服務(wù)四、實(shí)驗(yàn)內(nèi)容Windows系統(tǒng)上部署萬(wàn)維網(wǎng)服務(wù)，并配置SSLLinux系統(tǒng)上部署萬(wàn)維網(wǎng)服務(wù)，并配置SSL五、實(shí)驗(yàn)步驟Wi

2、ndows系統(tǒng)上部署萬(wàn)維網(wǎng)服務(wù)，并配置SSL頒發(fā)證書(shū)從“管理工具”程序組中啟動(dòng)“證書(shū)頒發(fā)機(jī)構(gòu)”工具。展開(kāi)證書(shū)頒發(fā)機(jī)構(gòu)，然后選擇“掛起的申請(qǐng)”文件夾。選擇剛才提交的證書(shū)申請(qǐng)。在“操作”菜單中，指向“所有任務(wù)”，然后單擊“頒發(fā)”。確認(rèn)該證書(shū)顯示在“頒發(fā)的證書(shū)”文件夾中，然后雙擊查看它。在“詳細(xì)信息”選項(xiàng)卡中，單擊“復(fù)制到文件”，將證書(shū)保存為Base-64編碼的X.509證書(shū)。關(guān)閉證書(shū)的屬性窗口。關(guān)閉“證書(shū)頒發(fā)機(jī)構(gòu)”工具。在Web服務(wù)器上安裝證書(shū)如果Internet信息服務(wù)尚未運(yùn)行，則啟動(dòng)它。展開(kāi)服務(wù)器名稱，選擇要安裝證書(shū)的Web站點(diǎn)。右鍵單擊該Web站點(diǎn)，然后單擊“屬性”。單擊“目錄安全性”選項(xiàng)卡

3、。單擊“服務(wù)器證書(shū)”啟動(dòng)Web服務(wù)器證書(shū)向?qū)?。單擊“處理掛起的申?qǐng)并安裝證書(shū)”，然后單擊“下一步”。輸入包含CA響應(yīng)的文件的路徑和文件名，然后單擊“下一步”。檢查證書(shū)概述，單擊“下一步”，然后單擊“完成”?，F(xiàn)在，已在Web服務(wù)器上安裝了證書(shū)。將資源配置為要求SSL訪問(wèn)此過(guò)程使用Internet服務(wù)管理器，將虛擬目錄配置為要求SSL訪問(wèn)。為特定的文件、目錄或虛擬目錄要求 使用SSL?？蛻舳吮仨毷褂肏TTPS協(xié)議訪問(wèn)所有這類資源。如果Internet信息服務(wù)尚未運(yùn)行，則啟動(dòng)它。展開(kāi)服務(wù)器名稱和Web站點(diǎn)。（這必須是已安裝證書(shū)的Web站點(diǎn)）右鍵單擊某個(gè)虛擬目錄，然后單擊“屬性”。單擊“目錄安全性”選

4、項(xiàng)卡。單擊“安全通信”下的“編輯”。單擊“要求安全通道（SSL）”。單擊“確定”，然后再次單擊“確定”關(guān)閉“屬性”對(duì)話框。關(guān)閉Internet信息服務(wù)。Linux系統(tǒng)上部署萬(wàn)維網(wǎng)服務(wù)，并配置SSL安裝并設(shè)置具備SSL的Apache網(wǎng)站服務(wù)器創(chuàng)建rasref目錄，在該目錄提取文件。mkdir rsaref-2.0cd rsaref-2.0gzip -d -c ./rsaref20.tar.Z I tar xvf -配置并構(gòu)造OpenSSL庫(kù)。cd rsaref-2.0cp -rp install/unix localcd localmakemv rsaref.a librsaref.acd ./

5、.安裝 OpenSSLocd openssl-0.9.x./config -prefix=/usr/local/ssl-Lpwd/./rsaref-2.0/local/ rsaref -fPIC配置MOD_SSL模塊，然后用Apache配置指定它為一個(gè)可裝載的模塊。cd mod_ssl-2.5.x-1.3.x./configure-with-apache=./apache_1.3.xcd .可以把更多的Apache模塊加到Apache源代碼樹(shù)中?？蛇x的-enable-shared=ssl選項(xiàng)使得mod_ssl構(gòu)造成為一 個(gè)DSO“l(fā)ibssl.so”。關(guān)于在 Apache支持DSO的更多信息，

6、閱讀 Apache源代碼樹(shù)中的INSTALL和 htdocs/manual/dso.html 文檔。cd apache_1.3.xSSL_BASE=./openssl-0.9.xRSA_BASE=./rsaref-2.0/local./configure -enable-module=ssl-activate-module=src/modules/php4/libphp4.a-enable-module=php4 -prefix=/usr/local/apache-enable-shared=ssl5.生成Apache，然后生成證書(shū)，并安裝# make正確地完成，得到類似于以下的信息：+| B

7、efore you install the package you now should prepare the SSL | certificate system by running the make certificate command. | For different situations the following variants are provided: | | % make certificate TYPE=dummy (dummy self-signed Snake Oil cert) | % make certificate TYPE=test (test cert si

8、gned by Snake Oil CA) | % make certificate TYPE=custom (custom cert signed by own CA) | % make certificate TYPE=existing (existing cert) | CRT=/path/to/your.crt KEY=/path/to/your.key | | Use TYPE=dummy when youre a vendor package maintainer, | the TYPE=test when youre an admin but want to do tests o

9、nly, | the TYPE=custom when youre an admin willing to run a real server | and TYPE=existing when youre an admin who upgrades a server. | (The default is TYPE=test) | | Additionally add ALGO=RSA (default) or ALGO=DSA to select | the signature algorithm used for the generated certificate. | | Use make

10、 certificate VIEW=1 to display the generated data. | | HYPERLINK | Thanks for using Apache & mod_ssl. Ralf S. Engelschall | HYPERLINK mailto:rse rse | HYPERLINK |實(shí)驗(yàn)二NAT地址轉(zhuǎn)換一、實(shí)驗(yàn)?zāi)康募由畈⑾谡n內(nèi)容，理解NAT的作用；掌握NAT網(wǎng)絡(luò)地址轉(zhuǎn)換的方法；掌握NAT服務(wù)在網(wǎng)絡(luò)設(shè)備上的配置方法。二、實(shí)驗(yàn)要求掌握NAT的網(wǎng)絡(luò)地址轉(zhuǎn)換的原理；熟悉在路由器上使用NAT服務(wù)；3 .熟悉Windows服務(wù)器上使用NAT服務(wù)三、實(shí)驗(yàn)環(huán)境Cis

11、co路由器；Windows 2003企業(yè)版服務(wù)器四、實(shí)驗(yàn)內(nèi)容1 .靜態(tài)地址轉(zhuǎn)換動(dòng)態(tài)地址轉(zhuǎn)換復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。Windows 2000 Server的網(wǎng)絡(luò)地址翻譯五、實(shí)驗(yàn)步驟1靜態(tài)地址轉(zhuǎn)換、在內(nèi)部本地地址與內(nèi)部合法地址之間建立靜態(tài)地址轉(zhuǎn)換。在全局設(shè)置狀態(tài)下輸入：Ip nat inside source static內(nèi)部本地地址 內(nèi)部合法地址、指定連接網(wǎng)絡(luò)的內(nèi)部端口在端口設(shè)置狀態(tài)下輸入：ip nat inside、指定連接外部網(wǎng)絡(luò)的外部端口在端口設(shè)置狀態(tài)下輸入：ip nat outside2動(dòng)態(tài)地址轉(zhuǎn)換、在全局設(shè)置模式下，定義內(nèi)部合法地址池ip nat pool地址池名稱 起始IP地址 終止IP地

12、址 子網(wǎng)掩碼其中地址池名稱可以任意設(shè)定。、在全局設(shè)置模式下，定義一個(gè)標(biāo)準(zhǔn)的access-list規(guī)則以允許哪些內(nèi)部地址可以進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換。Access-list標(biāo)號(hào)permit源地址通配符其中標(biāo)號(hào)為1-99之間的整數(shù)。、在全局設(shè)置模式下，將由access-list指定的內(nèi)部本地地址與指定的內(nèi)部合法地址池進(jìn)行地址轉(zhuǎn)換。ip nat inside source list訪問(wèn)列表標(biāo)號(hào)pool內(nèi)部合法地址池名字、指定與內(nèi)部網(wǎng)絡(luò)相連的內(nèi)部端口在端口設(shè)置狀態(tài)下：ip nat inside、指定與外部網(wǎng)絡(luò)相連的外部端口Ip nat outside復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。、在全局設(shè)置模式下，定義內(nèi)部合地址池ip

13、nat pool地址池名字 起始IP地址 終止IP地址 子網(wǎng)掩碼其中地址池名字可以任意設(shè)定。、在全局設(shè)置模式下，定義一個(gè)標(biāo)準(zhǔn)的access-list規(guī)則以允許哪些內(nèi)部本地地址可以進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換。access-list標(biāo)號(hào)permit源地址通配符其中標(biāo)號(hào)為199之間的整數(shù)。、在全局設(shè)置模式下，設(shè)置在內(nèi)部的本地地址與內(nèi)部合法IP地址間建立復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。ip nat inside source list訪問(wèn)列表標(biāo)號(hào)pool內(nèi)部合法地址池名字overload、在端口設(shè)置狀態(tài)下，指定與內(nèi)部網(wǎng)絡(luò)相連的內(nèi)部端口ip nat inside、在端口設(shè)置狀態(tài)下，指定與外部網(wǎng)絡(luò)相連的外部端口ip nat ou

14、tsideWindows 2000 Server的網(wǎng)絡(luò)地址翻譯、連接Internet網(wǎng)卡的IP由ISP提供。、連接內(nèi)部網(wǎng)網(wǎng)卡的IP地址需要以下配置：IP 地址：子網(wǎng)掩碼：默認(rèn)網(wǎng)關(guān)：無(wú)、客戶機(jī)的IP地址的配置為：IP地址：192.168.0.x(可設(shè)為同一網(wǎng)段內(nèi)的任一獨(dú)立的IP)子網(wǎng)掩碼：默認(rèn)網(wǎng)關(guān)：、在“路由和遠(yuǎn)程訪問(wèn)”控制臺(tái)中，用鼠標(biāo)右鍵單擊域服務(wù)器，從彈出的快捷菜單中選擇“配置并啟用路 由和遠(yuǎn)程訪問(wèn)”選項(xiàng)，打開(kāi)“路由和遠(yuǎn)程訪問(wèn)服務(wù)器安裝向?qū)А睂?duì)話框。、在路由和遠(yuǎn)程訪問(wèn)服務(wù)器安裝向?qū)е?，選擇用于“Internet連接服務(wù)器”的選項(xiàng)，以及用來(lái)安裝帶有網(wǎng) 絡(luò)地址轉(zhuǎn)換(NAT)路由協(xié)議的路由器的選項(xiàng)

15、。、接下來(lái)要定義好哪塊網(wǎng)卡連接Interneto、至此所有配置工作已經(jīng)全部完成，下面需要測(cè)試能不能連接內(nèi)網(wǎng)和外網(wǎng)。實(shí)驗(yàn)三IPSec的配置一、實(shí)驗(yàn)?zāi)康募由畈⑾谡n內(nèi)容，理解VPN的作用；掌握在VPN中部署IPSec的方法；掌握IPSec在網(wǎng)絡(luò)設(shè)備上的配置方法。二、實(shí)驗(yàn)要求掌握虛擬專用網(wǎng)的原理；熟悉在路由器上使用VPN服務(wù)；3 .熟悉使用IPSec的虛擬專用網(wǎng)的接入方式三、實(shí)驗(yàn)環(huán)境路由器2臺(tái)四、實(shí)驗(yàn)內(nèi)容假設(shè)你是公司的網(wǎng)絡(luò)管理員，公司因業(yè)務(wù)的擴(kuò)大，建立了一個(gè)分公司，因?yàn)楣镜臉I(yè)務(wù)數(shù)據(jù)重要，公司的 總部與分公司傳輸數(shù)據(jù)時(shí)需要加密，采用IPSec VPN技術(shù)對(duì)數(shù)據(jù)進(jìn)行加密。五、實(shí)驗(yàn)步驟路由器基本配置。

16、R1 (config)#R1 (config)#interface fastEthernet 0/0R1 (config-if)#ip address 52R1 (config-if)#no shutdownR1 (config-if)#exitR1 (config)#interface Loopback 0R1 (config-if)#ip address R1 (config-if)#no shutdownR1 (config-if)#exitR2 (config)#interface fastEthernet 0/0R2 (config-if)#ip address 52R2 (conf

17、ig-if)#no shutdownR2 (config-if)#exitR2 (config)#interface Loopback 0R2 (config-if)#ip address R2 (config-if)#no shR2 (config-if)#end配置默認(rèn)路由。R1 (config)#ip route R2 (config)# ip route 3 .配置 IPSec VPNoR1 (config)# crypto isakmp policy 10R1 (isakmp-policy)#authentication pre-shareR1 (isakmp-policy)#has

18、h md5R1 (isakmp-policy)#group 2R1 (isakmp-policy)#exitR1 (config)#crypto isakmp key 0 ruijie address R1 (config)#crypto ipsec transform-set vpn ah-md5-hmac esp-des esp-md5-hmacR1 (cfg-crypto-trans)#mode tunelR1 (config)#crypto map vpnmap 10 ipsec-isakmpR1 (config-crypto-map)#set peer R1 (config-cryp

19、to-map)#set transform-set vpnR1 (config-crypto-map)#match address 110R1 (config)#crypto map vpnmap1 10 ipsec-isakmpR2 (config)#crypto isakmp policy 10R2 (isakmp-policy)#authentication pre-shareR2 (isakmp-policy)#hash md5R2 (isakmp-policy)#group 2R2 (config)#crypto isakmp key 0 ruijie address R2 (con

20、fig)#crypto ipsec transform-set vpn ah-md5-hmac esp-des esp-md5-hmacR2 (cfg-crypto-trans)#mode tunelR2 (config)#crypto map vpnmap 10 ipsec-isakmpR2 (config-crypto-map)# set peer R2 (config-crypto-map)# set transform-set vpnR2 (config-crypto-map)# match address 110定義感興趣數(shù)據(jù)流及應(yīng)用VPN。R1 (config)#access-li

21、st extended 110 permit ip 55 55R1 (config)#interface FastEthernet 0/0R1 (config-if)#crypto map vpnmapR2 (config)#access-list extended 110 permit ip 55 55R2 (config)#interface FastEthernet 0/0R2 (config-if)#crypto map vpnmap驗(yàn)證測(cè)試。R1#pingProtocol ip:Target IP address: Repeat count 5:Datagram size 100:T

22、imeout in seconds 2:Extended commands n: ySource address:Time to Live 1, 64:Type of service 0, 31:Data Pattern 0 xABCD:0 xabcdSending 5, 100-byte ICMP Echoes to , timeout is 2 seconds:.!Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 msR1#show crypto ipsec saInterface: FastEthernet

23、0/0Crypto map tag:vpnmap, local addr media mtu 1500item type:static, seqno:10, id=32local ident (addr/mask/prot/port): (/55/0/0)remote ident (addr/mask/prot/port): (/55/0/0)PERMIT#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 8#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 8#send errors 0, #recv e

24、rrors 0Inbound esp sas:spi:0 x36328b56 (909282134)transform: esp-des esp-md5-hmacin use settings=Tunnel,crypto map vpnmap 10sa timing: remaining key lifetime (k/sec): (4606998/3594)IV size: 8 bytesReplay detection support:YInbound ah sas:spi:0 x75aa844e (1974109262)transform: ah-null ah-md5-hmacin u

25、se settings=Tunnel,crypto map vpnmap 10sa timing: remaining key lifetime (k/sec): (4606998/3594)IV size: 0 bytesReplay detection support:YOutbound esp sas:spi:0 x4c96e9f2 (1284958706)transform: esp-des esp-md5-hmacin use settings=Tunnel,crypto map vpnmap 10sa timing: remaining key lifetime (k/sec):

26、(4606998/3594)IV size: 8 bytesReplay detection support:YOutbound ah sas:spi:0 x2c25e472 (740680818)transform: ah-null ah-md5-hmacin use settings=Tunnel,crypto map vpnmap 10sa timing: remaining key lifetime (k/sec): (4606998/3594)IV size: 0 bytesReplay detection support:YR1#show crypto isakmp sadesti

27、nation source state conn-id lifetime(second) QM_IDLE 33 863176c1ac77522d07d2b e0062c53799fc5ec實(shí)驗(yàn)四訪問(wèn)控制列表一、實(shí)驗(yàn)?zāi)康恼莆章酚膳渲梅椒ㄕ莆赵L問(wèn)控制列表的配置；二、實(shí)驗(yàn)要求ACL能正常工作的前提是所有主機(jī)都能ping通。（采用RIP路由協(xié)議）路由器的基本配置:1）設(shè)置路由器接口 IP地址。2）配置RIP路由不允許R1訪問(wèn)R4及其內(nèi)部網(wǎng)絡(luò)不允許 R2 ping R4不允許網(wǎng)段訪問(wèn)R4及其內(nèi)部網(wǎng)絡(luò)使用OSPF動(dòng)態(tài)路由協(xié)議三、實(shí)驗(yàn)環(huán)境1、Windows XP , Cisco Packet Tracer四

28、、實(shí)驗(yàn)內(nèi)容拓?fù)鋱D51/1:23.20/241.基本E2LcR：h、.R2、R3l、R4啟動(dòng)后，首先進(jìn)行如下配置五、實(shí)驗(yàn)步驟Router(config)#no ip domain lookRouter (config)#line conRouter (config)#line console 0Router (config-line)#exec-Router (config-line)#exec-timeout 0 0Router (config-line)#exitRouter (config)#enable password ciscoRouter (config)#line vty 0 4

29、Router (config-line)#password ciscovtyRouter (config-line)#loginRouter (config-line)#exitRouter (config)#hostname RX /4 臺(tái)路由器分別命名為R1、R2、R3、R4配置R1、R2、R3、R4接口地址(將配置代碼附下)配置路由器R1R1(config)#int s1/0R1(config-if)#ip add R1(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/0, changed state to downR1(conf

30、ig-if)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR1(config-if)#ip add R1(config-if)#no sh配置路由器R2R2(config)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line pro

31、tocol on Interface Loopback0, changed state to upR2(config-if)#R2(config-if)#ip add R2(config-if)#no shutR2(config-if)#int s1/1R2(config-if)#ip add R2(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/1, changed state to down配置路由器R3R3(config)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed s

32、tate to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR3(config-if)#R3(config-if)#ip add R3(config-if)#no shutR3(config-if)#int s1/0R3(config-if)#ip add R3(config-if)#clock rate 64000R3(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/0, changed state to up%LINE

33、PROTO-5-UPDOWN: Line protocol on Interface Serial1/0, changed state to upR3(config-if)#int s1/1R3(config-if)#ip add R3(config-if)#clock rate 64000%LINK-5-CHANGED: Interface Serial1/1, changed state to upR3(config-if)#R3(config-if)#int s1/2%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/1, ch

34、anged state to upR3(config-if)#ip add R3(config-if)#clock rate 64000R3(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/2, changed state to down(4)配置路由器R4R4(config)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed

35、state to upR4(config-if)#R4(config-if)#ip add R4(config-if)#no shutR4(config-if)#int s1/2R4(config-if)#ip add R4(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/2, changed state to upR4(config-if)#R4(config-if)#%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/2, changed state to up3 .設(shè)置O

36、SPF路由協(xié)議配置路由器R1R1(config)#route ospf 1R1(config-router)#net 55 area 0R1(config-router)#net 55 area 0R1(config-router)#end配置路由器R2R2(config)#route ospf 1R2(config-router)#net 55 area 0R2(config-router)#net 55 area 0R2(config-router)#end配置路由器R3R3(config)#route ospf 1R3(config-router)#net 55 area 0R3(con

37、fig-router)#00:32:17: %OSPF-5-ADJCHG: Process 1, Nbr on Serial1/0 from LOADING to FULL, Loading DoneR3(config-router)#net 55 area 0R3(config-router)#net 55 area 000:32:49: %OSPF-5-ADJCHG: Process 1, Nbr on Serial1/1 from LOADING to FULL, Loading DoneR3(config-router)#net 55 area 0R3(config-router)#n

38、et 55 area 0R3(config-router)#end(4)配置路由器R4R4(config)#route ospf 1R4(config-router)#net 55 area 000:33:57: %OSPF-5-ADJCHG: Process 1, Nbr on Serial1/2 from LOADING to FULL, Loading DoneR4(config-router)#net 55 area 0R4(config-router)#end查看各路由器學(xué)到的路由(以R3為例)R3# show ip route /將顯示信息附下R3#sh ip routeCodes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGPD - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter areaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGPi - IS-IS, L1 - IS-IS level-1, L2 - IS-IS le