防火墙实训指导手册程丹.doc

《防火墙实训指导手册程丹.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、防火墙配置实训指导手册以天融信防火墙(TOPSECFireWallARES－M)为实例，来测试防火墙各区域的访问控制机制：目标一：了解访问策略的原理与作用。通过设置访问策略，测试INTRANET（企业内联网）,SSN（安全服务区，即DMZ（非军事区）,INTERNET（外网）区域之间访问控制机制。目标二：了解NAT原理与作用。测试内网通过NAT方式相互访问。并通过NAT访问因特网，过滤特定网站和特定网页。目标三：了解MAP原理与作用。测试外网通过MAP访问企业内部服务器。上半部份：一、通过防火墙的路由功能实现访问控制，操作步骤如下：STEP1:

2、线路连接根据图示设置主机IP地址(注意主机IP与连接的防火墙端口地址为同一网段，不能与连接的防火墙端口地址冲突)，设置防火墙本区域端口IP地址为主机网关地址。测试能否PING通防火墙端口IP地址。STEP2:通过软件登陆打开防火墙设备配置软件“TOPSEC集中管理器”，登陆到防火墙本主机所在区域端口IP地址。查看防火墙　“基本信息”　和“实时监控”，　了解其他各菜单功能。说明：登陆用户名为user1/2/3/4/5/6/7,口令为：STEP3:防火墙区域权限缺省设置　‘网络’→‘区域’→防火墙三个区域→‘缺省访问权限’设为允许访问。本机PING

3、其他区域内主机，测试连通性。　‘网络’→‘区域’→防火墙三个区域→‘缺省访问权限’设为禁止访问。本机PING其他区域内主机，测试连通性。说明：不选择“可读、可写、可执行”选项，表示为禁止访问。选择“可读、可写、可执行”选项，表示为允许访问。第四个区域area_4为该软件上带的区域名，可不管,实际硬件上没有。缺省访问权限是指区域之间主机的默认权限。如果是PING本区域内主机，由于是通过交换机进行通信，防火墙不能控制权限，本区域内主机是能够连通的。接下来在防火墙三个区域‘缺省权限’设为禁止访问的情况下，做以下步骤：STEP4:主机节点对象建立　　高

4、级管理→网络对象→本主机所在区域→定义新对象→定义节点把本主机IP地址定义为一个节点。定义名称可任意，物理地址可不填。说明：定义对象应在该对象所在区域内设置。本机在哪个区域，则在那个区域内设置。定义节点针对一个主机定义，定义子网可定义一个网络地址段。定义对象没有任何权限的作用，只有通过访问策略（STEP5设置）调用这些对象才能设置权限。STEP5:访问策略的建立1)高级管理→访问策略→需要访问的主机所在区域内‘增加’→‘包过滤策略’，策略源为访问端（只选择本机节点），策略目的为被访问端（只选择其他区域某节点），策略服务为PING，访问控制设为允

5、许。注意策略源和目的只选择节点，针对主机进行权限设置。通过PING对方主机测试连通性。2)在本区域内增加‘包过滤策略’，建立禁止对方主机（策略源）访问本机（策略目的）的访问策略，测试对方区域的主机到本机的连通性。说明：访问策略应在被访问对象所在的目标区域设置策略（特别注意）。如：访问SSN区域内主机，则应在SSN区域内设置策略。必须针对不同区域设置访问权限，同一区域内的主机防火墙是不能控制权限的，设置的策略也是无用的。‘策略服务’在都不选择的情况下，为任何服务，包括所有协议所有端口。‘策略服务’在都选择的情况下，表示只对所选择的服务进行访问控制

6、。访问策略优先级高于区域的优先级（STEP3已设置）。每个访问策略都是单向访问，只有策略源对象访问到策略目的对象。两个不同区域主机如需要相互访问，则需要建立两个策略。　　访问策略可控制源地址，目标地址，策略服务，访问控制时间。STEP6:通过策略范围来控制主机访问权限(1)设置两个策略，一个策略为设置本机访问其他区域某一主机的访问策略，访问策略为允许，另一个策略同样是访问该主机，但访问控制设为禁止，更改两个策略的优先级，通过PING对方主机测试连通性。说明：鼠标上下拖动所建策略可以更改优先级，排在上面的策略优先级高。(2)设置两个策略，一个策略

7、为本机访问其他整个区域的策略，另一个策略为本机禁止访问其他区域内某一个主机的策略，更改两个策略的优先级，通过PING对方主机测试连通性。(3)设置两个策略，一个策略为本机访问其他区域某主机的策略，策略服务为任何服务，另一个策略为本机禁止通过策略服务PING其他区域该主机。更改两个策略的优先级，通过PING对方主机测试连通性。(4)设置两个策略，一个策略为本机禁止访问其他区域某主机的策略，策略服务为任何服务，另一个策略为本机允许通过策略服务PING其他区域该主机。更改两个策略的优先级，通过PING对方主机测试连通性，访问其他端口（如共享方式）进行

8、测试。(5)设置本区域允许访问其他整个区域，策略服务为任何服务，通过PING对方所有主机测试连通性。(6)在‘网络’→‘区域’，设置所有区域缺省权限为