防火墙路由工作模式的配置

《防火墙路由工作模式的配置》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、4.3防火墙的路由模式前置知识：防火墙的路由工作模式相当于防火墙工作于路由模式，此时防火墙进行安全防范的各个区域均处于不同的IP子网中。在实际的网络应用环境中，防火墙一般位于网络的边界，连接了内部和外部网络，是内部和外部网络通讯的唯一通道。此时防火墙的外部网口(if0WAN口)配置ISP提供的公网IP地址，而内部网络使用私用网络地址。RFC1918规定了三个地址块用作内部私用IP地址：10.0.0.0/8172.16.0.0/12192.168.0.0/16网络管理员可根据实际情况从中选择。这样在访问外部网络的时间，常常需要在外部网络接口上做NAT转换。实验目的：1了解防火墙路

2、由工作模式和透明工作模式的概念2了解NAT的基本概念3掌握防火墙路由工作模式的配置4掌握动态NAT和静态NAT的配置方法试验设备：DCFW1800S-L/VPN防火墙一台PC机三台交叉网络线三根试验规划及拓扑规划：防火墙接口If0(WAN口)IP/掩码211.84.155.1/24If1(LAN口)IP/掩码192.168.100.100/24If2(DMZ口)IP/掩码192.168.10.10/24Turst-PC测试网卡的IP/掩码192.168.100.101/24Untrust-PC测试网卡的IP/掩码211.84.155.2/24Dmz-PC测试网卡的IP/掩码19

3、2.168.10.11/24Dmz-pc的对外静态NAT转换地址211.84.155.3拓扑：10实验步骤：第一步：将防火墙回复出厂设置使用系统内置的admin用户，以命令行终端方式登录防火墙，执行如下命令：#ruleconfigloaddefault100%Rulesloadedsuccessfully!#save#apply第二步：按规划配置防火墙各个接口的IP地址使用系统内置的admin账户，从终端窗口登录防火墙，执行如下的命令序列：#ifconfigif0211.84.155.1/24#ifconfigif1192.168.100.100/24#ifconfigif21

4、92.168.10.10/24#adminhostadd192.168.100.101#save#apply第三步：按规划为三台PC配置IP及网关地址下边以内网计算机的IP地址配置为例，如图1所示。10图1客户端TCP/IP属性配置在本试验中，因为防火墙工作于路由模式，因此三台计算机上必须配置网管地址，否则不能正常通讯。三台PC各自的网关地址分别是其相连的防火墙端口的IP地址。其他两台计算机都按此配置。第四步：为三台PC机在防火墙内配置三个对应的网络对象1.选择“对象”

5、“网络”

6、“网络对象”，如图2所示：图2系统内建网络对象系统默认内置的网络对象，下边将要根据规划为三台PC创

7、建网络对象。2．配置三个网络对象10打击上图中的“新增”按钮，新增一个网络对象，如图3所示。图3创建可信内网网络对象图中的名称可以自行确定，该PC处于内网段，和if1接口处于同一个网段。因为这里是为单独的一台计算机创建网络对象，所以掩码是32位。以下操作与此类似。为外网计算机创建网络对象，如图4所示。图4为不可信外网创建网络对象为DMZ区的计算机创建网络对象，如5图所示。10图5为DMZ区创建网络对象三个网络对象创建完成之后的情形如图6所示。图6创建了三个网络对象第五步：创建访问策略选择“策略”

8、“策略设置”命令。刚打开时，没有定义任何的策略，如图7所示。图7策略定义窗口这里以

9、ping和ftp服务为例，说明规则的创建过程，在上图中单击“新增”按钮，打开如图7和图8所示。10图8创建可信内网到不可信外网的ping服务安全规则图9创建可信内网到不可信外网的ftp服务安全规则针对三个网络对象后的完整规则如图10所示。10图10完成创建本实验所需的安全规则第六步：做NAT转换1.为使内网使用私用地址的计算机可以访问外网的服务器，需要对内网的计算机做动态NAT转换。选择“NAT”

10、“动态NAT”命令，如图所示，初始状态下图11转换规则表为空。图11创建动态NAT服务添加动态NAT转换规则，如图12所示。图12为内部网络增加NAT转换规则上图各项参数填写完成后，

11、单击“确定按钮”，回到动态NAT规则显示界面，如图13所示。10图13完成创建NAT转换规则2.DMZ区一般是用来放置对外提供服务的服务器区，该区的服务器多使用私用网络地址，为了使外部用户可以访问该去服务器，需要在防火墙的外部网络接口(WAN口)做静态NAT转换。选择“NAT”

12、“静态NAT”，操作和做动态NAT转换类似，如图14所示。图14创建静态NAT转换规则“转换后的IP”项填写外部访问DMZ区服务器时所用的合法IP地址。完成后单击“确定”按钮，返回如图15所示的界面。图15完成创建静