网络安全与防护全套配套课件迟恩宇实训指导3.3-2PT实现基于思科路由器的IOS防火墙防护功能配置（ZPF）.doc

《网络安全与防护全套配套课件迟恩宇实训指导3.3-2PT实现基于思科路由器的IOS防火墙防护功能配置（ZPF）.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、国家高等职业教育网络技术专业教学资源库计算机网络安全技术与实施课程资源子库学习情境3：实训指导3.3-2PT实现基于思科路由器的IOS防火墙防护功能配置（ZPF）网络技术专业教学资源库实训指导3.3-2一、实训题目：PT实现基于思科路由器的IOS防火墙防护功能配置（ZPF）二、实训目的：1.配置思科路由器的ZPF功能；2.思科ZPF功能原理与实现。三、实训要求：1.基于PT配置思科路由器ZPF功能；2.理解ZPF配置流程。四、实训网络场景或网络拓扑结构：网络拓扑结构图如下：PT仿真网络结构图如下：6/7网络技术专业教学资源库五、实训步骤：任务初

2、始化：在Z_R上去除原网络配置中的NAT,并配置动态OSPF路由协议，使用内部的192.168.201.0网段可以发布到公网上，实现Z网络与互联网的双向连通。在W_R5上配置TELNET服务。任务1：检查基本网络连通性，在配置FW前检查连通性1.从外部的W_WWW去ping内部的Z_PC1地址为192.168.201.1。2.从内部的Z_PC1去Telnet到W_R5的206.1.1.1连接正常后退出。3.从Z_PC1访问服务器W_WWW的WEB服务。任务2：在路由器Z_R上配置防火墙功能注意：为了完成配置，请确保名称准确指定1.建立一个内部区

3、域名称为“IN-ZONE”Z_R(config)#zonesecurityIN-ZONE2.建立一个内部区域名称为“OUT-ZONE”Z_R(config-sec-zone)#zonesecurityOUT-ZONEZ_R(config-sec-zone)#exit6/7网络技术专业教学资源库任务3：定义流量类型与ACL1.创建一个ACL定义内部流量扩展的号码为101，允许IP协议的源为192.168.201.0/24的网络到任何目的网络。Z_R(config)#access-list101permitip192.168.201.00.0.0.

4、255any2.创建一个classmap引用内部流量的ACL101。Usetheclassmaptypeinspectcommandwiththematch-alloptiontocreateaclassmapnamedIN-NET-CLASS-MAP.Usethematchaccess-groupcommandtomatchACL101.Z_R(config)#class-maptypeinspectmatch-allIN-NET-CLASS-MAPZ_R(config-cmap)#matchaccess-group101Z_R(config

5、-cmap)#exit注意:有些协议在PT中不支持，但可以使用match-any选项，指定检查某些流量，并能看到效果。任务4:设置防火墙策略1.创建一个policymap确定匹配的流量（敏感数据流），policymap的名称为IN-2-OUT-PMAP。Z_R(config)#policy-maptypeinspectIN-2-OUT-PMAP2.指定一个检测的classtype和引用的classmapIN-NET-CLASS-MAP。Z_R(config-pmap)#classtypeinspectIN-NET-CLASS-MAP3.指定符合

6、policymap后的动作。可以用inspect命令援引CBAC(还有其它选项pass和drop)。Z_R(config-pmap-c)#inspect%NospecificprotocolconfiguredinclassIN-NET-CLASS-MAPforinspection.Allprotocolswillbeinspected.退出config-pmap-c模式，回到全局配置模式。Z_R(config-pmap-c)#exitZ_R(config-pmap)#exit任务5:应用防火墙策略6/7网络技术专业教学资源库1.创建区域对在全

7、局下用zone-pair命令创建区域对“IN-2-OUT-ZPAIR”指定源和目的，源和目的为在任务1中定义的区域名称Z_R(config)#zone-pairsecurityIN-2-OUT-ZPAIRsourceIN-ZONEdestinationOUT-ZONE2.指定policymap来处理两个区域间的流量。把policy-map和它的关联动作用service-policy和inspect命令指定，引用前面创建的policymap名为IN-2-OUT-PMAP。Z_R(config-sec-zone-pair)#service-poli

8、cytypeinspectIN-2-OUT-PMAPZ_R(config-sec-zone-pair)#exitZ_R(config)#3.设置接口的