基于GNS3的防火墙实验室构建研究.docVIP

基于GNS3的防火墙实验室构建研究 　　摘 要：针对高职院校网络技术教学过程中网络安全技术更新快、建设网络安全实验室投入成本大等问题，提出使用GNS3开源软件平台构建ASA防火墙实验环境，通过仿真实验表明，GNS3能够很好的满足ASA防火墙实验教学需要。 　　关键词：GNS3；网络安全；ASA防火墙 　　中图分类号：TP391.9 　　随着网络技术的快速发展，网络安全问题也日益受到各大企业的关注，因此许多的高职院校中也将网络安全技术加入到计算机网络技术专业的教学内容当中。然而，网络安全技术是一门实践性非常强的技术，为满足众多学生的学习需求，需要购买大量的网络安全设备，由于网络安全设备价格非常昂贵，因此建设网络安全技术实验室需要投入相当大的成本，部分学校只停留在理论教学环节，教学效果不理想。本文通过使用GNS3开源软件，在PC平台上仿真Cisco公司的ASA防火墙，由于GNS3软件可以模拟多台防火墙设备，因此可以在1台PC上模拟出一个网络安全实验室环境，通过实验表明，GNS3能够很好的满足网络安全技术实验需要，能极大的提升实践教学效果。 　　1 ASA防火墙 　　ASA防火墙是Cisco公司的一款集防火墙、VPN集中器以及入侵检测（IDS）为一体的网络安全产品[1]。Cisco ASA防火墙是一款非常出色的企业级防火墙，在各行各业都得到了广泛的应用，它不仅提供了防火墙的基本功能，还能适应于各种网络应用环境，方便企业的管理、监控和维护。其主要特性有：应用层感知状态包过滤；可以扩展IPS（入侵防御系统）和有着内容过滤功能；支持DHCP和PPPoE客户动态分析地址，支持RIP、OSPF、EIGRP等多种路由协议；支持多种AAA协议对拔入ASA的各类远程访问VPN、登录ASA的管理会话和穿越ASA的网络流量进行AAA的认证、授权；支持各类VPN等。 　　2 实验环境搭建 　　2.1 实验环境简介。实验环境中使用最新版的GNS3 1.2.1模拟器[2]，最新版本的GNS3集成了GNS3 Server、Packet Capture、VPCS、Dynamips、IOS on UNIX、VirtualBox、QEMU等组件，其中Dynamips可以模拟Cisco的1800、2600、3600、3725、7200系列的路由器和部分交换机功能；GNS3 Server可以实现在多台PC上实现分布式的交换机路由器仿真平台，达到更多的仿真设备互连；Packet Capture可以捕捉数据链路间的数据包，主要用来对网络协议进行分析，默认使用Wireshark进行数据包的捕获与分析；VPCS可以模拟PC的功能；QEMU可以仿真Cisco PIX防火墙、IDS以及ASA防火墙以及IPS（入侵防御系统），本实验主要利用QEMU来模拟Cisco公司的ASA8.4.2防火墙，其设备方法如图1所示。 　　图1 ASA防火墙设置窗口 　　2.2 网络安全实验拓朴。为了充分更好的仿真ASA防火墙功能，同时又能节约系统资源，本实验中规划了如图2所示的网络实验环境，其中ASA-1防火墙提供了三个接口，一个接口与互联相连，一个接口与DMZ区（非军事区）相连，一个接口与内部局域网络互连。主要在内部PC1上测试是否能够访问DMZ区的Web Server以及Internet区的主机。 　　图2 网络安全实验室拓扑 　　3 实验配置与分析 　　3.1 实验配置。ASA防火墙的配置如下： 　　（1）初始化ASA防火墙设备 　　ASA# configure terminal 　　ASA（config）#interface g0/0 　　ASA（config-if）#nameif inside 　　ASA（config-if）#sec 100 　　ASA（config-if）#ip address 54 　　ASA（config-if）#no shutdown 　　ASA（config-if）#interface gigaethernet 0/1 　　ASA（config-if）#nameif dmz 　　ASA（config-if）#sec 50 　　ASA（config-if）#ip address 54 　　ASA（config-if）#no shut 　　ASA（config-if）#interface gigaethernet 0/2 　　ASA（config-if）#nameif outside 　　ASA（config-if）#sec 0 　　ASA（config-if）#ip address 54 　　ASA（config-if）#no shutdown 　　（2）配置ASA防火墙的静态路由 　　A