实习指导四.docVIP

实验八 利用Cisco路由器实现防火墙的包过滤功能 一、实训目的： 1．学习防火墙的基本概念、原理与功能相关的知识； 2．能在路由器上配置最基本的防火墙功能； 3．学会包过滤防火墙的原理与配置，能利用企业现有路由器配置ACL与NAT等功能，在尽可能最小的经济投入下实现对企业网络的基本防护。 二、实训要求： （1）利用Packet Tracer软件搭建如下网络拓扑图，按照图示IP配置各主机和路由器接口地址，并分别标明各主机名称（A/B/C/D）及Web服务器名称。 （2）要求路由器R1中配置ACL＋NAT功能实现简单的包过滤技术。 ① A等内网主机可以NAT映射至公网IP后访问外网主机D ② 外网主机D无法连接ping内网主机 ③ A、B和C可利用内网地址192.168.n+100.2地址去访问WEB服务器 ④ 外部主机D也可以访问WEB服务器但是通过其经过NAT映射的公网地址200.1.n.3进行访问； ⑤ 配置ACL功能，仅不允许主机B与主机D进行ICMP通信。 创建如下DMZ区域的Web服务器网页（页面内容应含有班级、个人姓名全拼拼音和号数的信息）： R1路由器配置命令及解析 Routerenable Router#config terminal Router(config)#hostname R1 R1(config)#int f0/0 R1(config-if)#ip addr 192.168.1.1 255.255.255.0 R1(config-if)#no shut R1(config-if)#exit R1(config)#int f1/0 R1(config-if)#ip addr 192.168.101.1 255.255.255.0 R1(config-if)#no shutdown R1(config-if)#exit R1(config)# R1(config)#int f2/0 R1(config-if)#ip addr 200.1.1.1 255.255.255.0 R1(config-if)#no shutdown R1(config-if)#exit R1(config)# R1(config)#int f0/0 R1(config-if)#ip nat inside //接口F0/0为NAT地址转换的内部 R1(config-if)#int f1/0 R1(config-if)#ip nat inside //接口F1/0为NAT地址转换的内部 R1(config-if)#int f2/0 R1(config-if)#ip nat outside //接口F2/0为NAT地址转换的外部 R1(config-if)#exit R1(config)#access-list 10 permit 192.168.1.0 0.0.0.255 //定义NAT的源地址（内网网段） R1(config)#access-list 10 permit 192.168.101.0 0.0.0.255 //定义NAT的源地址（DMA区域） R1(config)#ip nat inside source list 10 int f2/0 overload //对于列表10中定义的源地址进行动态超载NAT（PAT）转换，并都转换为F2/0接口的公网地址 R1(config)#ip nat inside source static 192.168.101.2 200.1.1.3 //定义Web服务器的静态映射 ，即Web服务器私有IP地址192.168.101.2映射为公网IP 200.1.1.3 R1(config)#access-list 110 deny icmp host 192.168.1.3 host 200.1.1.2 //定义拒绝内网主机B（192.168.1.3）Ping外网主机D（200.1.1.2）的ICMP通信的扩展ACL R1(config)#access-list 110 permit ip any any //允许其余的流量通过 *注意：以上两行ACL语句的前后顺序不可调换。 R1(config)#int f0/0 //扩展ACL的应用应尽量至靠近源的位置 R1(config-if)#ip access-group 110 in //符合110列表规则的数据包进入R1路由器的F0/0时进行相应的访问控制 R1(config-if)#end R1#write //保存路由器所有的配置 每位同学应提交包含网络拓扑图（已连通）在内的至少6个截图 1、网络拓扑结构