天融信防火墙配置手则.ppt

天融信防火墙配置 实训手册; 防火墙形态 ; 以天融信防火墙(TOPSEC FireWall ARES－M)为实例，来测试防火墙各区域的访问控制机制： 目标一： 了解访问策略的原理与作用。通过设置访问策略，测试Intranet（企业内联网）,SSN（安全服务区，即DMZ（非军事区）,Internet（互联网）区域之间访问控制机制。 目标二： 了解NAT原理与作用。测试内网通过NAT方式相互访问。并通过NAT访问因特网，过滤特定网站和特定网页。 目标三： 了解MAP原理与作用。测试外网通过MAP访问企业内部服务器。 了解防火墙三种接入模式。 ;;Intranet区域;实验网络结构图; 一、通过防火墙的路由功能实现访问控制，操作步骤如下： STEP1:线路连接 根据图示设置主机IP地址(注意主机IP与连接的防火墙端口地址为同一网段，不能与连接的防火墙端口地址冲突)，设置防火墙本区域端口IP地址为主机网关地址。 测试能否PING通防火墙端口IP地址。 ;STEP2:通过软件登陆Firewall 打开防火墙配置软件“TOPSEC集中管理器”， ‘新建项目’，输入防火墙本区域端口IP地址，登陆到防火墙。查看防火墙　“基本信息”　和“实时监控”，　了解其他各菜单功能。 说明：登陆下列其中一个用户：user1/2/3/4/5/6/7/8/9/10, 口令为：123456 防火墙配置一般有三种方式： B/S配置 ,C/S配置,Console口配置. 本实验防火墙采用C/S方式。 ;区域之间缺省权限的设置;主机节点对象的建立;防火墙访问控制过滤机制－包过滤示意图;STEP5 :区域之间主机权限策略设置，测试访问控制 1) 首先明确源主机、目标主机,访问控制是针对源到目的的访问。 然后在‘高级管理’→‘访问策略’→需要访问的目标主机所在区域内‘增加’→‘包过滤策略’，策略源为访问端（只选择本机节点），策略目的为被访问端（只选择其他区域某节点），策略服务为PING，访问控制设为允许。注意策略源和目的只选择节点，针对主机进行权限设置。 通过PING 对方主机测试连通性。 特别注意：访问策略应在被访问对象所在的目标区域设置策略。如：访问SSN区域内主机，则应在SSN区域内设置策??。 ; 2) 在本区域内增加‘包过滤策略’，建立禁止对方主机（策略源）访问本机（策略目的）的访问策略，测试对方区域的主机到本机的连通性。 说明： 必须针对不同区域设置访问权限，同一区域内的主机防火墙是不能控制权限的，设置的策略也是无用的。 3) 禁止其他区域主机访问本机135-139及445,7626,4006，1027，6267，8080端口（任选其一设置）。 ‘策略服务’在都不选择的情况下，为任何服务，包括所有协议所有端口。 ‘策略服务’在都选择的情况下，表示只对所选择的服务进行访问控制。 访问策略优先级高于区域默认权限策略的优先级（STEP3已设置）。 每个访问策略都是单向访问，只有策略源对象访问到策略目的对象。两个不同区域主机如需要相互访问，则需要建立两个策略。 　　访问策略可控制源地址，目标地址，策略服务，访问控制时间。;STEP6: 通过策略范围来控制主机访问权限; (4) 设置两个策略，一个策略为本机禁止访问其他区域某主机的策略，策略服务为任何服务，另一个策略为本机允许通过策略服务PING其他区域该主机。更改两个策略的优先级，通过PING 对方主机测试连通性，访问对方主机其他端口（如共享方式）进行测试。 (5) 设置本区域允许访问其他整个区域，策略服务为任何服务，通过PING 对方所有主机测试连通性。 (6) 在‘网络’→‘区域’，设置所有区域缺省权限为允许，再建立一个访问策略，禁止PING对方某一主机的访问策略。测试与对方主机的连通性。 7）根据需要，自行定义策略，设置权限。 说明：如果选择整个区域，如选择‘INTRANET区域”，则指包括连入INTRANET内的所有主机。 可以通过策略的优先级，把范围小的策略优先级设置为高于范围大的策略，能够有效控制不同区域之间的访问对象和策略服务。这样先满足范围小的策略，超过这个范围则再受到范围大的策略限制。 ;企业防火墙设置注意要点：; 与另一区域的一主机配合操作。在目标主机无网关（路由）的情况下，通过NAT方式进行访问。访问端需要有网关（路由）。 1）把需要测试的目标主机操作系统中网关地址 (在网络属性中设置) 删除。 2）在目标主机无网关情况下，