防火墙路由工作模式的配置.docVIP

4.3 防火墙的路由模式 前置知识： 防火墙的路由工作模式相当于防火墙工作于路由模式，此时防火墙进行安全防范的各个区域均处于不同的IP子网中。在实际的网络应用环境中，防火墙一般位于网络的边界，连接了内部和外部网络，是内部和外部网络通讯的唯一通道。此时防火墙的外部网口(if0WAN口)配置ISP提供的公网IP地址，而内部网络使用私用网络地址。 RFC1918规定了三个地址块用作内部私用IP地址： /8 /12 /16 网络管理员可根据实际情况从中选择。这样在访问外部网络的时间，常常需要在外部网络接口上做NAT转换。 实验目的： 1 了解防火墙路由工作模式和透明工作模式的概念 2 了解NAT的基本概念 3 掌握防火墙路由工作模式的配置 4 掌握动态NAT和静态NAT的配置方法 试验设备： DCFW1800S-L/VPN防火墙一台 PC机三台 交叉网络线三根 试验规划及拓扑 规划： 防火墙接口 If0(WAN口) IP/掩码 /24 If1(LAN口) IP/掩码 00/24 If2(DMZ口) IP/掩码 0/24 Turst-PC 测试网卡的IP/掩码 01/24 Untrust-PC 测试网卡的IP/掩码 /24 Dmz-PC 测试网卡的IP/掩码 1/24 Dmz-pc的对外静态NAT转换地址 拓扑： 实验步骤： 第一步：将防火墙回复出厂设置 使用系统内置的admin用户，以命令行终端方式登录防火墙，执行如下命令： #ruleconfig load default 100% Rules loaded successfully! #save #apply 第二步：按规划配置防火墙各个接口的IP地址 使用系统内置的admin账户，从终端窗口登录防火墙，执行如下的命令序列： # ifconfig if0 /24 # ifconfig if1 00/24 # ifconfig if2 0/24 # adminhost add 01 # save # apply 第三步：按规划为三台PC配置IP及网关地址 下边以内网计算机的IP地址配置为例，如图1所示。 图1 客户端TCP/IP属性配置 在本试验中，因为防火墙工作于路由模式，因此三台计算机上必须配置网管地址，否则不能正常通讯。三台PC各自的网关地址分别是其相连的防火墙端口的IP地址。其他两台计算机都按此配置。 第四步：为三台PC机在防火墙内配置三个对应的网络对象 1. 选择“对象”|“网络”|“网络对象”，如图2所示： 图2 系统内建网络对象 系统默认内置的网络对象，下边将要根据规划为三台PC创建网络对象。 2．配置三个网络对象 打击上图中的“新增”按钮，新增一个网络对象，如图3所示。 图3 创建可信内网网络对象 图中的名称可以自行确定，该PC处于内网段，和if1接口处于同一个网段。因为这里是为单独的一台计算机创建网络对象，所以掩码是32位。以下操作与此类似。 为外网计算机创建网络对象，如图4所示。 图4 为不可信外网创建网络对象 为DMZ区的计算机创建网络对象，如5图所示。 图5 为DMZ区创建网络对象 三个网络对象创建完成之后的情形如图6所示。 图6 创建了三个网络对象 第五步：创建访问策略 选择“策略”|“策略设置”命令。 刚打开时，没有定义任何的策略，如图7所示。 图7 策略定义窗口 这里以ping和ftp服务为例，说明规则的创建过程，在上图中单击“新增”按钮，打开如图7和图8所示。 图8 创建可信内网到不可信外网的ping服务安全规则 图9创建可信内网到不可信外网的ftp服务安全规则 针对三个网络对象后的完整规则如图10所示。 图10 完成创建本实验所需的安全规则 第六步：做NAT转换 1. 为使内网使用私用地址的计算机可以访问外网的服务器，需要对内网的计算机做动态NAT转换。 选择“NAT”|“动态NAT”命令，如图所示，初始状态下图11转换规则表为空。 图11 创建动态NAT服务 添加动态NAT转换规则，如图12所示。 图12 为内部网络增加NAT转换规则 上图各项参数填写完成后，单击“确定按钮”，回到动态NAT规则显示界面，如图13所示。 图13 完成创建NAT转换规则 2. DMZ区一般是用来放置对外提供服务的服务器区，该区的服务器多使用私用网络地址，为了使外部用户可以访问该去服务器，需要在防火墙的外部网络接口(WAN口)做静态NAT转换。 选择“NAT”|“静态NAT”，操作和做动态NAT转换类似，如图14所示。 图14 创建静态NAT转换规则 “转换后的IP”项填写外部访问DMZ区服务器时所用的合法IP地址。完成后单击“确定”按钮，返回如图15所示的界面。 图15 完成创建静态NAT转