网络安全与防护课程迟恩宇实训指导3.32PT实现基于思科路由器的IOS防火墙防护功能配置IOSFW1.pptVIP

计算机网络安全技术与实施 学习情境3：实训任务3.3 PT实现基于思科路由器的IOS防火墙防护 功能配置 内容介绍 任务场景 1 任务相关工具软件介绍 2 任务设计、规划 3 任务实施及方法技巧 4 任务检查与评价 5 任务总结 6 任务场景 任务相关工具软件介绍 任务实施及方法技巧 实训任务：基于PT实现ZBF实训任务 任务初始化： 在Z_R上去除原网络配置中的NAT,并配置动态OSPF路由协议，使用内部的网段可以发布到公网上，实现Z网络与互联网的双向连通。在W_R5上配置TELNET服务。 任务1：检查基本网络连通性，在配置FW前检查连通性 1.从外部的W_WWW去ping内部的Z_PC1地址为。 2.从内部的Z_PC1去Telnet到W_R5的连接正常后退出。 3.从Z_PC1访问服务器W_WWW的WEB服务。 任务实施及方法技巧 实训任务：基于PT实现ZBF实训任务 任务2：在路由器Z_R上配置防火墙功能 注意：为了完成配置，请确保名称准确指定 1.建立一个内部区域名称为“IN-ZONE” Z_R(config)# zone security IN-ZONE 2.建立一个内部区域名称为“OUT-ZONE” Z_R(config-sec-zone)# zone security OUT-ZONE Z_R(config-sec-zone)# exit 任务实施及方法技巧 实训任务：基于PT实现ZBF实训任务 任务3：定义流量类型与ACL 1.创建一个ACL定义内部流量扩展的号码为101，允许IP协议的源为/24的网络到任何目的网络。 Z_R(config)# access-list 101 permit ip 55 any 2.创建一个class map 引用内部流量的ACL101。 Z_R(config)# class-map type inspect match-all IN-NET-CLASS-MAP Z_R(config-cmap)# match access-group 101 Z_R(config-cmap)# exit 注意:有些协议在PT中不支持，但可以使用match-any选项，指定检查某些流量，并能看到效果。 任务实施及方法技巧 实训任务：基于PT实现ZBF实训任务 任务4:设置防火墙策略 1.创建一个policy map确定匹配的流量（敏感数据流），policy map的名称为IN-2-OUT-PMAP。 Z_R(config)# policy-map type inspect IN-2-OUT-PMAP 2.指定一个检测的class type和引用的class map IN-NET-CLASS-MAP。 Z_R(config-pmap)# class type inspect IN-NET-CLASS-MAP 3.指定符合policy map后的动作。可以用inspect命令援引CBAC(还有其它选项pass和drop)。 Z_R(config-pmap-c)# inspect %No specific protocol configured in class IN-NET-CLASS-MAP for inspection. All protocols will be inspected. 退出config-pmap-c模式，回到全局配置模式。 Z_R(config-pmap-c)# exit Z_R(config-pmap)# exit 任务实施及方法技巧 实训任务：基于PT实现ZBF实训任务 任务5:应用防火墙策略 1.创建区域对 在全局下用zone-pair命令创建区域对“IN-2-OUT-ZPAIR”指定源和目的，源和目的为在任务1中定义的区域名称 Z_R(config)# zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE 2.指定policy map来处理两个区域间的流量。 把policy-map和它的关联动作用service-policy和inspect命令指定，引用前面创建的policy map名为IN-2-OUT-PMAP。 Z_R(config-sec-zone-pair)# service-policy type inspect IN-2-OUT-PMAP Z_R(config-sec-zone-pair)# exit Z_R(config)# 3.设置接口的安全区域 Z_R(config)# interface fa0/1 Z_R(config-if)# zone-member security IN-ZONE Z_R(config-if)# exit