5005160015-董玉平-实验五.pdfVIP

《网络安全》实验报告 姓名 董玉平 （同组 ) 实验日期 2018 年 11 月 23 教师评定 实验五 防火墙的配置与管理 1. 实验目的 （1）实验可选择ASA、Iptables 等防火墙中的一种 （2）了解防火墙的主要功能和规则配置方法 （3）学会利用防火墙进行网络安全防护 2.实验内容 自行设计一个具有内网、外网、DMZ 和防火墙的网络拓扑，规划IP 地 址。配置规则，实现以下功能； （1）使用NAPT 实现内网访问外网 （2）内网可以访问DMZ 区，使内网用户使用DMZ 中的WWW 服务 （3）外网不能访问内网 （4）外网可以访问DMZ 中的WWW 服务（外网访问DMZ 中的WWW 服务需由防火墙 完成对外地址到服务器实际地址的转换） （5）DMZ 不能访问内网，避免当侵者攻陷DMZ 时，进行一步攻到内网 （6）允许DMZ 中的邮件服务器连接外网的SMTP 服务，然后禁止其他从MDZ 发往 外网的数据 （7）为防火墙配置规则，防止外部网络ping 或SSH 访问内部主机； （8）为防火墙配置规则，防御常见的DDoS 攻击。 3.实验原理 （1）Netfilter/Iptables 是 unix/linux 自带的一款优秀且开放源代码的完全 自由的基于包过滤的防火墙工具，它的功能十分强大，使用非常灵活，可以对流 入和流出服务器的数据包进行很精细的控制。特别是它可以在一台非常低的硬件 配置下跑得非常好。IPtables 是linux2.4 及2.6 内核中集成的服务。其功能与 安全性比其老一辈 ipfwadm，ipchains 强大的多，Iptables 主要工作在OSI 七 层的二、三、四层。 （2）DMZ （demilitarized zone）是为了解决安装防火墙后外部网络的访问用户 不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓 冲区。该缓冲区位于企业内部网络和外部网络之间的小网络区域内。在这个小网 络区域内可以放置一些必须公开的服务器设施，如企业Web 服务器、FTP 服务器 和论坛等。另一方面，通过这样一个DMZ 区域，更加有效地保护了内部网络。因 为这种网络部署，比起一般的防火墙方案，对来自外网的攻击者来说又多了一道 关卡。与 Internet 相比，DMZ 可以提供更高的安全性，但是其安全性比内部网 络低。 4．实验内容 配置的地址 内部网络（IP：1,网关：0，LAN1） DMZ 区 （IP：1,网关：0，LAN2） 内部网络（IP：1,网关：0，LAN3 ） 防火墙中： 内部网络（eth0，IP：0，网关：0、LAN1） DMZ 区 （eth1，IP：0，网关：0，LAN2） 外部网络（eth2，IP：0，网关：0 ，LAN3） 在防火墙中配置三块网卡地址 ifconfig 查看IP 地址 在防火墙设置网络适配器 、1、2，分别对应LAN1、LAN2、LAN3 内网： DMZ： 外网： 测试主机之间的连通性： 外部网络与防火墙 内部网络与外部网络、DMZ 区连接 在防火墙上设置转发功能 使命令生效 在DMZ 上开启相应端口 在DMZ 中配置iptables 在内部网络上Telnet DMZ 上打开的端口 设置外网不能访问内网和DMZ 区 测试成功 设置DMZ 不能访问内网，内网可以访问DMZ 测试成功 防火墙上配置NAT 转换 设置外部网络可以访问DMZ 中的WWW 服务 允许DMZ 中的邮件服务器连接外部网络的SMTP 服务，禁止其他从DMZ 发往外部网络的数 据 防止外部网络ping 或SSH 访问内部主机； 防御常见的DDoS 攻击 5.实验原理 通过这次实验，了解到了Iptables 的配置方法，了解了防火墙的基本原理 注意：在添加多块网卡时，不同的主机要对应相应的LAN 网段