防火墙测试专项方案.docVIP

防火墙测试方案

测试项目

重要测试项目（必测）

NAT/PAT

Site-to-SiteIPSec/VPN

DynamicRemote-AccessIPSec/VPN

IPSec/VPNNAT穿透

Remote-AccessPPTPVPN

H.323穿透

ACL和会话数限制

Syslog、SNMP、远程管理

辅助测试项目（选测）

认证功能

P2P流量限制

测试一、NAT/PAT

拓扑图

测试规定

(如防火墙inside接口不够，则使用互换机连接内部三台pc并将内部网络合并为/16)

将(pc1)静态翻译（地址翻译）为5

将-54动态翻译（端口翻译）为6

检查办法及检查项目

PC1通过FTP方式从教诲网下载数据

PC2和PC3使用LoadRunner分别模仿500台电脑浏览网页

查看设备负载和网络延迟

测试二、Site-to-SiteIPSec/VPN

拓扑图

测试规定

ISAKMP配备

Authenticastion

Pre-Share

Encryption

AES(256-bit)

Diffie-Hellman

Group2

Hash

Sha

IPSec配备

Transform-Set

ah-sha-hmacesp-aes(256-bit)

只对和之间互访流量进行IPSEC加密

检查办法及检查项目

PC1和PC2能否互相PING通，在ASA5540上检测数据与否为加密数据。

修改PC2ip地址为2，使用pc1PINGpc2，在asa5540上检查数据与否为明文。

测试三、DynamicRemote-AccessIPSec/VPN

拓扑图

测试规定

ISAKMP配备

Authenticastion

Pre-Share

Encryption

AES(256-bit)

Diffie-Hellman

Group2

Hash

Sha

IPSec配备

Transform-Set

ah-sha-hmacesp-aes(256-bit)

其她

地址池

/24

DNS

防火墙Outside外任何主机都可以与防火墙建立IPSec/VPN连接。

只对PC1和PC2互访数据加密。

检查办法及检查项目

PC2修改IP地址为2后与否能与防火墙建立IPSec/VPN连接。

PC2能否获得对的DNS。

PC1和PC2能否互相PING通。

检查防火墙Outside接口收到数据与否为明文。

测试四、IPSec/VPNNAT穿透

拓扑图

测试规定

ISAKMP配备

Authenticastion

Pre-Share

Encryption

AES(256-bit)

Diffie-Hellman

Group2

Hash

Sha

IPSec配备

Transform-Set

ah-sha-hmacesp-aes(256-bit)

CiscoASA5540上容许如下流量进入其内网

UDP500

AH50

ESP51

UDP4500

UDP10000

TCP10000

检查办法及检查项目

两测试设备与否可以正常建立IPSec/VPN连接

PC1和PC2与否可以互相PING通

测试五、Remote-AccessPPTPVPN

拓扑图

测试规定

认证方式

MSCHAP

加密方式

MPPE

地址池

/24

DNS

检查办法及检查项目

PC2使用Windows自带VPN与防火墙建立PPTP连接

PC2能否获得对的DNS

PC2和PC1能否互相PING通

测试六、H.323穿透

拓扑图

测试规定

测试防火墙配备静态地址翻译，将(PC翻译为

测试防火墙配备端口翻译，将(PC翻译为1

检查办法及检查项目

配备静态地址翻译后，PC和PC否可以用NetMeeting进行语音通话，如果可以对的建立连接，与否存在单向音问题。

配备端口翻译后，PC和PC否可以用NetMeeting进行语音通话，如果可以对的建立连接，与否存在单向音问题。

测试七、ACL和会话数限制

拓扑图

测试规定

配备ACL只容许WWW流量到防火墙内部PC1。

限制PC1会话数为5。

检查办法及检查项目

PC1上建立WWW服务，提供一文献下载，PC2用多线程下载软件从PC1下载文献，检查连接数与否被限制在5个。

测试八、Syslog、SNMP、远程管理

检查办法及检查项目

与否支持syslog功能

与否支持snmp管理（通过snmp能否检测cpu运用率，连接数）

与否支持远程管理，通过outside口登陆防火墙进行管理

测试九、认证功能

拓扑图

测试规定

防火墙上配备认证功能

检查办法及检查项目

内部主机PC1积极发起HTTP祈求连接PC2时，防火墙通过WEB页面方式（其她方式也可以）对PC1进行认证，认证通过后PC1才可正常访问PC2。

测试十、P2P流量限制

拓扑图

测试规