《计算机网络安全防护技术（第二版）》 课件 第2章-任务2.2配置防火墙的安全区域.pptx

第2章

防火墙技术与入侵防御技术;计算机网络中的防火墙可以将不安全的网络与需要保护的网络隔离开，并根据安全策略控制进出网络的数据和信息。如果把防火墙看作门卫，入侵检测或入侵防御系统（IDS或IPS）则可看作监视器，它可以时刻监视网络中是否有异常流量并及时阻断，进一步保护网络的安全。

本章以思科ASAv为例，介绍防火墙的基本操作与应用，以及简单IDS功能。本章案例拓扑如图2-0-1所示。;为了提高企业网络的安全性，引入了ASAv，并将网络划分成受信任的内网区域、对外提供服务的DMZ区域，不受信任的外网区域。其中OA、ERP、财务系统等仅供内部用户使用的服务器放在受信息的企业内网中，对外提供服务的WEB服务器放在停火区（DMZ区域）中，内网用户通过PAT动态地址转换隐藏内部地址、访问DMZ区域中的服务器和外网的服务器，DMZ区域的服务器通过NAT静态地址转换供外网访问。内网用户使用外网ISP提供的DNS服务。通过开启IDS功能监控和阻断网络中的异常流量。

;为实现这些功能，需要对ASAv进行以下基本配置：

1.配置接口，ping通ASAv。ping能到达防火墙，但不能穿越防火墙。

2.配置图形界面配置管理ASAv、配置远程管理接入、配置主机名、域名、密码。

3.配置各设备的路由表。

4.配置NAT。

（1）使内网用户能访问外网的网站；

（2）使内网用户能访问DMZ区域的网站；

（3）使外网用户能访问DMZ区域的网站。

5.配置ACL和Policy-map。

（1）控制内网-的主机只能访问域名末尾是的网站；

（2）禁止内网的所有主机访问域名末尾是的网站。

6.配置ASAv的入侵检测功能。;任务2.2配置防火墙的安全区域;一、外网区域各设备地址的配置

1.外网是最不安全的区域，所以我们将防火墙外网接口的安全级别规划为0。下面，我们配置防火墙外网接口Gi0/2的IP地址为：54/24、接口名称为：Outside、安全级别为：0。通过图形界面配置防火墙外网接口的方法如下：

;（1）如图2-2-1所示，在ASAv的图形配置界面中，点击”Configuraiton”,选中其中的“DeviceSetup”，再选择“InterfaceSetting”下的“Interfaces”，选中“GigabitEthernet0/2”。

（2）点击??侧的“Edit”按钮，在弹出的“EditInterface”对话框中，为“InterfaceName”项输入“Outside”，“SecurityLevel”项输入“0”，勾选上“EnableInterface”前的复选框，“IPAddress”项填入“0”,”SubnetMask”项选择“”，点击“OK”按钮，点击“Apply”按钮，完成配置。

2.除了用图形界面配置，还可用命令配置，相同功能的命令如下：

ciscoasa(config)#intg0/2

ciscoasa(config-if)#nameifOutside

INFO:SecuritylevelforOutsidesetto0bydefault.//提示接口的安全级别被自动设置为0

ciscoasa(config-if)#ipadd54

ciscoasa(config-if)#noshu;3.启动外网路由器，将其命名为R_Outside，将它与防火墙相连的接口g0/0的地址配置为/24，在路由器上通过ping命令测试它与防火墙的互通性。命令如下：

Routerenable

Router#configureterminal

Router(config)#hostnameR_Outside

R_Outside(config)#intg0/0

R_Outside(config-if)#ipadd

R_Outside(config-if)#noshu

R_Outside(config-if)#end

R_Outside#ping54

Sending5,100-byteICMPEchosto,timeoutis2seconds:

!!!!!//测试结果为“！”号，表示成功ping通了防火墙

4.外网路由器的g0/1接口连接了外网服务器，为g0/1接口配置地址54/24，命令如下：

R_Outside#configureterminal

R_Outside(config)#intg0/1

R_Outside(config-if)#ipadd54

R_Outside(config-if)#noshu;5.启动一台win2003虚拟机，将它连接到VMnet3，用作外网服务器。为它配置地址/24、缺省网