防火墙应用指南(三)——企业典型应用

《防火墙应用指南(三)——企业典型应用》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、防火墙应用指南（三）——企业典型应用在您继续了解本文档下面的内容之前，我们建议您能够先了解参考一下我们的《防火墙应用指南》系列文档之《防火墙应用指南（一）——基本配置指导思想》和《防火墙应用指南（二）——虚拟服务器的搭建》。下面通过一些详细的例子，来进一步说明通过TL-FR5300的配置，如何实现企业的网络管理需求。1，公司销售部因为业务需求，上班时间要具备“浏览网页”的权限，但是个别网站禁止访问，除“浏览网站”以外没有其他上网权限，其他时间不进行任何上网限制。在实现上面需求的基础上，要防止IP地址盗用。分析

2、：要实现上面的目的，在配置TL-FR5300的策略的时候，涉及的“对象”有销售部员工的IP地址、外部网站、除了访问网站以外别的上网操作等等，这些“对象”我们会在下面的配置过程中一一体现出来。配置：（1）“IP地址”：关于这个对象的描述和详细的举例，请参考我们的《防火墙应用指南》系列文档之《防火墙应用指南——基本配置指导思想》，我们这里就直入主题开始配置了。在TL-FR5300“对象”-“IP地址”页面，选择“区域”LAN，点击“新增”按钮：在TL-FR5300“对象”-“IP地址”页面，选择“区域”LAN，点

3、击“新增”按钮：按照上图的办法将销售部所有员工的IP地址都添加到“IP地址”这个对象里面，下图：（2）“IP地址组”：接下来把销售部所有成员都加入到一个组，取名“销售部”，如下图：（3）“服务”：要访问Internet上的网站，也就是内网电脑要有访问Internet上80端口的HTTP服务的权限。同时，登录网站前内网电脑还有个向Internet上DNS服务器请求域名解析的过程，所以还需要DNS权限，这些服务在TL-FR5300的“预定义服务”这个对象中都已经存在了，不需要设置。可以在“对象”-“服务组”里面定

4、义一个新的服务组，包含“DNS”和“HTTP”两项服务，取名“WEB服务”，如下图所示：备注：有关“服务”这个对象的详细应用，请参考我们的《防火墙应用指南》系列文档之《防火墙应用指南（二）——虚拟服务器的搭建》。（4）“时间表”：上班时间需要控制，其他时间整个公司都可以随便上网，不需要控制；我们需要建立两个时间表：“上班时间表”、“非上班时间表”；备注：有关“时间表”这个对象的详细应用，请参考我们的《防火墙应用指南》系列文档之《防火墙应用指南（一）——基本配置指导思想》。（5）“URL过滤”：个别网站禁止访问

5、，可以通过“URL过滤”这个功能实现。假设我们要禁止访问的网站域名为www.xxx.com。如下图先在“对象”-“URL模式表”里面，将准备禁止访问的网站域名体现出来，配置如下图所示：给“模式表”栏自定义一个black的名字含义是要禁止，在“URL模式”栏填入想要禁止访问的网站域名www.xxx.com。然后点击“添加”按钮。然后在“对象”-“URL过滤配置”界面“新增”一个黑白名单选择，如下图：如上图：“URL过滤配置名字”这一栏输入一个名字，后面配置策略的时候就通过这个名字来引用的。“黑名单”里选择前面我

6、们定义的black那张表，它里面包含了想要禁止的www.xxx.com这个网站的域名。如果还要禁止别的网站，只需要将那些网站域名添加到前面black那张表里面就可以了，这里不需要改动。“白名单”保持默认的不改动即可。“缺省动作”默认允许不作改动。然后点击“确定”按钮即可。（6）“用户”：为了防止其他没有上网权限的用户盗用销售部的IP地址来上网，就需要通过这里的设置来实现。先在“对象”-“用户”界面里为销售部所有员工每人设置一个用户名和密码。如下图：如上图给销售部员工张三设定了用户名和密码，当给张三分配IP地址

7、的时候连同这里的用户名和密码一起分配给张三。同样给销售部员工李四、王五等等都设置用户名和密码。设置好以后再进入TL-FR5300“对象”-“用户组”界面，将上面设置的销售部的多位员工归并到一组如下图：如上图设置好以后，当配置“策略”的时候引用“销售部用户”这个组，那么符合本策略的所有“源地址”的主机在登录互联网的时候都需要先通过认证，通过这种方式达到防止IP地址盗用的目的。（7）好了，经过上面6步准备工作，到此为止配置“策略”所需要涉及到的“对象”基本设置完成。看过我司网站“技术支持”——“网络教室”栏目文档

8、《路由器如何限制内网电脑使用QQ》一文的用户都知道，腾讯公司的即时聊天软件QQ也使用了80端口。上面第（3）步定义“服务”对象的时候，开启了HTTP服务也就是80端口，这样一来允许80端口通过QQ也就可以成功登录了，这显然是不符合一开始提到的网络控制需求，那么我们需要回头再做一些设置准备：在“对象”-“IP地址”页面选择WAN“区域”，将腾讯公司提供的所有QQ服务器的IP地址全部“新增”到WAN区域