资源描述：
《防火墙配置与NAT配置课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、1第七讲防火墙配置与NAT配置防火墙技术访问控制列表防火墙配置（V5&V7）NAT技术NAT配置（V5&V7）2防火墙技术—概念防火墙（Firewall）的本义是一种建筑结构，它用来防止大火从建筑物的一部分蔓延到另一部分。在计算机网络中，防火墙是指用于完成下述功能的软件或硬件：对单个主机或整个计算机网络进行保护，使之能够抵抗来自外部网络的不正当访问。3防火墙技术—分类包过滤防火墙（PacketFilterFirewall）：对IP包进行过滤，先获取包头信息，包括IP层所承载的上层协议的协议号、数据包的源地址、目的地址
2、、源端口和目的端口等，然后和设定的规则进行比较，根据比较的结果决定数据包是否被允许通过。应用层报文过滤（ApplicationSpecificPacketFilter）：也称为状态防火墙，它维护每一个连接的状态，并且检查应用层协议的数据，以此决定数据包是否被允许通过。4防火墙技术—示意图Internet公司总部内部网络未授权用户办事处防火墙一般被放置在内部网和Internet之间5防火墙技术—路由器实现包过滤防火墙路由器上的IP包转发机制IPPacketIPPacket网络层数据链路层输入IP包规则库输出IP包规则库
3、由规则决定对IP包的处理:丢弃或通过由规则决定对IP包的处理:丢弃或通过路由器可以在输入和输出两个方向上对IP包进行过滤接口1接口26访问控制列表—概念访问控制列表（AccessControlList,ACL）是实现包过滤规则库的一般方法，它由一系列“permit”或“deny”的规则组成。除安全之外，访问控制列表还有以下两种应用：QoS（QualityofService）NAT（NetworkAddressTranslation）7访问控制列表—分类（V5&V7）基于接口的访问控制列表（Interface-base
4、dACL）使用接口来控制网络包数字标识：1000—1999基本的访问控制列表（BasicACL）只使用源IP地址来控制IP包数字标识：2000—2999高级的访问控制列表（AdvancedACL）使用源和目的IP地址，协议号，源和目的端口号来控制IP包数字标识：3000—3999基于MAC的访问控制列表（MAC-basedACL）使用MAC地址来控制网络包数字标识：4000—49998访问控制列表—创建ACL（V5&V7）[Quidway]aclnumberacl-number[match-order{config
5、
6、auto}]config：匹配规则时按用户的配置顺序。//缺省值auto：匹配规则时按“深度优先”的顺序。创建ACL后，将进入ACL视图：[Quidway-acl-adv-3000]进入ACL视图之后，就可以配置ACL的规则了。9访问控制列表—BasicACL[Quidway-acl-basic-2000]rule[rule-id]{permit
7、deny}[sourcesour-addrsour-wildcard
8、any][time-rangetime-name]rule-id：可选参数，规则编号，范围为0～655
9、34。少了[normal
10、special]time-range：可选参数，指定访问控制列表的生效时间。其余与AR18同举例：[Quidway-acl-basic-2000]rulepermitsource192.168.1.10.0.0.010访问控制列表—AdvancedACL[Quidway-acl-adv-3000]rule[rule-id]{permit
11、deny}protocol[sourcesour-addrsour-wildcard
12、any][destinationdest-addrdest-mask
13、
14、any][source-portoperatorport1[port2]][destination-portoperatorport1[port2]][icmp-type{icmp-message
15、icmp-typeicmp-code}][time-rangetime-name]格式与AR18中的三种扩展ACL基本相同：protocol:ip,ospf,igmp,gre,icmp,tcp,udp,etc.少了[normal
16、special]多了rule-id和time-rangeoperator被简化:“eq”-等于
17、端口号，“gt”–大于端口号，“lt”–小于端口号，“neq”–不等于端口号，“range”–介于两端口号之间11防火墙配置V5&V7—启动/禁止启动防火墙[Quidway]firewallenable禁止防火墙[Quidway]undofirewallenable缺省情况下，防火墙处于“禁止”状态12防火墙配置V5&V7—缺省过滤方式缺省过滤
