实验四、防火墙的基本配置

《实验四、防火墙的基本配置》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、实验四、防火墙的基本配置1．实验目的通过对防火墙系统的安装与配置实验，加深对防火墙系统工作原理理解，掌握其常见产品的安装与配置方法，为将来从事网络工程建设打下基础。2．实验要求通过本实验，熟悉防火墙的有关概念和基本功能，掌握防火墙的基本参数配置方法和安全策略配置方法。3．实验步骤Ciscofirewallpix防火墙的配置主要包括基本参数的配置和安全规则配置。对防火墙进行配置一般有两种途径，即通过串口通信进行本地配置和通过网络进行远程配置，但后一种配置方法只有在前一种配置成功后才可进行，下面分别讲述。3.1实验准备准备以下实验设备：l用于配置和测试的计算机两台以上（安装Windows操作系统）

2、，最好有一台笔记本电脑；l防火墙系统一台以上（本实验中采用思科的PIX506系列防火墙）；l直连网线若干根；lRS-232C串行通信线一根；3.2以太网接口的配置我们采用本地配置的方式对防火墙进行配置，连接步骤与交换机的配置过程类似，在此不再重复。如果连接正常且防火墙已启动的情况下，在超级终端窗口上就会出现如下所示的信息：UserAccessVerificationPassword:　　输入口令（缺省口令为cisco）后就可进入一般用户命令状态（提示符为>），为了对防火墙参数进行配置，需要进入特权用户状态，PIX出厂时特权用户密码为空，修改密码用passwd命令：PIX>enable//进入特

3、权用户状态Password:PIX#在默认情况下，ethernet0是属外部网卡outside,ethernet1是属内部网卡inside,inside已经被激活生效了，但是outside必须通过命令激活。//进入配置状态PIX#configt//激活以太接口PIX(config)#interfaceethernet0autoPIX(config)#interfaceethernet1auto//关闭以太接口PIX(config)#interfaceethernet0shutdownPIX(config)#interfaceethernet1shutdown//配置IP地址和子网掩码假设内部网

4、络为：192.168.1.0255.255.255.0，外部网络为：202.198.2.0255.255.255.0：PIX(config)#ipaddressinside192.168.1.1255.255.255.0PIX(config)#ipaddressoutside202.198.2.1255.255.255.0//定义安全级别security0是外部端口outside的安全级别（0安全级别最高）,security100是内部端口inside的安全级别,如果还有其他以太口，则可以security10，security20等命名：PIX(config)#nameifethernet0o

5、utsidesecurity0PIX(config)#nameifethernet1insidesecurity100//如果PIX有三个接口，则可将一个以太口作为dmz(demilitarizedzones非武装区域)，安全级别50：PIX(config)#nameifethernet2dmzsecurity50//配置远程访问[telnet]在默认情况下，PIX的以太端口不允许telnet，可使用下面的命令允许:PIX(config)#telnet192.168.1.1255.255.255.0insidePIX(config)#telnet202.198.2.1255.255.255.0

6、outside3.3访问控制配置访问列表是防火墙的主要功能配置部分，防火墙有permit和deny两种访问控制权限，可控制的网络协议一般有ip、tcp、udp、icmp等。例如，在内网只允许访问外网主机:202.198.2.254的www服务：PIX(config)#access-list100permitipanyhost202.198.2.254eqwwwPIX(config)#access-list100denyipanyanyPIX(config)#access-group100ininterfaceoutside访问规则一般通过GUI界面来配置比较直观和方便，PIX缺省时内部端口et

7、hernet1的IP为192.168.1.1，这样可以通过浏览器的https协议来访问PIX的WEB配置界面(缺省时用户名和密码为空)并根据界面的提示信息来配置PIX防火墙系统：https://192.168.1.1/startup.html3.4全局地址配置global命令用于定义内部网或外部网中一个IP地址或一段地址范围，以便在网络地址转换时使用。global命令的语法规则为：global(i