下载文档原格式
防火墙配置实验报告防火墙配置实验报告概述：防火墙是网络安全的重要组成部分，它可以帮助我们保护网络免受未经授权的访问和恶意攻击。
本实验旨在通过配置防火墙来加强网络的安全性，并测试其效果。
实验目标：1. 理解防火墙的基本概念和原理；2. 学习如何使用防火墙配置实现网络安全；3. 测试和评估防火墙的效果。
实验环境：本实验使用了一台运行Windows操作系统的计算机，并安装了一款功能强大的防火墙软件。
实验步骤：1. 防火墙配置前的准备工作在开始配置防火墙之前，我们需要了解一些网络的基本知识，包括IP地址、端口号、协议等。
这些知识将帮助我们更好地理解和配置防火墙。
2. 防火墙的安装和配置首先，我们需要下载并安装一款可靠的防火墙软件。
在安装完成后，我们需要对防火墙进行一些基本的配置，包括启用防火墙、设置默认策略等。
此外，我们还可以根据需要添加自定义规则，以实现更精细的访问控制。
3. 防火墙规则的配置防火墙规则是防火墙的核心组成部分，它决定了哪些流量可以通过防火墙，哪些流量需要被阻止。
在配置规则时，我们可以根据需要设置源IP地址、目标IP地址、端口号、协议等条件。
此外，我们还可以设置规则的动作，如允许、拒绝或丢弃。
4. 防火墙的测试和评估防火墙配置完成后，我们需要对其进行测试和评估。
我们可以使用一些网络工具和技术，如端口扫描、漏洞扫描等，来测试防火墙的效果。
同时，我们还可以通过监控日志和统计数据来评估防火墙的性能和可靠性。
实验结果：经过实验，我们成功地配置了防火墙，并测试了其效果。
防火墙能够有效地过滤和阻止未经授权的访问和恶意攻击，提高了网络的安全性。
同时，防火墙还能够帮助我们实现网络流量的控制和管理，提高网络的性能和可靠性。
结论：通过本次实验，我们深入了解了防火墙的基本原理和配置方法，并通过实际操作和测试验证了其效果。
防火墙是网络安全的重要手段之一，它能够帮助我们保护网络免受未经授权的访问和恶意攻击。
在今后的网络安全工作中，我们应该继续加强对防火墙的学习和应用，以确保网络的安全和稳定。
防火墙配置的实验报告防火墙配置的实验报告一、引言随着互联网的飞速发展，网络安全问题日益突出。
为了保障网络的安全性，防火墙作为一种重要的网络安全设备被广泛应用。
本实验旨在通过配置防火墙，探索其在网络安全中的作用和效果。
二、实验目的1. 了解防火墙的基本原理和工作机制；2. 学习防火墙的配置方法和技巧；3. 掌握防火墙的常见功能和策略。
三、实验环境1. 操作系统：Windows 10；2. 软件：VirtualBox虚拟机、Wireshark网络抓包工具；3. 网络拓扑：本地主机与虚拟机之间的局域网。
四、实验步骤1. 配置虚拟网络环境：在VirtualBox中创建两个虚拟机，分别作为内网主机和外网主机；2. 安装防火墙软件：在内网主机上安装并配置防火墙软件，如iptables；3. 配置防火墙规则：根据实际需求，设置防火墙的入站和出站规则；4. 测试防火墙效果：利用Wireshark工具进行网络抓包，观察防火墙对数据包的处理情况；5. 优化防火墙配置：根据实验结果，对防火墙规则进行调整和优化。
五、实验结果与分析通过实验，我们成功配置了防火墙，并设置了一些基本的规则。
在测试阶段，我们发现防火墙能够有效地过滤和阻止非法的网络连接请求，保护内网主机的安全。
同时，防火墙还能对数据包进行检测和修正，提高网络传输的可靠性和稳定性。
然而，在实验过程中我们也遇到了一些问题。
例如，由于防火墙的设置过于严格，导致某些合法的网络连接被误判为非法请求，造成了一定的影响。
因此，在优化防火墙配置时，我们需要根据实际情况进行细致的调整，以兼顾网络安全和正常通信的需要。
六、实验总结通过本次实验，我们深入了解了防火墙的配置和使用。
防火墙作为一种重要的网络安全设备，能够有效地保护网络免受攻击和入侵。
然而，防火墙的配置并非一蹴而就，需要根据实际需求进行不断优化和调整。
在今后的网络安全工作中，我们将进一步学习和探索防火墙的高级功能和策略，提升网络安全防护能力。
防火墙设置实验报告一、实验目的本实验旨在通过设置防火墙，了解防火墙的基本概念、原理和常见设置方法，以及掌握如何使用防火墙保护计算机网络安全。
二、实验环境1. 操作系统：Windows 102. 防火墙软件：Windows Defender Firewall3. 实验工具：Ping命令、Telnet命令、nmap扫描器三、实验步骤1. 打开Windows Defender Firewall在Windows 10中，可以通过控制面板或者设置应用程序打开Windows Defender Firewall。
在控制面板中，选择“系统和安全”-“Windows Defender Firewall”；在设置应用程序中，选择“更新和安全”-“Windows 安全中心”-“防火墙和网络保护”。
2. 配置入站规则入站规则是指限制从外部网络访问本地计算机的规则。
可以通过以下步骤配置入站规则：（1）选择“高级设置”-“入站规则”，点击“新建规则”。
（2）根据需要选择不同类型的规则。
例如，如果只允许特定IP地址访问计算机，则可以选择“自定义”类型。
（3）根据需要配置规则属性，例如名称、描述、协议等。
（4）配置允许或拒绝连接的条件。
例如，可以配置只允许特定端口的连接。
（5）配置规则的操作。
例如，可以配置允许或拒绝连接、记录日志等操作。
3. 配置出站规则出站规则是指限制从本地计算机访问外部网络的规则。
可以通过以下步骤配置出站规则：（1）选择“高级设置”-“出站规则”，点击“新建规则”。
（2）根据需要选择不同类型的规则。
例如，如果只允许特定IP地址访问计算机，则可以选择“自定义”类型。
（3）根据需要配置规则属性，例如名称、描述、协议等。
（4）配置允许或拒绝连接的条件。
例如，可以配置只允许特定端口的连接。
（5）配置规则的操作。
例如，可以配置允许或拒绝连接、记录日志等操作。
4. 测试防火墙设置为了测试防火墙设置是否有效，可以使用Ping命令、Telnet命令或nmap扫描器进行测试。
实训项目七防火墙配置【实验目的】●熟悉路由器的包过滤的核心技术：ACL●掌握访问控制列表的分类及各自特点●掌握访问控制列表的应用，灵活设计防火墙【实验仪器和设备】●H3C S3610或H3C E126A交换机2台、H3C MR30-20路由器2台、标准网线2条、计算机2台、V.35线缆一根；●每3名同学为一组。
【实验步骤】任务一、广域网接口线缆步骤一：连接广域网接口线缆通过V.35电缆将路由器RTA和RTB广域网接口S5/0实现互联，其中连接RTA的V.35电缆外接网络侧为34孔插座，而连接RTB的V.35电缆外接网络侧为34针插头（虽然通常只保留在用的针），由此可以得知路由器RTB的接口S5/0是DTE端，而路由器RTA的接口S5/0是DCE端。
步骤二：查看广域网接口信息在RTA上通过display interface Serial 5/0命令查看接口Serial 5/0的信息，根据其输出信息可以看到：Physical layer is synchronous，Virtual Baudrate is 64000 bpsInterface is DCE, Cable type is V35在RTB上通过display interface Serial 5/0命令查看接口Serial 5/0的信息，根据其输出信息可以看到：Physical layer is synchronous，Baudrate is 64000 bpsInterface is DTE, Cable type is V35由以上信息可以看到，RTA和RTB的广域网V.35电缆接口工作在同步模式下，目前的传输速率是64000 bps或者64K bps 。
步骤三：配置广域网接口参数配置将RTB的接口S5/0的传输速率修改为 2Mbps，请在如下的空格中补充完整的配置命令：[RTB-Serial5/0]baudrate 2048000在RTB上执行该命令后，有信息提示：Serial5/0: Baudrate can only be set on the DCE，意思即为只能在DCE侧修改接口的波特率即传输速率。
防火墙管理实验一、引言防火墙是保护计算机网络安全的重要设备，它通过对网络流量进行监控和过滤，阻止未经授权的访问和恶意攻击。
防火墙管理实验是对防火墙进行配置和管理的实际操作，旨在提高对网络安全的保护能力。
本文将围绕防火墙管理实验展开，介绍防火墙的基本原理、配置方法和管理策略。
二、防火墙原理防火墙通过对网络流量进行检查和过滤，实现对网络的保护。
其基本原理包括以下几个方面：1. 包过滤：防火墙根据预先设定的规则，对进出网络的数据包进行检查和过滤。
这些规则可以包括允许或拒绝特定IP地址、端口号或协议类型的数据包通过。
2. 状态检测：防火墙可以追踪网络连接的状态，包括建立、终止和保持等。
通过检测网络连接的状态，防火墙可以识别和阻止恶意的连接请求。
3. 地址转换：防火墙可以实现网络地址转换（NAT），将内部私有IP地址转换为公共IP地址。
这样可以隐藏内部网络的真实IP地址，提高网络的安全性。
三、防火墙配置方法防火墙的配置是实现其功能的关键，下面介绍几种常见的防火墙配置方法：1. 黑名单和白名单：防火墙可以根据黑名单和白名单的方式进行配置。
黑名单指定禁止通过的IP地址、端口号或协议类型，而白名单则指定允许通过的IP地址、端口号或协议类型。
根据实际需求，合理配置黑白名单可以有效控制网络访问。
2. 身份验证：防火墙可以实现用户身份验证，通过输入用户名和密码来验证用户的身份。
只有通过身份验证的用户才能访问网络资源，提高网络的安全性。
3. 代理服务器：防火墙可以配置代理服务器，通过代理服务器转发网络请求。
代理服务器可以对请求进行进一步检查和过滤，确保网络流量的安全性。
四、防火墙管理策略防火墙的管理策略是保证其有效运行的重要保障，下面介绍几种常见的防火墙管理策略：1. 定期更新规则：网络环境不断变化，新的威胁和漏洞不断出现。
因此，定期更新防火墙的规则非常重要，以适应新的安全威胁。
2. 日志监控和分析：防火墙可以记录日志信息，包括访问请求、拦截信息等。
防火墙的设计与配置实验报告(一)防火墙的设计与配置实验报告引言防火墙是网络安全中的重要组成部分，它能够保护网络免受恶意攻击和未经授权的访问。
在本实验报告中，我们将重点讨论防火墙的设计与配置。
设计原则为了确保防火墙的有效性和可靠性，我们应遵循以下设计原则：- 合规性：防火墙的配置和规则设置必须符合相关安全标准和法规要求。
- 防御深度：采用多层次的防护方式，例如网络隔离、访问控制列表（ACL）等，保障网络的安全性。
- 灵活性：防火墙的设计应该具备适应不同网络环境和需求变化的能力。
- 可管理性：防火墙的配置和管理应该简单易行，不影响正常网络运行。
配置步骤以下是防火墙配置的基本步骤：1.定义安全策略：根据实际需求，明确访问控制政策并制定安全规则。
2.确定网络拓扑：了解网络拓扑和通信流量，确定防火墙的位置及其与其他网络设备的连接方式。
3.规划地址空间：分配和规划IP地址、端口和协议。
4.设置访问规则：配置防火墙的访问控制列表（ACL），限制特定IP地址或端口的访问权限。
5.创建安全组：根据需求设定安全组，限制特定IP地址或协议的流量。
6.启用日志记录：开启防火墙日志记录功能，及时发现和应对潜在的安全威胁。
7.测试与验证：经过配置后，进行防火墙功能和安全性的测试与验证。
最佳实践以下是一些防火墙设计与配置的最佳实践：•使用默认拒绝规则：配置防火墙时，优先采用默认拒绝规则来限制访问，只允许必要的和经过授权的流量通过。
•定期审查和更新规则：定期审查现有的安全规则，删除不再需要的规则，并及时更新和添加新的规则以适应网络变化。
•网络监控和入侵检测：与防火墙配套使用网络监控和入侵检测工具，及时监测和响应网络安全事件。
•应用安全补丁和更新：定期更新和应用防火墙设备的安全补丁和软件更新，以关闭已知的漏洞和提高系统的安全性。
结论通过本次实验，我们深入了解了防火墙的设计与配置过程。
只有在遵循合适的设计原则和最佳实践的前提下，才能保障防火墙的有效性和网络的安全性。
防火墙配置的实验报告
《防火墙配置的实验报告》
实验目的：通过实验，掌握防火墙的基本配置方法，了解防火墙的作用和原理，提高网络安全意识。
实验内容：
1. 防火墙的基本概念
防火墙是一种网络安全设备，用于监控和控制网络流量，以保护网络免受未经
授权的访问和攻击。
防火墙可以根据预设的规则过滤网络数据包，阻止潜在的
威胁和攻击。
2. 防火墙的配置方法
在实验中，我们使用了一台虚拟机来模拟网络环境，通过配置防火墙软件来实
现对网络流量的监控和控制。
首先，我们需要了解防火墙软件的基本功能和配
置界面，然后根据网络安全需求设置相应的规则和策略，最后测试配置的有效性。
3. 防火墙的作用和原理
防火墙可以通过不同的方式来实现对网络流量的控制，包括基于端口、IP地址、协议和应用程序的过滤规则。
其原理是通过检查网络数据包的源地址、目的地址、端口等信息，判断是否符合预设的规则，然后决定是否允许通过或阻止。
实验结果：
经过实验，我们成功配置了防火墙软件，并设置了一些基本的过滤规则，包括
禁止某些端口的访问、限制特定IP地址的访问等。
在测试阶段，我们发现配置
的规则能够有效地过滤网络流量，达到了预期的安全效果。
结论：
通过本次实验，我们深入了解了防火墙的基本概念、配置方法和作用原理，提高了网络安全意识和技能。
防火墙在网络安全中起着至关重要的作用，能够有效地保护网络免受未经授权的访问和攻击，是网络安全的重要组成部分。
我们将继续学习和实践，不断提升网络安全防护能力。
第一部分华为防火墙基本初始化LAB1 子接口初始化一、实验拓扑二、基本配置SW:[SW]vlan 2[SW-vlan2]description Untrust[SW-vlan2]vlan 3[SW-vlan3]description Trust[SW-vlan3]vlan 4[SW-vlan4]description DMZ[SW]int g0/0/9[SW-GigabitEthernet0/0/8]port link-type access[SW-GigabitEthernet0/0/8]port default vlan 3[SW-GigabitEthernet0/0/8]int g0/0/3[SW-GigabitEthernet0/0/3]port link-type access[SW-GigabitEthernet0/0/3]port default vlan 3[SW]int g0/0/9[SW-GigabitEthernet0/0/9]port link-type trunk[SW-GigabitEthernet0/0/9]port trunk allow-pass vlan 1 2 4 [SW]int g0/0/1[SW-GigabitEthernet0/0/1]port link-type access [SW-GigabitEthernet0/0/1]port default vlan 2[SW-GigabitEthernet0/0/1]int g0/0/2[SW-GigabitEthernet0/0/2]port link-type access[SW-GigabitEthernet0/0/2]port default vlan 4三、防火墙配置system-viewEnter system view, return user view with Ctrl+Z.[SRG][SRG]sysname HWFW[HWFW]int g0/0/0[HWFW-GigabitEthernet0/0/0]alias Trust ===配置接口描述[HWFW-GigabitEthernet0/0/0]ip add 192.168.1.10 24 [HWFW]int g0/0/1.2[HWFW-GigabitEthernet0/0/1.2]vlan-type dot1q 2 ====封装VLAN [HWFW-GigabitEthernet0/0/1.2]alias Untrust[HWFW-GigabitEthernet0/0/1.2]ip add 202.100.1.10 24[HWFW-GigabitEthernet0/0/1.2]interface GigabitEthernet0/0/1.4 [HWFW-GigabitEthernet0/0/1.4]alias DMZ[HWFW-GigabitEthernet0/0/1.4]vlan-type dot1q 4[HWFW-GigabitEthernet0/0/1.4]ip add 172.16.1.10 24测试：[HWFW]ping -c 2 192.168.1.119:26:33 2014/05/26PING 192.168.1.1: 56 data bytes, press CTRL_C to breakReply from 192.168.1.1: bytes=56 Sequence=1 ttl=255 time=80 msReply from 192.168.1.1: bytes=56 Sequence=2 ttl=255 time=580 ms [HWFW]ping -c 2 202.100.1.119:26:55 2014/05/26PING 202.100.1.1: 56 data bytes, press CTRL_C to breakRequest time outRequest time out[HWFW]ping -c 2 172.16.1.119:27:14 2014/05/26PING 172.16.1.1: 56 data bytes, press CTRL_C to breakRequest time outRequest time out为什么直连不通？因为默认不同zone之间流量是不允许访问的，可以通过以下命令查看：[HWFW]display current-configurationfirewall zone trustset priority 85add interface GigabitEthernet0/0/0为了测试，可以将防火墙其它两个两口放入相同的zone[HWFW] firewall zone trust[HWFW-zone-trust]add interface g0/0/1.2[HWFW-zone-trust]add interface GigabitEthernet0/0/1.4[HWFW]ping -c 2 202.100.1.119:32:39 2014/05/26PING 202.100.1.1: 56 data bytes, press CTRL_C to breakReply from 202.100.1.1: bytes=56 Sequence=1 ttl=255 time=70 ms Reply from 202.100.1.1: bytes=56 Sequence=2 ttl=255 time=700 ms --- 202.100.1.1 ping statistics ---2 packet(s) transmitted2 packet(s) received0.00% packet lossround-trip min/avg/max = 70/385/700 ms[HWFW]ping -c 2 172.16.1.119:32:45 2014/05/26PING 172.16.1.1: 56 data bytes, press CTRL_C to breakReply from 172.16.1.1: bytes=56 Sequence=1 ttl=255 time=70 ms Reply from 172.16.1.1: bytes=56 Sequence=2 ttl=255 time=560 ms --- 172.16.1.1 ping statistics ---2 packet(s) transmitted2 packet(s) received0.00% packet lossround-trip min/avg/max = 70/315/560 mssave ===保存配置19:37:09 2014/05/26The current configuration will be written to the device.Are you sure to continue?[Y/N]y2014-05-26 19:37:11 HWFW �M/4/SAVE(l): When deciding whether to save configuration to the device, the user chose Y.Do you want to synchronically save the configuration to the startupsaved-configuration file on peer device?[Y/N]:yNow saving the current configuration to the device..Info:The current configuration was saved to the device successfully.reset saved-configuration ?reset saved-configuration ====清空配置19:37:26 2014/05/26The action will delete the saved configuration in thedevice.The configuration will be erased to reconfigure.Are you sure?[Y/N]yNow clearing the configuration in the device.2014-05-26 19:37:28 HWFW �M/4/RST_CFG(l): When deciding whether to reset the saved configuration, the user chose Y.Error:The config file does not exist!LAB2:三接口初始化一、基本配置[SW]vlan batch 2 to 4port link-type accessport default vlan 2interface GigabitEthernet0/0/8port link-type accessport default vlan 2interface GigabitEthernet0/0/3port link-type accessport default vlan 3interface GigabitEthernet0/0/10port link-type accessport default vlan 3interface GigabitEthernet0/0/2port link-type accessport default vlan 4interface GigabitEthernet0/0/9port link-type accessport default vlan 4二、防火墙配置[HWFW]undo interface g0/0/1.2 ===删除子接口[HWFW]undo interface g0/0/1.4ip address 202.100.1.10 255.255.255.0interface GigabitEthernet0/0/1ip address 172.16.1.10 255.255.255.0interface GigabitEthernet0/0/2ip address 192.168.1.10 255.255.255.0测试：[HWFW]ping -c 1 202.100.1.120:01:23 2014/05/26PING 202.100.1.1: 56 data bytes, press CTRL_C to breakReply from 202.100.1.1: bytes=56 Sequence=1 ttl=255 time=950 ms [HWFW]ping -c 1 172.16.1.120:01:59 2014/05/26PING 172.16.1.1: 56 data bytes, press CTRL_C to breakReply from 172.16.1.1: bytes=56 Sequence=1 ttl=255 time=180 ms [HWFW]ping -c 1 192.168.1.120:02:27 2014/05/26PING 192.168.1.1: 56 data bytes, press CTRL_C to breakReply from 192.168.1.1: bytes=56 Sequence=1 ttl=255 time=780 ms安全区域概述：安全区域（Security Zone），或者简称为区域（Zone），是一个安全概念，大部分的安全策略都基于安全区域实施。
实验一防火墙软件设置与使用实验报告实验课程信息安全技术实验名称防火墙与防病毒软件的设置与使用实验时间2012-2013学年上学期8 周星期 6 第7、8 节学生姓名学号班级实验地点设备号A21、D50 指导教师一、实验目的1.熟悉防火墙基本知识。
2.掌握防火墙的配置策略与实现。
3.了解杀毒软件的工作原理。
4.学习使用杀毒软件清除病毒。
二、实验要求1.掌握防火墙的具体使用，熟悉防火墙配置规则。
2.掌握常用杀毒软件清除病毒的方法。
三、实验内容1、天网防火墙1）防火墙的安装天网防火墙个人版是以一个可执行文件方式提供的，下载之后直接执行便可以开始安装了，每次选择next。
运行天网个人版防火墙后，你可以看见一款非常漂亮简洁的界面：这时，你可以根据自己安全需要设置天网个人版防火墙，天网个人版防火墙提供了应用程序规则设置、自定义IP规则设置、系统设置、安全级别设置的等功能。
（1）应用程序规则设置新版的天网防火墙增加对应用程序数据包进行底层分析拦截功能，它可以控制应用程序发送和接收数据包的类型、通讯端口，并且决定拦截还是通过，这是目前其它很多软件防火墙不具有的功能。
在天网个人版防火墙打开的情况下，点击第二个菜单，就可以进行设置了，弹出窗口。
一般情况下，选择“开机的时候自动启动防火墙”。
对于“我的电脑在局域网中使用”的这一个选项，我们的电脑都是在局域网中使用的，所以也要进行选择。
下面的框中有一个IP地址，是我们电脑的动态IP地址，同学们可以打开自己的电脑的IP地址来核对一下。
在我们运行天网的时候，还会出现一些如上图的这些对话框，同学们还是一样的根据自己的选择进行选择时允许还是禁止。
如果你不选中以后都允许，那么天网防火墙在以后会继续截获该应用程序的数据包，并且弹出警告窗口。
如果你选中以后都允许选项，该程序将自动加入到应用程序列表中，天网个人版防火墙将默认不会再拦截该程序发送和接受的数据包。
你可以通过应用程序设置来设置更为复杂的数据包过滤方式。
实验七交换机基本配置一、实验目的（1）使用R2611模块化路由器进行网络安全策略配置学习使用路由器进行初步的网络运行配置和网络管理，行能根据需要进行简单网络的规划和设计。
实验设备与器材熟悉交换机开机界面；（2）掌握Quidway S系列中低端交换机几种常用配置方法；（3）掌握Quidway S系列中低端交换机基本配置命令。
二、实验环境Quidway R2611模块化路由器、交换机、Console配置线缆、双绞线、PC。
交换机，标准Console配置线。
三、实验内容学习使用Quidway R2611模块化路由器的访问控制列表（ACL）进行防火墙实验。
预备知识1、防火墙防火墙作为Internet访问控制的基本技术，其主要作用是监视和过滤通过它的数据包，根据自身所配置的访问控制策略决定该包应当被转发还是应当被抛弃，以拒绝非法用户访问网络并保障合法用户正常工作。
2、包过滤技术一般情况下，包过滤是指对转发IP数据包的过滤。
对路由器需要转发的数据包，先获取包头信息，包括IP层所承载的上层协议的协议号、数据包的源地址、目的地址、源端口号和目的端口号等，然后与设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。
3、访问控制列表路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL（Access Control List）定义的。
访问控制列表是由permit | deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。
ACL通过这些规则对数据包进行分类，这些规则应用到路由器接口上，路由器根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝。
访问控制列表(Access Control List )的作用访问控制列表可以用于防火墙；访问控制列表可用于Qos（Quality of Service），对数据流量进行控制；访问控制列表还可以用于地址转换；在配置路由策略时，可以利用访问控制列表来作路由信息的过滤。
一个IP数据包如下图所示（图中IP所承载的上层协议为TCP）ACL示意图ACL的分类按照访问控制列表的用途，可以分为四类：●基本的访问控制列表（basic acl）●高级的访问控制列表（advanced acl）●基于接口的访问控制列表（interface-based acl）●基于MAC的访问控制列表（mac-based acl）访问控制列表的使用用途是依靠数字的范围来指定的，1000～1999是基于接口的访问控制列表，2000～2999范围的数字型访问控制列表是基本的访问控制列表，3000～3999范围的数字型访问控制列表是高级的访问控制列表，4000～4999范围的数字型访问控制列表是基于MAC地址访问控制列表。
4、防火墙的配置项目防火墙的配置包括：允许/禁止防火墙配置标准访问控制列表配置扩展访问控制列表配置在接口上应用访问控制列表的规则设置防火墙的缺省过滤方式设置特殊时间段指定日志主机允许/禁止防火墙在报文过滤时，应先打开防火墙功能，这样才能使其它配置生效。
请在系统视图下进行下列配置。
表1 允许/禁止防火墙缺省情况下，防火墙处于“启动”状态。
配置标准访问控制列表标准访问控制列表序号可取值1～99之间的整数。
首先应使用acl命令进入到ACL配置视图并配置访问控制列表的匹配顺序，然后再使用rule命令配置具体的访问规则。
若不配置匹配顺序的话，按照auto方式进行。
请在系统视图（acl命令）和ACL视图（rule命令）下进行下列配置。
表2 配置标准访问控制列表内起作用，使用special时用户需另外设定特殊时间段。
具有同一序号的多条规则按照“深度优先原则”进行匹配。
缺省情况下，为normal时间段。
配置扩展访问控制列表扩展访问控制列表可取值100～199之间的整数。
首先应使用acl命令进入到ACL配置视图并配置访问控制列表的匹配顺序，然后再使用rule命令配置具体的访问规则。
若不配置匹配顺序的话，按照auto方式进行。
请在系统视图（acl命令）和ACL视图（rule命令）下进行下列配置。
表3 配置扩展访问控制列表从表2和表3中的rule配置命令的参数中可以看出标准列表仅能对source数据源作规则设置，而扩展控制列表则还可以对destination目的地址进行规则设置。
特殊时间段内起作用，使用special时用户需另外设定特殊时间段。
具有同一序号的多条规则按照“深度优先原则”进行匹配。
缺省情况下，为normal时间段。
设置防火墙的缺省过滤方式防火墙的缺省过滤方式是指：当访问规则中没有找到一个合适的匹配规则来判定用户数据包是否可以通过的时候，将根据用户设置的防火墙的缺省过滤方式来决定究竟允许还是禁止报文通过。
请在系统视图下进行下列配置。
表4 设置防火墙缺省过滤方式缺省情况下，防火墙的缺省过滤方式为允许报文通过。
配置在接口上应用访问控制列表的规则若要实现接口对报文的过滤功能，就必须先将相应访问控制列表规则应用到接口上。
用户可在一个接口上对接收和发送两个方向的报文分别定义不同的访问控制规则。
请在接口视图下进行下列配置。
表5 配置接口上应用访问控制列表的规则缺省情况下，接口上未定义过滤报文的规则。
在一个接口的一个方向上（inbound或outbound方向），最多可以应用20条访问规则。
即在firewall packet-filter inbound方向上可应用20条规则；在firewall packet-filter outbound方向上也可应用20条规则。
若两条互相冲突的规则序号不同，优先匹配acl-number较大的规则。
防火墙的显示和调试在所有视图下使用debugging、reset、display命令。
3.8.4实验过程1、防火墙配置实验示例组网方案要求通过配置静态路由，使任意两台主机或路由器之间都能两两互通。
网络拓扑请按下图连接好线缆，并配置好路由器接口和计算机的IP地址，所有的子网掩码均为24位掩码。
图2 配置防火墙组网图2、配置步骤首先用分别Console线缆连接两个路由器并进入配置视图，按下面步骤对接口进行配置。
配置好计算机的IP地址和子网掩码，计算机A的网关地址设置为10.100.110.100，计算机B的网关地址设置为10.100.120.100# 配置路由器Router A 启动防火墙[RouterA] firewall enable# 配置路由器接口IP[RouterA] interface Ethernet 0/0[RouterA-Ethernet0/0]ip address 192.10.1.1 24[RouterA-Ethernet0/0]quit[RouterA] interface Ethernet 0/1[RouterA-Ethernet0/1]ip address 10.100.110.100 24[RouterA-Ethernet0/1]quit# 配置路由器静态路由[RouterA] ip route-static 10.100.120.0 255.255.255.0 192.10.1.2# 配置路由器Router B，并启动防火墙[RouterB] firewall enable# 配置路由器接口IP[RouterB] interface Ethernet 0/0[RouterB-Ethernet0/0]ip address 192.10.1.2 24[RouterB-Ethernet0/0]quit[RouterB] interface Ethernet 1[RouterB-Ethernet0/1]ip address 10.100.120.100 24[RouterB-Ethernet0/1]quit# 配置路由器静态路由[RouterA] ip route-static 10.100.110.0 255.255.255.0 192.10.1.1#测试网络连通性在计算机A上使用命令：Ping 10.100.120.139#在路由器A上设置标准控制列表＃在路由器A上验证标准访问控制列表禁止IP地址为10.100.110.138的主机访问10.100.120的网络，而允许其他IP访问。
＃进入2001号标准访问控制列表视图[RouterA] acl number 2001＃设置控制规则[RouterA-acl-2001] rule deny source 10.100.110.138 0.0.0.0#上条命令中最后一个参数0.0.0.0是反掩码，用来唯一确定一个IP，若改为0.0.0.255 则用来确定对一个C类的网络实施访问控制。
＃允许其他的IP地址的数据通过路由器A访问外网[RouterA-acl-2001] rule permit source any#注意：2001号控制列表有上面有两条规则，其匹配时按深度优先规则，先匹配精确的规则，因此当IP时10.100.110.138时将先按第一条规则执行＃返回系统视图[RouterA-acl-2001] quit＃进入接口LAN 1，在其上应用访问控制列表的规则[RouterA] interface Ethernet 0/1[RouterA-ethernet0/1] firewall packet-filter 2001 inbound＃这时若把IP 地址改为其他的地址，如：10.100.110.140则可以通过路由器访问外网。
可以用Ping 命令测试连通性＃在路由器B上使用扩展控制列表[RouterB] acl number 3002＃设置控制规则，只禁止目的IP地址为10.100.110.138数据通过路由器B的Ethernet 0/0 ，其他目的地址的数据包都能通过。
[RouterB-acl-3002] rule deny ip destination 10.100.120.138 0.0.0.0 #允许所有除了上个规则外的数据包访问外网[RouterB-acl-3002] rule permit ip source any destination any ＃进入接口Ethernet 0/0，在其上应用访问控制列表的规则[RouterB] interface Ethernet 0/0[RouterB-Ethernet 0/0] firewall packet-filter 3002 outbound＃这时若计算机A的IP为10.100.110.138，则在计算机B上使用Ping命令则无法连通，若将计算机A的IP改为其他地址则可以连通计算机B3.8.5实验总结根据实验情况简单描述自己对防火墙工作原理的认识并列举出一种防火墙其它应用案例。
