实验七、防火墙透明模式配置实验目的1.了解什么是透明网络模式2.了解如何配置防火墙为透明模式应用环境透明模式即相当于防火墙工作于透明网桥模式。
防火墙进行防范的各个区域均位于同一网段。
在实际应用网络中，这是对网络变动最少的接入方法，广泛用于大量原有网络的安全升级中。
实验设备1.防火墙设备一台2.Console线一条3.交叉网络线三条4.直通网络线一条5.PC机2三台实验拓扑实验要求1.防火墙网桥模式初始配置2.配置相关网络对象和服务对象3.配置安全规则安全规则为：PC1为内网主机，PC2为外网主机。
PC1：允许访问外网的HTTP，FTP，ping；PC2：不允许访问内网；4.实验验证实验步骤连接实验环境按照拓扑图，使用二根交叉双绞线将二台PC机与防火墙的对应端口连接在一起（实验验证用）。
防火墙网桥模式初始配置进入防火墙命令行管理界面，按照拓扑图的IP地址规划，配置防火墙的管理主机地址和LAN口地址，以便进行图形化界面管理。
# ifconfig if1 192.168.1.77/24# adminhost add 192.168.1.10# apply# save修改PC1的地址为拓扑所示（192.168.1.10），则可以通过IE浏览器进行防火墙的安全图形界面管理了。
在系统->网桥设置中，启用bridge0，并点击右侧修改按钮，如下所示：点击启用，然后点开网桥bridge0接口设置标签，使用新增按钮分别添加防火墙的lan （if1）和wan（if0）口。
系统提示操作成功后，可以得到如下界面显示：点击右上角的应用按钮，然后保存配置，网桥模式启动成功。
注：MAC缓冲池大小一般与内网连接的用户数有关，可以根据实际需要对此数值进行更改，一般需要比内网用户数多。
配置相关网络对象和服务对象在DCFW-1800系列中，配置安全规则之前，需要定义一系列的服务对象和网络对象。
所谓网络对象，就是指防火墙的安全规则所针对的网络节点或网络节点群，安全规则就是以网络对象为基本的检查单元进行安全检查决定是否允许某个网络对象的数据转发与否。
服务对象是以上述网络对象可能进行的网络服务类型进行定义，DCFW-1800防火墙内置一些常用的服务对象，用户也可以根据自己的服务种类，灵活进行定义，方便安全规则的制订。
在本实例中，所涉及的服务对象为与http和ftp以及ping相关的类型，在防火墙的内置服务对象中已有对应，不必再次定义，下面进行网络对象的定义。
点开对象->网络->网络对象，系统内置了一些可信区域、接口及非可信区域、接口相关的网络对象，并用不同的名称加以区分，下面我们定义与本实例中的PC1和PC2相关的网络对象。
分别定义trust_pc1和untrust_pc2与pc1和pc2对应。
由于本实例中只定义了两个主机地址为网络对象，所以掩码选择32位匹配。
如下所示：同理设置外网主机，如下所示：至此，网络对象设置完毕，我们查看服务对象的现有设置，以确定是否需要增加特定的服务对象。
由于篇幅关系，此处不一一列举，可以在对象服务服务对象所列的界面中寻找FTP，http，ping。
其服务＃分别为：17，19，56。
点击右上角的应用按钮，然后保存配置。
配置安全规则点击策略->策略设置，在右面的界面中选择新增，则弹出如下选择框，根据我们的拓扑和实验要求安全规则说明，我们在本实例中进行如下配置：确定后，策略已被添加到防火墙中，并已启用，如下所示：同理，添加另外的策略：PC1-PC2 http 允许PC1-PC2 ping 允许PC2-PC1所有拒绝如上显示从pc2到pc1的拒绝设置，注意我们选择了拒绝时返回：ICMP的unreach_net，是因为这样我们可以从主机中明确观察到实验的现象。
点击右上角的应用按钮，然后保存配置。
设置完成。
如下所示：实验验证在本实验的拓扑结构中PC2的HTTP和WEB设置假设已经选择windows2000server内置的服务平台，故测试时显示正常页面即可。
测试PC1与PC2的HTTP、FTP、PING的连通性Ping连通性测试：ftp连通性测试：http连通性测试：测试PC2与PC1主动的连接不成功。
Ping测试同理测试其他连通性，从pc2去往pc1的数据包始终无法穿过防火墙。
此时在系统主界面查看防火墙的系统日志记录，如下所示：我们观察到有关Ping命令和ftp、http的访问记录都为pass，而从pc2到pc1的任何访问都是被block的，至此，实验完成。
共同思考1.DCFW-1800S在网桥模式下，DMZ口是否可用，请尝试设计实验进行验证。
2.如果希望从日志中看到有关此实验中的block和pass的信息，应该如何进行操作？*3.在透明模式下，为if1配置IP地址主要作用在哪里？课后练习1.更改PC1的地址为192.168.1.11再次尝试以上的三个服务连接，结果怎样？2.查看系统日志，找到对应的验证动作对应的日志记录，尝试解释它们。
相关配置命令详解netobj list描述该命令用于显示所有的网络对象和主机对象语法netobj list参数std|ipr|ifr|znr 分别代表类型为标准类型，地址范围类型，接口地址范围类型，安全域地址范围类型，如果指定类型，则显示该类型的网络或主机对象。
例子# netobj list[1] *untrustzone: znr, any address, zone untrust (all of untrust zone) [2] *trustzone: znr, any address, zone trust (all of trust zone) [3] *dmzzone: znr, any address, zone dmz (all of dmz zone) [4] *untrustif: ifr, any address, interface if0 (all of untrustif) [5] *trustif: ifr, any address, interface if1 (all of trustif) [6] *dmzif: ifr, any address, interface if2 (all of dmzif) [7]*pptp_user: <znr> anyaddr in pptp zone (pptp dialup user) [8] freezone: znr, any address, zone ()格式为：名称、类型、IP/MAC 、接口、说明,带有*号的是不允许更改项。
相关命令netobj list, netobj add, netobj change, netobj delnetobj hostadd描述该命令用于增加一个主机对象语法netobj hostadd <name> <interface> <ip> <comment>参数name 以字母开头的数字字符串，最大长度为31个字符，该名称是安全策略中使用的逻辑名称 interface 网口ip主机对象的IP 地址，由 32 位组成，用三个小数点分开，如：203.233.21.17comment对主机的简要说明或关键字，最大长度63字节，即63个书自或者字符，或者是31个汉字加一个数字或字符.保留字*untrustzone *trustzone *dmzzone *untrustif *trustif *dmzif *pptp_user 外部区域 内部区域 DMZ 区域 外网口 内网口 DMZ 口 PPTP 拔号区域 if0 外网口 if1 内网口 if2DMZ 口例子# netobj hostadd inhost1 if1 10.0.0.33 “internal host1” # netobj list ……[ 7] inhost1 : if1 10.0.0.33/32 (internal host1)相关命令netobj list, netobj add ，netobj del ，netobj changenetobj add描述该命令用于增加一个网络对象或主机对象语法netobj add <name> <interface> <ip/maskbits> <comment>参数name 以字母开头的数字字符串，最大长度为31个字符，该名称是安全策略中使用的逻辑名称 interface 网口ip/maskbits 网络对象的IP 地址/子网掩码，地址由 32 位组成，用三个小数点分开，掩码为位掩码如：203.233.21.0/24。
（见下表）comment对网络对象的简要说明或关键字，最大长度63字节，即63个书自或者字符，或者是31个汉字加一个数字或字符。
子网掩码与IP 地址配合参考下表：保留字if0外网口 if1 内网口 if2DMZ 口例子# netobj add innet1 if1 10.0.0.0/24 “internal net1” # netobj list ……[8] innet1 : if1 10.0.0.0/24 (internal net1)相关命令类别 子网掩码 位掩码 A 类 B 类 C 类 主机255.0.0.0 255.255.0.0 255.255.255.0 255.255.255.2558 16 24 32netobj list, netobj add，netobj del，netobj changenetobj addstd描述该命令用于增加一个标准类型的网络对象或主机对象。
标准类型是指ip/maskbits型。
语法netobj addstd <name> <interface> <ip/maskbits> <comment>参数name以字母开头的数字字符串，最大长度为31个字符，该名称是安全策略中使用的逻辑名称interface 网口ip/maskbits 网络对象的IP地址/子网掩码，地址由32 位组成，用三个小数点分开，掩码为位掩码comment 对网络对象的简要说明或关键字，最大长度63字节，即63个书自或者字符，或者是31个汉字加一个数字或字符。
保留字if0 外网口if1 内网口if2 DMZ口例子# netobj addstd innet1 if1 10.0.0.0/24 “internal net1”# netobj list……[8] innet1 : if1 10.0.0.0/24 (internal net1)相关命令netobj list, netobj add，netobj del，netobj changenetobj addipr描述该命令用于增加一个ip range类型的网络对象或主机对象。
