4.3 防火墙的路由模式
前置知识：
防火墙的路由工作模式相当于防火墙工作于路由模式，此时防火墙进行安全防范的各个区域均处于不同的IP子网中。在实际的网络应用环境中，防火墙一般位于网络的边界，连接了内部和外部网络，是内部和外部网络通讯的唯一通道。此时防火墙的外部网口(if0W AN 口)配置ISP提供的公网IP地址，而内部网络使用私用网络地址。
RFC1918规定了三个地址块用作内部私用IP地址：
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
网络管理员可根据实际情况从中选择。这样在访问外部网络的时间，常常需要在外部网络接口上做NA T转换。
实验目的：
1 了解防火墙路由工作模式和透明工作模式的概念
2 了解NAT的基本概念
3 掌握防火墙路由工作模式的配置
4 掌握动态NA T和静态NAT的配置方法
试验设备：
DCFW1800S-L/VPN防火墙一台
PC机三台
交叉网络线三根
试验规划及拓扑
规划：
拓扑：
192.168.100.101/24
实验步骤：
第一步：将防火墙回复出厂设置
使用系统内置的admin用户，以命令行终端方式登录防火墙，执行如下命令：#ruleconfig load default
100% Rules loaded successfully!
#save
#apply
第二步：按规划配置防火墙各个接口的IP地址
使用系统内置的admin账户，从终端窗口登录防火墙，执行如下的命令序列：# ifconfig if0 211.84.155.1/24
# ifconfig if1 192.168.100.100/24
# ifconfig if2 192.168.10.10/24
# adminhost add 192.168.100.101
# save
# apply
第三步：按规划为三台PC配置IP及网关地址
下边以内网计算机的IP地址配置为例，如图1所示。
图1 客户端TCP/IP属性配置
在本试验中，因为防火墙工作于路由模式，因此三台计算机上必须配置网管地址，否则不能正常通讯。三台PC各自的网关地址分别是其相连的防火墙端口的IP地址。其他两台计算机都按此配置。
第四步：为三台PC机在防火墙内配置三个对应的网络对象
1. 选择“对象”|“网络”|“网络对象”，如图2所示：
图2 系统内建网络对象
系统默认内置的网络对象，下边将要根据规划为三台PC创建网络对象。
2．配置三个网络对象
打击上图中的“新增”按钮，新增一个网络对象，如图3所示。
图3 创建可信内网网络对象
图中的名称可以自行确定，该PC处于内网段，和if1接口处于同一个网段。因为这里是为单独的一台计算机创建网络对象，所以掩码是32位。以下操作与此类似。
为外网计算机创建网络对象，如图4所示。
图4 为不可信外网创建网络对象
为DMZ区的计算机创建网络对象，如5图所示。
图5 为DMZ区创建网络对象
三个网络对象创建完成之后的情形如图6所示。
图6 创建了三个网络对象
第五步：创建访问策略
选择“策略”|“策略设置”命令。
刚打开时，没有定义任何的策略，如图7所示。
图7 策略定义窗口
这里以ping和ftp服务为例，说明规则的创建过程，在上图中单击“新增”按钮，打开如图7和图8所示。
图8 创建可信内网到不可信外网的ping服务安全规则
图9创建可信内网到不可信外网的ftp服务安全规则针对三个网络对象后的完整规则如图10所示。
图10 完成创建本实验所需的安全规则
第六步：做NAT转换
1. 为使内网使用私用地址的计算机可以访问外网的服务器，需要对内网的计算机做动态NAT转换。
选择“NAT”|“动态NA T”命令，如图所示，初始状态下图11转换规则表为空。
图11 创建动态NA T服务
添加动态NA T转换规则，如图12所示。
图12 为内部网络增加NA T转换规则
上图各项参数填写完成后，单击“确定按钮”，回到动态NAT规则显示界面，如图13所示。
图13 完成创建NAT转换规则
2. DMZ区一般是用来放置对外提供服务的服务器区，该区的服务器多使用私用网络地址，为了使外部用户可以访问该去服务器，需要在防火墙的外部网络接口(WAN口)做静态NAT转换。
选择“NAT”|“静态NA T”，操作和做动态NA T转换类似，如图14所示。
图14 创建静态NAT转换规则
“转换后的IP”项填写外部访问DMZ区服务器时所用的合法IP地址。完成后单击“确定”按钮，返回如图15所示的界面。
图15 完成创建静态NAT转换规则
第七步：在终端窗口中查看路由表的内容
如下所示：
# show route
Routing summary:
0 bad routing redirects
0 dynamically created routes
0 new gateways due to redirects
546 destinations found unreachable
0 uses of a wildcard route
Internet Routing Table:
127.0.0.1 127.0.0.1 UH 0 0 32964 lo0
192.168.10/24 link#3 UC 1 0 - if2 192.168.10.11 0:14:78:9c:61:40 UHL1 0 28 - if2
192.168.100/24 link#2 UC 2 0 - if1 192.168.100.101 0:14:78:9c:61:33 UHL1 0 13 - if1
192.168.100.255 link#2 UHL1 0 0 - if1 211.84.155/24 link#1 UC 2 0 - if0 211.84.155.2 0:14:78:9c:61:1d UHL1 0 161 - if0
211.84.155.3/32 0:90:b:7:b1:1b ULS2 0 0 - if0 211.84.155.255 link#1 UHL1 0 0 - if0 Encap Routing Table:
第八步：测试
按表规划的测试项目在三台PC机上分别进行测试。测试之前，要在dmz-PC和untrust-PC 上运行FTP服务器。如表1所示。
测试实示例：
Trust-PC ping dmz-Pc:
Pinging 192.168.10.11 with 32 bytes of data:
Reply from 192.168.10.11: bytes=32 time<1ms TTL=127
Reply from 192.168.10.11: bytes=32 time<1ms TTL=127
Reply from 192.168.10.11: bytes=32 time<1ms TTL=127
Reply from 192.168.10.11: bytes=32 time<1ms TTL=127
Ping statistics for 192.168.10.11:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 0ms, Average = 0ms
Trust-PC ftp dmz-PC:
C:\>ftp 192.168.10.11
Connected to 192.168.10.11.
220 3Com FTP Server Version 1.1
User (192.168.10.11:(none)): anonymous
331 User name ok, need password
Password:
230 User logged in
ftp>
思考题：
1 重新将防火墙网络接口配置在不同的IP子网中，开放ping/ftp/http服务，调通后查看防火墙的内部的路由表，从中可以得出什么结论？
2 什么是动态NAT？什么是PNAT呢？两者有什么联系？
3 静态NAT有什么作用？应用在那些应用环境中？
4 阅读RFC1918，掌握私用IP地址的相关概念。为什么要规定一些私用IP地址？这些地址应用在那些网络环境中？
1、静态路由的配置命令: 例如： ip route 129.1.0.0 16 10.0.0.2 ip route 129.1.0.0 255.255.0.0 10.0.0.2 ip route 129.1.0.0 16 Serial0/0/0 注意：只有下一跳所属的的接口是点对点（PPP、HDLC）的接口时，才可以填写
ESP8266有三种工作模式： 1.Station （客户端模式） 2.AP （接入点模式） 3.Station+AP （两种模式共存） 就是说模块可以当成一个设备（client）连接区域网内的路由，也可以设置成是一个路由（sever），也可以既作为局域网里面的client同时又是其他client的sever。 下面我们可以尝试一下配置ESP8266的指令（注意：每条AT指令后面都要加一个回车键再发送！！！输入用串口软件输入，相当于把电脑想象成单片机来用。）： 一、AP（sever）模式 1.输入：AT+CWMODE=2 响应：OK 说明：指令原型为：AT+CWMODE=
4.输入：AT+CWSAP="ESP8266","0123456789",11,0 响应：OK 说明：指令原型为：AT+ CWSAP=
在这里我讲述一下关于加装防火墙前后的路由配置变化，因为在原先没有防火墙的情况下，路由既起到路由选择的作用，又起到网关的作用。当加装防火墙的后，局域网的网关就设为防火墙的局域网IP地址。要修改路由首先还是先看该网络的拓扑结构。在这里我所描述的是这样拓扑结构： 图 1 一、先将进入路由器设置将原来的配置备份一份，虽然这一份备份以后不一定用的上，可是万一防火墙安装失败呢？ 图 2 下面为没有安装防火墙以前的路由器配置情况。 User Access Verification Password: （键入TELNET密码，如果你是直接用CONSOLE口进入没有此项提示） Router>en
Password: Router#show config （察看ROUTER配置情况命令） Using 810 out of 7506 bytes ! version 12.1 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname Router （ROUTER名字，这里为默认名字ROUTER） ! enable secret 5 $1$FreK$4oQGtvDEF1jv8dh3NNXnN0. enable password 123456789 （特权密码，当然这是加密的） ! ip subnet-zero ! interface Ethernet0 (配置局域网e0口 ip address 192.168.1.1 255.255.255.0 （e0口在其局域网中对应的ip为192.168.1.1 ip nat inside 255.255.255.0是表示为C类网络 ! interface Ethernet1 (E1口没有激活,也没有配置 no ip address shutdown ! interface Serial0 bandwidth 2048 ip address 211.97.213.41 255.255.255.252 (此为定义ROUTER外部接口的IP ip nat outside 255.255.255.252表示此合法的INTERNET-IP encapsulation ppp
前言 3 一、防火墙的概况、应用及功能 3 1.1 防火墙的定义 3 1.2防火墙的种类 4 1.2.2网络层防火墙 4 1.2.2应用层防火墙 4 1.2.3数据库防火墙 5 1.3 防火墙的功能 5 二、使用设置 5 2.1使用习惯 6 2.1.1所有防火墙文件规则必须更改 6 2.1 .2以最小的权限安装所有的访问规则 6 2.1.3 根据法规协议和更改需求来校验每项防火墙的更改 6 2.1.4当服务过期后从防火墙规则中删除无用的规则 7 2.2配置 7 2.3工作模式 8 2.3.1 透明网桥模式 8 2.3.1.1适用环境 9 2.3.1.2组网实例 9 2.3.2 路由模式 10 2.3.2.1适用环境 11 2.3.2.2NAT（网络地址转换） 11 2.3.2.3组网实例 12 三、总结 13
一、前言 随着计算机的日益发展，计算机早已深入到各个领域，计算机网络已无处不在。而internet的飞速发展，使计算机网络资源共享进一步加强。随之而来的安全问题也日益突出。在人们对网络的优越性还没有完全接受的时候，黑客攻击开始肆虐全球的各大网站；而病毒制造者们也在各显其能，从CIH到爱虫．中毒者不计其数。一般认为，计算机网络系统的安全威胁主要来自黑客的攻击、计算机病毒和拒绝服务攻击三个方面。目前,人们也开始重视来自网络内部的安全威胁。我们可以通过很多网络工具、设备和策略来为我们的网络提供安全防护。其中防火墙是运用非常广泛和效果最好的选择。然而购买了防火墙设备，却不是仅仅装上了硬件就能发挥作用的，而是需要根据你的网络结构和需求在合适的工作模式下配置相应的安全策略，才能满足你的安全需求。由此引出的问题和解决办法就是本文的主要研究对象。 一、防火墙的概况、应用及功能 1、防火墙的定义 所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。 在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)
7.1.3 静态路由的主要特点 其实就因为静态路由的配置比较简单，决定了静态路由也包含了许多特点。可以说静态路由的配置全由管理员自己说了算，想怎么配就怎么配，只要符合静态路由配置命令格式即可，因为静态路由的算法全在管理员人思想和对静态路由知识的认识中，并不是由路由器IOS系统来完成的。至于所配置的静态路由是否合适，是否能达到你预期的目的那别当别论。在配置和应用静态路由时，我们应当全面地了解静态路由的以下几个主要特点，否则你可能在遇到故障时总也想不通为什么： l 手动配置 静态路由需要管理员根据实际需要一条条自己手动配置，路由器不会自动生成所需的静态路由的。静态路由中包括目标节点或目标网络的IP地址，还可以包括下一跳IP地址（通常是下一个路由器与本地路由器连接的接口IP地址），以及在本路由器上使用该静态路由时的数据包出接口等。 l 路由路径相对固定 因为静态路由是手动配置的，静态的，所以每个配置的静态路由在本地路由器上的路径基本上是不变的，除非由管理员自己修改。另外，当网络的拓扑结构或链路的状态发生变化时，这些静态路由也不能自动修改，需要网络管理员需要手工去修改路由表中相关的静态路由信息。 l 永久存在 也因为静态路由是由管理员手工创建的，所以一旦创建完成，它会永久在路由表中存在的，除非管理员自己删除了它，或者静态路由中指定的出接口关闭，或者下一跳IP 地址不可达。 l 不可通告性
静态路由信息在默认情况下是私有的，不会通告给其它路由器，也就是当在一个路由器上配置了某条静态路由时，它不会被通告到网络中相连的其它路由器上。但网络管理员还是可以通过重发布静态路由为其它动态路由，使得网络中其它路由器也可获此静态路由。 l 单向性 静态路由是具有单向性的，也就是它仅为数据提供沿着下一跳的方向进行路由，不提供反向路由。所以如果你想要使源节点与目标节点或网络进行双向通信，就必须同时配置回程静态路由。这在与读者朋友的交流中经常发现这样的问题，就是明明配置了到达某节点的静态路由，可还是ping不通，其中一个重要原因就是没有配置回程静态路由。 如图7-2所示，如果想要使得PC1（PC1已配置了A节点的IP地址10.16.1.2/24作为网关地址）能够ping通PC2，则必须同时配置以下两条静态路由，具体配置方法在此不作介绍。 图7-2 静态路由单向性示例 ①：在R1路由器上配置了到达PC2的正向静态路由（以PC2 10.16.3.2/24作为目 标节点，以C节点IP地址10.16.2.2/24作为下一跳地址）；
随着人们对网络知识的普及，企业或公司的网络安全性，就变得更加重要起来了。关于网络安全的最可靠方法是加装防火墙。 在这里我讲述一下关于加装防火墙前后的路由配置变化，因为在原先没有防火墙的情况下，路由既起到路由选择的作用，又起到网关的作用。当加装防火墙的后，局域网的网关就设为防火墙的局域网IP地址。要修改路由首先还是先看该网络的拓扑结构。在这里我所描述的是这样拓扑结构： 图1 一、先将进入路由器设置将原来的配置备份一份，虽然这一份备份以后不一定用的上，可是万一防火墙安装失败呢？ 图2
下面为没有安装防火墙以前的路由器配置情况。 User Access Verification Password: （键入TELNET密码，如果你是直接用CONSOLE口进入没有此项提示）Router>en Password: Router#show config （察看ROUTER配置情况命令） Using 810 out of 7506 bytes ! version 12.1 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname Router （ROUTER名字，这里为默认名字ROUTER） ! enable secret 5 $1$FreK$4oQGtvDEF1jv8dh3NNXnN0.
enable password 123456789 （特权密码，当然这是加密的） ! ip subnet-zero ! interface Ethernet0 (配置局域网e0口) ip address 192.168.1.1 255.255.255.0 （e0口在其局域网中对应的ip为 192.168.1.1 ip nat inside 255.255.255.0是表示为C类网络) ! interface Ethernet1 (E1口没有激活,也没有配置) no ip address shutdown ! interface Serial0 bandwidth 2048 ip address 211.97.213.41 255.255.255.252 (此为定义ROUTER外部接口的IP ip nat outside 255.255.255.252表示此合法的INTERNET-IP) encapsulation ppp ! ip nat pool 165 211.97.213.41 211.97.213.46 netmask 255.255.255.248 (isp 给你分配的ip) ip nat inside source list 1 pool 165 overload ip classless ip route 0.0.0.0 0.0.0.0 Serial0 no ip http server
很多网友安装了VMWare虚拟机，但是在虚拟机上网问题上却卡住了。要想虚拟机上网，首先让我们了解一下VMWare虚拟机三种工作模式。现在，让我们一起走近VMWare的三种工作模式。 理解三种工作模式 VMWare提供了三种工作模式，它们是bridged(桥接模式)、NAT(网络地址转换模式)和host-only(主机模式)。要想在网络管理和维护中合理应用它们，你就应该先了解一下这三种工作模式。 1.bridged(桥接模式) 在这种模式下，VMWare虚拟出来的操作系统就像是局域网中的一台独立的主机，它可以访问网内任何一台机器。在桥接模式下，你需要手工为虚拟系统配置IP地址、子网掩码，而且还要和宿主机器处于同一网段，这样虚拟系统才能和宿主机器进行通信。同时，由于这个虚拟系统是局域网中的一个独立的主机系统，那么就可以手工配置它的TCP/IP配置信息，以实现通过局域网的网关或路由器访问互联网。 使用桥接模式的虚拟系统和宿主机器的关系，就像连接在同一个Hub上的两台电脑。想让它们相互通讯，你就需要为虚拟系统配置IP地址和子网掩码，否则就无法通信。 如果是你是局域网上网方式，虚拟机使用网桥连接方式，只要设置虚拟机的IP地址与本机是同一网段，子网、网关、DNS与本机相同就能实现上网，也能访问局域网络。 如果你是拨号上网方式，虚拟机使用此种方式连接，就要在虚拟机内系统建立宽带连接、拨号上网，但是和宿主机不能同时上网。 2.NAT(网络地址转换模式) 使用NAT模式，就是让虚拟系统借助NAT(网络地址转换)功能，通过宿主机器所在的网络来访问公网。也就是说，使用NAT模式可以实现在虚拟系统里访问互联网。NAT模式下的虚拟系统的TCP/IP配置信息是由VMnet8(NAT)虚拟网络的DHCP服务器提供的，无法进行手工修改，因此使用NAT模式虚拟系统也就无法和本地局域网中的其他真实主机进行通讯。 采用NAT模式最大的优势是虚拟系统接入互联网非常简单，你不需要进行任何其他的配置，只需要宿主机器能访问互联网，虚拟机就能访问互联网。 设置上网方式：本机网上邻居属性-->VMnet8属性-->TCP/IP属性-->常规与备用配置都设定为自动获取，虚拟机网上邻居TCP/IP都设定为自动，虚拟网络设置设定如下面图所示 详细步骤： 1.把你的虚拟网卡VMnet8设置为自动获得IP、自动获得DNS 服务器，启用。 如果你想利用VMWare安装一个新的虚拟系统，在虚拟系统中不用进行任何手工配置就能直接访问互联网，建议你采用NAT模式。 注释：以上所提到的NAT模式下的VMnet8虚拟网络，host-only模式下的VMnet1虚拟网络，以及bridged （桥接）模式下的VMnet0虚拟网络，都是由VMWare虚拟机自动配置而生成的，不需要用户自行设置。VMnet8和VMnet1提供DHCP服务，VMnet0虚拟网络则不提供。
计算机网络实验(4B) 实验名称：路由器的基本操作及静态路由配置实验 实验目的：了解路由器的基本结构，功能，使用环境以及基本参数的配置。 实验要求： 1．配置路由器接口的IP地址。 2．设置静态路由。 3. 测试静态路由：ping IP 地址; trace IP 地址 4．写出实验报告 实验准备知识： 一、实验环境的搭建： ?准备 PC 机 2 台，操作系统为 Windows XP ； ?准备Huawei S2501E 路由器 3 台； ?路由器串口线（2对） ?交叉线（或通过交换机的直连线）网线 2条； ? Console电缆2条。 步骤：del 删除各个路由器原有的路由表 ?第一步：设置Router1 [Quidway]SYSNAME R1 ?[R1] interface Ethernet 0 #设置其IP地址 ?[R1-Ethernet0] ip address 10.0.0.2 255.255.255.0 shutdown undo shutdown #激活此以太网口！！（对此口配置了IP地址后用此命令） #进入串口Serial0视图 ?[R1-Ethernet0] interface serial 0 #设置其IP地址
?[R1-Serial0] ip address 20.1.0.1 255.255.255.0 shutdown undo shutdown #激活此串口！！（对此口配置了IP地址后用此命令） #设置链路层协议为PPP ?[R1-Serial0] link-protocol ppp #进入系统视图 ?[R1-Serial0] quit #添加静态路由 ?[R1] ip route-static 40.1.0.0 255.255.255.0 20.1.0.2 preference 60 ##添加静态路由（R2的以太网接口） [R1] ip route-static 50.1.0.0 255.255.255.0 20.1.0.2 preference 60 #保存路由器设置 ?[R1] save #重启路由器 ?[R1] reboot ?第二步：设置Router2 [Quidway]SYSNAME R2 #进入以太网接口视图： ?[R2] interface Ethernet 0 #设置其IP地址 ?[R2-Ethernet0] ip address 50.1.0.2 255.255.255.0 shutdown undo shutdown #激活此以太网口！！！ #进入串口Serial0视图 ?[R2-Ethernet0] interface serial 0 #设置其IP地址 ?[R2-Serial0] ip address 20.1.0.2 255.255.255.0 shutdown undo shutdown #激活此串口！！（对此口配置了IP地址后用此命令） #设置链路层协议为PPP ?[R2-Serial0] link-protocol ppp #进入系统视图 ?[R2-Serial0] quit #进入串口Serial1视图 ?[R2] interface serial 1 #设置其IP地址 ?[R2-Serial1] ip address 30.1.0.1 255.255.255.0 shutdown
Juniper防火墙三种部署模式及基本配置 文章摘要: Juniper防火墙三种部署模式及基本配置Juniper防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是：基于TCP/IP协议三层的NAT模式；基于TCP/IP协议三层的路由模式；基于二层协议的透明模式。1、NAT模式当Juniper防火墙入口接口（“内网端口”）处于NAT模式时，防火墙将通往... Juniper防火墙三种部署模式及基本配置 Juniper防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是： 基于TCP/IP协议三层的NAT模式； 基于TCP/IP协议三层的路由模式； 基于二层协议的透明模式。 1、NAT模式 当Juniper防火墙入口接口（“内网端口”）处于NAT模式时，防火墙将通往 Untrust 区（外网或者公网）的IP 数据包包头中的两个组件进行转换：源 IP 地址和源端口号。 防火墙使用 Untrust 区（外网或者公网）接口的 IP 地址替换始发端主机的源 IP 地址；同时使用由防火墙生成的任意端口号替换源端口号。 NAT模式应用的环境特征： 注册IP地址（公网IP地址）的数量不足；
内部网络使用大量的非注册IP地址（私网IP地址）需要合法访问Internet； 内部网络中有需要外显并对外提供服务的服务器。 2、Route-路由模式 当Juniper防火墙接口配置为路由模式时，防火墙在不同安全区间（例如：Trust/Utrust/DMZ）转发信息流时IP 数据包包头中的源地址和端口号保持不变（除非明确采用了地址翻译策略）。与NAT模式下不同，防火墙接口都处于路由模式时，防火墙不会自动实施地址翻译； 与透明模式下不同，当防火墙接口都处于路由模式时，其所有接口都处于不同的子网中。 路由模式应用的环境特征： 防火墙完全在内网中部署应用； NAT模式下的所有环境； 需要复杂的地址翻译。 3、透明模式 当Juniper防火墙接口处于“透明”模式时，防火墙将过滤通过的IP数据包，但不会修改 IP 数据包包头中的任何信息。防火墙的作用更像是处于同一VLAN的2 层交换机或者桥接器，防火墙对于用户来说是透明的。
————如何配置防火墙4000透明工作模式———— 1、假设你已经通过串口初始化了防火墙4000（配置接口IP、GUI 登录权限等）， 并按照以上拓扑图连接好网络； 2、要求：客户端所在的Intranet区域与服务器端所在的SSN区域通过透明方式 （交换模式）进行通信。实现方式如下： 3、在防火墙管理器中选取“对象管理”→“透明网络”菜单，将弹出透明网络 定义界面；输入需建立的透明网络名称如“transport”，将需要透明传输的接口区域(如服务器端所在的SSN区域和客户端所在的Intranet区域)加入到“统一广播域的网络”中即可；如下图： 4、也可以通过串口登录到防火墙上，使用命令行方式进行设置，命令如下： vlan add transport –a ‘intranet’‘internet’
以上是以测试要求定义的命令格式，完整的配置格式请参见帮助信息。 5、最后在相应访问目的区域中增加访问策略既可。 ————如何配置防火墙4000路由工作模式———— 1、假设你已经通过串口初始化了防火墙4000（配置接口IP、GUI 登录权限等）， 并按照以上拓扑图连接好网络； 2、要求：客户端所在的Intranet区域（eth2）与服务器端所在的SSN（eth0） 区域通过路由方式进行通信; 3、由于防火墙缺省情况下的通讯策略就是使用路由模式的，因此在配置防火墙 的路由工作模式的时候，只需要配置相应的接口地址，本例中就只需要配置eth2和eth0的接口地址，并在相应访问目的区域中增加访问策略既可。 ————如何配置防火墙4000混合工作模式———— 路由 eth1 1、假设你已经通过串口初始化了防火墙4000（配置接口IP、GUI 登录权限等）， 并按照以上拓扑图连接好网络； 2、要求：客户端所在的Intranet区域（eth2）与服务器端所在的SSN（eth0） 区域通过透明方式(交换模式)进行通信，客户端所在的Intranet区域（eth2）
部署防火墙的步骤 部署防火墙的步骤一#转换特权用户pixfirewall>ena pixfirewall# #进入全局配置模式 pixfirewall# conf t #激活内外端口 interface ethernet0 auto interface ethernet1 auto #下面两句配置内外端口的安全级别 nameif ethernet0 outside security0 nameif ethernet1 inside security100 #配置防火墙的用户信息 enable password pix515 hostname pix515 domain-name domain #下面几句配置内外网卡的ip地址 ip address inside 192.168.4.1 255.255.255.0 ip address outside 公网ip 公网ip子网掩码global (outside) 1 interface nat (inside) 1 192.168.4.0 255.255.255.0 0 0
#下面两句将定义转发公网ip的ssh和www服务到192.168.4.2 static (inside,outside) tcp 公网ip www 192.168.4.2 www netmask 255.255.255.255 0 0 static (inside,outside) tcp 公网ip ssh 192.168.4.2 ssh netmask 255.255.255.255 0 0 #下面两句将定义外部允许访问内部主机的服务 conduit permit tcp host 公网ip eq www any conduit permit tcp host 公网ip eq ssh 信任ip 255.255.255.255 #允许内部服务器telnet pix telnet 192.168.4.2 255.255.255.0 inside #下面这句允许ping conduit permit icmp any any #下面这句路由网关 route outside 0.0.0.0 0.0.0.0 公网ip网关 1 #保存配置 write memory 部署防火墙的步骤二步骤一：安装程序时 许多程序在安装时都要求关闭防火墙(如wps office 2003)。有些程序虽然并未直接明示，但若不及时关闭，就有可能造成安装失败，比如弹出“读取错误”、“安装*.exe出错”等信息，或者干脆死机，或者安装上去之后不能正常使用。笔者在安装金山影霸、office xp等程序时已经屡经验证。
路由器防火墙配置命令 一、access-list 用于创建访问规则。 （1）创建标准访问列表 access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ] （2）创建扩展访问列表 access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-无效[ icmp-code ] ] [ log ] （3）删除访问列表 no access-list { normal | special } { all | listnumber [ subitem ] } 【参数说明】 normal 指定规则加入普通时间段。 special 指定规则加入特殊时间段。 listnumber1 是1到99之间的一个数值，表示规则是标准访问列表规则。 listnumber2 是100到199之间的一个数值，表示规则是扩展访问列表规则。 permit 表明允许满足条件的报文通过。 deny 表明禁止满足条件的报文通过。 protocol 为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较的概念；为IP时有特殊含义，代表所有的IP协议。 source-addr 为源地址。 source-mask 为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为0.0.0.0。 dest-addr 为目的地址。 dest-mask 为目的地址通配位。 operator[可选] 端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较操作
路由模式_简介 设备以路由模式部署时，AC的工作方式与路由器相当，具备基本的路由转发及NAT功能。一般在客户还没有相应的网关设备，需要将AC做网关使用时，建议以路由模式部署。 路由模式下支持AC所有的功能。 如果需要使用NAT、VPN、DHCP等功能时，AC必须以路由模式部署，其它工作模式不支持实现这些功能。 路由模式_部署指导 首选需要了解用户的实际需求，以下几种情况必须使用路由模式部署： 1、用户必须要用到AC的VPN、NAT（代理上网和端口映射）、DHCP这几个功能。 2、用户在新规划建设的网络中来部署AC，想把AC当作一台网关设备部署在网络出口处。 3、用户网络中已有防火墙或者路由器了，但出于某方面的原因想用AC替换掉原有的防火墙或者路由器并代理内网用户上网。 路由模式_基本配置思路 1、网口配置：确定设备外网口及地址信息，如果是固定IP，则填写运营商给的IP地址及网关；如果是ADSL
拔号上网，则填写运营商给的拔号账号和密码；确定内网口的IP地址信息； 2、确定内网是否为多网段网络环境，如果是的话需要添加相应的回包路由，将到内网各网段的数据回指给设备下接的三层设备。 3、用户是否需要通过AC设备上网，如果是的话，需要设置代理上网规则，填写需要代理上网的内网网段。 网桥模式_简介 设备以网桥模式部署时对客户原有的网络基本没有改动。网桥模式部署AC时，对客户来说AC就是个透明的设备，如果因为AC自身的原因而导致网络中断时可以开启硬件bypass功能，即可恢复网络通信。 网桥模式部署时AC不支持NAT（代理上网和端口映射）、VPN、DHCP功能，除此之外AC的其它功能如URL 过滤、流控等均可实现。 网桥模式部署时AC支持硬件bypass功能（其它模式部署均没有硬件bypass)。 网桥模式_2种类型 1、网桥多网口：网桥多网口是指设备只做一个网桥，
路由器防火墙的设置方法 对于大多数企业局域网来说，路由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数网络都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。 经过恰当的设置，边缘路由器能够把几乎所有的最顽固的坏分子挡在网络之外。如果你愿意的话，这种路由器还能够让好人进入网络。不过，没有恰当设置的路由器只是比根本就没有安全措施稍微好一点。 在下列指南中，我们将研究一下你可以用来保护网络安全的9个方便的步骤。这些步骤能够保证你拥有一道保护你的网络的砖墙，而不是一个敞开的大门。 1.修改默认的口令! 据卡内基梅隆大学的CERT/CC(计算机应急反应小组/控制中心)称，80%的安全突破事件是由薄弱的口令引起的。网络上有大多数路由器的广泛的默认口令列表。你可以肯定在某些地方的某个人会知道你的生日。https://www.doczj.com/doc/a315125385.html,网站维护一个详尽的可用/不可用口令列表，以及一个口令的可靠性测试。 2.关闭IP直接广播(IP Directed Broadcast) 你的服务器是很听话的。让它做什么它就做什么，而且不管是谁发出的指令。Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网络广播地址发送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网络性能。 参考你的路由器信息文件，了解如何关闭IP直接广播。例如，“Central(config)#no ip source-route”这个指令将关闭思科路由器的IP直接广播地址。 3.如果可能，关闭路由器的HTTP设置 正如思科的技术说明中简要说明的那样，HTTP使用的身份识别协议相当于向整个网络发送一个未加密的口令。然而，遗憾的是，HTTP协议中没有一个用于验证口令或者一次性口令的有效规定。 虽然这种未加密的口令对于你从远程位置(例如家里)设置你的路由器也许是非常方便的，但是，你能够做到的事情其他人也照样可以做到。特别是如果你仍在使用默认的口令!如果你必须远程管理路由器，你一定要确保使用SNMPv3以上版本的协议，因为它支持更严格的口令。 4.封锁ICMP ping请求 ping的主要目的是识别目前正在使用的主机。因此，ping通常用于更大规模的协同性攻击之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”(script kiddies)。 请注意，这样做实际上并不能保护你的网络不受攻击，但是，这将使你不太可能成为一个攻击目标。 5.关闭IP源路由 IP协议允许一台主机指定数据包通过你的网络的路由，而不是允许网络组件确定最佳的路径。这个功能的合法的应用是用于诊断连接故障。但是，这种用途很少应用。这项功能最常用的用途是为了侦察目的对你的网络进行镜像，或者用于攻击者在你的专用网络中寻找一个后门。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。
防火墙选型参考 大多数人也许不明白，普通会话数会有几千到几十万不等，那么是不是内网中的机器数量跟会话数有直接联系呢？想到这里，其实答案马上就能出来了。举例说明，一个并发会话数代表一台机器打开的一个窗口或者一个页面。那么内网中一台机器同时开很多页面，并且聊天工具或者网络游戏同时进行着，那么这一台机器占用的会话数就会有几十到几百不等。内网中同时在线的机器数量越多，需要的会话数就越多。所以，根据防火墙的型号不同，型号越大，并发会话数就会越多。 在一些防火墙中还有另外一个概念，那就是每秒新建会话数。假设在第一时间，已经占用了防火墙的全部会话数，在下一秒，就要等待防火墙处理完之前不需要的会话数才能让需要的人继续使用剩余的会话数。那么这个每秒新增会话数就很重要了。如果每秒新增会话数不够的话，剩下的人就要等待有新的会话数出来。那么就会体现为上网速度很慢。了解了这一情况，选购者就不会承担这个防火墙导致网速变慢的黑锅了。 性能 防火墙的性能对于一个防火墙来说是至关重要的，它决定了每秒钟可能通过防火墙的最大数据流量，以bps为单位。从几十兆到几百兆不等，千兆防火墙还会达到几个G的性能。关于性能的比较，参看防火墙的彩页介绍就可以比较的出来，比较明了。 工作模式 目前市面上的防火墙都会具备三种不同的工作模式，路由模式、NA T模式还有透明模式。 透明模式时，防火墙过滤通过防火墙的封包，而不会修改数据包包头中的任何源或目的地信息。所有接口运行起来都像是同一网络中的一部分。此时防火墙的作用更像是Layer 2(第2层)交换机或桥接器。在透明模式下，接口的IP地址被设置为0.0.0.0，防火墙对于用户来说是可视或"透明"的。 处于"网络地址转换(NA T)"模式下时，防火墙的作用与Layer 3(第3层)交换机(或路由器)相似，将绑定到外网区段的IP封包包头中的两个组件进行转换：其源IP地址和源端口号。防火墙用目的地区段接口的IP地址替换发送封包的主机的源IP地址。另外，它用另一个防火墙生成的任意端口号替换源端口号。 路由模式时，防火墙在不同区段间转发信息流时不执行NA T；即，当信息流穿过防火墙时，IP封包包头中的源地址和端口号保持不变。与NAT不同，不需要为了允许入站会话到达主机而建立路由模式接口的映射和虚拟IP地址。与透明模式不同，内网区段中的接口和外网区段中的接口在不同的子网中。 管理界面 管理一个防火墙的方法一般来说是两种：图形化界面(GUI)和命令行界面(CLI)。 图形界面最常见的方式是通过web方式(包括http和https)和java等程序编写的界面进行远程管理；命令行界面一般是通过console口或者telnet/ssh进行远程管理。 接口 防火墙的接口也分为以太网口(10M)、快速以太网口(10/100M)、千兆以太网口(光纤接口)三种类型。防火墙一般都预先设有具有内网口、外网口和DMZ区接口和默认规则，有的防火墙也预留了其它接口用于用户自定义其它的独立保护区域。防火墙上的RS232 Console口主要用于初始化防火墙时的进行基本的配置或用于系统维护。另外有的防火墙还有可能提供PCMCIA插槽、IDS镜像口、高可用性接口(HA)等，这些是根据防火墙的功能来决定的。 策略设置 防火墙提供具有单个进入和退出点的网络边界。由于所有信息流都必须通过此点，因此可以筛选并引导所有通过执行策略组列表(区段间策略、内部区段策略和全局策略)产生的信息流。 策略能允许、拒绝、加密、认证、排定优先次序、调度以及监控尝试从一个安全区段流到另一个安全区段的信息流。可以决定哪些用户和信息能进入和离开，以及它们进入和离开的时间和地点。 简单的说，防火墙应该具有灵活的策略设置，针对源和目的IP地址、网络服务以及时间几个方面实施不同的安全策略。 内容过滤
郑州大学信息工程学院实验报告 年级专业班 姓名学号 指导教师成绩 2009年月日 实验名称实验三路由器的基本配置与静态路由配置 【实验目的】 1.掌握路由器命令行各种操作模式的区别，以及模式之间的切换。 2.掌握路由器的全局的基本配置。 3.掌握路由器端口的常用配置参数。 4.查看路由器系统和配置信息，掌握当前路由器的工作状态。 5.掌握通过静态路由方式实现网络的连通性。 【背景描述】 背景描述1 你是某公司新进的网管，公司要求你熟悉网络产品，公司采用全系列锐捷网络产品，首先要求你登录路由器，了解、掌握路由器的命令行操作。 背景描述2 你是某公司新进的网管，公司有多台路由器，为了进行区分和管理，公司要求你进行路由器设备名的配置，配置路由器登录时的描述信息。 背景描述3 你在一家网络工程公司就职，负责组建一个省级广域网络。现项目经理要求你根据实际网络需求，对路由器的端口配置基本的参数。 原理说明：锐捷路由器接口Fastethernet接口默认情况下是10M/100M自适应端口，双工模式也为自适应，并且在默认情况下路由器物理端口处于关闭状态。路由器提供广域网接口（serial高速同步串口），使用V.35线缆连接广域网接口链路。在广域网连接时一端为DCE（数据通信设备），一端为DTE（数据终端设备）。要求必须在DCE端配置时钟频率（clock rate）才能保证链路的连通。在路由器的物理端口可以灵活配置带宽，但最大值为该端口的实际物理带宽。 背景描述4 你是某公司新网管，第一天上班时，你必须掌握公司路由器的当前工作情况，通过查看路由器的系统信息和配置信息，了解公司的设备和网络环境。 背景描述5 假设校园网通过1台路由器连接到校园外的另1台路由器上，现要在路由器上做适当配置，实现校园网内部主机与校园网外部主机的相互通信。静态路由在拓扑结构简单的网络中，网管员通过手工的方式配置本路由器未知网段的路由信息，从而实现不同网段之间的连接。 【实现功能】 1.熟练掌握路由器的命令行操作模式 2.配置路由器的设备名称和每次登录路由器时提示相关信息。
华为路由器防火墙配置 一、access-list 用于创建访问规则。 (1)创建标准访问列表 access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ] (2)创建扩展访问列表 access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source- mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ] (3)删除访问列表 no access-list { normal | special } { all | listnumber [ subitem ] } 【参数说明】 normal 指定规则加入普通时间段。 special 指定规则加入特殊时间段。 listnumber1 是1到99之间的一个数值，表示规则是标准访问列表规则。 listnumber2 是100到199之间的一个数值，表示规则是扩展访问列表规则。 permit 表明允许满足条件的报文通过。 deny 表明禁止满足条件的报文通过。 protocol 为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较 的概念;为IP时
有特殊含义，代表所有的IP协议。 source-addr 为源地址。 source-mask 为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为0.0.0.0。 dest-addr 为目的地址。 dest-mask 为目的地址通配位。 operator[可选] 端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较操作有:等于(eq) 、大于(gt)、小于(lt)、不等于(neq)或介于(range);如果操作符为range，则后面需要跟两个 端口。 port1 在协议类型为TCP或UDP时出现，可以为关键字所设定的预设值(如telnet)或0~65535之间的一个 数值。 port2 在协议类型为TCP或UDP且操作类型为range时出现;可以为关键字所设定的预设值(如telnet)或 0~65535之间的一个数值。 icmp-type[可选] 在协议为ICMP时出现，代表ICMP报文类型;可以是关键字所设定的预设值(如echo- reply)或者是0~255之间的一个数值。 icmp-code在协议为ICMP且没有选择所设定的预设值时出现;代表ICMP码，是0~255之间的一个数值。 log [可选] 表示如果报文符合条件，需要做日志。 listnumber 为删除的规则序号，是1~199之间的一个数值。