防火墙设置2 Visio 绘图贵师大信管郑波

防火墙包过滤规则配置实验1、实验网络连接图192.168.1X.2Web Server202.198.3X.2 Mail Server192.168.1X.3192.168.2X.22、实验步骤步骤1：在防火墙上按照上图的要求对接口进行配置；步骤2：在防火墙上按下面安全策略的要求对包过滤规则进行配置：—允许LAN 上任何设备访问通过80端口访问DMZ中的Web Server;—允许LAN 上任何设备访问通过25和110端口访问DMZ中的Mail Server; —允许LAN 上任何设备访问通过ICMP协议访问DMZ中的任何设备;—允许LAN 上任何设备访问Internet;—允许Internet 上的任何设备通过80端口访问DMZ中的Web Server;—允许Internet 上的任何设备通过25和110端口访问DMZ中的Mail Server; —拒绝Internet 上的任何设备通过任何端口访问LAN；—拒绝Internet 上的任何设备通过其它任何端口访问DMZ；—拒绝DMZ 上的任何设备通过任何其它端口访问LAN和Internet；步骤3：测试网络路由的连通性：按照上述规则要求，用ping 、telnet和浏览器测试各设备之间的连通性。

防火墙静态地址转换（NAT）配置实验1、实验网络连接图192.168.1X.2Web Server202.198.3X.2 Mail Server192.168.1X.3192.168.2X.22、实验步骤步骤1：在防火墙上按照上图的要求对接口进行配置；步骤2：在防火墙上按下面静态地址转换要求进行配置：—允许Internet 上的任何设备通过IP为202.198.3X.100，端口为80访问DMZ 中的Web Server;—允许Internet 上的任何设备通过IP为202.198.3X.101，端口为25和110端口访问DMZ中的Mail Server;步骤3：测试网络路由的连通性：按照上述规则要求，用ping 、telnet和浏览器测试各设备之间的连通性。

网神配置说明技术部2010年4月1日1.文档说明本文档由圣博润技术部编写，主要解决网络接入认证与网神防火墙EPS功能模块结合后的配置问题，可以作为重要的参考性文件。

实现目标：通过认证的合法主机可以访问内网，未通过认证的非法主机禁止访问内网，并将非法主机重定向到指定页面。

2.网络环境图一（混合模式）3.防火墙配置1)预先导入管理证书（登入设备时需要该证书访问）——SecGateAdmin.p12，导入时所有步骤都是默认，私钥密码为：123456。

2)在IE地址栏中敲入：https://10.50.10.45:8889进行登入，默认密码为：firewall（IP地址为设备出厂默认地址）。

3)选择系统配置→升级许可，观察网神防火墙版本及许可文件最后终止时间，如下图：如果发现许可证失效，请及时申请license。

4)点击管理配置→添加管理主机（只允许此IP地址管理防火墙），如下图：5)点击网络配置→选择网络接口→将内网口FE3、外网口FE2设置为混合模式，如下图：6)选择接口IP，将FE3口IP地址为192.168.0.228,并允许所有主机PING,如下图：7)选择对象定义→选择地址列表，，设定需要对哪些网段或IP地址进行认证（未定义的地址，将不受网关的影响）如图一；在“地址组”中，可以将多个网段地址进行归类，如图二。

图一图二8)选择对象定义→选择服务列表，将UDP 55555端口，添加至此列表并命名为lansecs,如下图：9)选择安全策略→添加安全规则→源地址any,目的地址any ,服务可以是any或lansecs，如下图：10)选择“安全策略”→“URL重定向”，对指定的IP/网段进行认证过滤，未认证的将被重新定向到指定的地址。

如下图：11)选择“安全策略”→“EPS配置”，→启用EPS联动，如下图：。

一旦添加了某个程序或端口，它在“程序和服务”列表中就被默认禁用。
在“异常”选项卡上启用的所有程序或服务对“高级”选项卡上选择的所有连接都处于启用状态。
“高级”选项卡设置
“高级”选项卡
“高级”选项项：
•网络连接设置
•安全日志
•ICMP（Internet控制报文协议）
•通过单击网络连接名称，然后单击“设置”，配置单独的网络连接的高级配置。
如果清除“网络连接设置”中的所有复选框，那么Windows防火墙就不会保护用户的计算机，而不管用户是否在“常规”选项卡上选中了“启用（推荐）”。如果用户在“常规”选项卡上选中了“不允许例外”，那么“网络连接设置”中的设置将被忽略，这种情况下所有接口都将受到保护。
•采用Netsh和组策略的新增配置选项
Windows XP（SP2之前的版本）中的ICF设置包含单个复选框（在“本地连接”属性的“高级”选项卡上“通过限制或阻止来自Internet对此计算机的访问来保护我的计算机和网络”复选框）和一个“设置”按钮，用户可以使用该按钮来配置流量、日志设置和允许的ICMP流量。
在“ICMP”对话框中，用户可以启用和禁用Windows防火墙允许在“高级”选项卡上选择的所有连接传入的ICMP消息的类型。ICMP消息用于诊断、报告错误情况和配置。默认情况下，该列表中不允许任何ICMP消息。
诊断连接问题的一个常用步骤是使用Ping工具检验用户尝试连接到的计算机地址。在检验时，用户可以发送一条ICMP Echo(回显命令)消息，然后获得一条ICMP Echo Reply消息作为响应。默认情况下，Windows防火墙不允许传入ICMP Echo消息，因此该计算机无法发回一条ICMP Echo Reply消息作为响应。为了配置Windows防火墙允许传入的ICMP Echo消息，用户必须启用“允许传入的echo请求”设置。

（信息技术）贵州大学信息安全技术实验指导书电子科学和信息技术学院《信息安全技术》实验指导书蒋朝惠编写适用专业:通信工程、网络工程贵州大学二OO六年八月前言随着近年来计算机和网络的迅速普及，给我国经济发展和社会进步带来了前所未有的机遇。

但不容乐观的是，来自网络安全的威胁也日趋严重。

例如，近年来多次于全球范围内爆发的蠕虫病毒，对社会经济造成了巨大的损失，因而，信息安全问题已经成为制约社会信息化发展的壹个瓶颈。

面对这壹现状，如何提高我国的信息安全建设水平和网络安全的防范意识，已成为全社会共同关注的问题。

为适应这壹形式，教育部从2000年开始批准于高校中建立信息安全及其关联本科专业，以期为社会培养更多精通安全技术的专业人才。

为了加深他们对信息安全知识的了解，进壹步培养于信息安全方面的动手能力和感性认识，特编写了这个指导书。

学生应认真阅读《信息安全技术》课件中的和实验关联的章节内容，提前做好实验预习，做到每个实验前明确实验目的、掌握实验的基本内容及操作方法；于实验中正确使用实验设备，认真观察实验结果；实验后根据要求做好总结，上交实验方案。

目录实验壹：常用信息安全工具的使用4实验二：防火墙配置和使用7实验三：Snort入侵检测系统的配置和使用10实验四：木马攻击和防范18实验方案的基本内容及要求27贵州大学实验方案28实验壹：常用信息安全工具的使用实验学时：2实验类型：验证实验要求：必修壹、实验目的1、理解且掌握基于网络的信息安全概念和原理2、熟悉嗅探、网络漏洞扫描等常用工具的安装、配置和使用。

二、实验内容1、利用嗅探器监视网络上的信息（数据包），分析网络性能和故障。

2、利用嗅探器监视网络上的信息窃听用户的账号和密码信息。

3、利用网络端口扫描器发现网络系统的安全漏洞。

三、实验原理、方法和手段1、Sniffer工具嗅探Sniffer即网络嗅探器，用于监听网络中的数据包，分析网络性能和故障。

通常于同壹个网段的所有网络接口均有访问于物理媒体上传输的所有数据的能力，而每个网络接口均仍应该有壹个硬件地址，该硬件地址不同于网络中存于的其他网络接口的硬件地址，同时，每个网络至少仍要壹个广播地址（代表所有的接口地址），于正常情况下，壹个合法的网络接口应该只响应目的地址是自己硬件地址或者自己所处网段的广播地址的数据帧，同时丢弃不是发给自己的数据帧。