天融信防火墙配置手册概述

STEP2:通过软件登陆Firewall 打开防火墙配置软件“TOPSEC集中管理器”， ‘新建项 目’，输入防火墙本区域端口IP地址，登陆到防火墙。查看防 火墙 “基本信息” 和“实时监控”， 了解其他各菜单 功能。 说明：登陆下列其中一个用户：user1/2/3/4/5/6/7/8/9/10, 口令为：123456 防火墙配置一般有三种方式： B/S配置 ,C/S配置,Console口配置. 本实验防火墙采用C/S方式。
• Web 站 点 访 问 过 滤
– 限 制 对 非 本 企 业 业 务 目 的 的 Internet 资 源 的 访 问
Web Site Filter
Intranet 内部网络
大门
Βιβλιοθήκη Baidu
实 验 室 分 布 情 况
SSN区域 Internet区域
Intranet区域
Internet
实验网络结构图
Web e-mail FTP
网关：192.168.1.250
上半部份
一、通过防火墙的路由功能实现访问控制，操作步骤如下： STEP1:线路连接 根据图示设置主机IP地址(注意主机IP与连接的防火墙端口地址为同一网 段，不能与连接的防火墙端口地址冲突)，设置防火墙本区域端口IP地址 为主机网关地址。 测试能否PING通防火墙端口IP地址。
DMZ 区
2.250 1.250
6.250
Internet 外网 192.168.6.50/60
192.168.2.50/60/70/80/90 网关：192.168.2.250
网关：192.168.6.250
防火墙 路由模式 访问控制 测试结构
Intranet 内网 192.168.1.50/60/70/80/90
防火墙在企业网的接入
Internet

防火墙

Connection to outside network 防火墙 FireWall
Web e-mail FTP
为网络用户提供安全 的 Internet 接 入
DMZ WEB服务层 Connection to inside network
Connection to www network
天融信防火墙配置 实训手册
Http://www.hwadee.com
华迪信息.网络工程中心
防火墙形态
类似于一台路由器设备，是一台特殊的计算机。
配置目标
以天融信防火墙(TOPSEC FireWall ARES－M)为实例，来测试防火墙各 区域的访问控制机制：
目标一： 了解访问策略的原理与作用。通过设置访问策略，测试Intranet（企 业内联网）,SSN（安全服务区，即DMZ（非军事区）,Internet（互联网） 区域之间访问控制机制。 目标二： 了解NAT原理与作用。测试内网通过NAT方式相互访问。并通过NAT 访问因特网，过滤特定网站和特定网页。 目标三： 了解MAP原理与作用。测试外网通过MAP访问企业内部服务器。 了解防火墙三种接入模式。
区域之间缺省权限的设置
STEP3: 防火墙区域缺省权限设置 ‘网络’→‘区域’→ 防火墙三个区域→ ‘缺省访问权限’设为允许访 问。 操作说明：选择“可读、可写、可执行”选项，表示为允许访问。 本机PING其他区域内主机，测试连通性。 ‘网络’→‘区域’→ 防火墙三个区域→ ‘缺省访问权限’设为禁止访 问。 操作说明：不选择“可读、可写、可执行”选项，表示为禁止访问。 本机PING其他区域内主机，测试连通性。 第四个区域area_4为该软件上带的区域名，可不管,实际硬件上没有。 缺省访问权限是指区域之间主机的默认权限。 如果是PING本区域内主机，由于是通过交换机进行通信，防火墙不能控 制同一区域主机之间的权限，本区域内主机是能够连通的。
访问控制测试
2) 在本区域内增加‘包过滤策略’，建立禁止对方主机（策略源）访
问本机（策略目的）的访问策略，测试对方区域的主机到本机的连通性。
说明： 必须针对不同区域设置访问权限，同一区域内的主机防火墙是
不能控制权限的，设置的策略也是无用的。 3) 禁止其他区域主机访问本机135-139及445,7626,4006，1027， 6267，8080端口（任选其一设置）。 ‘策略服务’在都不选择的情况下，为任何服务，包括所有协议所有 端口。
‘策略服务’在都选择的情况下，表示只对所选择的服务进行访问控
制。 访问策略优先级高于区域默认权限策略的优先级（STEP3已设置）。
每个访问策略都是单向访问，只有策略源对象访问到策略目的对象。
两个不同区域主机如需要相互访问，则需要建立两个策略。
主机节点对象的建立
接下来在防火墙三个区域‘缺省权限’设为‘禁止访问’的情况下， 做以下步骤： STEP4: 主机节点对象建立 高级管理→网络对象→本主机所在区域→定义新对象→定义节点 把本主机IP地址定义为一个节点。定义名称可任意，物理地址可不 填。 说明：定义对象应在该对象所在区域内设置。本机在哪个区域，则在 那个区域内设置。定义节点针对一个主机定义，定义子网可定义一个网 络地址段。定义对象没有任何权限的作用，只有通过访问策略（STEP5 设置）调用这些对象才能设置权限。
防火墙访问控制过滤机制－包过滤示意图
缺省访问权限（允许/禁止）
数据包
数据包
源地址 过滤 一条访问策略规则： 源对象 策略服务
目的 地址 过滤
协议 过滤
协议 端口 过滤
应用层 过滤
时间策略 目的对象
访问控制 允许/拒绝
http,ftp,smtp等
访问控制测试
STEP5 :区域之间主机权限策略设置，测试访问控制 1) 首先明确源主机、目标主机,访问控制是针对源到目 的的访问。 然后在‘高级管理’→‘访问策略’→需要访问的目标 主机所在区域内‘增加’→‘包过滤策略’，策略源为访问 端（只选择本机节点），策略目的为被访问端（只选择其他 区域某节点），策略服务为PING，访问控制设为允许。注 意策略源和目的只选择节点，针对主机进行权限设置。 通 过PING 对方主机测试连通性。 特别注意：访问策略应在被访问对象所在的目标区域设 置策略。如：访问SSN区域内主机，则应在SSN区域内设 置策略。