H3C 防火墙 网络实验报告

防火墙配置
【实验目的】
1．掌握防火墙的基本配置。

2．掌握防火墙包过滤配置。

3．掌握防火墙黑名单、MAC绑定的配置
【实验环境】
H3C secpath系列防火墙一台、3100系列交换机两台、PC机4台，网线若干。

【实验原理】
一、防火墙简介
在大厦构造中，防火墙被设计用来防止火从大厦的一部分传播到另一部分。

网络的防火墙服务于类似目的：防止Internet的危险传播到内部网络。

防火墙一方面阻止来自Internet对受保护网络的未授权或未认证的访问，另一方面允许内部网络的用户对Internet进行Web访问或收发E-mail等。

防火墙也可以作为一个访问Internet的权限控制关口，如允许内部网络的特定用户访问Internet。

防火墙不单用于对Internet的连接，也可以用来在组织网络内部保护大型机和重要的资源（如数据）。

对受保护数据的访问都必须经过防火墙的过滤，即使网络内部用户要访问受保护的数据，也要经过防火墙。

二、防火墙的安全特性
1、基于访问控制列表（ACL）的包过滤
ACL/包过滤实现对IP数据包的过滤，对防火墙需要转发的数据包，先获取数据包的包头信息，包括IP层所承载的上层协议的协议号，数据包的源地址、目的地址、源端口和目的端口等，然后和设定的ACL规则进行比较，根据比较的结果决定对数据包进行转发或者丢弃。

2、黑名单
黑名单，指根据报文的源IP地址进行过滤的一种方式。

同基于ACL的包过滤功能相比，由于黑名单进行匹配的域非常简单，可以以很高的速度实现报文的190
过滤，从而有效地将特定IP地址发送来的报文屏蔽。

黑名单最主要的一个特色是可以由防火墙动态地进行添加或删除，当防火墙中根据报文的行为特征察觉到特定IP地址的攻击企图之后，通过主动修改黑名单列表从而将该IP地址发送的报文过滤掉。

因此，黑名单是防火墙一个重要的安全特性。

黑名单分为静态和动态两种。

静态黑名单需要手动将IP地址添加到黑名单表中。

动态黑名单是和地址扫描、端口扫描的攻击防范结合到一起的。

3、MAC和IP地址绑定
MAC和IP地址绑定，指防火墙可以根据用户的配置，在特定的IP地址和MAC地址之间形成关联关系。

对于声称从这个IP地址发送的报文，如果其MAC 地址不是指定关系对中的地址，防火墙将予以丢弃，是避免IP地址假冒攻击的一种方式。

4、防火墙的攻击防范功能
防火墙的攻击防范功能能够检测出多种类型的网络攻击，如IP地址欺骗、地址扫描与端口扫描、SYN Flood攻击、Ping of Death攻击等等，并能采取相应的措施保护内部网络免受恶意攻击，保证内部网络及系统的正常运行
5、Web和邮件过滤
防火墙支持Web和邮件过滤，以阻止内部用户访问非法的网址或访问含有非法内容的网页，防止内网用户向外网非法邮件地址发送邮件或向外发送与工作无关的邮件。

同时，邮件过滤也能防止外部向内部发送邮件。

6、安全区域
防火墙使用安全区域的概念来表示与其相连接的网络。

防火墙预先定义了四个安全区域，这些安全区域也称为系统安全区域，分别为Local区域、Trust区域、Untrust区域和DMZ区域。

这些区域分别代表了不同的安全级别，安全级别由高到低依次为Local、Trust、DMZ、Untrust。

可以为安全区域设置一个优先级，优先级数值越高，表示此区域的安全性越高。

缺省情况下，Local区域的优先级为100，Trust区域的优先级为85，Untrust 区域的优先级为5，DMZ区域的优先级为50。

系统定义的这些区域的优先级是
191
不能被更改的。

若要实现防火墙和其它设备的互通，必须将相应的接口添加到某一安全区域中。

三、防火墙的其它特性
1、地址转换（NAT）
2、动态主机配置协议DHCP
3、OSPF
4、虚拟私有网（Virtual Private Network）VPN
5、服务质量（Quality of Service，QoS）
【命令介绍】
1、包过滤防火墙配置
①使能或禁止包过滤防火墙
系统视图下：
②设置防火墙缺省过滤方式
设置防火墙的缺省过滤方式，即在没有一个合适的规则去判定用户数据包是否可以通过的时候，防火墙采取的策略是允许还是禁止该数据包通过。

系统视图下：
2、ACL配置
①创建一个访问控制列表
【视图】系统视图
acl number acl-number
192
②配置ACL规则
【视图】高级访问控制列表视图
rule [ rule-id ] { deny | permit } protocol [ rule-string ]
③将访问控制列表应用到相应的接口上
【视图】接口视图
firewall packet-filter acl-number { inbound | outbound }
3、配置黑名单
①配置静态黑名单
②配置动态黑名单
4、配置MAC绑定
5、安全区域配置
①进入安全区域视图
在系统视图下：
193
②为安全区域添加接口
在区域视图下：
【实验内容】
实验1 防火墙的基本配置
1、实验拓扑图
2、实验步骤
①按拓扑图，把两台PC机分别连接到防火墙的LAN口和WAN口。

并按拓扑图把设备的各接口地址配置好相应的IP地址。

②分别检查PC1与防火墙的LAN口、PC2与防火墙的WAN口的连通性，并把结果记录在实验报告中。

③设置防火墙缺省过滤方式为允许通过，并把防火墙的LAN接口加入到安全区域Trust中。

这时检查再PC1与防火墙的LAN口的连通性，并把结果记录在实验报告中。

④把防火墙的WAN接口加入到安全区域Untrust中,检查PC2与防火墙的WAN口的连通性，以及PC1和PC2的连通性，并把结果记录在实验报告中。

实验2 包过滤防火墙的配置
1、实验拓扑图
194
2、模拟环境：
该公司通过一台SecPath防火墙的接口Ethernet2/0访问Internet，防火墙与内部网通过以太网接口Ethernet1/0连接。

公司内部对外提供FTP服务，公司内部子网为129.38.1.0，其中，内部FTP服务器地址为129.38.1.1，公司对外地址为202.38.160.1。

在防火墙上配置了地址转换，这样内部PC1机可以访问Internet，外部PC3可以访问内部服务器。

通过配置防火墙，希望实现以下要求：外部网络只有特定用户可以访问内部服务器。

内部网络只有特定主机可以访问外部网络。

假定外部特定用户的IP地址为202.38.160.1 。

3、实验步骤
①按拓扑图把所有设备连接好，并完成各接口的IP地址配置。

②使能包过滤防火墙，并设置防火墙缺省过滤方式为允许包通过。

③创建访问控制列表3001，配置规则允许特定主机访问外部网，允许内部服务器访问外部网。

④创建访问控制列表3002 ，配置规则允许特定用户从外部网访问内部服务器。

配置规则允许特定用户从外部网取得数据。

⑤将规则3001作用于从接口Ethernet1/0进入的包；将规则3002作用于从接口Ethernet2/0进入的包。

⑥验证实验结果
195
检查以下组合的连通性，并把结果记录在实验报告中。

PC1 ping PC3
PC2 ping PC3
是否能从PC3登陆到内网FTP服务器
实验3 黑名单、MAC绑定
1、实验拓扑图
2、实验步骤
①按拓扑图连接好设备，并配置好各接口地址。

用PC1 ping PC3，保证现阶段的连通性完好。

②配置静态黑名单：将PC1的IP地址添加到黑名单表项，并使能防火墙的黑名单功能。

这时再用PC1 ping PC3，检查连通性。

③配置MAC绑定：将PC2的IP地址192.168.1.2和其MAC地址建立一一对应关系，并使能MAC绑定。

这时用PC2 ping PC3，检查连通性。

然后更改PC2的IP地址，将PC4接入交换机，并把PC4的IP地址改为原PC2的IP地址192.168.1.2，再次用PC4 ping PC3，检查连通性。

④把以上实验结果记录在实验报告中。

196。