天融信防火墙配置手册讲义

主机节点对象的建立
接下来在防火墙三个区域‘缺省权限’设为‘禁止访问’的情况下， 做以下步骤： STEP4: 主机节点对象建立
高级管理→网络对象→本主机所在区域→定义新对象→定义节点 把本主机IP地址定义为一个节点。定义名称可任意，物理地址可不 填。 说明：定义对象应在该对象所在区域内设置。本机在哪个区域，则在 那个区域内设置。定义节点针对一个主机定义，定义子网可定义一个网 络地址段。定义对象没有任何权限的作用，只有通过访问策略（STEP5 设置）调用这些对象才能设置权限。
说明： 必须针对不同区域设置访问权限，同一区域内的主机防火墙是
不能控制权限的，设置的策略也是无用的。 3) 禁止其他区域主机访问本机135-139及445,7626,4006，1027，
6267，8080端口（任选其一设置）。 ‘策略服务’在都不选择的情况下，为任何服务，包括所有协议所有
端口。 ‘策略服务’在都选择的情况下，表示只对所选择的服务进行访问控
防火墙访问控制过滤机制－包过滤示意图
缺省访问权限（允许/禁止）
数据包
数据包
源地址 过滤
目的 地址 过滤
一条访问策略规则：
Βιβλιοθήκη Baidu
源对象
策略服务 http,ftp,smtp等
协议 过滤
协议 端口 过滤
应用层 过滤
目的对象
时间策略
访问控制 允许/拒绝
访问控制测试
2) 在本区域内增加‘包过滤策略’，建立禁止对方主机（策略源）访 问本机（策略目的）的访问策略，测试对方区域的主机到本机的连通性。
Connection to inside network
Intranet 内部网络
Internet
Web e-mail FTP
防火墙
为网络用户提供安全 的 Internet 接 入
DMZ WEB服务层
Connection to www network
• Web 站 点 访 问 过 滤
Web Site Filter
防火墙配置一般有三种方式： B/S配置 ,C/S配置,Console口配置. 本实验防火墙采用C/S方式。
区域之间缺省权限的设置
STEP3: 防火墙区域缺省权限设置 ‘网络’→‘区域’→ 防火墙三个区域→ ‘缺省访问权限’设为允许访
问。 操作说明：选择“可读、可写、可执行”选项，表示为允许访问。
6.250 1.250
Internet 外网
192.168.6.50/60
网关：192.168.6.250
防火墙
路由模式 访问控制 测试结构
Intranet 内网
192.168.1.50/60/70/80/90
网关：192.168.1.250
上半部份
一、通过防火墙的路由功能实现访问控制，操作步骤如下： STEP1:线路连接 根据图示设置主机IP地址(注意主机IP与连接的防火墙端口地址为同一网 段，不能与连接的防火墙端口地址冲突)，设置防火墙本区域端口IP地址 为主机网关地址。 测试能否PING通防火墙端口IP地址。
STEP2:通过软件登陆Firewall 打开防火墙配置软件“TOPSEC集中管理器”， ‘新建项
目’，输入防火墙本区域端口IP地址，登陆到防火墙。查看防 火墙 “基本信息” 和“实时监控”， 了解其他各菜单 功能。
说明：登陆下列其中一个用户：user1/2/3/4/5/6/7/8/9/10, 口令为：123456
– 限制对非本企业 业务目的的
Internet 资 源 的 访 问
实
SSN区域
验
室
分
布
情
况 Intranet区域
大门 Internet区域
Internet
实验网络结构图
Web e-mail FTP
DMZ 区
192.168.2.50/60/70/80/90 网关：192.168.2.250
2.250
制。 访问策略优先级高于区域默认权限策略的优先级（STEP3已设置）。 每个访问策略都是单向访问，只有策略源对象访问到策略目的对象。
两个不同区域主机如需要相互访问，则需要建立两个策略。
访问控制测试
STEP6: 通过策略范围来控制主机访问权限
(1)设置两个策略，一个策略为设置本机访问其他区域某一主机的访问 策略，访问策略为允许，另一个策略同样是访问该主机，但访问控制设 为禁止，更改两个策略的优先级，通过PING 对方主机测试连通性。
说明：鼠标上下拖动所建策略可以更改优先级，排在上面的策略优先 级高。
(2) 设置两个策略，一个策略为本机访问其他整个区域的策略，另一 个策略为本机禁止访问其他区域内某一个主机的策略，更改两个策略的 优先级，通过PING 对方区域内主机测试连通性。
(3) 设置两个策略，一个策略为本机访问其他区域某主机的策略，策 略服务为任何服务，另一个策略为本机禁止通过策略服务PING其他区 域该主机。更改两个策略的优先级，通过PING 对方主机测试连通性。
目标二： 了解NAT原理与作用。测试内网通过NAT方式相互访问。并通过NAT
访问因特网，过滤特定网站和特定网页。
目标三： 了解MAP原理与作用。测试外网通过MAP访问企业内部服务器。 了解防火墙三种接入模式。
防火墙在企业网的接入
Connection to outside network 防火墙 FireWall
天融信防火墙配置 手册
防火墙形态
类似于一台路由器设备，是一台特殊的计算机。
配置目标
以天融信防火墙(TOPSEC FireWall ARES－M)为实例，来测试防火墙各 区域的访问控制机制：
目标一： 了解访问策略的原理与作用。通过设置访问策略，测试Intranet（企
业内联网）,SSN（安全服务区，即DMZ（非军事区）,Internet（互联网） 区域之间访问控制机制。
本机PING其他区域内主机，测试连通性。 ‘网络’→‘区域’→ 防火墙三个区域→ ‘缺省访问权限’设为禁止访
问。 操作说明：不选择“可读、可写、可执行”选项，表示为禁止访问。
本机PING其他区域内主机，测试连通性。 第四个区域area_4为该软件上带的区域名，可不管,实际硬件上没有。
缺省访问权限是指区域之间主机的默认权限。 如果是PING本区域内主机，由于是通过交换机进行通信，防火墙不能控 制同一区域主机之间的权限，本区域内主机是能够连通的。