實驗十三、防火墻的配置

一. 實驗原理
1.1 防火墻原理
網絡的主要功能是向其他通信實體提供信息傳輸服務。網絡安全技術的主要目的是為傳輸服務實施的全過程提供安全保障。在網絡安全技術中，防火墻技術是一種經常被采用的對報文的訪問控制技術。實施防火墻技術的目的是為了保護內部網絡免遭非法數據包的侵害。為了對進入網絡的數
據進行訪問控制，防火墻需要對每個進入的數據包按照預先設定的規則進行檢查。目前的防火墻也有檢查由內到外的數據包的功能。
我們在系統視圖下，使用如下命令啟用防火墻功能：
[Quidway]firewall enable
并在接口視圖下利用如下命令將規則應用到該接口的某個方向上：
[Quidway-Ethernet0]firewall packet-filter acl-number[inbound |
outbound]
可以在系統視圖下使用如下命令改變缺省行為：
[Quidway]firewall default deny | permit
1.2 訪問控制列表ACL
路由器的防火墻配置包括兩個內容，一是定義對特定數據流的訪問控
制規則，即定義訪問控制列表ACL；二是定義將特定的規則應用到具體的
接口上，從而過濾特定方向上的數據流。
常用的訪問控制列表可以分為兩種：標準訪問控制列表和擴展訪問控
制列表。標準訪問控制列表僅僅根據IP 報文的源地址域區分不同的數據
流，擴展訪問控制列表則可以根據IP 報文中更多的域（如目的IP 地址，
上層協議信息等）來區分不同的數據流。所有訪問控制列表都有一個編號，
標準訪問控制列表和擴展訪問控制列表按照這個編號區分：標準訪問控制
列表編號范圍為1～99，擴展訪問控制列表為100～199。
定義標準訪問控制列表的命令格式為：
[Quidway] acl acl-number[match-order config | auto]
[Quidway-acl-10] rule{normal|special}{permit|deny}[source source-addr
source-wildcard | any]
以下是一個標準訪問控制列表的例子：
[Quidway]acl 20
[Quidway-acl-20]rule normal permit source 10.0.0.0 0.0.0.255
[Quidway-acl-20]rule normal deny source any
這個訪問控制列表20 包含兩條規則，共同表示除了源IP 地址在網絡
10.0.0.0/24 內的允許通過以外，其他源IP 地址的數據包都禁止通過。
定義擴展訪問控制列表的規則
[Quidway] acl acl-number[match-order config | auto]
[Quidway-acl-10] rule{normal|special}{permit | deny}pro-number [source
source-addr source-wildcard | any][source-port operator
port1[port2]][destination dest-addr dest-wildcard | any][destination-port
operator port1[port2]][icmp-type icmp-type icmp-code][logging]
以下是一個擴展訪問控制列表的例子：
[Quidway]acl 120

[Quidway-acl-120]rule normal permit ip source 10.0.0.1 0.0.0.0
destination 202.0.0.1 0.0.0.0
[Quidway-acl-120]rule normal deny ip source any destination any
這條訪問控制列表120 規定了除主機10.0.0.1 到主機202.0.0.1 的數據
流可以通過外，其他一律禁止。
[Quidway]acl 121
[Quidway-acl-121]rule permit tcp source any destination 10.0.0.1 0.0.0.0
destination-port eaual ftp logging
[Quidway-acl-121]rule permit tcp source any destination 10.0.0.2 0.0.0.0
destination-port eaual telnet logging
[Quidway-acl-121]rule deny ip source any destination any
這種規則實現的需求是：僅允許目的為FTP 服務器10.0.0.1 的FTP 請
求報文輸入和目的為TELNET 服務器10.0.0.2 的TELNET 報文輸入，禁止其他一切輸入報文。
二. 實驗內容：防火墻的配置
三. 實驗目的：學習配置訪問控制列表設計防火墻
四. 實驗環境：實驗環境如下圖所示：

公司對外的IP 地址為202.38.160.1。通過配置防火墻，希望實現以下
要求：
（1）外部網絡只有特定用戶可以訪問內部服務器
（2）內部網絡只有特定主機可以訪問外部網絡。
在本實驗中，假定外部特定用戶的IP 地址為202.39.2.3。
五. 實驗步驟：
（1）啟用防火墻功能
（2）設置防火墻缺省過濾方式為允許通過
（3）配置允許特定主機允許訪問外部網，此處的特定主機為129.38.1.4 和
三個服務器
（4）配置規則允許特定用戶從外部網訪問內部服務器
（5）將第三步所配規則作用于從接口E0 進入的包
（6）將第四步所配規則作用于從接口S0 進入的包
六．思考題：
（1）如下圖所示的網絡環境中，基于需求：PCA 可以ping 通PCB，但是
PCB 不能ping 通PCA，請列出路由器RTA 上的防火墻配置。

路由器各接口IP 地址設置如下：
RTA RTB
E0 10.0.0.1/24 10.0.2.1/24
S0 10.0.1.1/24 10.0.1.2/24
PC 機的IP 地址和缺省網關的IP 地址如下：
PCA PCB
IP Address 10.0.0.2/24 10.0.2.2/24

Gateway 10.0.0.1 10.0.2.1