TOPSEC天融信防火墙实训指导手册-程丹.doc

防火墙配置实训指导手册防火墙配置实训指导手册 以天融信防火墙(TOPSEC FireWall ARES－M)为实例，来测试防火墙各区域的访问控制机制：目标一目标一：了解访问策略的原理与作用通过设置访问策略，测试 Intranet（企业内联网）,SSN（安全服务区，即 DMZ（非军事区）,Internet（互联网）区域之间访问控制机制目标二目标二：了解 NAT 原理与作用测试内网通过 NAT 方式相互访问并通过 NAT 访问因特网，过滤特定网站和特定网页目标三目标三：了解 MAP 原理与作用测试外网通过 MAP 访问企业内部服务器 上上半半部部份份： ：一、通过防火墙的路由功能路由功能实现访问控制，操作步骤如下：STEP1:线路连接根据图示设置主机 IP 地址(注意主机 IP 与连接的防火墙端口地址为同一网段，不能与连接的防火墙端口地址冲突)，设置防火墙本区域端口 IP 地址为主机网关地址测试能否 PING 通防火墙端口 IP 地址STEP2:通过软件登陆打开防火墙设备配置软件“TOPSEC 集中管理器” ， 登陆到防火墙本主机所在区域端口 IP 地址查看防火墙 “基本信息” 和“实时监控” ， 了解其他各菜单功能。

说明说明：：登陆用户名为 user1/2/3/4/5/6/7, 口令为：123456STEP3: 防火墙区域权限缺省设置防火墙区域权限缺省设置‘网络’→‘区域’→ 防火墙三个区域→ ‘缺省访问权限’设为允许访问注意注意：选择“可读、可写、可执行”选项，表示为允许访问允许访问本机 PING 其他区域内主机，测试连通性‘网络’→‘区域’→ 防火墙三个区域→ ‘缺省访问权限’设为禁止访问注意注意：不选择“可读、可写、可执行”选项，表示为禁止访问禁止访问本机 PING 其他区域内主机，测试连通性第四个区域 area_4 为该软件上带的区域名，可不管,实际硬件上没有缺省访问权限是指区域之间主机的默认权限缺省访问权限是指区域之间主机的默认权限如果是 PING 本区域内主机，由于是通过交换机进行通信，防火墙不能控制同一区域主机之间的权限，本区域内主机是能够连通的接下来在防火墙三个区域接下来在防火墙三个区域‘‘缺省权限缺省权限’’设为设为‘‘禁止访问禁止访问’’的情况下，做以下步骤：的情况下，做以下步骤：STEP4: 主机节点对象建立主机节点对象建立高级管理→网络对象→本主机所在区域→定义新对象→定义节点把本主机 IP 地址定义为一个节点。

定义名称可任意，物理地址可不填说明说明：：定义对象应在该对象所在区域内设置本机在哪个区域，则在那个区域内设置定义节点针对一个主机定义，定义子网可定义一个网络地址段定义对象没有任何权限的作用，只有通过访问策略（STEP5 设置）调用这些对象才能设置权限STEP5: 访问策略的建立访问策略的建立 1)首先明确需要访问的其他区域的主机，然后在‘高级管理’→‘访问策略’→需要访问的主机所在区域内‘增加’→‘包过滤策略’ ，策略源为访问端（只选择本机节点） ，策略目的为被访问端（只选择其他区域某节点） ，策略服务为 PING，访问控制设为允许注意策略源和目的只选择节点，针对主机进行权限设置 通过 PING 对方主机测试连通性特别注意：访问策略应在被访问对象所在的目标区域设置策略特别注意：访问策略应在被访问对象所在的目标区域设置策略如：访问 SSN 区域内主机，则应在 SSN 区域内设置策略2) 在本区域本区域内增加‘包过滤策略’ ，建立禁止禁止对方主机（策略源）访问本机（策略目的）的访问策略，测试对方区域的主机到本机的连通性说明说明：： 必须针对不同区域设置访问权限，同一区域内的主机防火墙是不能控制权限的，设置的策略也是无用的。

‘策略服务’在都不选择的情况下，为任何服务，包括所有协议所有端口‘策略服务’在都选择的情况下，表示只对所选择的服务进行访问控制访问策略优先级高于区域的优先级（STEP3 已设置） 每个访问策略都是单向访问，只有策略源对象访问到策略目的对象两个不同区域主机如需要相互访问，则需要建立两个策略访问策略可控制源地址，目标地址，策略服务，访问控制时间STEP6: 通过策略范围来控制主机访问权限通过策略范围来控制主机访问权限(1) 设置两个策略，一个策略为设置本机访问其他区域某一主机的访问策略，访问策略为允许，另一个策略同样是访问该主机，但访问控制设为禁止，更改两个策略的优先级，通过 PING 对方主机测试连通性说明：鼠标上下拖动所建策略可以更改优先级，排在上面的策略优先级高2) 设置两个策略，一个策略为本机访问其他整个区域整个区域的策略，另一个策略为本机禁止访问其他其他区域内某一个主机区域内某一个主机的策略，更改两个策略的优先级，通过 PING 对方主机测试连通性3) 设置两个策略，一个策略为本机访问其他区域某主机的策略，策略服务为任何服务策略服务为任何服务，另一个策略为本机禁止通过策略服务策略服务 PING 其他区域该主机。

更改两个策略的优先级，通过 PING 对方主机测试连通性4) 设置两个策略，一个策略为本机允许访问其他区域某主机的策略，策略服务为任何服务策略服务为任何服务，另一个策略为本机禁止通过策略服务策略服务 PING 其他区域该主机更改两个策略的优先级，通过 PING 对方主机测试连通性，访问其他端口（如共享方式）进行测试5) 设置本区域允许访问其他整个区域，策略服务为任何服务，通过 PING 对方所有主机测试连通性6) 在‘网络’→‘区域’ ，设置所有区域缺省权限为允许，再建立一个访问策略，禁止 PING 对方某一主机的访问策略测试与对方主机的连通性7）根据需要，自行定义策略，设置权限说明说明：：如果选择整个区域，如选择‘INTRANET 区域” ，则指包括连入 INTRANET 内的所有主机可以通过策略的优先级，设置范围小的策略优先级高于范围大的策略，能够有效控制不同区域之间的访问对象和策略服务这样先满足范围小的策略，超过这个范围则再受到范围大的策略限制STEP7: 通信策略设置通信策略设置 NATNAT（网络地址转换）方式（网络地址转换）方式与另一区域的一主机配合操作在目标主机无网关（路由）的情况下，通过 NAT 方式进行访问。

访问端需要有网关（路由） 1）把需要测试的目标主机操作系统中网关地址 (在网络属性中设置) 删除2）在目标主机无网关情况下， 增加一个访问策略，允许本机（策略源）访问该目标主机（策略目的） ，测试与该主机连接情况3) 进入‘高级管理’→‘通信策略’→ 增加本机（策略源）到该目标主机（策略目的）的通讯策略，通信方式选择 NAT 方式4） 测试与该主机连通情况以及对方主机访问本机的连通情况5） 本机删除网关后，让对方主机增加网关，反过来再增加访问策略和 NAT 进行测试说明说明：：访问策略是权限的问题，通讯策略是路径的问题NAT 都是单向访问，内网需要网关路由到外网，而外网不需路由到内网保护了内网的安全NAT 是源 IP 地址转换，经 NAT 转换后源地址转换为另一区域防火墙端口 IP 地址NAT 原理详见防火墙讲义STEP8: 通过通过 HTTPHTTP 过滤策略过滤策略, , 过滤网站和过滤网页过滤网站和过滤网页. .1）首先把防火墙 INTERNET 区域端口接入到华迪实训公司 INTERNET 网络线路2) 建立一个访问策略（包过滤策略包过滤策略） ，以本机作为策略源，以 INTERNET 区域区域做为策略目的，策略服务选择任何服务。

3）再建立一个通信策略（NAT 方式方式） ，本机做为策略源，INTERNET 区域区域作为策略目的然后本机 DNS（在网络属性中设置）指向到互联网 DNS 服务器 IP 地址: 61.139.2.69, 检查能否 PING 通61.139.2.69，测试能否连入互联网4) 在高级管理→特殊对象→URL→ 定义新对象 ，输入某一网址，注意格式要求注意注意：定义 URL 时前后应加 * , 如格式： ** 5）访问策略 → INTERNET 区域 → 增加 HTTP 策略策略 ，禁止某一网站 把过滤策略优先级提到最前面，测试该网站能否打开 （不需选择关键字）6）在高级管理→特殊对象→关键字→定义关键字7）访问策略→INTERNET 区域→ 增加 HTTP 策略，允许某一网站访问，但禁止关键字访问 把过滤策略优先级提到最前面，测试含有该关键字的网页能否打开注意注意：：定义关键字不需要加 * ，过滤关键字即过滤含有关键字的网页选择关键字则访问策略的访问控制只能选择“允许”,不能选择禁止8）通过包过滤策略，禁止本机访问 INTERNET,策略服务为 TCP:80(HTTP 服务)，测试能否连入互联网。

9) PING 某一网站域名，记住其 IP 地址，通过访问策略禁止本机 PING 此 IP 地址下下半半部部份份： ：二二 、通过防火墙透明模式测试区域网络的访问控制：、通过防火墙透明模式测试区域网络的访问控制：说明：说明：防火墙透明模式可以让同一网段同一网段在在不同区域不同区域的主机进行通信而路由模式可以让不同网段不同网段在在不同区域不同区域通过防火墙端口 IP 地址路由进行通信不同区域任意两个主机之间都可配合按以下步骤操作不同区域任意两个主机之间都可配合按以下步骤操作STEP1: 按上图设置主机 IP (注意可不设网关)，用 TOPSEC 集中管理器重新登陆到本区域端口地址在高级管理→特殊对象→透明网络→增加透明网络，选择“INTERNET 区域” “INTRANET“,“SSN“ 说明说明：增加本区域和要进行透明网络测试的区域STEP2: 在网络→区域→设置三个区域为禁止访问在网络对象中重新按以上 IP 在本区域建立本机节点，在访问策略中，增加本机（策略源）可以访问其他区域内某一主机（策略目的）的权限STEP3:测试能否 PING 通其他区域的主机STEP4: 删除所有建立的透明网络，测试能否连通其他区域主机。

STEP5: 在网络→区域→设置三个区域为允许访问，建立禁止访问其他区域主机的访问策略，测试连通性三、三、MAP 映射操作步骤（本实验可选）：映射操作步骤（本实验可选）：认真按以下步骤操作，可参照后面参考案例STEP1:在网络→区域→本主机所在区域→虚口设置→设置虚口 IP 地址 增加本区域同一网段的虚口IP 地址，注意不要跟其他地址冲突说明说明：增加一个虚口地址做映射地址建立 MAP 映射后，IP 地址将会完全代替被映射的主机 IP,为了使 MAP 后“TOPSEC 集中管理器”能连到防火墙原防火墙 IP 地址，所以增加一个虚口地址来做为 MAP 映射的 IP 地址STEP2: 在高级管理→网络对象→本区域内→增加 STEP1 所做的虚口地址为一个节点 A在高级管理→网络对象→对方区域内→增加对方主机为一个节点 BPing 虚口 IP 地址, 检查能否连接该地址STEP3: 在高级管理→访问策略→对方区域内→增加本机访问对方主机的访问策略, 策略服务设为任何服务STEP4: 在高级管理→通信策略→增加 MAP 映射策略源策略源为本机所在区域名，策略目的策略目的为节点 A(即虚口地址）,通信方式：MAP,目标机器目标机器为对方主机节点 B，访问目标的源访问目标的源为节点 A(即虚口地址） 。

STEP5: 进行 MAP 测试，，本机访问虚口地址可以通过‘ PING －a 虚口 IP ’的方式查找计算机名，如能解析出对方计算机名则可以说虚口地址已映射为对方计算机 IP.通过地址映射后，访问虚口地址即实际转向访问到节点 B. 如访问虚口地址上的网站即访问节点 B 的 WEB.STEP6: 高级管理→通信策略把刚才做的 MAP 策略，指定协议改为 TCP , 映射方式。