2015年度南京邮电大学信息安全技术实验报告

实验报告

（２０15 / ２０1 6 学年第一学期）

课程名称信息安全技术

实验名称防火墙和安全IP实验

实验时间２０1 5年10月21/22/29日指导单位计算机学院/软件学院

指导教师沈苏彬、王光辉

学生姓名□□□班级学号□□□□□

学院(系) □□□□□专业□□□□□□

实验报告

实验报告

四、实验过程

实验一：安全IP实验。在这个实验当中，我（10.20.79.194）是和我们班另一位同学（10.20.79.191）

进行合作的。

(4.1)在还未配置防火墙以及安全IP设置时，使用计算机cmd（命令提示行）当中的ping指令可以测试A与B之间的连通性。

由此可见，连通是没有异常的。因此，可以向下进行实验内容。

(4.2)打开Wireshark软件，通过这个软件抓取ping报文并进行分析。

Ping作为ICMP的一种，是用来检查网络是否通畅或者网络连接速度的命令。Ping也有其固定的格式。报文长度（98bytes）= 以太网头（14bytes）+ IP头（20bytes）+ICMP头（8bytes）+ ICMP 数据内容（56字节）。此处研究的是报文前面的内容。

在数据包当中能解析到的有价值的信息是dst以及src，分别是接送方以及发送方的IP地址。再往前的以太网头里面，也涵盖着双方的MAC地址。红色框体部分是报文内容，未加密时就是明文的字母表。这样对于个人隐私是很不利的。于是我们应该尝试通过安全IP的配置来尽可能保护住自己的隐私。接下来，使用安全配置进行尝试。

(4.3)将我的计算机（命名为A机，IP地址为10.20.79.194）配置本地安全策略。同学的计算机上面（B机，IP为10.20.79.191）配置保持不变。

10.20.79.191（B机-未设置）无法ping到10.20.79.194（A机-IPsec）。

在这种情况下，Wireshark上面无法抓取到ICMP类型的报文。

通过A机也无法ping到B机，cmd显示如下：

可以认为，当A配置了安全IP之后，B以及其它未配置安全IP的电脑就无法通过原来的默认方式连接到A机。

而A机ping到其它电脑使用的是自己的安全IP配置。于是可以认为，配置了安全IP之后，在一定程度上可以防止自己的电脑被攻破。但是访问没有配置安全IP的电脑还需要用未配置安全IP 的协议，这样才不会出现访问不到之类的错误。

(4.4)调试B机和A机同样的设置，于是两台计算机可以互相ping到对方。

当A、B两台计算机都指派相同策略后，这里显示的是从A机ping到B机的cmd显示以及Wireshark软件抓取的数据包。

这里可以分析ESP协议下的报文内含信息。

封装好发送出去的报文是这样的：

然而，分析过后可以得到的是ESP当中报文内容为（7e 29 66 cf），这样的意思是不甚明了的。在Wireshark当中需要在设置当中配置ESP。

这样就可以解析被加密的ESP包了。

ICMP结构的标准格式如下：

于是根据ESP报文格式，对数据进行分析与安全参数索引SPI。（按照链路层报头（默认14字节）→网络层报头（本实验中为20字节）→ESP报头的顺序解析数据。）

于是可以知道，（7e 29 66 cf）是SPI。它是通过SA中的参数在第一次建立VPN通道的时候协商出来的，单向的。后续的流量，通过这个SPI发送给对方的时候，对方只需要查看SADB数据库中的SPI来匹配这个，然后通过这个SPI下的加密参数和策略来进行解密。

之后的报文通过这个SPI可以推测出来。

ESP协议是将需要保护的IP报文或者是IP报文传递的报体封装在自己的“报体数据”当中。传送模式下，ESP是对报文当中的TCP、数据以及ESP报尾进行加密的。

(4.5)将A、B两机都修改“ICMP安全通信策略”，用AH为身份进行验证而不用加密传输数据。安全方法选择MD5。

这时候依然是可以进行ping操作。

在Wireshark抓包后得出的结果如下图所示：

图中阴影部分即为AH报文。AH报文的结构如图所示：

于是分析可以知道，这个地方的“下一个头”的意思是在传输模式下AH保护传输层的包，值可能是6（TCP）、17（UDP）或50（ESP），隧道模式下的值为4。

AH的协议编号是51，AH报文是插在IP报头与IP报体之间的。AH在传送模式和隧道模式下，报文的位置会有所不同。

作为IPsec的其中一个协议，AH报文使用HMAC-MD5或是HMAC-SHA1（此处用的是MD5）算法共享密钥，从而产生相同的验证数据。AH不对报文进行加密，而主要是进行身份的验证，包括尽可能多的IP报头的内容，以及IP报文携带的数据。所以说报文当中可以看到用明文传递的数据。

实验2：防火墙实验。我使用的电脑的IP地址为10.20.66.128（A机），同学计算机的IP地址为10.20.66.133（B机）。

配置计算机的入站规则以及出站规则，可以在一定程度上阻止某些应用接入网络，或是将某个端口禁用以让整个系统更为安全。

(5.1) 在这里，先进行出站规则的配置。出站规则即自己访问外网的规则。可以详细配置到某个应用，某个或某些端口以及某部分IP地址。

比如说，如果设置对于某个IP地址禁止一切访问，那么就应该会出现如下图所示的情景：

此时配置如图：

这样配置的简略的访问控制列表可以画出来：

动作源IP地址源端口号目的IP地址目的端口号说明

禁止* * 10.20.66.133 * 禁止访问

允许* * * * 默认设置

而当我禁用这条规则后，两台计算机是可以联通的：

但是，在我开启了对于B机的禁止访问的规则后，我依然是能够对它进行访问。

然后仔细检查自己的相关的设置之后发现，自己计算机上面的防火墙并没有开启，所以那些设置是有配置，但是并未生效的。

在启用防火墙之后，我再次尝试对B机使用ping命令，结果就如同之前预料的那样，配置是有效的。

而且，B机对A机在整个过程当中都是可以访问的。

动作源IP地址源端口号目的IP地址目的端口号说明

禁止* * 10.20.66.133 * 禁止访问

允许* * * * 默认设置

(5.2)接下来可以设置防火墙对于某类应用的限制。比如说将PING.exe设置静止访问，那么应该可以拒绝PING语句的作用。比如说如下图配置，将system32文件夹下面的PING.EXE设置为阻止连接。

按理来说，这样禁用ping.exe联网的话，就会无法ping到各个电脑。但是，在实际当中，我发现即使这样设置，依然是能够ping到其它的电脑。

经过查询后发现，是因为ping操作是系统层面上的应用，不能仅仅通过禁用某个可执行程序就能将它禁用。如果要达到效果，需要禁用ICMP协议。于是，我们做了如下设置：

在出站设置当中禁用了这里的ICMP的IPv4当中的协议，所以是能够达到要求的。

比方说现在A、B两机是无法相互访问的。

然而，对于ping指令本身也是如此。比如说如果我来ping一个回环（127.0.0.1），我是无法联通的。

因此ping命令是基于ICMP协议的。

动作源IP地址源端口号目的IP地址目的端口号说明

禁止* 1\7 * * 禁止ICMP协议\echo 允许* * * * 默认设置

(5.3)设置入站规则是防止有恶意IP通过某个接口进行访问，设置出站规则就是防止访问到某些恶意IP地址。比方说对自己对于某个IP设置禁止的出站规则，防止访问某些不健康的网站，那么就可以使用禁止访问某个IP地址（这里是210.59.228.209）来完成。

结果如下：

满足当初的要求。

附访问控制列表：

动作源IP地址源端口号目的IP地址目的端口号说明

禁止* * 210.59.228.209 * 禁止访问

允许* * * * 默认设置

实验报告