实验防火墙基本配置
实验七交换机基本配置一、实验目的（1）使用R2611模块化路由器进行网络安全策略配置学习使用路由器进行初步的网络运行配置和网络管理，行能根据需要进行简单网络的规划和设计。
实验设备与器材熟悉交换机开机界面；（2）掌握Quidway S系列中低端交换机几种常用配置方法；（3）掌握Quidway S系列中低端交换机基本配置命令。
二、实验环境Quidway R2611模块化路由器、交换机、Console配置线缆、双绞线、PC。
交换机，标准Console配置线。
三、实验内容学习使用Quidway R2611模块化路由器的访问控制列表（ACL）进行防火墙实验。
预备知识1、防火墙防火墙作为Internet访问控制的基本技术，其主要作用是监视和过滤通过它的数据包，根据自身所配置的访问控制策略决定该包应当被转发还是应当被抛弃，以拒绝非法用户访问网络并保障合法用户正常工作。
2、包过滤技术一般情况下，包过滤是指对转发IP数据包的过滤。
对路由器需要转发的数据包，先获取包头信息，包括IP层所承载的上层协议的协议号、数据包的源地址、目的地址、源端口号和目的端口号等，然后与设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。
3、访问控制列表路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL（Access Control List）定义的。
访问控制列表是由permit | deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。
ACL通过这些规则对数据包进行分类，这些规则应用到路由器接口上，路由器根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝。
访问控制列表(Access Control List )的作用访问控制列表可以用于防火墙；访问控制列表可用于Qos（Quality of Service），对数据流量进行控制；访问控制列表还可以用于地址转换；在配置路由策略时，可以利用访问控制列表来作路由信息的过滤。
一个IP数据包如下图所示（图中IP所承载的上层协议为TCP）ACL示意图ACL的分类按照访问控制列表的用途，可以分为四类：●基本的访问控制列表（basic acl）●高级的访问控制列表（advanced acl）●基于接口的访问控制列表（interface-based acl）●基于MAC的访问控制列表（mac-based acl）访问控制列表的使用用途是依靠数字的范围来指定的，1000～1999是基于接口的访问控制列表，2000～2999范围的数字型访问控制列表是基本的访问控制列表，3000～3999范围的数字型访问控制列表是高级的访问控制列表，4000～4999范围的数字型访问控制列表是基于MAC地址访问控制列表。
4、防火墙的配置项目防火墙的配置包括：允许/禁止防火墙配置标准访问控制列表配置扩展访问控制列表配置在接口上应用访问控制列表的规则设置防火墙的缺省过滤方式设置特殊时间段指定日志主机允许/禁止防火墙在报文过滤时，应先打开防火墙功能，这样才能使其它配置生效。
请在系统视图下进行下列配置。
表1 允许/禁止防火墙操作命令启动防火墙firewall enable禁止防火墙firewall disable缺省情况下，防火墙处于“启动”状态。
配置标准访问控制列表标准访问控制列表序号可取值1～99之间的整数。
首先应使用acl命令进入到ACL配置视图并配置访问控制列表的匹配顺序，然后再使用rule命令配置具体的访问规则。
若不配置匹配顺序的话，按照auto方式进行。
请在系统视图（acl命令）和ACL视图（rule命令）下进行下列配置。
表2 配置标准访问控制列表操作命令进入ACL视图并配置访问控制列表的匹配顺序acl acl-number [ match-order config | auto ]配置标准访问列表规则rule { normal| special}{ permit| deny} [sourcesource-addr source-wildcard | any ]删除特定的访问列表规则undo rule { rule-id | normal | special} 删除访问列表undo acl {acl-number| all }内起作用，使用special时用户需另外设定特殊时间段。
具有同一序号的多条规则按照“深度优先原则”进行匹配。
缺省情况下，为normal时间段。
配置扩展访问控制列表扩展访问控制列表可取值100～199之间的整数。
首先应使用acl命令进入到ACL配置视图并配置访问控制列表的匹配顺序，然后再使用rule命令配置具体的访问规则。
若不配置匹配顺序的话，按照auto方式进行。
请在系统视图（acl命令）和ACL视图（rule命令）下进行下列配置。
表3 配置扩展访问控制列表从表2和表3中的rule配置命令的参数中可以看出标准列表仅能对source数据源作规则设置，而扩展控制列表则还可以对destination目的地址进行规则设置。
特殊时间段内起作用，使用special时用户需另外设定特殊时间段。
具有同一序号的多条规则按照“深度优先原则”进行匹配。
缺省情况下，为normal时间段。
设置防火墙的缺省过滤方式防火墙的缺省过滤方式是指：当访问规则中没有找到一个合适的匹配规则来判定用户数据包是否可以通过的时候，将根据用户设置的防火墙的缺省过滤方式来决定究竟允许还是禁止报文通过。
请在系统视图下进行下列配置。
表4 设置防火墙缺省过滤方式缺省情况下，防火墙的缺省过滤方式为允许报文通过。
配置在接口上应用访问控制列表的规则若要实现接口对报文的过滤功能，就必须先将相应访问控制列表规则应用到接口上。
用户可在一个接口上对接收和发送两个方向的报文分别定义不同的访问控制规则。
请在接口视图下进行下列配置。
表5 配置接口上应用访问控制列表的规则缺省情况下，接口上未定义过滤报文的规则。
在一个接口的一个方向上（inbound或outbound方向），最多可以应用20条访问规则。
即在firewall packet-filter inbound方向上可应用20条规则；在firewall packet-filter outbound方向上也可应用20条规则。
若两条互相冲突的规则序号不同，优先匹配acl-number较大的规则。
防火墙的显示和调试在所有视图下使用debugging、reset、display命令。
表3-12 防火墙的显示和调试操作命令显示包过滤规则及在接口上的应用display acl [ all | acl-number | interface type number ]显示防火墙状态display firewall显示当前时间段的范围display timerange显示当前时间是否在特殊时间段之内display isintr清除访问规则计数器reset acl counters [ acl-number ]打开防火墙包过滤调试信息开关debugging filter { all | icmp | tcp | udp}3.8.4实验过程1、防火墙配置实验示例组网方案要求通过配置静态路由，使任意两台主机或路由器之间都能两两互通。
网络拓扑请按下图连接好线缆，并配置好路由器接口和计算机的IP地址，所有的子网掩码均为24位掩码。
图2 配置防火墙组网图2、配置步骤首先用分别Console线缆连接两个路由器并进入配置视图，按下面步骤对接口进行配置。
配置好计算机的IP地址和子网掩码，计算机A的网关地址设置为10.100.110.100，计算机B的网关地址设置为10.100.120.100# 配置路由器Router A 启动防火墙[RouterA] firewall enable# 配置路由器接口IP[RouterA] interface Ethernet 0/0[RouterA-Ethernet0/0]ip address 192.10.1.1 24[RouterA-Ethernet0/0]quit[RouterA] interface Ethernet 0/1[RouterA-Ethernet0/1]ip address 10.100.110.100 24[RouterA-Ethernet0/1]quit# 配置路由器静态路由[RouterA] ip route-static 10.100.120.0 255.255.255.0 192.10.1.2# 配置路由器Router B，并启动防火墙[RouterB] firewall enable# 配置路由器接口IP[RouterB] interface Ethernet 0/0[RouterB-Ethernet0/0]ip address 192.10.1.2 24[RouterB-Ethernet0/0]quit[RouterB] interface Ethernet 1[RouterB-Ethernet0/1]ip address 10.100.120.100 24[RouterB-Ethernet0/1]quit# 配置路由器静态路由[RouterA] ip route-static 10.100.110.0 255.255.255.0 192.10.1.1#测试网络连通性在计算机A上使用命令：Ping 10.100.120.139#在路由器A上设置标准控制列表＃在路由器A上验证标准访问控制列表禁止IP地址为10.100.110.138的主机访问10.100.120的网络，而允许其他IP访问。
＃进入2001号标准访问控制列表视图[RouterA] acl number 2001＃设置控制规则[RouterA-acl-2001] rule deny source 10.100.110.138 0.0.0.0#上条命令中最后一个参数0.0.0.0是反掩码，用来唯一确定一个IP，若改为0.0.0.255 则用来确定对一个C类的网络实施访问控制。
＃允许其他的IP地址的数据通过路由器A访问外网[RouterA-acl-2001] rule permit source any#注意：2001号控制列表有上面有两条规则，其匹配时按深度优先规则，先匹配精确的规则，因此当IP时10.100.110.138时将先按第一条规则执行＃返回系统视图[RouterA-acl-2001] quit＃进入接口LAN 1，在其上应用访问控制列表的规则[RouterA] interface Ethernet 0/1[RouterA-ethernet0/1] firewall packet-filter 2001 inbound＃这时若把IP 地址改为其他的地址，如：10.100.110.140则可以通过路由器访问外网。
防火墙配置实验报告
防火墙配置实验报告防火墙配置实验报告概述：防火墙是网络安全的重要组成部分，它可以帮助我们保护网络免受未经授权的访问和恶意攻击。
本实验旨在通过配置防火墙来加强网络的安全性，并测试其效果。
实验目标：1. 理解防火墙的基本概念和原理；2. 学习如何使用防火墙配置实现网络安全；3. 测试和评估防火墙的效果。
实验环境：本实验使用了一台运行Windows操作系统的计算机，并安装了一款功能强大的防火墙软件。
实验步骤：1. 防火墙配置前的准备工作在开始配置防火墙之前，我们需要了解一些网络的基本知识，包括IP地址、端口号、协议等。
这些知识将帮助我们更好地理解和配置防火墙。
2. 防火墙的安装和配置首先，我们需要下载并安装一款可靠的防火墙软件。
在安装完成后，我们需要对防火墙进行一些基本的配置，包括启用防火墙、设置默认策略等。
此外，我们还可以根据需要添加自定义规则，以实现更精细的访问控制。
3. 防火墙规则的配置防火墙规则是防火墙的核心组成部分，它决定了哪些流量可以通过防火墙，哪些流量需要被阻止。
在配置规则时，我们可以根据需要设置源IP地址、目标IP地址、端口号、协议等条件。
此外，我们还可以设置规则的动作，如允许、拒绝或丢弃。
4. 防火墙的测试和评估防火墙配置完成后，我们需要对其进行测试和评估。
我们可以使用一些网络工具和技术，如端口扫描、漏洞扫描等，来测试防火墙的效果。
同时，我们还可以通过监控日志和统计数据来评估防火墙的性能和可靠性。
实验结果：经过实验，我们成功地配置了防火墙，并测试了其效果。
防火墙能够有效地过滤和阻止未经授权的访问和恶意攻击，提高了网络的安全性。
同时，防火墙还能够帮助我们实现网络流量的控制和管理，提高网络的性能和可靠性。
结论：通过本次实验，我们深入了解了防火墙的基本原理和配置方法，并通过实际操作和测试验证了其效果。
防火墙是网络安全的重要手段之一，它能够帮助我们保护网络免受未经授权的访问和恶意攻击。
在今后的网络安全工作中，我们应该继续加强对防火墙的学习和应用，以确保网络的安全和稳定。
防火墙配置的实验报告
防火墙配置的实验报告防火墙配置的实验报告一、引言随着互联网的飞速发展，网络安全问题日益突出。
为了保障网络的安全性，防火墙作为一种重要的网络安全设备被广泛应用。
本实验旨在通过配置防火墙，探索其在网络安全中的作用和效果。
二、实验目的1. 了解防火墙的基本原理和工作机制；2. 学习防火墙的配置方法和技巧；3. 掌握防火墙的常见功能和策略。
三、实验环境1. 操作系统：Windows 10；2. 软件：VirtualBox虚拟机、Wireshark网络抓包工具；3. 网络拓扑：本地主机与虚拟机之间的局域网。
四、实验步骤1. 配置虚拟网络环境：在VirtualBox中创建两个虚拟机，分别作为内网主机和外网主机；2. 安装防火墙软件：在内网主机上安装并配置防火墙软件，如iptables；3. 配置防火墙规则：根据实际需求，设置防火墙的入站和出站规则；4. 测试防火墙效果：利用Wireshark工具进行网络抓包，观察防火墙对数据包的处理情况；5. 优化防火墙配置：根据实验结果，对防火墙规则进行调整和优化。
五、实验结果与分析通过实验，我们成功配置了防火墙，并设置了一些基本的规则。
在测试阶段，我们发现防火墙能够有效地过滤和阻止非法的网络连接请求，保护内网主机的安全。
同时，防火墙还能对数据包进行检测和修正，提高网络传输的可靠性和稳定性。
然而，在实验过程中我们也遇到了一些问题。
例如，由于防火墙的设置过于严格，导致某些合法的网络连接被误判为非法请求，造成了一定的影响。
因此，在优化防火墙配置时，我们需要根据实际情况进行细致的调整，以兼顾网络安全和正常通信的需要。
六、实验总结通过本次实验，我们深入了解了防火墙的配置和使用。
防火墙作为一种重要的网络安全设备，能够有效地保护网络免受攻击和入侵。
然而，防火墙的配置并非一蹴而就，需要根据实际需求进行不断优化和调整。
在今后的网络安全工作中，我们将进一步学习和探索防火墙的高级功能和策略，提升网络安全防护能力。
防火墙设置实验报告
防火墙设置实验报告一、实验目的本实验旨在通过设置防火墙，了解防火墙的基本概念、原理和常见设置方法，以及掌握如何使用防火墙保护计算机网络安全。
二、实验环境1. 操作系统：Windows 102. 防火墙软件：Windows Defender Firewall3. 实验工具：Ping命令、Telnet命令、nmap扫描器三、实验步骤1. 打开Windows Defender Firewall在Windows 10中，可以通过控制面板或者设置应用程序打开Windows Defender Firewall。
在控制面板中，选择“系统和安全”-“Windows Defender Firewall”；在设置应用程序中，选择“更新和安全”-“Windows 安全中心”-“防火墙和网络保护”。
2. 配置入站规则入站规则是指限制从外部网络访问本地计算机的规则。
可以通过以下步骤配置入站规则：（1）选择“高级设置”-“入站规则”，点击“新建规则”。
（2）根据需要选择不同类型的规则。
例如，如果只允许特定IP地址访问计算机，则可以选择“自定义”类型。
（3）根据需要配置规则属性，例如名称、描述、协议等。
（4）配置允许或拒绝连接的条件。
例如，可以配置只允许特定端口的连接。
（5）配置规则的操作。
例如，可以配置允许或拒绝连接、记录日志等操作。
3. 配置出站规则出站规则是指限制从本地计算机访问外部网络的规则。
可以通过以下步骤配置出站规则：（1）选择“高级设置”-“出站规则”，点击“新建规则”。
（2）根据需要选择不同类型的规则。
例如，如果只允许特定IP地址访问计算机，则可以选择“自定义”类型。
（3）根据需要配置规则属性，例如名称、描述、协议等。
（4）配置允许或拒绝连接的条件。
例如，可以配置只允许特定端口的连接。
（5）配置规则的操作。
例如，可以配置允许或拒绝连接、记录日志等操作。
4. 测试防火墙设置为了测试防火墙设置是否有效，可以使用Ping命令、Telnet命令或nmap扫描器进行测试。
实训项目七 防火墙配置
实训项目七防火墙配置【实验目的】●熟悉路由器的包过滤的核心技术：ACL●掌握访问控制列表的分类及各自特点●掌握访问控制列表的应用，灵活设计防火墙【实验仪器和设备】●H3C S3610或H3C E126A交换机2台、H3C MR30-20路由器2台、标准网线2条、计算机2台、V.35线缆一根；●每3名同学为一组。
【实验步骤】任务一、广域网接口线缆步骤一：连接广域网接口线缆通过V.35电缆将路由器RTA和RTB广域网接口S5/0实现互联，其中连接RTA的V.35电缆外接网络侧为34孔插座，而连接RTB的V.35电缆外接网络侧为34针插头（虽然通常只保留在用的针），由此可以得知路由器RTB的接口S5/0是DTE端，而路由器RTA的接口S5/0是DCE端。
步骤二：查看广域网接口信息在RTA上通过display interface Serial 5/0命令查看接口Serial 5/0的信息，根据其输出信息可以看到：Physical layer is synchronous，Virtual Baudrate is 64000 bpsInterface is DCE, Cable type is V35在RTB上通过display interface Serial 5/0命令查看接口Serial 5/0的信息，根据其输出信息可以看到：Physical layer is synchronous，Baudrate is 64000 bpsInterface is DTE, Cable type is V35由以上信息可以看到，RTA和RTB的广域网V.35电缆接口工作在同步模式下，目前的传输速率是64000 bps或者64K bps 。
步骤三：配置广域网接口参数配置将RTB的接口S5/0的传输速率修改为 2Mbps，请在如下的空格中补充完整的配置命令：[RTB-Serial5/0]baudrate 2048000在RTB上执行该命令后，有信息提示：Serial5/0: Baudrate can only be set on the DCE，意思即为只能在DCE侧修改接口的波特率即传输速率。
防火墙实验
防火墙实验实验报告1：防火墙基本配置和过滤规则实验实验目的：了解防火墙的基本配置和过滤规则的设置，掌握防火墙的基本工作原理和功能。
实验材料和设备：一台计算机作为实验主机一台路由器作为网络连接设备一台防火墙设备实验步骤：搭建网络拓扑：将实验主机、路由器和防火墙按照正确的网络连接方式进行连接。
配置防火墙设备：进入防火墙设备的管理界面，进行基本设置和网络配置。
包括设置管理员账号和密码，配置内外网接口的IP地址和子网掩码，配置默认网关和DNS服务器地址。
配置防火墙策略：根据实际需求，配置防火墙的入站和出站规则。
可以设置允许或拒绝特定IP地址、端口或协议的流量通过防火墙。
启用防火墙并测试：保存配置并启用防火墙，然后通过实验主机进行网络连接和通信测试，观察防火墙是否按照预期进行流量过滤和管理。
实验结果和分析：通过正确配置和启用防火墙，实验主机的网络连接和通信应该受到防火墙的限制和管理。
只有符合防火墙策略的网络流量才能通过，不符合策略的流量将被防火墙拦截或丢弃。
通过观察实验主机的网络连接和通信情况，可以评估防火墙的工作效果和安全性能。
实验总结：本次实验通过配置防火墙的基本设置和过滤规则，掌握了防火墙的基本工作原理和功能。
实验结果表明，正确配置和启用防火墙可以提高网络的安全性和稳定性。
实验报告2：防火墙日志分析实验实验目的：了解防火墙日志的产生和分析方法，掌握通过分析防火墙日志来识别潜在的安全威胁和攻击。
实验材料和设备：一台计算机作为实验主机一台路由器作为网络连接设备一台防火墙设备实验步骤：搭建网络拓扑：将实验主机、路由器和防火墙按照正确的网络连接方式进行连接。
配置防火墙设备：进入防火墙设备的管理界面，进行基本设置和网络配置。
包括设置管理员账号和密码，配置内外接口的IP地址和子网掩码，配置默认网关和DNS服务器地址。
配置防火墙日志：在防火墙设备中启用日志记录功能，并设置日志记录级别和存储位置。
进行网络活动：通过实验主机进行各种网络活动，包括浏览网页、发送邮件、进行文件传输等。
华为USG5500防火墙配置实验一
华为USG5500防火墙配置实验1、实验拓扑内网：192.168.0.0/24外网：192.168.1.0/24其他设备地址规划如图，按照拓扑图搭建网络，并配置设备地址2、具体配置命令AR1<Huawei>system-view[Huawei]sysname AR1[AR1]interface g0/0/0[AR1-GigabitEthernet0/0/0]ip address 192.168.0.150 24[AR1-GigabitEthernet0/0/0]quit 退出[AR1]ip route-static 0.0.0.0 0.0.0.0 192.168.0.1 配置默认路由AR1开启Telnet服务[AR1]user-interface vty 0 4 开启远程线程[AR1-ui-vty0-4]au[AR1-ui-vty0-4]authentication-mode password 认证方式为password Please configure the login password (maximum length 16):888 登录密码 [AR1-ui-vty0-4]user privilege level 3 设置用户等级[AR1-ui-vty0-4]AR2<Huawei>system-view[Huawei]sysname AR2[AR2]interface g0/0/0[AR2-GigabitEthernet0/0/0]ip add[AR2-GigabitEthernet0/0/0]ip address 192.168.1.150 24[AR2-GigabitEthernet0/0/0]q[AR1]ip route-static 0.0.0.0 0.0.0.0 192.168.1.1AR2配置TelnetAR2]us[AR2]user-interface v[AR2]user-interface vty 0 4[AR2-ui-vty0-4]au[AR2-ui-vty0-4]authentication-mode p[AR2-ui-vty0-4]authentication-mode passwordPlease configure the login password (maximum length 16):666 或者[AR2-ui-vty0-4]set authentication password cipher 666[AR2-ui-vty0-4]user privilege level 3[AR2-ui-vty0-4]q防火墙配置：The device is running!<SRG>system-view[SRG]sysname FW1[FW1]interface g0/0/0[FW1-GigabitEthernet0/0/0]ip add 192.168.0.1 24Warning: Address already exists! 默认接口地址已经存在，不用管[FW1-GigabitEthernet0/0/0]q[FW1]interface g0/0/1[FW1-GigabitEthernet0/0/1]ip add 192.168.1.1 24[FW1-GigabitEthernet0/0/1]q[FW1]display zone 显示区域配置localpriority is 100#trustpriority is 85interface of the zone is (1):GigabitEthernet0/0/0#untrustpriority is 5interface of the zone is (0):#dmzpriority is 50interface of the zone is (0):#[FW1][FW1]firewall zone name outside 创建一个名字为outside的区域[FW1-zone-outside]set priority 30 设置安全等级为30[FW1-zone-outside]q[FW1]firewall zone name inside[FW1-zone-inside]set priority 90[FW1-zone-inside]q[FW1]display zone[FW1]firewall zone outside 进入outside区域，把接口g0/0/1接入该区域[FW1-zone-outside]add interface GigabitEthernet 0/0/1[FW1-zone-outside]display this 显示当前的配置#firewall zone name outsideset priority 30add interface GigabitEthernet0/0/1#return[FW1-zone-outside]q[FW1]display policy all 查看策略policy zone local#policy zone trust#policy zone untrust#policy zone dmz#policy zone outside#policy zone inside#policy interzone local trust inboundfirewall default packet-filter is permit#policy interzone local trust outboundfirewall default packet-filter is permit#policy interzone local untrust inboundfirewall default packet-filter is deny#policy interzone local untrust outbound firewall default packet-filter is permit #policy interzone local dmz inboundfirewall default packet-filter is deny#policy interzone local dmz outboundfirewall default packet-filter is permit #policy interzone local outside inboundfirewall default packet-filter is deny#policy interzone local outside outbound firewall default packet-filter is permit #policy interzone local inside inboundfirewall default packet-filter is deny#policy interzone local inside outboundfirewall default packet-filter is permit #policy interzone trust untrust inboundfirewall default packet-filter is deny#policy interzone trust untrust outbound firewall default packet-filter is deny#policy interzone trust dmz inboundfirewall default packet-filter is deny#policy interzone trust dmz outboundfirewall default packet-filter is deny#policy interzone trust outside inboundfirewall default packet-filter is deny#policy interzone trust outside outbound firewall default packet-filter is deny#policy interzone inside trust inboundfirewall default packet-filter is deny#policy interzone inside trust outboundfirewall default packet-filter is deny#policy interzone dmz untrust inboundfirewall default packet-filter is deny#policy interzone dmz untrust outboundfirewall default packet-filter is deny#policy interzone outside untrust inboundfirewall default packet-filter is deny#policy interzone outside untrust outboundfirewall default packet-filter is deny#policy interzone inside untrust inboundfirewall default packet-filter is deny#policy interzone inside untrust outboundfirewall default packet-filter is deny#policy interzone dmz outside inboundfirewall default packet-filter is deny#policy interzone dmz outside outboundfirewall default packet-filter is deny#policy interzone inside dmz inboundfirewall default packet-filter is deny#policy interzone inside dmz outboundfirewall default packet-filter is deny#policy interzone inside outside inboundfirewall default packet-filter is deny#policy interzone inside outside outboundfirewall default packet-filter is deny#[FW1]创建策略放行outbound流量[FW1]policy interzone trust outside outbound 定义outbound流量 [FW1-policy-interzone-trust-outside-outbound]poli[FW1-policy-interzone-trust-outside-outbound]policy 1[FW1-policy-interzone-trust-outside-outbound-1]poli[FW1-policy-interzone-trust-outside-outbound-1]policy so[FW1-policy-interzone-trust-outside-outbound-1]policy source192.168.0.150 001:27:13 2016/11/15[FW1-policy-interzone-trust-outside-outbound-1]poli[FW1-policy-interzone-trust-outside-outbound-1]policy de[FW1-policy-interzone-trust-outside-outbound-1]policy destination any 01:27:25 2016/11/15[FW1-policy-interzone-trust-outside-outbound-1]ac[FW1-policy-interzone-trust-outside-outbound-1]action p[FW1-policy-interzone-trust-outside-outbound-1]action permit01:27:34 2016/11/15[FW1-policy-interzone-trust-outside-outbound-1][FW1-policy-interzone-trust-outside-outbound-1]q01:27:37 2016/11/15[FW1-policy-interzone-trust-outside-outbound][FW1-policy-interzone-trust-outside-outbound]q01:27:38 2016/11/15[FW1][FW1][FW1]dis[FW1]display po[FW1]display poli[FW1]display policy i[FW1]display policy interzone t[FW1]display policy interzone trust o[FW1]display policy interzone trust outside outbound01:27:55 2016/11/15policy interzone trust outside outboundfirewall default packet-filter is denypolicy 1 (0 times matched)action permitpolicy service service-set ippolicy source 192.168.0.0 mask 255.255.255.0policy source 192.168.0.150 0policy destination any[FW1]firewall packet-filter default permit interzone trust outside Warning:Setting the default packet filtering to permit poses security risks. Youare advised to configure the security policy based on the actual data flows. Are you sure you want to continue?[Y/N]y[FW1]dis[FW1]display policy interzone trust outside outbound01:28:23 2016/11/15policy interzone trust outside outboundfirewall default packet-filter is permitpolicy 1 (0 times matched)action permitpolicy service service-set ippolicy source 192.168.0.0 mask 255.255.255.0policy source 192.168.0.150 0policy destination any恢复默认值deny[FW1]firewall packet-filter default deny interzone trust outside [FW1]display policy interzone trust outside outbound01:32:06 2016/11/15policy interzone trust outside outboundfirewall default packet-filter is denypolicy 1 (0 times matched)action permitpolicy service service-set ippolicy source 192.168.0.0 mask 255.255.255.0policy source 192.168.0.150 0policy destination any用内网的路由Telnet AR2后，可以登录在防火墙查看会话状态[FW1]display firewall session table verbose00:58:32 2016/11/15Current Total Sessions : 2telnet VPN:public --> publicZone: trust--> outside TTL: 00:00:10 Left: 00:00:00Interface: GigabitEthernet0/0/1 NextHop: 192.168.1.150 MAC: 00-e0-fc-7a-0b-5a<--packets:18 bytes:867 -->packets:17 bytes:728192.168.0.150:49272-->192.168.1.150:23telnet VPN:public --> publicZone: trust--> outside TTL: 00:10:00 Left: 00:09:55Interface: GigabitEthernet0/0/1 NextHop: 192.168.1.150 MAC: 00-e0-fc-7a-0b-5a<--packets:16 bytes:725 -->packets:17 bytes:726192.168.0.150:49957-->192.168.1.150:23[FW1]如何允许外网的用户Telnet到内网的路由器[FW1]policy interzone trust outside inbound[FW1-policy-interzone-trust-outside-inbound]policy 1[FW1-policy-interzone-trust-outside-inbound-1]policy source 192.168.1.150 0[FW1-policy-interzone-trust-outside-inbound-1]policy destination 192.168.0.150 0[FW1-policy-interzone-trust-outside-inbound-1]policy service service-set telnet[FW1-policy-interzone-trust-outside-inbound-1]action permit验证试验效果。
实验：防火墙配置与NAT配置
实验：防火墙配置与NAT配置一、实验目的学习在路由器上配置包过滤防火墙和网络地址转换（NAT）二、实验原理和内容1、路由器的基本工作原理2、配置路由器的方法和命令3、防火墙的基本原理及配置4、NAT的基本原理及配置三、实验环境以及设备2台路由器、1台交换机、4台Pc机、双绞线若干四、实验步骤（操作方法及思考题）{警告：路由器高速同异步串口（即S口）连接电缆时，无论插拔操作，必须在路由器电源关闭情况下进行；严禁在路由器开机状态下插拔同/异步串口电缆，否则容易引起设备及端口的损坏。
}1、请在用户视图下使用“reset saved-configuration”命令和“reboot”命令分别将两台路由器的配置清空，以免以前实验留下的配置对本实验产生影响。
2、在确保路由器电源关闭情况下，按图1联线组建实验环境。
配置IP地址，以及配置PC A 和B的缺省网关为202.0.0.1，PC C 的缺省网关为202.0.1.1，PC D 的缺省网关为202.0.2.1。
202.0.0.2/24202.0.1.2/24192.0.0.1/24192.0.0.2/24202.0.0.1/24202.0.1.1/24S0S0E0E0202.0.0.3/24202.0.2.2/24E1202.0.2.1/24AR18-12AR28-11交叉线交叉线A BCD图 13、在两台路由器上都启动RIP ，目标是使所有PC 机之间能够ping 通。
请将为达到此目标而在两台路由器上执行的启动RIP 的命令写到实验报告中。
（5分）AR28-11[Quidway]interface e0/0[Quidway-Ethernet0/0]ip address 202.0.1.1 255.255.255.0 [Quidway-Ethernet0/0]interface ethernet0/1[Quidway-Ethernet0/1]ip address 202.0.2.1 255.255.255.0 [Quidway-Ethernet0/1]interface serial0/0[Quidway-Serial0/0]ip address 192.0.0.2 255.255.255.0 [Quidway-Serial0/0]quit [Quidway]rip[Quidway-rip]network 0.0.0.0 AR18-12[Router]interface e0[Router -Ethernet0]ip address 202.0.0.1 255.255.255.0 [Router -Ethernet0]interface s0[Router - Serial0]ip address 192.0.0.1 255.255.255.0 [Router -Ethernet0]quit [Router]rip[Router -rip]network all4、在AR18和/或AR28上完成防火墙配置，使满足下述要求：（1） 只有PC 机A 和B 、A 和C 、B 和D 之间能通信，其他PC 机彼此之间都不能通信。
防火墙的设计与配置实验报告(一)
防火墙的设计与配置实验报告(一)防火墙的设计与配置实验报告引言防火墙是网络安全中的重要组成部分，它能够保护网络免受恶意攻击和未经授权的访问。
在本实验报告中，我们将重点讨论防火墙的设计与配置。
设计原则为了确保防火墙的有效性和可靠性，我们应遵循以下设计原则：- 合规性：防火墙的配置和规则设置必须符合相关安全标准和法规要求。
- 防御深度：采用多层次的防护方式，例如网络隔离、访问控制列表（ACL）等，保障网络的安全性。
- 灵活性：防火墙的设计应该具备适应不同网络环境和需求变化的能力。
- 可管理性：防火墙的配置和管理应该简单易行，不影响正常网络运行。
配置步骤以下是防火墙配置的基本步骤：1.定义安全策略：根据实际需求，明确访问控制政策并制定安全规则。
2.确定网络拓扑：了解网络拓扑和通信流量，确定防火墙的位置及其与其他网络设备的连接方式。
3.规划地址空间：分配和规划IP地址、端口和协议。
4.设置访问规则：配置防火墙的访问控制列表（ACL），限制特定IP地址或端口的访问权限。
5.创建安全组：根据需求设定安全组，限制特定IP地址或协议的流量。
6.启用日志记录：开启防火墙日志记录功能，及时发现和应对潜在的安全威胁。
7.测试与验证：经过配置后，进行防火墙功能和安全性的测试与验证。
最佳实践以下是一些防火墙设计与配置的最佳实践：•使用默认拒绝规则：配置防火墙时，优先采用默认拒绝规则来限制访问，只允许必要的和经过授权的流量通过。
•定期审查和更新规则：定期审查现有的安全规则，删除不再需要的规则，并及时更新和添加新的规则以适应网络变化。
•网络监控和入侵检测：与防火墙配套使用网络监控和入侵检测工具，及时监测和响应网络安全事件。
•应用安全补丁和更新：定期更新和应用防火墙设备的安全补丁和软件更新，以关闭已知的漏洞和提高系统的安全性。
结论通过本次实验，我们深入了解了防火墙的设计与配置过程。
只有在遵循合适的设计原则和最佳实践的前提下，才能保障防火墙的有效性和网络的安全性。
防火墙配置的实验报告
防火墙配置的实验报告
《防火墙配置的实验报告》
实验目的：通过实验，掌握防火墙的基本配置方法，了解防火墙的作用和原理，提高网络安全意识。
实验内容：
1. 防火墙的基本概念
防火墙是一种网络安全设备，用于监控和控制网络流量，以保护网络免受未经
授权的访问和攻击。
防火墙可以根据预设的规则过滤网络数据包，阻止潜在的
威胁和攻击。
2. 防火墙的配置方法
在实验中，我们使用了一台虚拟机来模拟网络环境，通过配置防火墙软件来实
现对网络流量的监控和控制。
首先，我们需要了解防火墙软件的基本功能和配
置界面，然后根据网络安全需求设置相应的规则和策略，最后测试配置的有效性。
3. 防火墙的作用和原理
防火墙可以通过不同的方式来实现对网络流量的控制，包括基于端口、IP地址、协议和应用程序的过滤规则。
其原理是通过检查网络数据包的源地址、目的地址、端口等信息，判断是否符合预设的规则，然后决定是否允许通过或阻止。
实验结果：
经过实验，我们成功配置了防火墙软件，并设置了一些基本的过滤规则，包括
禁止某些端口的访问、限制特定IP地址的访问等。
在测试阶段，我们发现配置
的规则能够有效地过滤网络流量，达到了预期的安全效果。
结论：
通过本次实验，我们深入了解了防火墙的基本概念、配置方法和作用原理，提高了网络安全意识和技能。
防火墙在网络安全中起着至关重要的作用，能够有效地保护网络免受未经授权的访问和攻击，是网络安全的重要组成部分。
我们将继续学习和实践，不断提升网络安全防护能力。
华为防火墙实验文档
第一部分华为防火墙基本初始化LAB1 子接口初始化一、实验拓扑二、基本配置SW:[SW]vlan 2[SW-vlan2]description Untrust[SW-vlan2]vlan 3[SW-vlan3]description Trust[SW-vlan3]vlan 4[SW-vlan4]description DMZ[SW]int g0/0/9[SW-GigabitEthernet0/0/8]port link-type access[SW-GigabitEthernet0/0/8]port default vlan 3[SW-GigabitEthernet0/0/8]int g0/0/3[SW-GigabitEthernet0/0/3]port link-type access[SW-GigabitEthernet0/0/3]port default vlan 3[SW]int g0/0/9[SW-GigabitEthernet0/0/9]port link-type trunk[SW-GigabitEthernet0/0/9]port trunk allow-pass vlan 1 2 4 [SW]int g0/0/1[SW-GigabitEthernet0/0/1]port link-type access [SW-GigabitEthernet0/0/1]port default vlan 2[SW-GigabitEthernet0/0/1]int g0/0/2[SW-GigabitEthernet0/0/2]port link-type access[SW-GigabitEthernet0/0/2]port default vlan 4三、防火墙配置system-viewEnter system view, return user view with Ctrl+Z.[SRG][SRG]sysname HWFW[HWFW]int g0/0/0[HWFW-GigabitEthernet0/0/0]alias Trust ===配置接口描述[HWFW-GigabitEthernet0/0/0]ip add 192.168.1.10 24 [HWFW]int g0/0/1.2[HWFW-GigabitEthernet0/0/1.2]vlan-type dot1q 2 ====封装VLAN [HWFW-GigabitEthernet0/0/1.2]alias Untrust[HWFW-GigabitEthernet0/0/1.2]ip add 202.100.1.10 24[HWFW-GigabitEthernet0/0/1.2]interface GigabitEthernet0/0/1.4 [HWFW-GigabitEthernet0/0/1.4]alias DMZ[HWFW-GigabitEthernet0/0/1.4]vlan-type dot1q 4[HWFW-GigabitEthernet0/0/1.4]ip add 172.16.1.10 24测试：[HWFW]ping -c 2 192.168.1.119:26:33 2014/05/26PING 192.168.1.1: 56 data bytes, press CTRL_C to breakReply from 192.168.1.1: bytes=56 Sequence=1 ttl=255 time=80 msReply from 192.168.1.1: bytes=56 Sequence=2 ttl=255 time=580 ms [HWFW]ping -c 2 202.100.1.119:26:55 2014/05/26PING 202.100.1.1: 56 data bytes, press CTRL_C to breakRequest time outRequest time out[HWFW]ping -c 2 172.16.1.119:27:14 2014/05/26PING 172.16.1.1: 56 data bytes, press CTRL_C to breakRequest time outRequest time out为什么直连不通？因为默认不同zone之间流量是不允许访问的，可以通过以下命令查看：[HWFW]display current-configurationfirewall zone trustset priority 85add interface GigabitEthernet0/0/0为了测试，可以将防火墙其它两个两口放入相同的zone[HWFW] firewall zone trust[HWFW-zone-trust]add interface g0/0/1.2[HWFW-zone-trust]add interface GigabitEthernet0/0/1.4[HWFW]ping -c 2 202.100.1.119:32:39 2014/05/26PING 202.100.1.1: 56 data bytes, press CTRL_C to breakReply from 202.100.1.1: bytes=56 Sequence=1 ttl=255 time=70 ms Reply from 202.100.1.1: bytes=56 Sequence=2 ttl=255 time=700 ms --- 202.100.1.1 ping statistics ---2 packet(s) transmitted2 packet(s) received0.00% packet lossround-trip min/avg/max = 70/385/700 ms[HWFW]ping -c 2 172.16.1.119:32:45 2014/05/26PING 172.16.1.1: 56 data bytes, press CTRL_C to breakReply from 172.16.1.1: bytes=56 Sequence=1 ttl=255 time=70 ms Reply from 172.16.1.1: bytes=56 Sequence=2 ttl=255 time=560 ms --- 172.16.1.1 ping statistics ---2 packet(s) transmitted2 packet(s) received0.00% packet lossround-trip min/avg/max = 70/315/560 mssave ===保存配置19:37:09 2014/05/26The current configuration will be written to the device.Are you sure to continue?[Y/N]y2014-05-26 19:37:11 HWFW �M/4/SAVE(l): When deciding whether to save configuration to the device, the user chose Y.Do you want to synchronically save the configuration to the startupsaved-configuration file on peer device?[Y/N]:yNow saving the current configuration to the device..Info:The current configuration was saved to the device successfully.reset saved-configuration ?reset saved-configuration ====清空配置19:37:26 2014/05/26The action will delete the saved configuration in thedevice.The configuration will be erased to reconfigure.Are you sure?[Y/N]yNow clearing the configuration in the device.2014-05-26 19:37:28 HWFW �M/4/RST_CFG(l): When deciding whether to reset the saved configuration, the user chose Y.Error:The config file does not exist!LAB2:三接口初始化一、基本配置[SW]vlan batch 2 to 4port link-type accessport default vlan 2interface GigabitEthernet0/0/8port link-type accessport default vlan 2interface GigabitEthernet0/0/3port link-type accessport default vlan 3interface GigabitEthernet0/0/10port link-type accessport default vlan 3interface GigabitEthernet0/0/2port link-type accessport default vlan 4interface GigabitEthernet0/0/9port link-type accessport default vlan 4二、防火墙配置[HWFW]undo interface g0/0/1.2 ===删除子接口[HWFW]undo interface g0/0/1.4ip address 202.100.1.10 255.255.255.0interface GigabitEthernet0/0/1ip address 172.16.1.10 255.255.255.0interface GigabitEthernet0/0/2ip address 192.168.1.10 255.255.255.0测试：[HWFW]ping -c 1 202.100.1.120:01:23 2014/05/26PING 202.100.1.1: 56 data bytes, press CTRL_C to breakReply from 202.100.1.1: bytes=56 Sequence=1 ttl=255 time=950 ms [HWFW]ping -c 1 172.16.1.120:01:59 2014/05/26PING 172.16.1.1: 56 data bytes, press CTRL_C to breakReply from 172.16.1.1: bytes=56 Sequence=1 ttl=255 time=180 ms [HWFW]ping -c 1 192.168.1.120:02:27 2014/05/26PING 192.168.1.1: 56 data bytes, press CTRL_C to breakReply from 192.168.1.1: bytes=56 Sequence=1 ttl=255 time=780 ms安全区域概述：安全区域（Security Zone），或者简称为区域（Zone），是一个安全概念，大部分的安全策略都基于安全区域实施。