【网络安全与防护】-实训指导3.3-2PT实现基于思科路由器的IOS防火墙防护功能配置(ZPF)

国家高等职业教育网络技术专业教学资源库
计算机网络安全技术与实施
课程资源子库

学习情境3：实训指导3.3-2
PT实现基于思科路由器的IOS防火墙
防护功能配置（ZPF）
实训指导3.3-2
一、实训题目：
PT实现基于思科路由器的IOS防火墙防护功能配置（ZPF）
二、实训目的：
1.配置思科路由器的ZPF功能；
2.思科ZPF功能原理与实现。
三、实训要求：
1.基于PT配置思科路由器ZPF功能；
2.理解ZPF配置流程。
四、实训网络场景或网络拓扑结构：
网络拓扑结构图如下：

PT仿真网络结构图如下：
五、实训步骤：
任务初始化：
在Z_R上去除原网络配置中的NAT,并配置动态OSPF路由协议，使用内部的192.168.201.0
网段可以发布到公网上，实现Z网络与互联网的双向连通。在W_R5上配置TELNET服务。
任务1：检查基本网络连通性，在配置FW前检查连通性
1.从外部的W_WWW去ping内部的Z_PC1地址为192.168.201.1。
2.从内部的Z_PC1去Telnet到W_R5的206.1.1.1连接正常后退出。
3.从Z_PC1访问服务器W_WWW的WEB服务。

任务2：在路由器Z_R上配置防火墙功能
注意：为了完成配置，请确保名称准确指定
1.建立一个内部区域名称为“IN-ZONE”
Z_R(config)# zone security IN-ZONE
2.建立一个内部区域名称为“OUT-ZONE”
Z_R(config-sec-zone)# zone security OUT-ZONE
Z_R(config-sec-zone)# exit
任务3：定义流量类型与ACL
1.创建一个ACL定义内部流量扩展的号码为101，允许IP协议的源为192.168.201.0/24
的网络到任何目的网络。
Z_R(config)# access-list 101 permit ip 192.168.201.0 0.0.0.255 any
2.创建一个class map 引用内部流量的ACL101。
Use the class map type inspect command with the match-all option to create a class
map named IN-NET-CLASS-MAP. Use the match access-group command to match ACL 101.
Z_R(config)# class-map type inspect match-all IN-NET-CLASS-MAP
Z_R(config-cmap)# match access-group 101
Z_R(config-cmap)# exit
注意:有些协议在PT中不支持，但可以使用match-any选项，指定检查某些流量，并能
看到效果。

任务4:设置防火墙策略
1.创建一个policy map确定匹配的流量（敏感数据流），policy map的名称为
IN-2-OUT-PMAP。
Z_R(config)# policy-map type inspect IN-2-OUT-PMAP
2.指定一个检测的class type和引用的class map IN-NET-CLASS-MAP。
Z_R(config-pmap)# class type inspect IN-NET-CLASS-MAP
3.指定符合policy map后的动作。可以用inspect命令援引CBAC(还有其它选项pass和
drop)。
Z_R(config-pmap-c)# inspect
%No specific protocol configured in class IN-NET-CLASS-MAP for inspection. All
protocols will be inspected.
退出config-pmap-c模式，回到全局配置模式。
Z_R(config-pmap-c)# exit
Z_R(config-pmap)# exit

任务5:应用防火墙策略
1.创建区域对
在全局下用zone-pair命令创建区域对“IN-2-OUT-ZPAIR”指定源和目的，源和目的为
在任务1中定义的区域名称
Z_R(config)# zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination
OUT-ZONE
2.指定policy map来处理两个区域间的流量。
把policy-map和它的关联动作用service-policy和inspect命令指定，引用前面创建
的policy map名为IN-2-OUT-PMAP。
Z_R(config-sec-zone-pair)# service-policy type inspect IN-2-OUT-PMAP
Z_R(config-sec-zone-pair)# exit
Z_R(config)#
3.设置接口的安全区域
Z_R(config)# interface fa0/1
Z_R(config-if)# zone-member security IN-ZONE
Z_R(config-if)# exit
Z_R(config)# interface F0/0
Z_R(config-if)# zone-member security OUT-ZONE
Z_R(config-if)# exit
4.保存配置Copy the running config to the startup config.
Z_R# copy running-config startup-config

任务6:测试防火墙功能（从IN-ZONE到OUT-ZONE）
内部主机应该可以访问外部资源
1.从内部的Z_PC1, ping外部的W_WWW，应该是成功能通信的。
2.从内部的Z_PC1, Telnet外部的W_R5的206.1.1.1，应该可以连接上去。
当连接建立后用在Z_R上用show policy-map type inspect zone-pair sessions可以
看到建立的连接会话
Z_R# show policy-map type inspect zone-pair sessions
Zone-pair: IN-ZONE-OUT-ZONE
Service-policy inspect : IN-2-OUT-PMAP
Class-map: IN-NET-CLASS-MAP (match-all)
Match: access-group 101
Inspect
Established Sessions
Session 139644744 (192.168.201.1:1025)=>(206.1.1.1:23) telnet:tcp
SIS_OPEN
Created 00:00:02, Last heard 00:00:00
Bytes sent (initiator:responder) [0:0]
看看源IP和端口号是什么? 192.168.201.1:1025 (1025为客户端随机开的端口)
看看目的IP和端口号是什么? 206.1.1.1:23 (Telnet服务器端口号为23)
3.从Z_PC1退出Telnet连接，并关闭命令窗口
4.从Z_PC1打开web浏览器访问W_WWW的主页，访问应该是成功的。
在Z_R上可以用show查看到已经建立连接的会话。
Z_R# show policy-map type inspect zone-pair sessions
Zone-pair: IN-ZONE-OUT-ZONE
Service-policy inspect : IN-2-OUT-PMAP
Class-map: IN-NET-CLASS-MAP (match-all)
Match: access-group 101
Inspect
Established Sessions
Session 139142400 (192.168.201.1:1027)=>(206.1.1.2:80) http:tcp SIS_OPEN
Created 00:00:02, Last heard 00:00:00
Bytes sent (initiator:responder) [0:0]
看看源IP和端口号是什么? 192.168.201.1:1027 (1027为客户端随机开的端口)
看看目的IP和端口号是什么? 206.1.1.1:80 (WWW服务器端口号为80)
5.关闭Z_PC1上的浏览器

任务7:测试防火墙功能（从OUT-ZONE 到 IN-ZONE）
根据防火墙的策略，外部主机应该不能访问内部资源
1.从W_WWW去ping Z_PC1应该不成功，即不通。
2.从路由器W_R5去ping Z_PC1应该不成功，即不通。
六、实训说明：
由于实训环境不同，地址规划会有所不同，具体实训步骤请参见“实训指导3.3-2”视
频文件。