实验八_防火墙路由模式配置

1、实验八、防火墙路由模式配置实验目的1. 了解什么是路由网络模式2. 了解如何配置防火墙为路由模式应用环境路由模式即相当于防火墙工作于路由模式。防火墙进行防范的各个区域均位于不同网段。实际应用环境中，此类应用防火墙一般位于接入边界，例如ISP分配为外部地址，而内部为私有地址，服务器区域为其他网段地址的情况。实验设备1. 防火墙设备一台2. Console线一条3. 交叉网络线三条4. 直通网络线一条5. PC机二台实验拓扑LANDMZWANPC1: 0PC3: 1If1:7PC2: 0if0:131.56.1

2、2.60If2: 54实验要求1. 防火墙初始配置2. 配置网络对象3. 配置安全规则4. 验证安全策略加载结果5. 增加NAT地址转换6. 验证地址转换结果实验步骤防火墙和PC初始配置在防火墙的出厂状态下，启动命令行配置模式，进行简单初始配置，如下：# apply# save网关配置为启动图形化界面进行后续配置。本实验中将LAN（if1）和DMZ（if2）和WAN口均配置为路由模式。（本实验最后将在外网口启动NAT功能）使用前面介绍的方法对防火墙的接口进行IP地址的配置，如下所示：使用应用按钮和保存按钮将设置应用在防火墙系统中，并保存配置。配置网络对象根据拓扑图，我们定

3、义三个网络对象，分别与LAN、DMZ、WAN主机对应。按照前面介绍的方式配置完成之后得到如下结果界面。设置安全规则策略我们仍延续试验七的安全规则，即PC1可以访问PC2和PC3的FTP、HTTP、PING服务，PC3和PC2可以互相访问FTP、HTTP、PING服务，但不可以访问PC1的任何服务。根据我们设置的网络对象，规则设置如下所示：PC1规则：PC2规则：PC3规则：应用并保存此配置。测试安全策略我们分别在PC1、PC2、PC3中测试安全规则。测试结果如下：PC1与PC2的连通性：PingftphttpPC1与PC3的连通性：PingftphttpPC2与PC1的连通性：Pingftph

4、ttpPC2与PC3的连通性：PingftphttpPC3与PC1的连通性：PingftphttpPC3与PC2的连通性：Pingftphttp测试完毕。增加NAT地址转换应用并保存配置。验证地址转换结果PC1->PC2 PingHttpFtpPC1->PC3PingHttpFtpPC2->PC1PingHttpFtpPC2->PC3PingftphttpPC3->PC1PingHttpFtpPC3->PC2PingHttpFtp共同思考在实验结果验证过程中，尝试使用图形化界面查看防火墙的日志信息，理解其对应的含义。课后练习相关配置命令详解有关策略和对象的命

5、令请参考实验七相关配置命令一节。nat11 add 描述该命令用于增加一条静态NAT规则。语法nat11 add <ipin> <ipout> interface参数ipin转换前地址，即内部网络的IP地址ipout转换后地址，即外部网络所映射的地址，为可路由到的任意IP地址interface网卡接口保留字if0,if1,if2例子#nat11 add 相关命令nat11 del, nat11 list, nat11 changenat11 change 描述该命令用于修改一条指定序号的静态NAT规则。语法nat11 change <index> <i

6、pin> <ipout> interface参数index静态NAT规则的ID号ipin内部网络的IP地址，为转换前地址ipout转换后地址，即外部网络所映射的地址，为可路由到的任意IP地址interface网卡接口保留字if0,if1,if2例子#nat11 change 1 相关命令nat11 del, nat11 list, nat11 addnat11 del 描述该命令用于删除一条静态NAT规则语法nat11 del <index> 参数indexNAT规则的ID号例子#nat11 del 1相关命令nat11 add, nat11 list, nat1

7、1 changenat11 list描述该命令用于显示所有的静态NAT规则语法nat11 list例子#nat11 list1 相关命令nat11 add, nat11 del, nat11 changenat add 描述该命令用于添加一条动态NAT规则语法nat add <ipin/maskbits> <ipoutrange> interface参数ipin 转换前的源地址，即转换前连接发起方的私有IP地址maskbits源地址掩码ipoutrange 转换后的地址，即外部网络所映射的地址，范围为可路由到的任意IP地址interface网卡接口保留字if0,if1,

8、if2例子#nat add 增加的这条动态NAT规则表示if1接口的内网地址.1/24对任意IP地址的访问都翻译为公共外网地址范围内的地址对任意IP地址的访问。相关命令nat list, nat del, nat change注意： 1）如果对外的网络地址范围只输入单一IP，或起始IP地址与终止IP地址相同则为多对一动态NAT，否则为多对多动态NAT。2）WEB界面中可以设置转换前的源地址访问的目的地址，命令行中无需设置，默认为任意目的地址，表示适用于所有的目的地址。nat change描述该命令用于修改一条指定序号的动态NAT规则语法nat change <index> <ipin/maskbits> <ipoutrange> interface参数indexipin 动态NAT规则的id号转换前的源地址，即转换前连接发起方的私有IP地址maskbits源地址掩码ipoutrange 转换后的地址，即外部网络所映射的地址，范围为可路由到的任意IP地址interface网卡接口例子#nat change 1 相关命令nat add, nat list, nat delnat del描述该命令用于删除一条动态NAT规则语法nat del <index>参数indexNA