信息安全试验报告

实验报告（201/201学年第学期）课程名称信息安全技术实验名称防火墙和安全IP实验实验时间 年月日指导单位指导教师

实验报告实验名称防火墙和安全IP实验指导教师沈苏彬、王光辉实验类型上机 实验学时8实验时间2015-10-21/22/29一、实验目的和要求（1）理解防火墙技术和安全IP技术的原理（2）掌握个人电脑的防火墙、安全IP的配置方法。（3）完成防火墙的配置和测试、安全IP的配置和测试、以及基于报文嗅探软件的测试。要求独立完成实验方案的设计、配置和测试；要求独立完成实验报告的编写。二、实验环境（实验设备）硬件：微机软件：嗅探软件Wireshark，Windows系统三、实验原理及内容实验1：安全IP实验。两个同学为一组进行试验；如果没有找到合作进行实验的同学，并且存在多余的实验电脑，则可以一位同学通过两台电脑完成实验。实验和测试在没有安全IP保护的网络环境下的网络安全危险：实验和测试在没有安全保护的情况下，通过嗅探报文可以看到在同一个网段内传送的所有IP报文以及这些IP报文包括的内容，例如可以通过Ping另一台电脑，通过嗅探软件，测试是否能够分析出Ping报文。配置和测试安全IP：在两台电脑上配置安全IP策略，选择安全关联建立的方法（例如：采用基于共享密钥的安全关联建立方式），通过嗅探软件，观察和分析安全IP的安全关联建立过程，以及嗅探软件可以窥探到安全IP报文的哪些内容。通过嗅探软件，对照安全IP的原理，观察和分析安全IP的特性，例如观察安全IP的面向连接特性等。实验2：防火墙实验。两个同学为一组进行试验；如果没有找到合作进行实验的同学，并且存在多余的实验电脑，则可以一位同学通过两台电脑完成实验。通过配置防火墙的“入站规则”和“出站规则”，实现访问控制列表中对某台联网电脑访问设置防火墙电脑的限制，以及设置防火墙电脑对某台联网电脑访问限制，并且通过相关网络应用（例如Ping），测试防火墙的作用。通过配置防火墙的“入站规则”和“出站规则”，实现访问控制列表中对某类应用（例如基于ICMPv4的Ping）访问设置防火墙电脑的限制，以及设置防火墙电脑对某类应用（例如基于ICMPv4的Ping）访问限制，并且通过对该应用的使用，测试防火墙的作用。配置和验证自己认为具有实际应用价值的个人电脑防火墙规则，并且测试该防火墙的作用。罗列以上防火墙配置对应的访问控制列表。1

实验报告实验报告实验1安全IP实验.安全IP的配置步骤从系统控制面板出发，打开系统与安全功能，打开管理工具选项，找到本地安全策略。WlElHiV!工JIlD年场同口打开制最右存 " 伯成日周 也 大小i轨工 2009^11葭泡 融EC9WindomPc^arEhHIMadUac 1S：M t®昉耳 3<BS对ndcwwEM界 口小用1n2品回E 2X1%本M史骸1?尚器廿/也曲式 ，旗j,rtiEiiSaNRlgRITiM133n2KB孽胆E［眦照r”1264♦KB金芭系舒空,Eeb的乂霜200§^H12和MM.2KB*计0凡善直旧衣2KB福任歌+*:»序2009/7,1111264tsa&s：2吨FE住不冲毒i管二的5"口412:54MSTtJKB施砂吊口口汩2CKBJ7.I1412用EE2KB国王维日1睡开包1269［啪值］性£出般|2曲卬7j，412:53teatw2KB2HBj7,i141ZS7t?5t5K2KB（2）点开本地安全策略，找到本地电脑IP策略。新建IP安全策略，描述中填写“IPSec学习练习”，点击下一步，进入配（2）正在完成TP安全策略向导乜绩为屈忙中告茎工正在完成TP安全策略向导乜绩为屈忙中告茎工I士此向导，清甲击‘'弁扃’：。恐群策略.请选中“编辑同庄”宴像三成吐匕三成指主身的到TF交主干藻的属性■:「上T由Hi定成|即消（3）创建IP安全规则，点击增加，进入IP安全规则创建过程；选择“此规则不指定隧道”，即选用传输模式IPSec，选中后单击“下一步”按钮；选择“所有网络连接”，单击“下一步”按钮，进入配置IP过滤器列表阶段。

—文性出*41提作1用宜新V] 11VMi期j上向贝旦修口直I宜全，上:E盲BJHTW2C15/W7:子F安至王度.辱注第昭已指济百肥5生至习历习tCcDdB咫旧隔TP安法愚W志旧隔■'--I-/：.-,.IT.--』：**打7：'■*S.. "：■<-■Ti.法田击"，.十「•Mns.岳…-I工上一步⑻下一步⑻上JI-(4)IP过滤器列表配置。点击新增按钮，新建IP过滤器列表，进行过滤器列表配置;点击新增，进行IP过滤器配置，点击下一步；描述内容“与同组主机进行安全的icmp通信”；源地址选择“我的IP地址”；目的地址选择“一个特定的IP地址”，填写另一台主机的IP地址，；选择“ICMP”协议类型，单击“下一步”按钮。单击“完成”按钮，完成IP过滤器配置。N■'--I-/：.-,.IT.--』：**打7：'■*S.. "：■<-■Ti.法田击"，.十「•Mns.岳…-I工上一步⑻下一步⑻上JI-(4)IP过滤器列表配置。点击新增按钮，新建IP过滤器列表，进行过滤器列表配置;点击新增，进行IP过滤器配置，点击下一步；描述内容“与同组主机进行安全的icmp通信”；源地址选择“我的IP地址”；目的地址选择“一个特定的IP地址”，填写另一台主机的IP地址，；选择“ICMP”协议类型，单击“下一步”按钮。单击“完成”按钮，完成IP过滤器配置。NAfPA1MMUMiHiI**I力IBM Glifcll>说史虹>4wr-fiH:聿*1*«■充快五金WMmsBQA9n耳喈元出.理由e一交jftSHQ索性累ER电%if.汪革的鼻血■Q：二:胖।上比更B■灯EXrWLl/7加IJ以M市空网师工I：hafiTOi…I#选下学工是习再习品™■非KHE4ECS (5)过滤器行为配置。根据上图所示，选择新增的过滤器列表，点击下一步，进入过滤器行为配置阶段。点击新增，进行过滤器行为配置。行为命名为“安全的ICMP通信”;“筛选器操作常规选项”中选中“协商安全”，单击“下一步”按钮；选中“不与不支持IPSec的计算机通信”，单击“下一步”按钮；在“IP通信安全措施”中，选择“完整性和加密”，单击“下一步”按钮；最后单击“完成”；（6）“身份验证方法”界面。选中“使用此字符串保护密钥交换（预共享密钥）”，填写共享密钥“lin”（主机A、主机B的共享密钥必须一致），单击“下一步”按钮，直至最终完成。（注意：应用策略之前必须指派策略，否则策略不会自动生效。右键点击“IP安全策略”，选择“指派assign”使策略生效。）（7）完成IPSec配置。2.测试结果与分析使用wireshark抓去ping的数据包的报文通常有其固定的格式：报文长度（98bytes）二以太网头（14bytes）+IP头（20bytes）+ICMP报文（64bytes）其中，以太网头（14bytes）=目的MAC（6bytes）+源MAC（6bytes）+以太网类型0800（2bytes）我们以（a）策略为例进行分析：

(a)主机A不指派策略，主机B不指派策略。主机A在“cmd”控制台中，输入如下命令：ping主机B的IP。ping操作反馈信息与报文嗅探软件给出的结果：：MJsepsVIdministrator>pingIB.20.79.193gon目rnrnnFing10.26.79.19；10.20.79.193的51W.2W.7V.1V3的回10.20.79.193的叵10.20.79.193的叵,MMWS工工工工F

』±£±gon目rnrnnFing10.26.79.19；10.20.79.193的51W.2W.7V.1V3的回10.20.79.193的叵10.20.79.193的叵,MMWS工工工工F

』±£±丁MT

子nnHnnu仪-<<-Tl?_rrr-s--JJ..-B.L.1y— .1 .1 .—^1BT-r-Mir--ss2据ImlnillnTTL=12811L=12«TTL=128TTL-128.193包二统计信息：,-藕的估计时间＜以亳秒为=Bns,取长=1ns,平均4,丢失==0nsjQr^xurippFeSOW* 门？』Perrwrlvr.].|j||B** 盲Stun小□喘步=e*keiT#b^u^i-JechL・En.H"PKhinifljia■■3CJD.-n.il]Tm*11W251125-81^214.20.?务Ilf11W2?U1254U^14L.2G.r9.1-K]LM]!l1L?5.ALd-m1O.JD.74.1-fllHM301125.11139710.20.Z.IM1L【W"l.L：E.5：3-ldL：.2D.-P.35：■AHeJANTm*11W251125-81^214.20.?务Ilf11W2?U1254U^14L.2G.r9.1-K]LM]!l1L?5.ALd-m1O.JD.74.1-fllHM301125.11139710.20.Z.IM1L【W"l.L：E.5：3-ldL：.2D.-P.35：■AHeJAN必用处ioljd.74.i-aiIOlID.TH.1■»10-20.r*a.HiTCPTCPa(jT'：F-而]PC^T朽口Ej Len-0F5-”做二鳖VWr黑,]wi-L 隼IX*舞Qi_mo301MK|n:1jchFrcrrcccilHquMX]31£433 K-aquMrfc,Luiiir:irwr^nma■smwqlSi2.AL+M.1O.2D.71.1121O-2D.?9.115M3内仲1g)f4iply39ML日1M1.AL-W510.20.E.IM10.20.?^.IfJ-"-4GCFA<p1g]r4ply打iMj黜id上必值m掂C0.79i址3北EbR忸1»；rap>/M-O-O&ftl.3IH251M5*tg皿1鹏；rtplyId-CxH«Lu招酬・51期铝Htild耽？%块Id20.?S.m7iEcho<Dlng2r息口降51：JUTi2」.I・L⑷dl」1O.JD.74.3-91IOlJD.74.1-9J.TdGidxi加1n^Jr-atfJHT"4Ed~n31ngL}r，<j■工七"4Ed"oii，p,lng)'r-n^M&t■M4D0D1,314~HHU.miT10.20.71.1-333M-S32 10.20.71.2^210.JD.n.Ml10.20.n.MJidTl虱中。1,■iMTiIKIDl.543/04电—4$[门*.心]J中LH枇k■:Mlairi^MdM口『口3K»->-1O0M, !；r^jlyIn3JJ-E-31)22t!_LEI-UE/(1川匕1111JSJ.Mft.l■fi明■NF'L『-TC1-UE£Y«QjMt51MLTJ5的.>：■会imi.(rmtsrin抬耳“：!sea-1,'25CTri-12tfr-epiyin■MhZGL?口TrimI：r«ply1n■ik-3'TH-TtI«Ul(rip'ly1n1R孑翔即334TKT^si=rjM1LW1T:-K-byr・・anwirab1c(&Jb|K-H.Jg-Ed3制biex)anImkF43口-iE什crmt[],ire:cTitK|ra_jil:-cc:Ml:a.3:£b:iK:-ec:^c9^1EHtc-qranal:4:■:IS!：■■£<:ill二3 ■二HJailhtTBt"pfaiciil旭14011%>「：lOLNtLm.Ha：OOlNELE.Ha：，3t:ULBa/ILimtU.aa-79.UI:■ran£vl-fi5.->«cwrrol曰玳墟立1,—1：tpw口was.wiphi:金工+ 5*3.口.L«r>qswretPOT!：IDerWarlQnpwl3争n/j[StreMInries：[TCPSK|MmL«n:d]占rmr£："inunfc-ar:D4f-Lb£:iv«工■quim口nu・i»r)Ackmwl-adgmrKnu*・r_0日中**Ldri^i!3-Sw■”J—m—0MM>-n9[flMfHHCMIF・闻4S1J6ValLHI!M12,Rjltblur史d-iFd5-9lje;日Lft2]曰i-hecksi^*：限MbrM#i-tdflrIon小田1比d|Ur^WTEpciTK：W-4■nptlira;(■RtaciJif41xikjtind^mfr3mniwCpir』tion工EPJ,1M-OparsnianfhOP).,3CKp*riHctc~d器8器8.口器』招辛商中居中就M口心ss翡e:li>?■+「(KdMXq 叼洛33EHX;(MfirR.13MG| ―心，口由ping的结果可以看出两台主机连接通道良好，没有丢包现象，可以进行后续分析。如上图报文结果所示。其中：以太网头为：eca86ba8cce8eca86ba8ce390800IP头：4500003c11a10000800100000a144fc10a144fc0IMCP报文：08004d5a000100016162636465666768696a6b6c6d6e6f7071727374757677616263646566676869按照相同的分析方法，我们可以一次分析以下几种情况：(b)主机A指派策略，主机B不指派策略。主机A在“cmd”控制台中，输入如下命令：ping主机B的IPping操作反馈信息与报文嗅探软件给出的结果：：xJsers^Hdministrator>pinQ10.20.79.193在1承成-求成-

e±_h±_h±_h±_hinnnn0nn000超超超超在1承成-求成-

e±_h±_h±_h±_hinnnn0nn000超超超超n.寸.寸.寸工具有32字节的数据:0.20.79.193的Ping统计信息：数据包:已发送=4,已接收=%丢失=4<100z丢失〉,U.EQHU23.O2IMDM.ZDL73.11：JS3749UU.41443M.ZEL79.112MMLB1-5&5.i-LTfli30.JP.?9.3fl2iJMJ- Mi0.35.3-)2鼻跖2。铀丸耳2HR,见57Q：W电75,现IUTi2SILL.43UJ.]Q.12工70.■口n4TI£U.EQHU23.O2IMDM.ZDL73.11：JS3749UU.41443M.ZEL79.112MMLB1-5&5.i-LTfli30.JP.?9.3fl2iJMJ- Mi0.35.3-)2鼻跖2。铀丸耳2HR,见57Q：W电75,现IUTi2SILL.43UJ.]Q.12工70.■口n4TI£”匕.口萧IT14.2P.7R.]-12IMflHUES.9»i?M.ZDl79.31：30.JP.?9.nfl2jj-ww isn.叩门花乂5623 乱以11白盘铀尸虫i钝M5吼。押仃曾。江押西门曰门箫13139蛇狗纲4a1ll]?SM狗935.9.虫弧s.«■.丸丸9.虫弧*.r777777T7777鼠斑盥段装毅Ter寓Kk:窝窑；T4E£J1Di■■印lyIlKquQML,I ,M£rL.>>：14.ixi-iza1/岬皿匚Illi33J744JTJGLHOH£r打UN.Hi?!『MjuHQ1riS5M]rJ?4CihO(32)f4Plyid-MWLi一伊察：赫LTC1-12IJW何也打封;1却?aEChO£p(ng)火N'idM.cri-LSStr窜旧tin33耳语》"aMgfpi卬「Eue”Mo-iiyaWjCtl-ize：rW1yInTd£cte（P'"9）rtquiiE：id^CuGiMh,wq-3/s^.trl-llMT-ily1nlUPia]T4£ch»n^LMSEid->：waML(3-RGT3--7M,tc IplYin3347I7JT4齿但(pi"3)riqLHstiiP-MIIXIL,I ,C-tl-LU(rtplyin3MB33-?TJGLHOtpinfliKM|uKtHLpkUU口.CT1-L25Cmi•叫mmfound!!?4CihO，3即f国145cid-MWLiC.T1-L25（M「工却MW用Mfil”?aEChOCping)FtqTC火中LI：1州.CTl-LS^(M『HflB养"aMhOCpimJ「Eue，!：UTl-lZigFCM3EFqunrlJJ*Edi ,fip£33nw jpninIrtpkiijJukJmnricH4pi勺E二■；目-*K•电/喻可/1口］口◎口Rianddd■■■L&K>>范LU■QpaVtidBA..DwI"1，Mo Tim» iwr'w DirtiM^arllDOZS1125.at7d114 噌J,州 ，机M/?S.U411W27UH,肌的灯明上57里i丸 i%冷？丸L弘F^wspaiLv*gikfp 625?O4G-^*5-[5vh|3«s-0 hss-lW5*ci«_repj<--iFF 5d Mid ick-iFrw&23]LUl]t1LJ5.^Lhd4]a.2D.7Q.3-31 Id.J»l76,L43 31LDSnb^cimvPrdEaEalAaquiicU.DO1D1115.BUASTM2GL?D.1.-91 M.30l7».Lfll 131Im-tanErtuiAndXAmuuc.ua»r:mwtwwlh[TCP田吟MFCL-in:口]^MT-irc-anuatiiir:OCr*l[TCP田吟MFCL-in:口]^MT-irc-anuatiiir:OCr*l』t1rii3-n*iinci!ru^»rjA£h*wl■■c^nrcrunbir:□HMWLE*:23FMWNnp“UEiqi二君必器售豆冷-fr』H4]LM3-5:43by»Ean5r・Mmkr^t-ci=a^EuradbiTajmIeEmf口■CchMnrwt12,Src:£liti^ra_al:ct:liC«：1K：M:ai:-:e:iH：i,tot:E.11>:iErG_iJi:c.«：a»(k:Jl:4b:sJ:t-i:■ImH-rwtPrnfctKnlMirsian4,Ste.:34.ZO.T».L^Zdfl.X>-75.Cst^ID.2D.7-9.1»3<10,2D./-J.1MJ5l>KC-aP&TC!Pwrl^aTliX!rwci打工U7幻1nA>；[■c-alc^i-snwl彳11»sijeiSIM]鹏chetksi*：岫丈b【0iiMHcm#3奥1啪uf^mhpcrlmr:口■Opcliri:(Ib^tu),MirinMiiihtihieM",i«»ap«rjt'i-an。4州」，u-Dparificn〔心1j, pH-nitc«d■r BUM（!即折an:■Fte一PJUk“HLFIMiElL；1如门1 Mlh空口dMt 在A指派，B不指派的情况下，我们可以发现在ping的结果中发送的报文为4,接受为0。在wireshark的报文接收界面中，按照上述分析，A主机无法ping到B主机。上述报文中恰巧反映这点。（c）主机A指派策略，主机B指派策略。主机A在“cmd”控制台中，输入如下命令：ping主机B的IPping操作反馈信息与报文嗅探软件给出的结果：G=XUsersSfidnLnxstratorzping10-20-79-192・IJj—|二-二三--hlTTHTnInPinT10.23.??10.20.79.19210.20.79.19210.20.79.19210.20.7?.192:55sS居mmllvl・IJj—|二-二三--hlTTHTnInPinT10.23.??10.20.79.19210.20.79.19210.20.79.19210.20.7?.192:55sS居mmllvlH.1111勺二一----14l;lg-mJ-_JJ._m-_JJL.■:■,1 .1 .1 .1 :「：，FTT000,IL2222u「3333-----会节节节节有圭±±子具291-Lr-.lb-CT-F-r^-b-r^-b■L—l—r・1.n-rLl_r.FT□□□□TTL=128TTL=128TTL=128TTL=12810.7?.1?2的Pin，统计信息:二.已发二支.已接收、=三的估计时I肝以毫秒为单笔

忠=1ns,取长=1ms,平均明丢失=1nsC：\Usei*s^Haminrsti'atoiw> 0. -lgbit:G1Dballyuniqueaddress[faceDrydefaullj 0 -igbit:individualaddress(uniicasc)Type:ip(oxoboqJ口Encapgiul通ting Pay1口adi+iimeirneLpitoto-colversion4.sre:10.20.79.152(10.20.口Encapgiul通ting Pay1口adESPSPI：Oxbbl574dEI(11137-15561)ESPSequence:7sO1uaLPcsO1uaLPcs-eo4'r0010002000300Q4000500060 0 二LGbit:iiballyuniqueaddress^factorydefauTt) 0 二工Gbit:Individualaddress(unicast)Type-ip(OxOfiOD)SinternetPro-to-co-lVersion4aSrc!10.20.7^.192CIO.20.79,192),Dst：IQ,2Q,79.193(10.20.SEncapsulafingSecurityPay!oadESPSPI:CWbbl574d&(I13S745561)ESPSequence:70000位0010000020Wf0030证0040bd0000位0010000020Wf0030证0040bd0050fe00<50B2&2ofc2ga3os-o79coodT_rTz?so-Jr-?2a9-0-Jr-o00CD85asbb6615dEaaEcu-Co02b2cb

rd7a6Jual咨af6brjfQ43ft7'6Q13z7a5a53df4od622□o868b9QcQ-3r-c4Ta8干5m干egOu42ab3c04706e7E157gfIOca6za9bcaw32b9Sd7'dccLa6offdebbo-u255fi-1oh6o在A主机和B主机都指派的情况下，A主机成功发送和接受了数据包，因此连接稳定无问题。再次基础上我们对接受的数据包进行分析。I、ESP（EncapsulatingSecurityPayload）协议分析分析析源地址为主机A的讣、目的地址为主机B的IP的数据包信息；根据ESP报文格式，对数据进行分析与安全参数索引SPI。（按照链路层报头（默认14字节）一网络层报头（本实验中为20字节）一ESP报头的顺序解析数据。）L5163L5163】比特I安全参数索引SPD1顺序编号报体数据（可变长度）填充教据（22党字节）填充数据长度下个报体q份验证数据《可变长度）在该ESP协议下的报文中，安全参数索引SPI为4个字节，即“bb1574d9”。通过这个SPI发送给对方的时候，对方只需要查看SADB数据库中的SPI来匹配，然后通过该SPI下的加密参数和策略来进行解密。II、AH（AuthenticationHeader）协议分析主机A、B同时进行如下操作，修改“ICMP安全通信策略”，利用AH协议对数据源进行身份验证，而不对传输数据进行加密处理，选择MD5,点击确定。和我他计茸巩追说的妄:，安全上法ri擘ES国运义安全方法设置1疑此自定法全方受19设置，H安全蜿国⑹品斐性和乘但J传任余豺或将神也充，蚓口碰审信保持隹燮住和我他计茸巩追说的妄:，安全上法ri擘ES国运义安全方法设置1疑此自定法全方受19设置，H安全蜿国⑹品斐性和乘但J传任余豺或将神也充，蚓口碰审信保持隹燮住口传法的劫犯后静蛇证为司密*/前也和地址不加窿的日性OH）聊:齐整性姓⑪.。自定义仁）融切..加出宜,:会话期醵艮i_生成新密料间隔（sririni'L生成ifi王朗间隔中maoo]主机A对主机B进行ping操作，待操作完成，协议分析器停止捕获数据包。切换至“协议解析视图”，观察十六过制显示区数据，按照链路层报头（默认14字节）一网络层报头（本实验中为20字节）一AH报头的顺序解析数据。C：MlsersSHdininistratop>ping10.20.79.193在自目自自Ping10.20.7910.20.79.19310.20.79.19310.20.79.19310.20.79.1931向内内,--二一.rTT-」•二.于斤=32字予=32字节的数据:0~'|B=54msL日,在自目自自Ping10.20.7910.20.79.19310.20.79.19310.20.79.19310.20.79.1931向内内,--二一.rTT-」•二.于斤=32字予=32字节的数据:0~'|B=54msL日,=lmsB=lms时|日=lmsTTL=128TTL=128TTL=128TTL=128统露崖=nq-<y长『送0<题g需，匕n〕“ms心.•估1.1包的-M.数⑪取△返1M往=>均:、攵-6平SJ印已密兰日4-丢失14ms=0《版丢失九EFrane434579:98bytesonre《『日日bit、，］98bytescaptured(764b-its)oninterface。11Eifieirnetn?src:El1iiegrO'_iiiSscenes(ec；a3»6b:a9^cc:efi),osi:Elicegro-a6：c€：Cec:a®：6b：jiS：€ie^3&)EinternetProtocDlVersion4.5rc:10.2D.79.W(10.2D.7^.192),Dst:10.20.79,1&3(1&,20.7^,1S3)AuthenticatiorHaader£iIniLeirneTControlMessageProTocol..abedefghljklmno^qrstuvwabedefg0000adlo002000300g..abedefghljklmno^qrstuvwabedefg0050OOM在此情况中，我们探讨在AH协议下的数据处理分析思路。如上图所示，蓝色面积即为AH报文，其他内容和上述结论一致。

下个报头报休氏度预留安全参数索引脩p【）顺序编号务份验证数据（长度可殳）015167g31比特上图为AH31比特其中“下一个报头”为“01”。报体长度为“04”。预留是“0000”。安全参数索引SPI为“4738b3d3”。顺序编号为“00000005"。剩下字段为身份验证数据和填充数据。实验2防火墙实验设置防火墙的入站和出站规则，可以实现阻挡或者允许特定程序或者端口进行连接。在windows防火墙高级设置中可以完成相应的设置。在该实验中，本机（A机）IP地址为10.20.66.128,同学电脑（B机）IP为10.20.66.133dr击曲一名七•上睚叫它至则“寸地计1卿上的日用里主Wimdmw时*邮用？寿至Windows防止地□h□.■0人网9则EM钻献！I△幽诙封映，二.本地计算机上的莅冢士令WEdfB.制导工等电<1导d集―离砥&rina™离砥&rina™防火地为riniiKT计*机把怦潞扛全己Q6谈“写昉Wli已日用.0阻止厅则不四网入咕连想。■北保与则不四率隹站连寂R专用用血文件是活第的0福代“工防火惺已启用・0用止与飒下四酹1上.姑漳扬，般允讣与晒不睡通出诂湮将.公用配跟文件是活期的曹H&ii〃咖di已■用.□连际至秋工4查看我掰逑防火推理则ffth计算机之向的吩理证通窗瞿籍言安士桂顺月益■他用］x+.r«t□连际至秋工4查看我掰逑防火推理则ffth计算机之向的吩理证通窗瞿籍言安士桂顺月益■他用］x+.r«t由㈱/昆『工的此♦时计*机之用抵拈港行身前日证初用CW2.1通过配置防火墙的“入站规则”和“出站规则”实现访问控制列表中对某台联网电脑访问设置防火墙电脑的限制，以及设置防火墙电脑对某台联网电脑访问限制，并且通过相关网络应用（例如Ping）,测试防火墙的作用。在进行防火墙的相关设置之前，将A机尝试pingB机，结果如图。~MJindows\stjsten32>pingf10.20.EE.133TTL=12RTTL=128TTL=128TTL-12A£s

据fmssnm1144数水B-B-Q--Hk，f!\小&4Htxxour字32323232

===■32节节节节

孑rrHx子.MMft.(■0Ping1。.2小61S.2B-66A33L0.20.66.13310.20.66,13310.20.133-lj~t*JnTnn」三匚正夫夭-X来失丢InsB.p4*H

二攵位F

息嘴斗

H已厅g

UH%0

统%毫.

n9=①长

sn欧取I彳已计Fins33二估地，包的口66据嘉sitw取,2返0可见，在进行防火墙出入站规则修改之前，两者可以联通。下面，进行防火墙出站规则的修改，大致的设置步骤整理如下:（1）点击“出站规则”->“新建规则”->“自定义”JWCEi*fFlA]»WV1WHJ***irrfI@五*JWCEi*fFlA]»WV1WHJ***irrfI@五*率ifiWH也上班彘面Arans势口晒H膝够去至《?■]>看酊I■程序-加欣和就口口餐审工】>--作用感■襄作-却置潮・君有口停口出」醺11TF里皿游口曲晒喇，漏!1俘报各4■功检|的廿必工体蛤功法修茏的崛・电自定义©|下一步!蜕♦I取讷SCSI湖08-口山出匚£1系芬啬九1事工1幅割丁5-口词iSCSI否舟售JJ生目占1.EWDJJS-TtS^rcrLvnzp£先一<><>（2）点击“作用域”，在远程IP地址中添加目标IP（），再确定。10文用号叟作I同59（Vi枕联H）离喇与抓上的餐飒天E9离喇与抓上的餐飒天E9八Mmcdjfifflm器连争查全视引作用地』跣案应旺HS34的和运理化加址・晒侬定义屿•东加mJ自走?此网013晒侬定义屿•东加mJ自走?此网013®T比热OTm㈤.电消操作即置文件看坏SCSI嘀TCPgiS£S即导否死feCSIffi«|TCP-CM]iSCSI圉话K百虻QJJ占地主Fvgg口」」二曲二鬲Lanauo斯有是把V<>c上一小S）T-*tri?（3）点击“操作”，选择“阻止连接”选项。文何区।次怜⑶aZM*曲时“本期后上料酸三一丑二州—K K入丽UW忙.M5出3曜*工、谢拄主枷，:格二a泠二：21”£1：1Kts锦件用四1时副V：H.k"-春袁:*神牍* 也用特制起徜时应该西j什士（Sir*f* 0元自立扰四・■：,■..-tf_ 二¥力士 五.；,膝工司:-mnf*..:口匕 口！弁11%¥讦除任；1f< 瑾注―谓有彳灌油部工£••«”"一见..成件筑& ** 卜甚 **毛.*Kfisn*田•比匚注扰as<上一空中？T一生出1士]明诂rac?*kp-。/iscsr派瘠中用.仰fl否拓iSC&MflnCF-Outli5c51例第«E 音元7OJJik®=FarIera小口JjJJfiifDfLeno«j所有 是九“(>（4）最后修改名称为“阻止连接”，点击完成。11

4明再回国日显・取fi讲真而上玉芭蚯宝空Win出站冏兔聿忤a禹嘉融筌［砧棚捅m赛町向导名拜4明再回国日显・取fi讲真而上玉芭蚯宝空Win出站冏兔聿忤a禹嘉融筌［砧棚捅m赛町向导名拜胆出贿宅坏利而承幡置如■M蚯*顾凌把*解*陈褥国口3a艮新0t例菰.,1「小・作用团*好*阻乂件**触向型皿＜上一步血)最*JLY(5)配置完成后，在出站规则列表中的视图如下:堂孤立禽wk通y的烟3JWL!狙出凶0名“西M・=71咐陈C上的巧史壮魏A%再格誓羊鼠小电却空才杵M用MHTWX近百tKrti塞坨即fl厮百PflltH.aiJEiEul33什句efl■(6)最后开启防火墙本地计争工上的高组安全Windows彷火茬屈性域图,文件专用配―件公用配置文件I明er设宣由这2计H机白造旧正北域时的仃沌-取消最后在本机对B机进行PING操作，结果如下:12

:Windows\systen)32Aping10.2B_ _1339-0**。mmarP故故故故正一10.20.6SA33具有32子下的数据:0.20.66.133的Plnff:Windows\systen)32Aping10.2B_ _1339-0**。mmarP故故故故正一10.20.6SA33具有32子下的数据:0.20.66.133的Plnff统计信息:数据包二已发送=%巨接我=0,丢失=4（100^丢失3可见，此时A机无法连接上B机。另外，在B机上PingA机时，在B机上有如下结果:：inflows\systenJ2>pinwLH.28.bb.128Ping10.20«66.110.2S.&6.128的10.28.128的10.20.G&_128的10.20.6&.12S的532字节的数据:韩修髀」寸~~p=32"B字节=32G<lf»<lns<lms41msTTL=128TTL-128TTL=128TTL=128.1包的-@.数目瓯.2返+D0nsr-①长r引取nls统11量发现，此时B机可以访问A机，综合上两图，该结果符合实验预期。接下来可以设置防火墙对于某类应用的限制。比如说将PINGexe设置静止访问，那么应该可以拒绝PING语句的作用。比如说如下图配置，将system32文件夹下面的PING.EXE设置为阻止连接。通过配置防火墙的“入站规则”和“出站规则”实现访问控制列表中对某类应用（例如基于ICMPv4的Ping）访问设置防火墙电脑的限制，以及设置防火墙电脑对某类应用（例如基于ICMPv4的Ping）访问限制，并且通过对该应用的使用，测试防火墙的作用。在这部分实验中，我们尝试将PINGexe设置静止访问，即可以拒绝PING语句的作用。按照类似实验2.1的配置，将system32文件夹下面的PING.EXE设置为阻止连接。配置成功后的截图如下：13

程用犍蝴利匹区的程序的宾整程序商至和可执行程隹自琼o-程屋■操作-程屋■操作：所有程国在）“加刊立用于3三・也强皿库是相匹配的LZ机上的肝后送指＜■■孟女件-名称⑥出程■■孟女件-名称⑥出程序潞隹SUSy=14mEoot*\5y=tQn IIE|列览这）.一三色:p故故故故在碟sr三色:p故故故故在碟srn*133具有32子F的机据:g:\petL.\progj；-sJn.e：:kieWrogramFilesfe\br&¥strl(Lrawser.e»eL