防火墙 路由模式系统测试方案.doc

防火墙路由模式测试方案   系统测试设计 ———路由模式 测试目标 提供稳定，可靠，易用的产品。 二．测试环境简略拓扑图 10.10.11.* 10.10.12.* S1 S0 FW1 10.10.3.* S1 S0 S1 172.10.1.* S0 192.168.1.* FW2 FW3 172.10.3.* 192.168.3.* 管理机 Web Server  三．IP定址。 0 0 10.10.11(2).1 40 0 10.10..3.1 （0） FW1 0 40 （0） 40 0 0 40 FW2 FW3 0 0 （52） 0 0 0 0 （51） 54 54 （53） 备注：在没有进行VPN测试时，只对一台防火墙进行测试，主机划分，按需分配。 在括号内的IP地址，为测试单一防火墙功能时所用的IP地址。 拓扑图设计思想： 以贴近普遍的用户环境为基本。考虑防火墙集成VPN功能，需要在异地建立多节点网关，必须满足一个防火墙（建立多个虚拟设备）可以拥有多个安全通道，并且可以构造不同组合的加密强度，因此，至少需要三台防火墙，构建广域网的网络拓扑。这样，便十分贴近用户实际环境。同时在广域网上，配置一台具有ftp，http等服务来模拟广域网上的Web Server。并且考虑到用户防火墙后可能有多局域子网，需挂接路由器，来为多子网进行路由。 注：1.VPN功能动态装载，启动/停用独立，不影响防火墙的正常运行。 2.当停用VPN功能，防火墙相对独立，测试只考虑当前子系统；启动VPN功能，防火墙相关联，整个拓扑环境为一个统一体。同时考虑对移动用户的支持。 3.不同防火墙（vpn）之间的区域IP标识为A.B.C.*,其中*为10的主机之间的通信为加密通信（走vpn通道），*为20的主机之间为不加密通信。 四．测试环境的准备 子网主机具有Linux，windows 2000（or 98 or NT）两种环境。其中一台装有HP openview，来对trap进行接收。并且有一台是unix系统。 测试环境Linux主机配置www，ftp，telnet服务，同时安装nmap，http_load，sendudp等测试工具；Windows主机配置ftp，telnet，iis，snmp，mediaplay等服务，同时安装IE，Netscape等浏览器，Sniffer，NetXray等监听工具。 数据库安装SQL server 7.0，2000数据库。 防火墙分区内主机的网关都设为指向所连防火墙当前连接接口，ip地址为当前网段的1地址。例：当前主机所在网段为，那么它的网关为，即防火墙接入接口的ip地址。 防火墙的默认路由均指向其通往广域网的路由器或三层交换机。 在广域网中采用静态路由和动态路由（rip或ospf）两种。路由器设置为支持snmp管理。 规则设计 系统测试所需要验证的功能有，NAT，地址绑定，本地访问控制，包过滤，多播，VPN，认证，内容过滤，流量控制，SNMP，攻击，双机热备，性能测试。对规则的制订采用将多种功能规则同时混和使用，在各个方向都同时应用多种规则。具体的规则的指定在本设计中不做制订，只是在执行步骤中体现（reason：根据执行步骤可以制订规则，保存，以后的测试重新上载即可，不在此赘述）。所有的规则制定中考虑范围内取非，范围的临界值，中间值情况。 例如：IN－OUT 审计，认证，地址绑定，NAT，vpn，多播。内容过滤。流量控制。 各种规则中相关协议和内容的制订： ICMP：