L000 0076 0102C_防火墙与NAT实验(中文版11).docVIP

防火墙与NAT实验 实验内容 掌握访问控制列表基本原理； 掌握访问控制列表基本配置； 学习配置地址转换功能； 灵活设计防火墙。 ACL实验 实验目的 熟悉路由器的包过滤的核心技术：访问控制列表； 掌握访问控制列表的相关知识； 掌握访问控制列表的应用，灵活设计防火墙； 实验环境 在实际的企业网或者校园网络中为了保证信息安全以及权限控制，都需要分别对待网内的用户群。有的能够访问外部，有的则不能。这些设置往往都是在整个网络的出口或是入口（一台路由器上）进行的。所以在实验室我们用一台路由器（RTA）模拟整个企业网，用另一台路由器（RTB）模拟外部网。 在实际完成实验时不一定需要两台交换机和多台主机，交换机可以共用一台，但最好划分在不同的VLAN下，主机至少两台，可以灵活改变IP地址来满足实验需求。 实验组网图 实验步骤 实验准备 按照上面的组网图建立实验环境，然后按照如下规则分配IP地址。 路由器接口IP地址： RTA RTB S0 /24 /24 E0 /24 /24 主机的地址和缺省网关： PCA PCB PCC PCD PCE IP/MASK /24 /24 /24 /24 /24 GATEWAY 标准访问控制列表 标准访问控制列表只使用数据包的源地址来判断数据包，所以它只能以源地址来区分数据包，源相同而目的不同的数据包也只能采取同一种策略。所以利用标准访问控制列表，我们只能粗略的区别对待网内的用户群，那些主机能访问外部网，那些不能。我们来完成如下实验，看看标准访问控制列表是如何完成该功能的。在实验环境中，我们如果只允许IP地址为的主机PCA访问外部网络，则只需在路由器上进行如下配置即可： [RTA]display current-configuration Now create configuration... Current configuration ! version 3.30 firewall enable //启动防火墙功能 sysname RTA encrypt-card fast-switch ! acl 2001 match-order auto rule normal permit source //允许特定主机访问外部网络 rule normal deny source 55 //禁止其他主机访问外部网络 ! interface Aux0 async mode flow phy-mru 0 link-protocol ppp ! interface Ethernet0 ip address ! interface Serial0 link-protocol ppp ip address firewall packet-filter 2001 outbound //使访问列表生效 ! interface Serial1 clock DTECLK1 link-protocol ppp ! quit rip //启动路由协议 network all ! quit ! return [RTB]display current-configuration Now create configuration... Current configuration ! version 3.30 firewall enable sysname RTB encrypt-card fast-switch ! interface Aux0 async mode flow phy-mru 0 link-protocol ppp ! interface Ethernet0 ip address ! interface Serial0 clock DTECLK1 link-protocol ppp ip address ! interface Serial1 link-protocol ppp ! quit rip network all ! quit ! return 注意：在配置路由器时还需要配置防火墙的缺省工作过滤视图（firewall default {permit|deny}），因该命令配置与否在配置信息中没有显示，所以要特别注意。Quidway系列路由器防