《计算机网络安全防护技术（第二版）》 课件 第2章-任务2.2配置防火墙的安全区域

第2章

防火墙技术与入侵防御技术编著：

秦燊劳翠金

任务2.2配置防火墙的安全区域

计算机网络中的防火墙可以将不安全的网络与需要保护的网络隔离开，并根据安全策略控制进出网络的数据和信息。如果把防火墙看作门卫，入侵检测或入侵防御系统（IDS或IPS）则可看作监视器，它可以时刻监视网络中是否有异常流量并及时阻断，进一步保护网络的安全。

本章以思科ASAv为例，介绍防火墙的基本操作与应用，以及简单IDS功能。本章案例拓扑如图2-0-1所示。图2-0-1防火墙技术实验拓扑图

为了提高企业网络的安全性，引入了ASAv，并将网络划分成受信任的内网区域、对外提供服务的DMZ区域，不受信任的外网区域。其中OA、ERP、财务系统等仅供内部用户使用的服务器放在受信息的企业内网中，对外提供服务的WEB服务器放在停火区（DMZ区域）中，内网用户通过PAT动态地址转换隐藏内部地址、访问DMZ区域中的服务器和外网的服务器，DMZ区域的服务器通过NAT静态地址转换供外网访问。内网用户使用外网ISP提供的DNS服务。通过开启IDS功能监控和阻断网络中的异常流量。为实现这些功能，需要对ASAv进行以下基本配置：1.配置接口，ping通ASAv。ping能到达防火墙，但不能穿越防火墙。2.配置图形界面配置管理ASAv、配置远程管理接入、配置主机名、域名、密码。3.配置各设备的路由表。4.配置NAT。（1）使内网用户能访问外网的网站；（2）使内网用户能访问DMZ区域的网站；（3）使外网用户能访问DMZ区域的网站。5.配置ACL和Policy-map。（1）控制内网-的主机只能访问域名末尾是的网站；（2）禁止内网的所有主机访问域名末尾是的网站。6.配置ASAv的入侵检测功能。任务2.2配置防火墙的安全区域

根据各网络的可信度及其是否需要保护，可将防火墙所连接的各网络划分到不同安全级别的安全区域中。防火墙的各个接口属于不同的安全区域，每个接口都需要命名和分配安全级别，安全级别的取值范围是0到100。通过命令配置接口时，命名为Inside（不区分大小写）的接口的安全级别就会自动被设置为100，其它名称的接口的安全级别会自动设为0。管理员可手动调整各接口的安全级别。安全级别高的区域是接受防火墙保护的区域，安全级别低的区域是相对危险的区域。防火墙会放行从高安全级流向低安全级的流量，阻拦从低安全级流向高安全级的流量。

前面，我们已经通过命令为防火墙的管理接口（Mgmt）配置了IP地址、设置了接口的名称和接口的安全级别。防火墙的其它接口可用类似的命令来配置，也可通过图形界面来配置。下面，我们分别通过图形界面和通过命令的方式为防火墙的其它接口配置IP地址、开启接口、设置接口名称、设置接口的安全级别。

一、外网区域各设备地址的配置

1.外网是最不安全的区域，所以我们将防火墙外网接口的安全级别规划为0。下面，我们配置防火墙外网接口Gi0/2的IP地址为：54/24、接口名称为：Outside、安全级别为：0。通过图形界面配置防火墙外网接口的方法如下：图2-2-1ASAv图形配置界面（1）如图2-2-1所示，在ASAv的图形配置界面中，点击”Configuraiton”,选中其中的“DeviceSetup”，再选择“InterfaceSetting”下的“Interfaces”，选中“GigabitEthernet0/2”。（2）点击右侧的“Edit”按钮，在弹出的“EditInterface”对话框中，为“InterfaceName”项输入“Outside”，“SecurityLevel”项输入“0”，勾选上“EnableInterface”前的复选框，“IPAddress”项填入“0”,”SubnetMask”项选择“”，点击“OK”按钮，点击“Apply”按钮，完成配置。2.除了用图形界面配置，还可用命令配置，相同功能的命令如下：ciscoasa(config)#intg0/2ciscoasa(config-if)#nameifOutsideINFO:Securitylevelfor"Outside"setto0bydefault.//提示接口的安全级别被自动设置为0ciscoasa(config-if)#ipadd54ciscoasa(config-if)#noshu3.启动外网路由器，将其命名为R_Outside，将它与防火墙相连的接口g0/0的地址配置为/24，在路由器上通过ping命令测试它与防火墙的互通性。命令如下：Router>enableRouter#configureterminalRouter(config)#hostnameR_OutsideR_Outside(config)#intg0/0R_Outside(config-if)#ipaddR_Outside(config-if)#noshuR_Outside(config-if)#endR_Outside#ping54Sending5,100-byteICMPEchosto,timeoutis2seconds:!!!!!//测试结果为“！”号，表示成功ping通了防火墙4.外网路由器的g0/1接口连接了外网服务器，为g0/1接口配置地址54/24，命令如下：R_Outside#configureterminalR_Outside(config)#intg0/1R_Outside(config-if)#ipadd54R_Outside(config-if)#noshu5.启动一台win2003虚拟机，将它连接到VMnet3，用作外网服务器。为它配置地址/24、缺省网关54、首选DNS服务器。用“ping54”命令测试它与外网路由器间的互通性，可以ping通。6.启动一台KaliLinux虚拟机，将它连接到VMnet3，用作外网的渗透测试主机。为它配置地址0/24、缺省网关54、首选DNS服务器。方法如下：（1）编辑interfaces文件，配置eth0网卡，命令如下：root@kali:~#vim/etc/network/interfacesautoeth0ifaceeth0inetstaticaddress0netmaskgateway54pre-upifconfigeth0hwether60:60:60:60:60:60按ESC键并输入:wq命令，存盘退出。（2）编辑DNS配置文件,将设置为DNS服务器的地址，命令如下：root@eve-ng:~#vim/etc/resolv.confnameserver//输入的内容按ESC键并输入:wq命令，存盘退出。（3）重启eth0网卡，使配置生效。命令如下：root@kali:~#ifdowneth0root@kali:~#ifupeth0（4）在外网KaliLinux主机上用“ping54”命令测试它与外网路由器间的互通性，可以ping通。

二、外网区域各设备路由表的配置

外网共两个网段，外网路由器与这两个网段直连，所以其路由表已认识这两个网段，无需配置路由表。防火墙只与外网的一个网段直连，需要为防火墙的外网接口配一条静态路由或默认路由或动态路由，用来识别非直连的那个网段。因为现实中的外网由成千上万的网段组成，外出流量比较适合于用默认路由来实现，所以此处我们采用默认路由，方法如下：

1.防火墙外网接口配默认路由之前测试，防火墙ping不通外网服务器。

2.用图形界面为防火墙的外网接口配默认路由，方法如下：

（1）如图2-2-2所示，在网络管理员的win7电脑上，进入ASAv的图形配置界面ASDM，找到Configuration>DeviceSetup>Routing>StaticRoutes,点击“Add”按钮，接口Interface选择“Outside”，Network设置为“0/0”用作目标，GatewayIP设置为“”用作去往目标的下一跳，点击“OK”按钮后，点击“Apply”按钮完成配置。

（2）在防火墙ASAv上进行ping外网服务器测试，能ping通。

3.与用图形界面为防火墙的外网接口配默认路由一样功能的命令如下：ciscoasa(config)#routeOutside00图2-2-2ASAv的图形配置界面配置默认路由三、内网区域各设备地址的配置1.我们规划防火墙内网接口Gi0/0的IP地址为：54/24、接口名称为：Inside、安全级别为：100。用图形界面配置防火墙内网接口与之前介绍的配置外网接口的方法类似，请读者自行完成。2.除了用图形界面，也可用命令实现相同功能，配置防火墙内网接口的命令如下：ciscoasa(config)#intg0/0ciscoasa(config-if)#nameifInsideINFO:Securitylevelfor"Inside"setto100bydefault.//当命名为Inside时，安全级别自动设为100ciscoasa(config-if)#ipadd54ciscoasa(config-if)#noshu3.启动内网的路由器，将其命名为R_Inside，将它与防火墙相连的接口g0/0的地址配置为/24，在内网路由器上通过ping命令测试它与防火墙的互通性。命令如下：Router>enableRouter#configureterminalRouter(config)#hostnameR_InsideR_Inside(config)#intg0/0R_Inside(config-if)#ipaddR_Inside(config-if)#noshuR_Inside(config-if)#endR_Inside#ping54Sending5,100-byteICMPEchosto,timeoutis2seconds:.!!!!//测试结果“！”号表示ping通了目标

4.内网路由器连接内网电脑的接口是g0/1，为该接口配置地址54/24。命令如下：R_Inside(config)#intg0/1R_Inside(config-if)#ipadd54R_Inside(config-if)#noshu

5.启动一台win2003虚拟机，将它连接到VMnet1，用作内网电脑。为它配置地址/24、缺省网关54、首选DNS服务器。在内网电脑上用ping54命令测试它与内网路由器间的互通性，可以ping通。四、内网区域各设备的路由表配置内网共两个网段，这两个网段都与内网路由器直连，内网路由器的路由表已经认识这两个网段，无需再配置。内网中与防火墙直连的网段只有一个，防火墙的路由表只认识这个直连网段，需要为防火墙的内网接口配静态路由或动态路由，以便让它认识这个非直连网段，下面用静态路由来实现：1.防火墙的内网接口配静态路由之前测试，防火墙ping不通内网电脑。2.用图形界面为防火墙的内网接口配静态路由，方法如下：（1）如图2-2-3所示，在网络管理员的win7电脑上，进入ASAv的ASDM图形配置界面，找到Configuration>DeviceSetup>Routing>StaticRoutes,点击“Add”按钮，接口Interface选择“Inside”，Network设置为“/24”作为目标网段，GatewayIP设置为“”作为去往目标的下一跳地址，点击“OK”后，点击“Apply”按钮完成配置。

（2）配置完成之后，防火墙ASAv能ping通内网电脑。

3.除了用图形界面为防火墙的内网接口配静态路由，也可用命令实现，命令如下：ciscoasa(config)#routeInside4.为防火墙的内网接口配好静态路由后，在ASAv上测试，它可以ping通内网电脑。图2-2-3ASAv的图形配置界面配置静态路由五、停火区（DMZ）各设备地址的配置停火区（DMZ）用于存放对外提供服务的服务器，可供内网和外网同时访问，其安全级别应该处于内网和外网之间，我们将其安全级别规划为50。1.规划防火墙内网接口Gi0/1的IP地址为：54/24、接口名称为：DMZ、安全级别为：50。请读者参照图形界面配置外网接口的方法，用图形界面实现防火墙停火区接口的配置。2.除了用图形界面配置，也可用命令实现相同的功能，命令如下：ciscoasa(config)#intg0/1ciscoasa(config-if)#nameifDMZciscoasa(config-if)#security-level50ciscoasa(config-if)#ipadd54ciscoasa(config-if)#noshu3.启动停火区的路由器，将其命名为R_DMZ，将它与防火墙相连的接口g0/0的地址配置为/24，在停火区路由器上通过ping命令测试它与防火墙的互通性。命令如下：Router>enableRouter#configureterminalRouter(config)#hostnameR_DMZR_DMZ(config)#intg0/0R_DMZ(config-if)#ipaddR_DMZ(config-if)#noshuR_DMZ(config-if)#endR_DMZ#ping54Sending5,100-byteICMPEchosto,timeoutis2seconds:.!!!!//测试结果的“！”号表示成功ping通防火墙4.停火区路由器连接停火区服务器的接口是g0/1，为g0/1接口配置地址54/24。命令如下：R_DMZ#configureterminalR_IDMZ(config)#intg0/1R_DMZ(config-if)#ipadd54R_DMZ(config-if)#noshu5.启动一台win2003虚拟机，将它连接到VMnet4，用作停火区的服务器。为它配置地址/24、缺省网关54。在停火区服务器上用ping54命令测试它与停火区路由器间的互通性，可以ping通。

六、停火区（DMZ）各设备的路由表配置

停火区共两个网段，这两个网段都与停火区的路由器直连，停火区路由器的路由表已经认识它们，无需配置。停火区中，防火墙的路由表只认识与它直连的网段，需要为防火墙的停火区接口配静态路由或动态路由，以便让它能识别停火区中未与之直连的那个网段。下面用OSPF动态路由来实现（动态路由需要在停火区的路由器和防火墙的DMZ接口上都配置，以便它们能通过互相学习学到未知网段）：

1.为防火墙的停火区接口配动态路由之前先测试，此时防火墙无法ping通停火区的服务器。2.用图形界面为防火墙的DMZ接口配OSPF动态路由，方法如下：（1）如图2-2-4所示，在网络管理员的win7电脑上，登录进入ASAv的ASDM图形配置界面，找到Configuation>DeviceSetup>Routing>OSPF>Setup。在出现的“ProcessInstances”选项夹中勾选OSPFProcess1栏的“EnablethisOSPF...”选项（此处启用第一个进程，最多支持两个OSPF进程），在“OSPFProce...”选项填入“1”作为该OSPF进程的进程号（取值范围是1-65535）。进程号只在本设备有效，无需与其它设备匹配。图2-2-4ASAv的图形配置界面配置OSPF动态路由（2）点击上图7号位的“Advanced”按钮，然后在图2-2-5所示弹框的“RouterID”选择“IPAddress”选项，并在其后输入“54”。图2-2-5ASAv图形配置界面配置OSPF动态路由