《计算机网络安全防护技术（第二版）》 课件 第2章-任务2.3 远程管理防火墙

第2章

防火墙技术与入侵防御技术任务2.3远程管理防火墙编著：

秦燊劳翠金

计算机网络中的防火墙可以将不安全的网络与需要保护的网络隔离开，并根据安全策略控制进出网络的数据和信息。如果把防火墙看作门卫，入侵检测或入侵防御系统（IDS或IPS）则可看作监视器，它可以时刻监视网络中是否有异常流量并及时阻断，进一步保护网络的安全。

本章以思科ASAv为例，介绍防火墙的基本操作与应用，以及简单IDS功能。本章案例拓扑如图2-0-1所示。图2-0-1防火墙技术实验拓扑图

为了提高企业网络的安全性，引入了ASAv，并将网络划分成受信任的内网区域、对外提供服务的DMZ区域，不受信任的外网区域。其中OA、ERP、财务系统等仅供内部用户使用的服务器放在受信息的企业内网中，对外提供服务的WEB服务器放在停火区（DMZ区域）中，内网用户通过PAT动态地址转换隐藏内部地址、访问DMZ区域中的服务器和外网的服务器，DMZ区域的服务器通过NAT静态地址转换供外网访问。内网用户使用外网ISP提供的DNS服务。通过开启IDS功能监控和阻断网络中的异常流量。为实现这些功能，需要对ASAv进行以下基本配置：1.配置接口，ping通ASAv。ping能到达防火墙，但不能穿越防火墙。2.配置图形界面配置管理ASAv、配置远程管理接入、配置主机名、域名、密码。3.配置各设备的路由表。4.配置NAT。（1）使内网用户能访问外网的网站；（2）使内网用户能访问DMZ区域的网站；（3）使外网用户能访问DMZ区域的网站。5.配置ACL和Policy-map。（1）控制内网-的主机只能访问域名末尾是的网站；（2）禁止内网的所有主机访问域名末尾是的网站。6.配置ASAv的入侵检测功能。任务2.3远程管理防火墙一、使用telnet远程管理ASAv防火墙1.允许内网用户通过telnet访问管理ASAv防火墙。命令如下：ciscoasa(config)#telnet00Inside2.在Inside主机上，输入telnet54，系统提示输入密码，因为防火墙上还未为telnnet设置过密码，因此，主机无法进一步连接。3.设置telnet访问密码，使内网用户通过该密码（不使用用户名），能用telnet命令连接到ASAv防火墙。方法如下：（1）在防火墙上，输入如下命令：ciscoasa(config)#passwd123（2）在Inside主机上，输入telnet命令连接防火墙。命令如下：C:\DocumentsandSettings\Administrator>telnet54UserAccessVerificationPassword://在此输入密码123，不会显示出来，输入完成后，按回车键即可ciscoasa>//成功连接到了防火墙3.除了只用密码远程连接防火墙，还可要求远程连接的用户通过ASAv的本地用户名及密码验证后，才能通过telnet连接到防火墙。方法如下：（1）在防火墙上，输入如下命令：ciscoasa(config)#aaaauthenticationtelnetconsoleLOCAL（2）之前已经在防火墙上创建了本地用户user1和密码cisco。此时，在Inside主机上，输入telnet命令，再按提示输入用户名user1，密码cisco，就可成功连接到防火墙上：C:\DocumentsandSettings\Administrator>telnet54UserAccessVerificationUsername:user1//输入用户名Password:*****//输入密码ciscoasa>//成功连接到防火墙三、使用ssh管理ASAv防火墙由于telnet的密码是明文传输的，不太安全，所以建议改用经过加密处理的ssh来远程管理防火墙。下面，先介绍SSH的配置方法。SSH的工作原理留待下一章数据加密技术中讲解。（一）使用ssh管理ASAv防火墙，配置方法如下：1.在防火墙上，输入以下命令，允许内网和外网的用户通过ssh管理ASAv防火墙。ciscoasa(config)#ssh00Insideciscoasa(config)#ssh00Outside2.生成用于SSH连接的密钥对，方法如下：ciscoasa(config)#cryptokeygeneratersamodulus7683.为防火墙配置本地用户名及密码，启用SSH的本地验证，命令如下：ciscoasa(config)#usernameuser1passwordciscoprivilege15ciscoasa(config)#aaaauthenticationsshconsoleLOCAL（二）在内网路由器上远程连接防火墙，命令如下：R_Inside#ssh-luser154Password://此处输入密码ciscociscoasa>//成功连接到了防火