網(wǎng)絡(luò)設(shè)備安裝與調(diào)試7.防火墻的配置網(wǎng)絡(luò)設(shè)備安裝與調(diào)試7.防火墻的配置1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)任務(wù)1防火墻的基本配置學(xué)習(xí)任務(wù)2防火墻的VPN實現(xiàn)防火墻初級管理實現(xiàn)防火墻的SCVPN技術(shù)防火墻典型環(huán)境安全策略實施實現(xiàn)防火墻IPsecVPN技術(shù)網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)任務(wù)1學(xué)習(xí)任務(wù)2防火墻初級管理實現(xiàn)防27.1.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試防火墻初級管理7.1防火墻基本配置7.1.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試防火墻初級管理7.13網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境

公司規(guī)模不斷擴(kuò)大，經(jīng)理為了提高網(wǎng)絡(luò)的安全性，讓管理員購買一個可以滿足網(wǎng)絡(luò)安全需求的設(shè)備，管理員認(rèn)為：購買DCFW-1800S-H-V2防火墻可以實現(xiàn)公司的網(wǎng)絡(luò)安全需求。情境分析

防火墻是當(dāng)今使用最為廣泛的安全設(shè)備，防火墻歷經(jīng)幾代發(fā)展，現(xiàn)今為非常成熟的硬件體系結(jié)構(gòu)，具有專門的Console口，專門的區(qū)域接口。串行部署于TCP/IP網(wǎng)絡(luò)中。將網(wǎng)絡(luò)一般劃分為內(nèi)、外、服務(wù)器區(qū)三個區(qū)域，對各區(qū)域?qū)嵤┌踩呗砸员Ｗo(hù)重要網(wǎng)絡(luò)。V2防火墻可以使用telnet、SSH、WebUI方式進(jìn)行管理，使用者可以很方便的使用幾種方式進(jìn)行管理。本任務(wù)使用DCFW-1800E-V2防火墻.網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境4網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：(1)防火墻DCFW-1800S-H-V2設(shè)備1臺(2)Console線1條(3)網(wǎng)絡(luò)線2條(4)PC機(jī)1臺網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：5網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示67.1.2網(wǎng)絡(luò)設(shè)備安裝與調(diào)試防火墻典型環(huán)境

安全策略實施7.1防火墻基本配置7.1.2網(wǎng)絡(luò)設(shè)備安裝與調(diào)試防火墻典型環(huán)境7.17網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境

公司為了保證內(nèi)部網(wǎng)絡(luò)的安全性，買來了防火墻，考慮到公網(wǎng)地址有限，從為了節(jié)約成本角度講也不能每臺PC都配置公網(wǎng)地址訪問外網(wǎng)。于是管理員想使用防火墻的混合模式來實現(xiàn)，通過少量公網(wǎng)IP地址來滿足多數(shù)私網(wǎng)IP上網(wǎng)，以緩解IP地址不足和節(jié)約園區(qū)成本。情境分析

混合模式即相當(dāng)于防火墻既工作于路由模式，又工作于透明模式。在實際應(yīng)用環(huán)境中，此類防火墻應(yīng)用一般也比較廣泛?；旌夏Ｊ椒譃閮煞N：一，ISP分配外網(wǎng)地址，內(nèi)網(wǎng)為私網(wǎng)地址，服務(wù)器區(qū)域和內(nèi)部地址為同一網(wǎng)段。這樣，內(nèi)部區(qū)域和服務(wù)器區(qū)域為透明，內(nèi)部區(qū)域和外網(wǎng)區(qū)域為路由，服務(wù)器區(qū)域和外部區(qū)域也為路由；二，ISP分配外網(wǎng)地址，內(nèi)網(wǎng)為私網(wǎng)地址，服務(wù)器區(qū)域使用ISP分配的公網(wǎng)地址，服務(wù)器區(qū)域和外網(wǎng)為透明，內(nèi)部區(qū)域和外部區(qū)域為路由。在我們下面的應(yīng)用環(huán)境中我們使用的是第二種混合模式。網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境8網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：(1)防火墻設(shè)備1臺(2)Console線1條(3)網(wǎng)絡(luò)線2條(4)PC機(jī)1臺

eth0:192.168.1.1/24Eth0/0:192.168.1.91/24Zone:trust

Vswitch1:218.240.143.218/24Eth0/1:218.240.143.221/24Zone:untrust

IP:192.168.1.0/24InternetWebServerAIP:192.168.10.2/24IP:218.240.143.217/24網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：

eth0:192.168.1.9網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示107.2.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試實現(xiàn)防火墻的SCVPN技術(shù)7.2實現(xiàn)防火墻的VPN技術(shù)7.2.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試實現(xiàn)防火墻的SCVPN技術(shù)7.211網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境

公司的員工經(jīng)常出差，在外地的時候經(jīng)常需要訪問公司的服務(wù)器，但總是不太安全，管理員想通過防火墻的vpn來實現(xiàn)此訪問，但基于公司的現(xiàn)狀，管理員決定使用SCVPN來實現(xiàn)。情境分析

為解決遠(yuǎn)程用戶安全訪問私網(wǎng)數(shù)據(jù)的問題，DCFW-1800系列防火墻提供基于SSL的遠(yuǎn)程登錄解決方案——SecureConnectVPN，簡稱為SCVPN。SCVPN功能可以通過簡單易用的方法實現(xiàn)信息的遠(yuǎn)程連通。防火墻的SCVPN功能包含設(shè)備端和客戶端兩部分，配置了SCVPN功能的防火墻作為設(shè)備端。外網(wǎng)用戶通過Internet使用SSLVPN接入內(nèi)網(wǎng)。所以管理員的決定是正確的。網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境12網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：(1)防火墻設(shè)備1臺。(2)局域網(wǎng)交換機(jī)n臺。(3)網(wǎng)絡(luò)線n條。(4)PC機(jī)n臺.

網(wǎng)絡(luò)拓?fù)銲nternet

內(nèi)網(wǎng)網(wǎng)段：192.168.2.0/24SSLVPN隧道Eth0/7222.1.1.2/24Eth7:222.1.1.2/24Zone:untrust

Eth0/6192.168.2.1/24Eth6:192.168.2.1/24Zone:untrust

外網(wǎng)網(wǎng)關(guān)：222.1.1.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：網(wǎng)絡(luò)拓?fù)銲nternet

13網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示147.2.2實現(xiàn)防火墻網(wǎng)絡(luò)設(shè)備安裝與調(diào)試的IPsecVPN技術(shù)7.2實現(xiàn)防火墻的VPN技術(shù)7.2.2實現(xiàn)防火墻網(wǎng)絡(luò)設(shè)備安裝與調(diào)試的IPsecVP15網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境

由于規(guī)模的擴(kuò)大，總公司和分公司之間都購買了防火墻，兩個公司之間出于安全性的考慮，管理員想在兩個防火墻之間使用一種更安全的VPN連接方式，管理員認(rèn)為防火墻的IPsecVPN可以實現(xiàn)此功能。情境分析

IPSecVPN是現(xiàn)在互聯(lián)網(wǎng)上最重要的網(wǎng)關(guān)到網(wǎng)關(guān)VPN技術(shù)，他已經(jīng)成為企業(yè)分支機(jī)構(gòu)間互聯(lián)的首選?？偛亢头种е耙獙崿F(xiàn)互訪時，就涉及到此類VPN，或者需要將數(shù)據(jù)包進(jìn)行加密時就涉及到IPSECVPN。網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境16網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：(1)防火墻設(shè)備2臺(2)局域網(wǎng)交換機(jī)n臺(3)網(wǎng)絡(luò)線n條(4)PC機(jī)n臺

Eth0/0:192.168.1.91/24Zone:trustEth0/1:218.240.143.221/29Zone:untrust網(wǎng)絡(luò)拓?fù)銷etwork:192.168.1.0/24FW-A

FW-BEth0/1:218.22.44.178/29Zone:untrustNetwork:192.168.10.0/24Eth0/0:192.168.10.91/24Zone:trust

IPSecVPN

Internet網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：

Eth0/0:192.16817網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示18網(wǎng)絡(luò)設(shè)備安裝與調(diào)試7.防火墻的配置網(wǎng)絡(luò)設(shè)備安裝與調(diào)試7.防火墻的配置19網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)任務(wù)1防火墻的基本配置學(xué)習(xí)任務(wù)2防火墻的VPN實現(xiàn)防火墻初級管理實現(xiàn)防火墻的SCVPN技術(shù)防火墻典型環(huán)境安全策略實施實現(xiàn)防火墻IPsecVPN技術(shù)網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)任務(wù)1學(xué)習(xí)任務(wù)2防火墻初級管理實現(xiàn)防207.1.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試防火墻初級管理7.1防火墻基本配置7.1.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試防火墻初級管理7.121網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境

公司規(guī)模不斷擴(kuò)大，經(jīng)理為了提高網(wǎng)絡(luò)的安全性，讓管理員購買一個可以滿足網(wǎng)絡(luò)安全需求的設(shè)備，管理員認(rèn)為：購買DCFW-1800S-H-V2防火墻可以實現(xiàn)公司的網(wǎng)絡(luò)安全需求。情境分析

防火墻是當(dāng)今使用最為廣泛的安全設(shè)備，防火墻歷經(jīng)幾代發(fā)展，現(xiàn)今為非常成熟的硬件體系結(jié)構(gòu)，具有專門的Console口，專門的區(qū)域接口。串行部署于TCP/IP網(wǎng)絡(luò)中。將網(wǎng)絡(luò)一般劃分為內(nèi)、外、服務(wù)器區(qū)三個區(qū)域，對各區(qū)域?qū)嵤┌踩呗砸员Ｗo(hù)重要網(wǎng)絡(luò)。V2防火墻可以使用telnet、SSH、WebUI方式進(jìn)行管理，使用者可以很方便的使用幾種方式進(jìn)行管理。本任務(wù)使用DCFW-1800E-V2防火墻.網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境22網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：(1)防火墻DCFW-1800S-H-V2設(shè)備1臺(2)Console線1條(3)網(wǎng)絡(luò)線2條(4)PC機(jī)1臺網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：23網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示247.1.2網(wǎng)絡(luò)設(shè)備安裝與調(diào)試防火墻典型環(huán)境

安全策略實施7.1防火墻基本配置7.1.2網(wǎng)絡(luò)設(shè)備安裝與調(diào)試防火墻典型環(huán)境7.125網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境

公司為了保證內(nèi)部網(wǎng)絡(luò)的安全性，買來了防火墻，考慮到公網(wǎng)地址有限，從為了節(jié)約成本角度講也不能每臺PC都配置公網(wǎng)地址訪問外網(wǎng)。于是管理員想使用防火墻的混合模式來實現(xiàn)，通過少量公網(wǎng)IP地址來滿足多數(shù)私網(wǎng)IP上網(wǎng)，以緩解IP地址不足和節(jié)約園區(qū)成本。情境分析

混合模式即相當(dāng)于防火墻既工作于路由模式，又工作于透明模式。在實際應(yīng)用環(huán)境中，此類防火墻應(yīng)用一般也比較廣泛?；旌夏Ｊ椒譃閮煞N：一，ISP分配外網(wǎng)地址，內(nèi)網(wǎng)為私網(wǎng)地址，服務(wù)器區(qū)域和內(nèi)部地址為同一網(wǎng)段。這樣，內(nèi)部區(qū)域和服務(wù)器區(qū)域為透明，內(nèi)部區(qū)域和外網(wǎng)區(qū)域為路由，服務(wù)器區(qū)域和外部區(qū)域也為路由；二，ISP分配外網(wǎng)地址，內(nèi)網(wǎng)為私網(wǎng)地址，服務(wù)器區(qū)域使用ISP分配的公網(wǎng)地址，服務(wù)器區(qū)域和外網(wǎng)為透明，內(nèi)部區(qū)域和外部區(qū)域為路由。在我們下面的應(yīng)用環(huán)境中我們使用的是第二種混合模式。網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境26網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：(1)防火墻設(shè)備1臺(2)Console線1條(3)網(wǎng)絡(luò)線2條(4)PC機(jī)1臺

eth0:192.168.1.1/24Eth0/0:192.168.1.91/24Zone:trust

Vswitch1:218.240.143.218/24Eth0/1:218.240.143.221/24Zone:untrust

IP:192.168.1.0/24InternetWebServerAIP:192.168.10.2/24IP:218.240.143.217/24網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：

eth0:192.168.1.27網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示287.2.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試實現(xiàn)防火墻的SCVPN技術(shù)7.2實現(xiàn)防火墻的VPN技術(shù)7.2.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試實現(xiàn)防火墻的SCVPN技術(shù)7.229網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境

公司的員工經(jīng)常出差，在外地的時候經(jīng)常需要訪問公司的服務(wù)器，但總是不太安全，管理員想通過防火墻的vpn來實現(xiàn)此訪問，但基于公司的現(xiàn)狀，管理員決定使用SCVPN來實現(xiàn)。情境分析

為解決遠(yuǎn)程用戶安全訪問私網(wǎng)數(shù)據(jù)的問題，DCFW-1800系列防火墻提供基于SSL的遠(yuǎn)程登錄解決方案——SecureConnectVPN，簡稱為SCVPN。SCVPN功能可以通過簡單易用的方法實現(xiàn)信息的遠(yuǎn)程連通。防火墻的SCVPN功能包含設(shè)備端和客戶端兩部分，配置了SCVPN功能的防火墻作為設(shè)備端。外網(wǎng)用戶通過Internet使用SSLVPN接入內(nèi)網(wǎng)。所以管理員的決定是正確的。網(wǎng)絡(luò)設(shè)備安裝與調(diào)試學(xué)習(xí)情境30網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：(1)防火墻設(shè)備1臺。(2)局域網(wǎng)交換機(jī)n臺。(3)網(wǎng)絡(luò)線n條。(4)PC機(jī)n臺.

網(wǎng)絡(luò)拓?fù)銲nternet

內(nèi)網(wǎng)網(wǎng)段：192.168.2.0/24SSLVPN隧道Eth0/7222.1.1.2/24Eth7:222.1.1.2/24Zone:untrust

Eth0/6192.168.2.1/24Eth6:192.168.2.1/24Zone:untrust

外網(wǎng)網(wǎng)關(guān)：222.1.1.1網(wǎng)絡(luò)設(shè)備安裝與調(diào)試所需設(shè)備：網(wǎng)絡(luò)拓?fù)銲nternet

31網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示網(wǎng)絡(luò)設(shè)備安裝與調(diào)試請任課教師根據(jù)拓?fù)浣Y(jié)構(gòu)圖進(jìn)行講解和演示327.2.2實現(xiàn)防火墻網(wǎng)絡(luò)設(shè)備安裝與調(diào)試的IPsecVPN技術(shù)7.2實現(xiàn)防火墻的VPN技術(shù)7.2.2實現(xiàn)防火墻網(wǎng)絡(luò)設(shè)備安裝與調(diào)