1、網(wǎng)絡(luò)安全和管理實(shí)驗(yàn)指導(dǎo)書電子與信息工程系網(wǎng)絡(luò)工程教研室2011-10-25實(shí)驗(yàn)一為WWW服務(wù)配置SSL一、實(shí)驗(yàn)?zāi)康?加深并消化授課內(nèi)容，掌握SSL的基本概念；2了解并熟悉萬維網(wǎng)服務(wù)器的配置；3掌握在萬維網(wǎng)服務(wù)器上部署SSL協(xié)議；二、實(shí)驗(yàn)要求1掌握Security Socket Layer在應(yīng)用層的作用；2獨(dú)立完成在萬維網(wǎng)服務(wù)器上部署SSL；3實(shí)驗(yàn)結(jié)束后，用統(tǒng)一的實(shí)驗(yàn)報(bào)告用紙編寫實(shí)驗(yàn)報(bào)告。三、實(shí)驗(yàn)環(huán)境Windows 2003 企業(yè)版服務(wù)器+IIS服務(wù)，Linux企業(yè)版服務(wù)器+Apache服務(wù)四、實(shí)驗(yàn)內(nèi)容1Windows系統(tǒng)上部署萬維網(wǎng)服務(wù)，并配置SSL2Linux系統(tǒng)上部署萬維網(wǎng)服務(wù)，并配置SS

2、L五、實(shí)驗(yàn)步驟Windows系統(tǒng)上部署萬維網(wǎng)服務(wù)，并配置SSL（1）頒發(fā)證書 1.從“管理工具”程序組中啟動(dòng)“證書頒發(fā)機(jī)構(gòu)”工具。 2.展開證書頒發(fā)機(jī)構(gòu)，然后選擇“掛起的申請(qǐng)”文件夾。 3.選擇剛才提交的證書申請(qǐng)。 4.在“操作”菜單中，指向“所有任務(wù)”，然后單擊“頒發(fā)”。 5.確認(rèn)該證書顯示在“頒發(fā)的證書”文件夾中，然后雙擊查看它。 6.在“詳細(xì)信息”選項(xiàng)卡中，單擊“復(fù)制到文件”，將證書保存為 Base-64 編碼的 X.509 證書。7.關(guān)閉證書的屬性窗口。 8.關(guān)閉“證書頒發(fā)機(jī)構(gòu)”工具。 （2）在 Web 服務(wù)器上安裝證書 1. 如果 Internet 信息服務(wù)尚未運(yùn)行，則啟動(dòng)它。 2.

3、 展開服務(wù)器名稱，選擇要安裝證書的 Web 站點(diǎn)。 3. 右鍵單擊該 Web 站點(diǎn)，然后單擊“屬性”。 4. 單擊“目錄安全性”選項(xiàng)卡。 5. 單擊“服務(wù)器證書”啟動(dòng) Web 服務(wù)器證書向?qū)А?6. 單擊“處理掛起的申請(qǐng)并安裝證書”，然后單擊“下一步”。 7. 輸入包含 CA 響應(yīng)的文件的路徑和文件名，然后單擊“下一步”。 8. 檢查證書概述，單擊“下一步”，然后單擊“完成”。 現(xiàn)在，已在 Web 服務(wù)器上安裝了證書。 （3）將資源配置為要求 SSL 訪問 此過程使用 Internet 服務(wù)管理器，將虛擬目錄配置為要求 SSL 訪問。為特定的文件、目錄或虛擬目錄要求使用 SSL?？蛻舳吮仨毷褂?/p>

4、 HTTPS 協(xié)議訪問所有這類資源。 1.如果 Internet 信息服務(wù)尚未運(yùn)行，則啟動(dòng)它。 2.展開服務(wù)器名稱和 Web 站點(diǎn)。（這必須是已安裝證書的 Web 站點(diǎn)） 3.右鍵單擊某個(gè)虛擬目錄，然后單擊“屬性”。 4.單擊“目錄安全性”選項(xiàng)卡。 5. 單擊“安全通信”下的“編輯”。 6.單擊“要求安全通道 (SSL)”。 7. 單擊“確定”，然后再次單擊“確定”關(guān)閉“屬性”對(duì)話框。 8.關(guān)閉 Internet 信息服務(wù)。 Linux系統(tǒng)上部署萬維網(wǎng)服務(wù)，并配置SSL安裝并設(shè)置具備SSL的Apache網(wǎng)站服務(wù)器1.創(chuàng)建rasref目錄，在該目錄提取文件。# mkdir rsaref-2.0#

5、 cd rsaref-2.0# gzip -d -c ./rsaref20.tar.Z | tar xvf -2.配置并構(gòu)造OpenSSL庫。# cd rsaref-2.0# cp -rp install/unix local# cd local# make# mv rsaref.a librsaref.a# cd ./.3.安裝OpenSSL。# cd openssl-0.9.x# ./config -prefix=/usr/local/ssl-Lpwd/./rsaref-2.0/local/ rsaref -fPIC4.配置MOD_SSL模塊，然后用Apache配置指定它為一個(gè)可裝載的模塊

6、。# cd mod_ssl-2.5.x-1.3.x# ./configure-with-apache=./apache_1.3.x# cd .可以把更多的Apache模塊加到Apache源代碼樹中?？蛇x的-enable-shared=ssl選項(xiàng)使得mod_ssl構(gòu)造成為一個(gè)DSO“l(fā)ibssl.so”。關(guān)于在Apache支持DSO的更多信息，閱讀Apache源代碼樹中的INSTALL和 htdocs/manual/dso.html文檔。# cd apache_1.3.x# SSL_BASE=./openssl-0.9.xRSA_BASE=./rsaref-2.0/local./configur

7、e -enable-module=ssl-activate-module=src/modules/php4/libphp4.a-enable-module=php4 -prefix=/usr/local/apache-enable-shared=ssl5.生成Apache，然后生成證書，并安裝# make正確地完成，得到類似于以下的信息：+-+| Before you install the package you now should prepare the SSL | certificate system by running the make certificate command. |

8、 For different situations the following variants are provided: | | % make certificate TYPE=dummy (dummy self-signed Snake Oil cert) | % make certificate TYPE=test (test cert signed by Snake Oil CA) | % make certificate TYPE=custom (custom cert signed by own CA) | % make certificate TYPE=existing (ex

9、isting cert) | CRT=/path/to/your.crt KEY=/path/to/your.key | | Use TYPE=dummy when youre a vendor package maintainer, | the TYPE=test when youre an admin but want to do tests only, | the TYPE=custom when youre an admin willing to run a real server | and TYPE=existing when youre an admin who upgrades

10、 a server. | (The default is TYPE=test) | | Additionally add ALGO=RSA (default) or ALGO=DSA to select | the signature algorithm used for the generated certificate. | | Use make certificate VIEW=1 to display the generated data. | || Thanks for using Apache & mod_ssl. Ralf S. Engelschal

11、l | | |+-+實(shí)驗(yàn)二NAT地址轉(zhuǎn)換一、實(shí)驗(yàn)?zāi)康?加深并消化授課內(nèi)容，理解NAT的作用；2掌握NAT網(wǎng)絡(luò)地址轉(zhuǎn)換的方法；3掌握NAT服務(wù)在網(wǎng)絡(luò)設(shè)備上的配置方法。二、實(shí)驗(yàn)要求1掌握NAT的網(wǎng)絡(luò)地址轉(zhuǎn)換的原理；2熟悉在路由器上使用NAT服務(wù)；3熟悉Windows服務(wù)器上使用NAT服務(wù)三、實(shí)驗(yàn)環(huán)境Cisco路由器；Windows 2003企業(yè)版服務(wù)器四、實(shí)驗(yàn)內(nèi)容1靜態(tài)地址轉(zhuǎn)換2動(dòng)態(tài)地址轉(zhuǎn)換3復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。4Windows 2000 Server的網(wǎng)絡(luò)地址翻譯五、實(shí)驗(yàn)步驟1靜態(tài)地址轉(zhuǎn)換（1）、在內(nèi)部本地地址與內(nèi)部合法

12、地址之間建立靜態(tài)地址轉(zhuǎn)換。在全局設(shè)置狀態(tài)下輸入： Ip nat inside source static 內(nèi)部本地地址 內(nèi)部合法地址 （2）、指定連接網(wǎng)絡(luò)的內(nèi)部端口 在端口設(shè)置狀態(tài)下輸入： ip nat inside （3）、指定連接外部網(wǎng)絡(luò)的外部端口 在端口設(shè)置狀態(tài)下輸入： ip nat outside2動(dòng)態(tài)地址轉(zhuǎn)換（1）、在全局設(shè)置模式下，定義內(nèi)部合法地址池 ip nat pool 地址池名稱 起始IP地址 終止IP地址 子網(wǎng)掩碼 其中地址池名稱可以任意設(shè)定。（2）、在全局設(shè)置模式下，定義一個(gè)標(biāo)準(zhǔn)的access-list規(guī)則以允許哪些內(nèi)部地址可以進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換。Access-list 標(biāo)

13、號(hào) permit 源地址 通配符 其中標(biāo)號(hào)為1-99之間的整數(shù)。（3）、在全局設(shè)置模式下，將由access-list指定的內(nèi)部本地地址與指定的內(nèi)部合法地址池進(jìn)行地址轉(zhuǎn)換。 ip nat inside source list 訪問列表標(biāo)號(hào) pool內(nèi)部合法地址池名字 （4）、指定與內(nèi)部網(wǎng)絡(luò)相連的內(nèi)部端口在端口設(shè)置狀態(tài)下：ip nat inside （5）、指定與外部網(wǎng)絡(luò)相連的外部端口Ip nat outside 3復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。（1）、在全局設(shè)置模式下，定義內(nèi)部合地址池ip nat pool 地址池名字 起始IP地址 終止IP地址 子網(wǎng)掩碼其中地址池名字可以任意設(shè)定。 （2）、在全局設(shè)置模式

14、下，定義一個(gè)標(biāo)準(zhǔn)的access-list規(guī)則以允許哪些內(nèi)部本地地址可以進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換。access-list 標(biāo)號(hào) permit 源地址 通配符其中標(biāo)號(hào)為199之間的整數(shù)。（3）、在全局設(shè)置模式下，設(shè)置在內(nèi)部的本地地址與內(nèi)部合法IP地址間建立復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。 ip nat inside source list 訪問列表標(biāo)號(hào) pool 內(nèi)部合法地址池名字 overload（4）、在端口設(shè)置狀態(tài)下，指定與內(nèi)部網(wǎng)絡(luò)相連的內(nèi)部端口ip nat inside（5）、在端口設(shè)置狀態(tài)下，指定與外部網(wǎng)絡(luò)相連的外部端口ip nat outside 4Windows 2000 Server的網(wǎng)絡(luò)地址翻譯（1）

15、、連接Internet網(wǎng)卡的IP由ISP提供。（2）、連接內(nèi)部網(wǎng)網(wǎng)卡的IP地址需要以下配置：IP地址： 子網(wǎng)掩碼： 默認(rèn)網(wǎng)關(guān)：無（3）、客戶機(jī)的IP地址的配置為：IP地址：192.168.0.x(可設(shè)為同一網(wǎng)段內(nèi)的任一獨(dú)立的IP)子網(wǎng)掩碼：默認(rèn)網(wǎng)關(guān)：（4）、在“路由和遠(yuǎn)程訪問”控制臺(tái)中，用鼠標(biāo)右鍵單擊域服務(wù)器，從彈出的快捷菜單中選擇“配置并啟用路由和遠(yuǎn)程訪問”選項(xiàng)，打開“路由和遠(yuǎn)程訪問服務(wù)器安裝向?qū)А睂?duì)話框。（5）、在路由和遠(yuǎn)程訪問服務(wù)器安裝向?qū)е?，選擇用于“Internet連接服務(wù)器”的選項(xiàng)，以及

16、用來安裝帶有網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)路由協(xié)議的路由器的選項(xiàng)。（6）、接下來要定義好哪塊網(wǎng)卡連接Internet。（7）、至此所有配置工作已經(jīng)全部完成，下面需要測(cè)試能不能連接內(nèi)網(wǎng)和外網(wǎng)。 實(shí)驗(yàn)三IPSec的配置一、實(shí)驗(yàn)?zāi)康?加深并消化授課內(nèi)容，理解VPN的作用；2掌握在VPN中部署IPSec的方法；3掌握IPSec在網(wǎng)絡(luò)設(shè)備上的配置方法。二、實(shí)驗(yàn)要求1掌握虛擬專用網(wǎng)的原理；2熟悉在路由器上使用VPN服務(wù)；3熟悉使用IPSec的虛擬專用網(wǎng)的接入方式三、實(shí)驗(yàn)環(huán)境路由器2臺(tái)四、實(shí)驗(yàn)內(nèi)容 假設(shè)你是公司的網(wǎng)絡(luò)管理員，公司因業(yè)務(wù)的擴(kuò)大，建立了一個(gè)分公司，因?yàn)楣镜臉I(yè)務(wù)數(shù)據(jù)重要，公司的總部與分公司傳輸數(shù)據(jù)時(shí)需要

17、加密，采用IPSec VPN技術(shù)對(duì)數(shù)據(jù)進(jìn)行加密。五、實(shí)驗(yàn)步驟1路由器基本配置。R1 (config)# R1 (config)#interface fastEthernet 0/0 R1 (config-if)#ip address 52 R1 (config-if)#no shutdown R1 (config-if)#exit R1 (config)#interface Loopback 0 R1 (config-if)#ip address R1 (config-if)#no shutdown R

18、1 (config-if)#exit R2 (config)#interface fastEthernet 0/0 R2 (config-if)#ip address 52 R2 (config-if)#no shutdown R2 (config-if)#exit R2 (config)#interface Loopback 0 R2 (config-if)#ip address R2 (config-if)#no sh R2 (config-if)#end 2配置默認(rèn)路由。R1 (config)#ip

19、 route R2 (config)# ip route 3配置IPSec VPN。R1 (config)# crypto isakmp policy 10 R1 (isakmp-policy)#authentication pre-share R1 (isakmp-policy)#hash md5 R1 (isakmp-policy)#group 2 R1 (isakmp-policy)#exit R1 (config)#crypto isakmp key 0 ruijie address

20、 R1 (config)#crypto ipsec transform-set vpn ah-md5-hmac esp-des esp-md5-hmac R1 (cfg-crypto-trans)#mode tunel R1 (config)#crypto map vpnmap 10 ipsec-isakmp R1 (config-crypto-map)#set peer R1 (config-crypto-map)#set transform-set vpn R1 (config-crypto-map)#match address 110 R1 (co

21、nfig)#crypto map vpnmap1 10 ipsec-isakmp R2 (config)#crypto isakmp policy 10 R2 (isakmp-policy)#authentication pre-share R2 (isakmp-policy)#hash md5 R2 (isakmp-policy)#group 2 R2 (config)#crypto isakmp key 0 ruijie address R2 (config)#crypto ipsec transform-set vpn ah-md5-hmac esp-des esp-

22、md5-hmac R2 (cfg-crypto-trans)#mode tunel R2 (config)#crypto map vpnmap 10 ipsec-isakmp R2 (config-crypto-map)# set peer R2 (config-crypto-map)# set transform-set vpn R2 (config-crypto-map)# match address 110 4定義感興趣數(shù)據(jù)流及應(yīng)用VPN。R1 (config)#access-list extended 110 permit ip 55

23、 55 R1 (config)#interface FastEthernet 0/0 R1 (config-if)#crypto map vpnmap R2 (config)#access-list extended 110 permit ip 55 55 R2 (config)#interface FastEthernet 0/0 R2 (config-if)#crypto map vpnmap 5驗(yàn)證測(cè)試。R1#ping Protocol ip: Target IP address: 10.1.

24、2.1 Repeat count 5: Datagram size 100: Timeout in seconds 2: Extended commands n: y Source address: Time to Live 1, 64: Type of service 0, 31: Data Pattern 0xABCD:0xabcd Sending 5, 100-byte ICMP Echoes to , timeout is 2 seconds: .! Success rate is 80 percent (4/5), round-trip min/avg

25、/max = 1/1/1 ms R1#show crypto ipsec sa Interface: FastEthernet 0/0 Crypto map tag:vpnmap, local addr media mtu 1500 = item type:static, seqno:10, id=32 local ident (addr/mask/prot/port): (/55/0/0) remote ident (addr/mask/prot/port): (/55/0/0) PERMIT #pkts enc

26、aps: 4, #pkts encrypt: 4, #pkts digest 8 #pkts decaps: 4, #pkts decrypt: 4, #pkts verify 8 #send errors 0, #recv errors 0 Inbound esp sas: spi:0x36328b56 () transform: esp-des esp-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (/3594) IV size: 8 byte

27、s Replay detection support:Y Inbound ah sas: spi:0x75aa844e () transform: ah-null ah-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (/3594) IV size: 0 bytes Replay detection support:Y Outbound esp sas: spi:0x4c96e9f2 () transform: esp-des esp-md5-hma

28、c in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (/3594) IV size: 8 bytes Replay detection support:Y Outbound ah sas: spi:0x2c25e472 () transform: ah-null ah-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (/35

29、94) IV size: 0 bytes Replay detection support:Y R1#show crypto isakmp sa destination source state conn-id lifetime(second) QM_IDLE 33 86317 6c1ac77522d07d2b e0062c53799fc5ec實(shí)驗(yàn)四訪問控制列表一、實(shí)驗(yàn)?zāi)康?掌握路由配置方法2掌握訪問控制列表的配置；二、實(shí)驗(yàn)要求1ACL能正常工作的前提是所有主機(jī)都能ping通。（采用RIP路由協(xié)議）2路由器的基本配置: 1)設(shè)置路由器接口IP地址。2)

30、配置RIP路由3不允許R1訪問R4及其內(nèi)部網(wǎng)絡(luò)4不允許R2 ping R45不允許網(wǎng)段訪問R4及其內(nèi)部網(wǎng)絡(luò)6使用OSPF動(dòng)態(tài)路由協(xié)議三、實(shí)驗(yàn)環(huán)境1、Windows XP ， Cisco Packet Tracer四、實(shí)驗(yàn)內(nèi)容拓?fù)鋱D五、實(shí)驗(yàn)步驟1基本配置及密碼設(shè)置R1、R2、R3、R4啟動(dòng)后，首先進(jìn)行如下配置Router(config)#no ip domain lookRouter (config)#line conRouter (config)#line console 0Router (config-line)#exec-Router (config-line)#exec-

31、timeout 0 0Router (config-line)#exitRouter (config)#enable password ciscoRouter (config)#line vty 0 4Router (config-line)#password ciscovtyRouter (config-line)#loginRouter (config-line)#exitRouter (config)#hostname RX /4臺(tái)路由器分別命名為R1、R2、R3、R42配置R1、R2、R3、R4接口地址（將配置代碼附下）（1）配置路由器R1R1(config)#int s1/0R1(c

32、onfig-if)#ip add R1(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/0, changed state to downR1(config-if)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR1(config-if)#ip add

33、 R1(config-if)#no sh（2）配置路由器R2R2(config)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR2(config-if)#R2(config-if)#ip add R2(config-if)#no shutR2(config-if)#int

34、s1/1R2(config-if)#ip add R2(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/1, changed state to down（3）配置路由器R3R3(config)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR3(con

35、fig-if)#R3(config-if)#ip add R3(config-if)#no shutR3(config-if)#int s1/0R3(config-if)#ip add R3(config-if)#clock rate 64000R3(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Ser

36、ial1/0, changed state to upR3(config-if)#int s1/1R3(config-if)#ip add R3(config-if)#clock rate 64000R3(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/1, changed state to upR3(config-if)#R3(config-if)#int s1/2%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/1, c

37、hanged state to upR3(config-if)#ip add R3(config-if)#clock rate 64000R3(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/2, changed state to down（4）配置路由器R4R4(config)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on In

38、terface Loopback0, changed state to upR4(config-if)#R4(config-if)#ip add R4(config-if)#no shutR4(config-if)#int s1/2R4(config-if)#ip add R4(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/2, changed state to upR4(config-if)#R4(config-if)#%LINEPROT

39、O-5-UPDOWN: Line protocol on Interface Serial1/2, changed state to up3設(shè)置OSPF路由協(xié)議（1）配置路由器R1R1(config)#route ospf 1R1(config-router)#net 55 area 0R1(config-router)#net 55 area 0R1(config-router)#end（2）配置路由器R2R2(config)#route ospf 1R2(config-router)#net

40、55 area 0R2(config-router)#net 55 area 0R2(config-router)#end（3）配置路由器R3R3(config)#route ospf 1R3(config-router)#net 55 area 0R3(config-router)#00:32:17: %OSPF-5-ADJCHG: Process 1, Nbr on Serial1/0 from LOADING to FULL, Loading DoneR3(config-router)

41、#net 55 area 0R3(config-router)#net 55 area 000:32:49: %OSPF-5-ADJCHG: Process 1, Nbr on Serial1/1 from LOADING to FULL, Loading DoneR3(config-router)#net 55 area 0R3(config-router)#net 55 area 0R3(config-router)#en

42、d（4）配置路由器R4R4(config)#route ospf 1R4(config-router)#net 55 area 000:33:57: %OSPF-5-ADJCHG: Process 1, Nbr on Serial1/2 from LOADING to FULL, Loading DoneR4(config-router)#net 55 area 0R4(config-router)#end4查看各路由器學(xué)到的路由（以R3為例）R3# show ip route / 將顯示信息附下R3#s

43、h ip routeCodes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODR P - periodic downloaded static routeGateway of last resor