6.3-6.4 防火墙配置 -高二《信息安全技术与实施》同步精品课件（电工版2022）

信息安全技术与实施 防火墙技术与应用 本章要点 防火墙的体系结构 防火墙的部署方式 学习目标 1、理解防火墙的概念、功能 2、掌握防火墙的类型认识它们的优缺点 3、熟悉防火墙的体系结构 授课人：**** 时间：****年**月 中共重庆市委网信办 1 目 录 Contents 01. 防火墙概述 02. 防火墙的类型 03. 防火墙的体系结构 04. 防火墙配置 信息安全技术与实施—防火墙技术与应用 中共重庆市委网信办 防火墙的体系结构 中共重庆市委网信办 3 双重宿主主机体系结构围绕双重宿主主机构筑。双重宿主主机至少有两个网络接口。这样的主机可以充当外部网络和内部网络之间的路由器，所以它能够使内部网络和外部网络的数据包直接路由通过。 防火墙的体系结构●双重宿主主机体系结构 信息安全技术与实施 中共重庆市委网信办 被屏蔽主机体系结构防火墙使用一个路由器把内部网络和外部网络隔离开，在这种体系结构中，主要的安全由数据包过滤提供。 防火墙的体系结构●被屏蔽主机体系结构 信息安全技术与实施 中共重庆市委网信办 被屏蔽子网体系结构将额外的安全层添加到被屏蔽主机体系结构，即通过添加周边网络更进一步地把内部网络和外部网络(通常是Internet)隔离开。 周边网络是一个被隔离的独立子网，充当了内部网络和外部网络的缓冲区，在内部网络与外部网络之间形成了一个“隔离带”。这就构成一个所谓的“非军事区” (DeMilitarized Zone，DMZ)，DMZ是周边网络，是防火墙的重要概念，在实际应用中经常用到。 防火墙的体系结构●被屏蔽子网体系结构 信息安全技术与实施 中共重庆市委网信办 防火墙配置 中共重庆市委网信办 7 1、串口(console)下配置： 配置接口IP地址，查看或调整区域管理权限。当然也可以通过命令的方式在串口下进行防火墙配置 2、在串口下保存配置：用SAVE命令 3、使用WEBUI方式对防火墙进行各种配置 4、配置具体的访问控制规则及其日常管理维护 提示：一般先设置并调整网络区域，然后再定义各种对象(网络对象、特殊对象等)，然后在添加访问策略及地址转换策略，最后进行参数调整及增加一些辅助的功能。 防火墙配置●本配置过程 在配置防火墙之前必须弄清楚的几个问题： 1、路由走向(包括防火墙及其相关设备的路由调整) 确定防火墙的工作模式：路由、透明、综合。 2、IP地址的分配(包括防火墙及其相关设备的IP地址分配) 根据确定好的防火墙的工作模式给防火墙分配合理的IP地址 3、数据应用和数据流向(各种应用的数据流向及其需要开放的端口号或者协议类型) 4、要达到的安全目的(即要做什么样的访问控制) 信息安全技术与实施 中共重庆市委网信办 8 配置案例（路由模式）： INTERNET 202.99.27.193 202.99.27.250 192.168.1.254 172.16.1.100 172.16.1.1 192.168.1.0/24 应用需求： 内网可以访问互联网 服务器对外网做映射 映射地址为202.99.27.249 外网禁止访问内网 WEB服务器 防火墙接口分配如下： ETH0接INTERNET ETH1接内网 ETH2接服务器区 防火墙配置●配置案例 信息安全技术与实施 中共重庆市委网信办 配置防火墙接口IP及区域默认权限 设置路由表及默认网关 定义防火墙的路由模式/定义防火墙的透明模式 定义网络对象 制定访问控制策略 制定地址转换策略（通讯策略） 保存和导出配置 防火墙配置●配置案例●配置流程 信息安全技术与实施 中共重庆市委网信办 在CONSOLE下，定义接口IP地址 输入network命令进入到network子菜单 定义防火墙每个接口的IP地址，注意子网掩码不要输错 防火墙配置●配置案例●定义网络接口 信息安全技术与实施 中共重庆市委网信办 define area add name area_eth1 attribute 'eth1 ' access on define area add name area_eth2 attribute 'eth2 ' access on pf service add name webui area area_eth1 addressname any pf service add name gui area area_eth1 addressname any pf service add name ping area area_eth1 addressname any pf service add name telnet area area_eth1 addressname any 系统默认只能从E