实验 防火墙技术实验_防火墙技术实验报告

实验 防火墙技术实验由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“防火墙技术实验报告”。

实验九

防火墙技术实验

1、实验目的防火墙是网络安全的第一道防线，按防火墙的应用部署位置分类，可以分为边界防火墙、个人防火墙和分布式防火墙三类。通过实验，使学生了解各种不同类型防火墙的特点，掌握个人防火墙的工作原理和规则设置方法，掌握根据业务需求制定防火墙策略的方法。

2、题目描述

根据不同的业务需求制定天网防火墙策略，并制定、测试相应的防火墙的规则等。

3、实验要求

基本要求了解各种不同类型防火墙的特点，掌握个人防火墙的工作原理和规则设置方法，掌握根据业务需求制定防火墙策略的方法。提高要求能够使用WindowsDDK开发防火墙。

4、相关知识

1)防火墙的基本原理防火墙（firewall）是一种形象的说法，本是中世纪的一种安全防务：在城堡周围挖掘一道深深的壕沟，进入城堡的人都要经过一个吊桥，吊桥的看守检查每一个来往的行人。对于网络，采用了类似的处理方法，它是一种由计算机硬件和软件的组合，使互联网与内部网之间建立起一个安全网关(securitygateway),也就是一个电子吊桥，从而保护内部网免受非法用户的侵入，它其实就是一个把互联网与内部网（通常指局域网或城域网）隔开的屏障。它决定了哪些内部服务可以被外界访问、可以被哪些人访问，以及哪些外部服务可以被内部人员访问。防火墙必须只允许授权的数据通过，而且防火墙本身也必须能够免于渗透。典型的网络防火墙如下所示。

防火墙也并不能防止内部人员的蓄意破坏和对内部服务器的攻击，但是，这种攻击比较容易发现和察觉，危害性也比较小，这一般是用公司内部的规则或者给用户不同的权限来控制。

2)防火墙的分类前市场的防火墙产品主要分类如下：

（1）从软、硬件形式上软件防火墙和硬件防火墙以及芯片级防火墙。（2）从防火墙技术“包过滤型”和“应用代理型”两大类。

（3）从防火墙结构单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。（4）按防火墙的应用部署位置边界防火墙、个人防火墙和混合防火墙三大类。（5）按防火墙性能百兆级防火墙和千兆级防火墙两类。3）防火墙的基本规则

■一切未被允许的就是禁止的(No规则)。■一切未被禁止的就是允许的(Yes规则)。

很多防火墙(例如SunScreenEFS、CiscoIOs、FW-1)以顺序方式检查信息包，当防火墙接收到一个信息包时，它先与第一条规则相比较,然后是第二条、第三条„„当它发现一条匹配规则时，就停止检查并应用那条规则。

4）防火墙自身的缺陷和不足

■限制有用的网络服务。防火墙为了提高被保护网络的安全性，限制或关闭了很多有用但存在安全缺陷的网络服务。

■无法防护内部网络用户的攻击。目前防火墙只提供对外部网络用户攻击的防护，对来自内部网络用户的攻击只能依靠内部网络主机系统的安全性。■Internet防火墙无法防范通过防火墙以外的其他途径的攻击。例如，在一个被保护的网络上有一个没有限制的拨出存在，内部网络上的用户就可以直接通过SLIP或PPP联接进入Internet。

■对用户不完全透明，可能带来传输延迟、瓶颈及单点失效。■Internet防火墙也不能完全防止传送已感染病毒的软件或文件。

■防火墙无法防范数据驱动型的攻击。数据驱动型的攻击从表面上看是无害的数据被邮寄或拷贝到Internet主机上，但一旦执行就开始攻击。例如，一个数据型攻击可能导致主机修改与安全相关的文件，使得入侵者很容易获得对系统的访问权。

■不能防备新的网络安全问题。防火墙是一种被动式的防护手段，它只能对现在已知的网络威胁起作用。

5、实验设备

主流配置PC，安装有windows 2000 SP4操作系统，网络环境，天网防火墙个人版。

6、实验步骤

1）从指导老师处得到天网防火墙个人版软件。

2）天网防火墙个人版的安装。按照安装提示完成安装，并重启后系统。

3）系统设置。在防火墙的控制面板中点击“系统设置”按钮，即可展开防火墙系统设置面板。

天网个人版防火墙系统设置界面如下。

防火墙自定义规则重置：占击该按钮，防火墙将弹出窗口，如下：

如果确定，天网防火墙将会把防火墙的安全规则全部恢复为初始设置，你对安全规则的修改和加入的规则将会全部被清除掉。

防火墙设置向导：为了便于用户合理的设置防火墙，天网防火墙个人版专门为用户设计了防火墙设置向导。用户可以跟随它一步一步完成天网防火墙的合理设置。

应用程序权限设置：勾选了该选项之后，所有的应用程序对网络的访问都默认为通行不拦截。这适合在某些特殊情况下，不需要对所有访问网络的应用程序都做审核的时候。（譬如在运行某些游戏程序的时候）

局域网地址：设置在局域网内的地址。防火墙将会以这个地址来区分局域网或者是INTERNET 的IP来源。日志保存：选中每次退出防火墙时自动保存日志，当你退出防火墙的保护时，天网防火墙将会把当日的日志记录自动保存到SkyNet/FireWall/log文件下，打开文件夹便可查看当日的日志记录。

4）安全级别设置天网个人版防火墙的缺省安全级别分为低、中、高三个等级，默认的安全等级为中级。了解安全级别的说明请查看防火墙帮助文件。为了了解规则的设置等情况，我们选择自定义安全级别。

然后点击左边的将打开自定义的IP规则。

从中可以看出，规则的先后顺序为IP规则、ICMP规则、IGMP规则、TCP规则和UDP规则。自定义IP规则的工具条如下，可以使用这些工具完成规则的增加、修改、删除、保存、调整、导入导出操作。重要：规则增加、修改、删除等操作后一定要点击保存图标进行保存，否则无效。

单击规则前面的，可使该规则不起作用，且其形状变为。

5）修改规则双击该规则，或者点击工具条上的修改按钮可以打开该规则的修改窗体。然后按照需求对各部分进行修改。

（1）首先输入规则的“名称”和“说明”，以便于查找和阅读。（2）然后，选择该规则是对进入的数据包还是输出的数据包有效。

（3）“对方的IP地址”，用于确定选择数据包从那里来或是去哪里，这里有几点说明： ■“任何地址”是指数据包从任何地方来，都适合本规则，■“局域网网络地址”是指数据包来自和发向局域网，■“指定地址”是你可以自己输入一个地址，“指定的网络地址”是你可以自己输入一个网络和掩码。

（4）除了录入选择上面内容，还要录入该规则所对应的协议，其中：

■‘IP’协议不用填写内容，注意，如果你录入了IP协议的规则，一点要保证IP协议规则的最后一条的内容是：“对方地址：任何地址；动作：继续下一规则”。

■‘TCP’协议要填入本机的端口范围和对方的端口范围，如果只是指定一个端口，那么可以在起始端口处录入该端口，结束处，录入同样的端口。如果不想指定任何端口，只要在起始端口都录入0。TCP标志比较复杂，你可以查阅其他资料，如果你不选择任何标志，那么将不会对标志作检查。

■‘ICMP’规则要填入类型和代码。如果输入255，表示任何类型和代码都符合本规则。■‘IGMP’不用填写内容。

（5）当一个数据包满足上面的条件时，你就可以对该数据包采取行动了： ■‘通行’指让该数据包畅通无阻的进入或出去。■拦截’指让该数据包无法进入你的机器

■继续下一规则’指不对该数据包作任何处理，由该规则的下一条同协议规则来决定对该包的处理。（6）在执行这些规则的同时，还可以定义是否记录这次规则的处理和这次规则的处理的数据包的主要内容，并用右下脚的“天网防火墙个人版”图标是否闪烁来“警告”，或发出声音提示。

6）新增规则点击工具条的新增规则按钮可以新增一条规则，并弹出该规则的编辑界面。比如新增一条允许

访问WWW端口的规则，可以按如下方法设置。设置完成后点击“确定”，并点击工具条的保存按钮。

7）普通应用程序规则设置天网防火墙个人版增加对应用程序数据传输封包进行底层分析拦截功能，它可以控制应用程序发送和接收数据传输包的类型、通讯端口，并且决定拦截还是通过。在天网防火墙个人版打开的情况下，首次激活的任何应用程序只要有通讯传输数据包发送和接收存在，都会被天网防火墙个人版先截获分析，并弹出窗口，询问你是通过还是禁止。这时可以根据需要来决定是否允许应用程序访问网络。如果不选中“该程序以后按照这次的操作运行”，那么天网防火墙个人版在以后会继续截获该应用程序的数据传输数据包，并且弹出警告窗口。如果选中“该程序以后按照这次的操作运行”选项，该应用程序将自加入到应用程序列表中，可以通过应用程序设置来设置更为详尽的数据传输封包过滤方式。

8）高级应用程序规则设置单击

可以打开详细的应用程序规则设置。单击应用程序规则面板中对应每一条应用程序规则都有几个按钮

点击“选项”即可激活应用程序规则高级设置页面。

“该应用程序可以”窗口是设定该应用程序可以做的动作。其中：是指此应用程序进程可以向外发出连接请求，通常是用于各种客户端软件。则是指此程序可以在本机打开监听的端口来提供网络服务，这通常用于各种服务器端程序中。

9）根据以上功能，分别完成如下不同需求的防火墙规则设置并进行测试。

需求1：ICMP规则允许ping进来，其它禁止，TCP规则允许访问本机的WWW服务和主动模式的FTP服务，其它禁止，UDP禁止。需求2：ICMP规则允许ping出去，其它禁止，TCP规则禁止所有连接本机，允许IE访问Internet的80端口，UDP规则允许DNS解析，其它进出UDP报文禁止。

7、实验思考

1）根据你所了解的网络安全事件，你认为天网防火墙不具备的功能有哪些？ 2）防火墙是不是绝对的安全？攻击防火墙系统的手段有哪些？