網(wǎng)絡(luò)安全實驗教程（第2版）課件 10防火墻

第十章防火墻建議學(xué)時：4假消息攻擊目錄content網(wǎng)絡(luò)防火墻配置實驗2個人防火墻配置實驗131個人防火墻配置實驗實驗原理個人防火墻位于計算機與其所連接的網(wǎng)絡(luò)之間，主要用于攔截或阻斷所有對主機構(gòu)成威脅的操作。是運行于主機操作系統(tǒng)內(nèi)核的軟件，根據(jù)安全策略制定的規(guī)則對主機所有的網(wǎng)絡(luò)信息進行監(jiān)控和審查，包括攔截不安全的上網(wǎng)程序，封堵不安全的共享資源及端口，防范常見的網(wǎng)絡(luò)攻擊等，以保護主機不受外界的非法訪問和攻擊，其主要采用的是包過濾技術(shù)。實驗?zāi)康膫€人防火墻配置實驗通過配置Windows10系統(tǒng)提供的系統(tǒng)防火墻，實現(xiàn)多種安全策略，對主機所有的網(wǎng)絡(luò)信息進行監(jiān)控和審查，可以使讀者深入了解個人防火墻的主要功能和配置方法。41.1實驗設(shè)計實驗環(huán)境為一臺與互聯(lián)網(wǎng)相連的Windows10虛擬機實驗方法實驗環(huán)境利用個人防火墻防范不安全程序及端口；利用個人防火墻配置連接安全規(guī)則；利用命令行工具netsh配置防火墻。Windows防火墻netsh：netsh（networkshell）是Windows系統(tǒng)提供的功能強大的網(wǎng)絡(luò)配置命令行工具，可以實現(xiàn)對Windows防火墻的配置實驗工具51.2實驗步驟查看個人防火墻的默認規(guī)則添加出入站規(guī)則防范不安全的程序使用netsh配置防火墻查看防火墻防火墻的開啟與關(guān)閉端口的開啟與關(guān)閉出入站規(guī)則配置0102030461.3問題討論1、在10.4節(jié)的實驗中，若對常見的網(wǎng)絡(luò)功能進行限制該如何設(shè)置，如對FTP、遠程控制、QQ服務(wù)等網(wǎng)絡(luò)功能進行限制。72網(wǎng)絡(luò)防火墻配置實驗實驗原理網(wǎng)絡(luò)防火墻位于內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間，主要用于攔截或阻斷所有對內(nèi)部網(wǎng)絡(luò)構(gòu)成威脅的操作。網(wǎng)絡(luò)防火墻的硬件和軟件都單獨進行設(shè)計，由專用網(wǎng)絡(luò)芯片處理數(shù)據(jù)包，并且采用專用操作系統(tǒng)平臺，具有很高的效率，技術(shù)上集包過濾技術(shù)和應(yīng)用網(wǎng)關(guān)技術(shù)于一身。實驗?zāi)康恼莆站W(wǎng)絡(luò)防火墻的主要功能和配置方法，理解包過濾技術(shù)和代理技術(shù)原理的目的。82.1實驗設(shè)計Iptables：Linux平臺下的包過濾防火墻實驗方法實驗工具通過iptables對防火墻進行配置，實現(xiàn)如下功能：允許外網(wǎng)訪問內(nèi)部網(wǎng)站，不允許外網(wǎng)訪問內(nèi)網(wǎng)其它主機；禁止外網(wǎng)對內(nèi)部網(wǎng)絡(luò)的掃描；將防火墻配置為內(nèi)部網(wǎng)站的NAT代理，以實現(xiàn)NAT轉(zhuǎn)換實驗環(huán)境利用Ubuntu系統(tǒng)虛擬主機模擬網(wǎng)絡(luò)防火墻利用iptables對防火墻進行配置利用四臺虛擬主機構(gòu)建內(nèi)、外網(wǎng)絡(luò)，分別為內(nèi)網(wǎng)Web服務(wù)器，內(nèi)網(wǎng)FTP服務(wù)器，內(nèi)網(wǎng)主機和外網(wǎng)主機2.1實驗設(shè)計102.2實驗步驟Ubuntu系統(tǒng)配置路由轉(zhuǎn)發(fā)功能開啟iptables服務(wù)，進行規(guī)則配置包過濾規(guī)則配置驗證，外網(wǎng)主機只能訪問內(nèi)部Web站點提供的HTTP服務(wù)，而不能訪問內(nèi)網(wǎng)主機及其他服務(wù)配置防火墻NAT轉(zhuǎn)換功能NAT轉(zhuǎn)換功能實驗驗證0102030405112.3問題討論1、在10.5節(jié)實驗中，常見的情形是允許外部主機對Web服務(wù)器進行網(wǎng)絡(luò)診斷（ping）和HTTP服務(wù)訪問，而禁止外部主機對內(nèi)網(wǎng)的其他訪問，請進行規(guī)則設(shè)置并檢驗效果。2、如果在規(guī)則設(shè)置中有兩條規(guī)則是相互矛盾的，比如前一條是禁止通過某個端口，后一