《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第2章-任務(wù)2.6 控制主機(jī)對(duì)外網(wǎng)的訪問(wèn)

第2章

防火墻技術(shù)與入侵防御技術(shù)任務(wù)2.6控制主機(jī)對(duì)外網(wǎng)的訪問(wèn)編著：

秦?zé)鰟诖浣?/p>

計(jì)算機(jī)網(wǎng)絡(luò)中的防火墻可以將不安全的網(wǎng)絡(luò)與需要保護(hù)的網(wǎng)絡(luò)隔離開(kāi)，并根據(jù)安全策略控制進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)和信息。如果把防火墻看作門(mén)衛(wèi)，入侵檢測(cè)或入侵防御系統(tǒng)（IDS或IPS）則可看作監(jiān)視器，它可以時(shí)刻監(jiān)視網(wǎng)絡(luò)中是否有異常流量并及時(shí)阻斷，進(jìn)一步保護(hù)網(wǎng)絡(luò)的安全。

本章以思科ASAv為例，介紹防火墻的基本操作與應(yīng)用，以及簡(jiǎn)單IDS功能。本章案例拓?fù)淙鐖D2-0-1所示。圖2-0-1防火墻技術(shù)實(shí)驗(yàn)拓?fù)鋱D

為了提高企業(yè)網(wǎng)絡(luò)的安全性，引入了ASAv，并將網(wǎng)絡(luò)劃分成受信任的內(nèi)網(wǎng)區(qū)域、對(duì)外提供服務(wù)的DMZ區(qū)域，不受信任的外網(wǎng)區(qū)域。其中OA、ERP、財(cái)務(wù)系統(tǒng)等僅供內(nèi)部用戶使用的服務(wù)器放在受信息的企業(yè)內(nèi)網(wǎng)中，對(duì)外提供服務(wù)的WEB服務(wù)器放在?；饏^(qū)（DMZ區(qū)域）中，內(nèi)網(wǎng)用戶通過(guò)PAT動(dòng)態(tài)地址轉(zhuǎn)換隱藏內(nèi)部地址、訪問(wèn)DMZ區(qū)域中的服務(wù)器和外網(wǎng)的服務(wù)器，DMZ區(qū)域的服務(wù)器通過(guò)NAT靜態(tài)地址轉(zhuǎn)換供外網(wǎng)訪問(wèn)。內(nèi)網(wǎng)用戶使用外網(wǎng)ISP提供的DNS服務(wù)。通過(guò)開(kāi)啟IDS功能監(jiān)控和阻斷網(wǎng)絡(luò)中的異常流量。為實(shí)現(xiàn)這些功能，需要對(duì)ASAv進(jìn)行以下基本配置：1.配置接口，ping通ASAv。ping能到達(dá)防火墻，但不能穿越防火墻。2.配置圖形界面配置管理ASAv、配置遠(yuǎn)程管理接入、配置主機(jī)名、域名、密碼。3.配置各設(shè)備的路由表。4.配置NAT。（1）使內(nèi)網(wǎng)用戶能訪問(wèn)外網(wǎng)的網(wǎng)站；（2）使內(nèi)網(wǎng)用戶能訪問(wèn)DMZ區(qū)域的網(wǎng)站；（3）使外網(wǎng)用戶能訪問(wèn)DMZ區(qū)域的網(wǎng)站。5.配置ACL和Policy-map。（1）控制內(nèi)網(wǎng)-的主機(jī)只能訪問(wèn)域名末尾是的網(wǎng)站；（2）禁止內(nèi)網(wǎng)的所有主機(jī)訪問(wèn)域名末尾是的網(wǎng)站。6.配置ASAv的入侵檢測(cè)功能。任務(wù)2.6控制主機(jī)對(duì)外網(wǎng)的訪問(wèn)一、控制主機(jī)只能訪問(wèn)指定網(wǎng)站通過(guò)對(duì)ASAv防火墻進(jìn)行ACL和Policy-map配置，控制內(nèi)網(wǎng)-的主機(jī)只能訪問(wèn)域名末尾是的網(wǎng)站。下面分別通過(guò)圖形界面和命令實(shí)現(xiàn)。1.圖形界面實(shí)現(xiàn)的方法如下：如圖2-4-2、2-4-3、2-4-6、2-4-7、2-4-8、2-4-9、2-4-10、2-4-11、2-4-12所示，在網(wǎng)絡(luò)管理員的win7電腦上，登錄進(jìn)入ASAv的ASDM圖形配置界面，找到Configuation>Firewall>ServicePolicyRules，點(diǎn)擊“Add”按鈕。在彈出的對(duì)話框中，Interface選擇“Inside”，點(diǎn)擊“Next”按鈕，在彈出的對(duì)話框中，創(chuàng)建的trafficClass用默認(rèn)值“Inside-Class”，勾選“SourceandDestinationIPAddress(useACL)”，點(diǎn)擊“Next”按鈕,在彈出的對(duì)話框中，Action用默認(rèn)值“Match”，Source設(shè)置為“/29”，Destination設(shè)置為“any”，Service設(shè)置為“tcp/http”，點(diǎn)擊“Next”按鈕，在彈出的對(duì)話框中，勾選“HTTP”，點(diǎn)擊“Configure...”按鈕，在彈出的對(duì)話框中選擇“SelectanHTTPinspectmapforfinecontroloverinspection”選項(xiàng)，點(diǎn)擊“Add”按鈕，在彈出的對(duì)話框中，Name命名為“policy2”，點(diǎn)擊“Details”按鈕，在彈出的對(duì)話框中，選擇“Inspections”選項(xiàng)夾，點(diǎn)擊“Add”按鈕，在彈出的對(duì)話框中，選擇“SingleMatch”選項(xiàng)，MatchType選擇“NoMatch”選項(xiàng)，Criterion選擇“RequestHeaderField”選項(xiàng)，F(xiàn)ield的Predefined值選擇“host”，Value的RegularExpression點(diǎn)擊“Manage...”按鈕自行定義，在彈出的對(duì)話框中，Name命名為“url1”，Value值設(shè)置為“\.lcvc\.cn”，用來(lái)代表以“”結(jié)尾的網(wǎng)址，多次點(diǎn)擊“OK”按鈕，完成配置。圖2-4-6圖形界面開(kāi)啟對(duì)HTTP的監(jiān)控1圖2-4-7圖形界面開(kāi)啟對(duì)HTTP的監(jiān)控2圖2-4-8圖形界面開(kāi)啟對(duì)HTTP的監(jiān)控3圖2-4-9圖形界面開(kāi)啟對(duì)HTTP的監(jiān)控4圖2-4-10圖形界面開(kāi)啟對(duì)HTTP的監(jiān)控5圖2-4-11圖形界面開(kāi)啟對(duì)HTTP的監(jiān)控6圖2-4-12圖形界面開(kāi)啟對(duì)HTTP的監(jiān)控72.與圖形界面相同功能的命令如下：access-listfilter1extendedpermittcp48anyeqwwwclass-mapclass1matchaccess-listfilter1//class1用于匹配IP地址屬于-的主機(jī)。regexurl1"\.lcvc\.cn"http://正則表達(dá)式url1用于匹配“.”。class-maptypeinspecthttpmatch-allclass2matchnotrequestheaderhostregexurl1//class2用于匹配不是以“.”結(jié)尾的網(wǎng)站。policy-maptypeinspecthttppolicy1classclass2drop-connectionlog//對(duì)于符合class2條件的網(wǎng)站，即不以“.”結(jié)尾的網(wǎng)站，拒絕其連接并做日志記錄。policy-mappolicy2classclass1inspecthttppolicy1//對(duì)于符合class1條件的主機(jī)，即IP地址屬于-的主機(jī)，調(diào)用policy1這條policy-map。service-policypolicy2interfaceInside//將policy2應(yīng)用到Inside接口上。3.測(cè)試內(nèi)網(wǎng)-的主機(jī)能否訪問(wèn)外網(wǎng)和這兩個(gè)網(wǎng)站。（1）在內(nèi)網(wǎng)主機(jī)上測(cè)試。為避免上次實(shí)驗(yàn)緩存對(duì)本次測(cè)試的影響，先關(guān)閉瀏覽器，再重新打開(kāi)瀏覽器。（2）在瀏覽器上，輸入，可正常訪問(wèn)。（3）在瀏覽器上，輸入，無(wú)法訪問(wèn)。4.測(cè)試內(nèi)網(wǎng)不屬于-的主機(jī)能否訪問(wèn)外網(wǎng)和這兩個(gè)網(wǎng)站。（1）將內(nèi)網(wǎng)主機(jī)的地址改為。（2）為避免上次實(shí)驗(yàn)緩存對(duì)本次測(cè)試的影響，先關(guān)閉瀏覽器，再重新打開(kāi)瀏覽器。（3）在瀏覽器上，輸入，可正常訪問(wèn)。（4）在瀏覽器上，輸入，可正常訪問(wèn)。二、禁止主機(jī)訪問(wèn)指定網(wǎng)站禁止內(nèi)網(wǎng)的所有主機(jī)訪問(wèn)域名末尾是的網(wǎng)站，圖形界面的配置請(qǐng)讀者參看前例自行完成，用命令行配置的方法如下：1.在ASAv防火墻上，輸入以下命令：access-listfilter2extendedpermittcpanyanyeqwwwclass-mapclass3matchaccess-listfilter2regexurl2"\.game\.com"class-maptypeinspecthttpmatch-allclass4matchrequestheaderhostregexurl2policy-maptypeinspecthttppolicy3classclass4drop-connectionlogpolicy-mappolicy2classclass3inspecthttppolicy3//policy2已經(jīng)在上例中應(yīng)用到了Inside接口上，因此，不需要再次執(zhí)行service-policypolicy2interfaceInside命令。2.測(cè)試內(nèi)網(wǎng)IP地址不屬于-范圍的主機(jī)能否正常訪問(wèn)外網(wǎng)和這兩個(gè)網(wǎng)站。我們以IP地址為的主機(jī)進(jìn)行測(cè)試：（1）為避免上次實(shí)驗(yàn)緩存對(duì)本次測(cè)試的影響，先關(guān)閉瀏覽器，再重新打開(kāi)瀏