防火墙三种模式(路由模式、混合模式、VPN模式)配置实例.doc

案例 1：路由模式下通过专线访问外网

用户需求：
1、 内网的机器可以任意访问外网，也可访问 SSN 中的邮件服务器和FTP 服务器；
2、 外网和 SSN 的机器不能访问内网；
3、 允许外网主机访问 SSN 的HTTP 服务器。

网络状况：
网络划分为三个区域：外网、内网和 SSN。
总公司的网络卫士防火墙工作在路由模式。
Eth0 属于内网区域，IP 为192.168.1.20。
Eth1 属于外网区域，IP 为202.69.38.8；
Eth2 属于SSN 区域，IP 为172.16.1.1；
内网中存在3个子网，分别为192.168.1.0/24，192.168.2.0/24，192.168.3.0/24。管理员位于内网中
在 SSN 中有三台服务器，一台是HTTP 服务器（IP 地址：172.16.1.2），一台是FTP 服务器
（IP 地址：172.16.1.3），一台是邮件服务器（IP 地址：172.16.1.4）。

配置步骤：
1) 为网络卫士防火墙的物理接口配置IP 地址
进入 NETWORK 组件：topsec# network
配置 Eth0 接口IP：work# interface eth0 ip add 192.168.1.20 mask 255.255.255.0
配置 Eth1 接口IP：work# interface eth1 ip add 202.69.38.8 mask 255.255.255.0
配置 Eth2 接口IP：work# interface eth2 ip add 172.16.1.1 mask 255.255.255.0
2）内网中管理员通过浏览器登录网络卫士防火墙，为区域资源绑定属性，设置权限
设置内网：绑定属性为“Eth0”，权限选择为禁止。
设置外网：绑定属性为“Eth1”， 权限选择为允许。
设置 SSN：绑定属性为“Eth2”，权限选择为禁止。
3) 定义地址资源
定义 HTTP 服务器： 主机名称设为HTTP_SERVER， IP 为172.16.1.2。
定义 FTP 服务器： 主机名称设为FTP_SERVER， IP 为172.16.1.3。
定义邮件服务器： 主机名称设为MAIL_SERVER， IP 为172.16.1.4。
定义虚拟HTTP 服务器： 主机名称设为V_SERVER，IP 为202.69.38.10。

4)定义访问规则
a.允许内网用户访问HTTP服务器：
源区域选择“内网”；
目的区域选择“SSN”，目的地址选择“HTTP_SERVER”；
服务选择“HTTP”；
访问权限选择“允许”，并启用该规则。
b.允许内网用户访问邮件服务器
源区域选择“内网”；
目的区域选择“SSN”，目的地址选择“MAIL_SERVER”；
服务选择“POP3”，“SMTP”；
访问权限选择“允许”，并启用该规则。
c.允许内网用户访问FTP 服务器
源区域选择“内网”；
目的区域选择“SSN”，目的地址选择“FTP_SERVER”；
服务选择“FTP”；
访问权限选择“允许”，并启用该规则。
d.允许外网用户访问HTTP服务器
源区域选择“外网”；
目的区域选择“SSN”，目的地址选择“HTTP_SERVER”；
服务选择“HTTP”；
访问权限选择“允许”，并启用该规则。

5）定义地址转换规则
a.内网用户通过源地址转换访问外网：
转换控制选择“源转换”；
源区域选择“内网”；
目的区域选择“外网”；
服务不选，表示全部服务；
源地址转换为“eth1”。
b.外网用户通过目的地址转换访问HTTP 服务器
转换控制选择“目的转换”；
源区域选择“外网”；
目的区域选择“SSN”，目的地址选择“V_SERVER”；
服务选择“HTTP”；
目的地址转换为“HTTP_SERVER”。

6）定义路由
a.为内网用户访问Internet 添加缺省路由:
目的地址设为“0.0.0.0”；
网关地址设为“202.69.38.9”。
b.添加回指路由，为发往内网的数据包指定路由
目的地址设为“192.168.0.0”；
网关地址设为“192.168.1.10”

案例 2：混合模式下通过ADSL 拨号访问外网

用户需求：
1、防火墙通过 ADSL 拨号获取eth1 的公网IP 地址。
2、外网的机器不能访问 VLAN-1 与VLAN-2；外网的机器可以访问VLAN-3
3、VLAN-1 内的机器可以任意访问外网（NAT 方式）
4、VLAN-2 和VLAN-3 内的机器禁止访问外网，允许VLAN-2 访问VLAN-3。

网络状况：
分公司的网络卫士防火墙工作在混合模式。
Eth1 为路由接口，属于外网区域，通过路由器与外部网络及ISP 相连（该接口由ADSL
拨号获取公网IP）；
Eth0 和Eth2 均为交换接口，Eth0 工作在Trunk 方式下，Eth2 工作在Access 方式下；
Eth0 下连接着2 个VLAN，VLAN-1 和VLAN-2；
Eth2 下连接着1 个VLAN，VLAN-3。
VLAN-1 的IP 为192.168.10.1/24；
VLAN-2 的IP 为192.168.25.1/24；
VLAN-3 的IP 为192.168.95.1/24。
管理主机位于 VLAN-1 内。

配置步骤：
1） 通过CONSOLE 口登录网络卫士防火墙，配置基本信息
a.进入 network 组件: topsec # network
添加 VLAN-1: work# vlan add id 1
b.配置 VLAN-1 的管理IP
work# interface vlan.0001 ip add 192.168.10.1 mask 255.255.255.0
c.配置 eth0 接口为交换接口
work# interface eth0 switchport mode trunk
d.设置eth0 接口属于VLAN-1
work# interface eth0 switchport trunk allowed-vlan 0001

2）管理员通过VLAN-1 的管理IP 登录网络卫士防火墙，并绑定eth1 口和ADSL 的
拨号属性、设置区域资源及VLAN
a.设置区域（外网）：
绑定属性为“adsl”；权限设为允许访问。
b.添加 VLAN-2：
管理IP 设为“192.168.25.1”，MASK 设为“255.255.255.0”
c.添加 VLAN-3：
管理IP 设为“192.168.95.1”，MASK 设为“255.255.255.0
d.设置 eth0 接口属于VLAN-2：
VLAN 范围设为“1-2”

3） 设置接口(eth2)
设置为“交换接口”； 接口类型为“access”； VLAN 范围为“3”

4）设置ADSL 拨号参数
接口设置为“eth1”；用户名和密码根据ISP 服务商提供的参数值进行设置；绑定属性为“adsl”

5） 定义访问规则
a.禁止 VLAN-2 用户访问外网：
源 VLAN 选择“VLAN.0002”；目的区域选择“外网”；服务不选，表示全部服务；
访问权限选择“拒绝”，并启用该规则。
b.禁止 VLAN-3 用户访问外网：
源VLAN 选择“VLAN.0003”； 目的区域选择“外网”；服务不选，表示全部服务；
访问权限选择“拒绝”，并启用该规则。
c.允许 VLAN-2 用户访问VLAN-3：
源VLAN 选择“VLAN.0002”；
目的 VLAN 选择“VLAN.0003”；服务不选，表示全部服务；
访问权限选择“允许”，并启用该规则。
d.禁 止 外 网 用户访问VLAN-1：
源区域选择“外网”；
目的 VLAN 选择“VLAN.0001”；服务不选，表示全部服务；
访问权限选择“拒绝”，并启用该规则
e.禁 止 外 网 用户访问VLAN-2：
源区域选择“外网”；
目的 VLAN 选择“VLAN.0002”；服务不选，表示全部服务；
访问权限选择“拒绝”，并启用该规则

6） 定义地址转换规则
VLAN-1 用户通过源地址转换访问外网:
转换控制选择“源转换”；
源 VLAN 选择“VLAN.0001”；目的区域选择“外网”；
服务不选，表示全部服务；
源地址转换为“adsl”

7） 拨号
在防火墙上通过选择 网络管理 > ADSL 菜单，并点击“开始拨号”按钮进行ADSL拨号。
建立ADSL 连接成功后，在防火墙的路由表中会增加一条内网用户访问Internet 的路由信息：
源为“0.0.0.0/0”；
目的为“0.0.0.0/0”；
网关地址为 ISP 分配的公网IP 地址（如：169.254.125.124）；
接口为与 Eth1 口绑定的ppp0 口（拨号成功后，系统自动创建了一个ppp0 口）
案例 3：建立VPN 隧道

用户需求：
分公司的 VLAN-1 所在子网192.168.10.0/24 与总公司子网192.168.2.0/24 之间建
立基于预共享密钥认证的VPN 通信。

网络状况：
总公司防火墙工作在路由模式下，接口 Eth1（IP：202.69.38.8）通过路由器与
Internet 相连；分公司防火墙工作在混合模式下，接口Eth1 通过路由器与Internet
相连，且Eth1 口通过ADSL 拨号获取公网IP。
总公司防火墙的 Eth0 口与Eth2 口分别连接公司内网区和SSN 区域，内网区有
三个子网：192.168.2.0/24、192.168.3.0/24、192.168.1.0/24。
分公司防火墙的 Eth0 口与Eth2 口分别连接内网的三个Vlan：VLAN-1、VLAN-2
和VLAN-3，其中VLAN-1 的IP 为192.168.10.1/24。

配置步骤：
1）配置总公司防火墙，具体的配置步骤请参见（案例1）。
2）配置分公司防火墙，具体的配置步骤请参见（案例2）。

====下面只描述与建立 VPN 隧道有关的操作====
3）在总公司防火墙上开放“IPSecVPN”服务
开放IPSecVPN 服务：
服务名称为“IPSecVPN”；控制区域为“area_eth1”；控制地址为“any”

4）在分公司防火墙上开放服务
开放 IPSecVPN 服务：
服务名称为“IPSecVPN”；控制区域为“area_eth1”；控制地址为“any”

5）在总公司防火墙上绑定虚接口
绑定虚接口：
虚接口名为“ipsec0”；绑定接口名为“eth1”；接口地址为“202.69.38.8”

6）在分公司防火墙上绑定虚接口
绑定虚接口：
虚接口名为“ipsec0”；绑定接口名为“eth1”；接口地址为“0.0.0.0”。

7）在总公司防火墙上添加静态隧道，隧道参数采用默认设置。
添加静态隧道：
隧道名：zong-fen
IKE 协商模式：主模式
认证方式 = 预共享密钥，密钥 = as34Kui()
本地标识：@202_8
对方标识：@0_0
对方地址：0.0.0.0
本地子网：192.168.2.0
本地掩码：255.255.255.0
对方子网：192.168.10.0
对方掩码：255.255.255.0
主动发起协商：是

8) 在分公司防火墙上添加静态隧道，隧道参数采用默认设置
添加静态隧道：
隧道名：fen-zong
IKE 协商模式：主模式
认证方式 = 预共享密钥，密钥 = as34Kui()
本地标识：@0_0
对方标识：@202_8
对方地址：202.69.38.8
本地子网：192.168.10.0
本地掩码：255.255.255.0
对方子网：192.168.2.0
对方掩码：255.255.255.0
主动发起协商：是

提示：
* 案例配置中未涉及的参数均采用系统缺省设置。在实际应用中请根据具体网络情况和需求进行修改。
* 本案例中分公司防火墙采用的是 ADSL 拨号的方式，故其IP 设置为0.0.0.0。如果建立隧道的两台
防火墙均为ADSL 环境，则可以通过DDNS 方式，利用域名来建立隧道。
6