网络安全及管理实验报告.doc

网络安全实验指导网络安全和管理实验指导书电子与信息工程系网络工程教研室2011-10-25实验一为WWW服务配置SSL一、实验目的1加深并消化授课内容，掌握SSL的基本概念；2了解并熟悉万维网服务器的配置；3掌握在万维网服务器上部署SSL协议；二、实验要求1掌握Security Socket Layer在应用层的作用；2独立完成在万维网服务器上部署SSL；3实验结束后，用统一的实验报告用纸编写实验报告。三、实验环境Windows 2003 企业版服务器+IIS服务，Linux企业版服务器+Apache服务四、实验内容1Windows系统上部署万维网服务，并配置SSL2Linux系统上部署万维网服务，并配置SSL五、实验步骤Windows系统上部署万维网服务，并配置SSL（1）颁发证书 1.从“管理工具”程序组中启动“证书颁发机构”工具。 2.展开证书颁发机构，然后选择“挂起的申请”文件夹。 3.选择刚才提交的证书申请。 4.在“操作”菜单中，指向“所有任务”，然后单击“颁发”。 5.确认该证书显示在“颁发的证书”文件夹中，然后双击查看它。 6.在“详细信息”选项卡中，单击“复制到文件”，将证书保存为 Base-64 编码的 X.509 证书。7.关闭证书的属性窗口。 8.关闭“证书颁发机构”工具。 （2）在 Web 服务器上安装证书 1. 如果 Internet 信息服务尚未运行，则启动它。 2. 展开服务器名称，选择要安装证书的 Web 站点。 3. 右键单击该 Web 站点，然后单击“属性”。 4. 单击“目录安全性”选项卡。 5. 单击“服务器证书”启动 Web 服务器证书向导。 6. 单击“处理挂起的申请并安装证书”，然后单击“下一步”。 7. 输入包含 CA 响应的文件的路径和文件名，然后单击“下一步”。 8. 检查证书概述，单击“下一步”，然后单击“完成”。 现在，已在 Web 服务器上安装了证书。 （3）将资源配置为要求 SSL 访问 此过程使用 Internet 服务管理器，将虚拟目录配置为要求 SSL 访问。为特定的文件、目录或虚拟目录要求使用 SSL。客户端必须使用 HTTPS 协议访问所有这类资源。 1.如果 Internet 信息服务尚未运行，则启动它。 2.展开服务器名称和 Web 站点。（这必须是已安装证书的 Web 站点） 3.右键单击某个虚拟目录，然后单击“属性”。 4.单击“目录安全性”选项卡。 5. 单击“安全通信”下的“编辑”。 6.单击“要求安全通道 (SSL)”。 7. 单击“确定”，然后再次单击“确定”关闭“属性”对话框。 8.关闭 Internet 信息服务。 Linux系统上部署万维网服务，并配置SSL安装并设置具备SSL的Apache网站服务器1.创建rasref目录，在该目录提取文件。# mkdir rsaref-2.0# cd rsaref-2.0# gzip -d -c ./rsaref20.tar.Z | tar xvf -2.配置并构造OpenSSL库。# cd rsaref-2.0# cp -rp install/unix local# cd local# make# mv rsaref.a librsaref.a# cd ./.3.安装OpenSSL。# cd openssl-0.9.x# ./config -prefix=/usr/local/ssl-Lpwd/./rsaref-2.0/local/ rsaref -fPIC4.配置MOD_SSL模块，然后用Apache配置指定它为一个可装载的模块。# cd mod_ssl-2.5.x-1.3.x# ./configure-with-apache=./apache_1.3.x# cd .可以把更多的Apache模块加到Apache源代码树中。可选的-enable-shared=ssl选项使得mod_ssl构造成为一个DSO“libssl.so”。关于在Apache支持DSO的更多信息，阅读Apache源代码树中的INSTALL和 htdocs/manual/dso.html文档。# cd apache_1.3.x# SSL_BASE=./openssl-0.9.xRSA_BASE=./rsaref-2.0/local./configure -enable-module=ssl-activate-module=src/modules/php4/libphp4.a-enable-module=php4 -prefix=/usr/local/apache-enable-shared=ssl5.生成Apache，然后生成证书，并安装# make正确地完成，得到类似于以下的信息：+-+| Before you install the package you now should prepare the SSL | certificate system by running the make certificate command. | For different situations the following variants are provided: | | % make certificate TYPE=dummy (dummy self-signed Snake Oil cert) | % make certificate TYPE=test (test cert signed by Snake Oil CA) | % make certificate TYPE=custom (custom cert signed by own CA) | % make certificate TYPE=existing (existing cert) | CRT=/path/to/your.crt KEY=/path/to/your.key | | Use TYPE=dummy when youre a vendor package maintainer, | the TYPE=test when youre an admin but want to do tests only, | the TYPE=custom when youre an admin willing to run a real server | and TYPE=existing when youre an admin who upgrades a server. | (The default is TYPE=test) | | Additionally add ALGO=RSA (default) or ALGO=DSA to select | the signature algorithm used for the generated certificate. | | Use make certificate VIEW=1 to display the generated data. | | Thanks for using Apache & mod_ssl. Ralf S. Engelschall | rse | |+-+实验二NAT地址转换一、实验目的1加深并消化授课内容，理解NAT的作用；2掌握NAT网络地址转换的方法；3掌握NAT服务在网络设备上的配置方法。二、实验要求1掌握NAT的网络地址转换的原理；2熟悉在路由器上使用NAT服务；3熟悉Windows服务器上使用NAT服务三、实验环境Cisco路由器；Windows 2003企业版服务器四、实验内容1静态地址转换2动态地址转换3复用动态地址转换。4Windows 2000 Server的网络地址翻译五、实验步骤1静态地址转换（1）、在内部本地地址与内部合法地址之间建立静态地址转换。在全局设置状态下输入： Ip nat inside source static 内部本地地址 内部合法地址 （2）、指定连接网络的内部端口 在端口设置状态下输入： ip nat inside （3）、指定连接外部网络的外部端口 在端口设置状态下输入： ip nat outside2动态地址转换（1）、在全局设置模式下，定义内部合法地址池 ip nat pool 地址池名称 起始IP地址 终止IP地址 子网掩码 其中地址池名称可以任意设定。（2）、在全局设置模式下，定义一个标准的access-list规则以允许哪些内部地址可以进行动态地址转换。Access-list 标号 permit 源地址 通配符 其中标号为1-99之间的整数。（3）、在全局设置模式下，将由access-list指定的内部本地地址与指定的内部合法地址池进行地址转换。 ip nat inside source list 访问列表标号 pool内部合法地址池名字 （4）、指定与内部网络相连的内部端口在端口设置状态下：ip nat inside （5）、指定与外部网络相连的外部端口Ip nat outside 3复用动态地址转换。（1）、在全局设置模式下，定义内部合地址池ip nat pool 地址池名字 起始IP地址 终止IP地址 子网掩码其中地址池名字可以任意设定。 （2）、在全局设置模式下，定义一个标准的access-list规则以允许哪些内部本地地址可以进行动态地址转换。access-list 标号 permit 源地址 通配符其中标号为199之间的整数。（3）、在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。 ip nat inside source list 访问列表标号 pool 内部合法地址池名字 overload（4）、在端口设置状态下，指定与内部网络相连的内部端口ip nat inside（5）、在端口设置状态下，指定与外部网络相连的外部端口ip nat outside 4Windows 2000 Server的网络地址翻译（1）、连接Internet网卡的IP由ISP提供。（2）、连接内部网网卡的IP地址需要以下配置：IP地址：192.168.0.1 子网掩码：255.255.255.0 默认网关：无（3）、客户机的IP地址的配置为：IP地址：192.168.0.x(可设为同一网段内的任一独立的IP)子网掩码：255.255.255.0默认网关：192.168.0.1（4）、在“路由和远程访问”控制台中，用鼠标右键单击域服务器，从弹出的快捷菜单中选择“配置并启用路由和远程访问”选项，打开“路由和远程访问服务器安装向导”对话框。（5）、在路由和远程访问服务器安装向导中，选择用于“Internet连接服务器”的选项，以及用来安装带有网络地址转换(NAT)路由协议的路由器的选项。（6）、接下来要定义好哪块网卡连接Internet。（7）、至此所有配置工作已经全部完成，下面需要测试能不能连接内网和外网。 实验三IPSec的配置一、实验目的1加深并消化授课内容，理解VPN的作用；2掌握在VPN中部署IPSec的方法；3掌握IPSec在网络设备上的配置方法。二、实验要求1掌握虚拟专用网的原理；2熟悉在路由器上使用VPN服务；3熟悉使用IPSec的虚拟专用网的接入方式三、实验环境路由器2台四、实验内容 假设你是公司的网络管理员，公司因业务的扩大，建立了一个分公司，因为公司的业务数据重要，公司的总部与分公司传输数据时需要加密，采用IPSec VPN技术对数据进行加密。五、实验步骤1路由器基本配置。R1 (config)# R1 (config)#interface fastEthernet 0/0 R1 (config-if)#ip address 101.1.1.1 255.255.255.252 R1 (config-if)#no shutdown R1 (config-if)#exit R1 (config)#interface Loopback 0 R1 (config-if)#ip address 10.1.1.1 255.255.255.0 R1 (config-if)#no shutdown R1 (config-if)#exit R2 (config)#interface fastEthernet 0/0 R2 (config-if)#ip address101.1.1.2 255.255.255.252 R2 (config-if)#no shutdown R2 (config-if)#exit R2 (config)#interface Loopback 0 R2 (config-if)#ip address 10.1.2.1 255.255.255.0 R2 (config-if)#no sh R2 (config-if)#end 2配置默认路由。R1 (config)#ip route 0.0.0.0 0.0.0.0 101.1.1.2 R2 (config)# ip route 0.0.0.0 0.0.0.0 101.1.1.1 3配置IPSec VPN。R1 (config)# crypto isakmp policy 10 R1 (isakmp-policy)#authentication pre-share R1 (isakmp-policy)#hash md5 R1 (isakmp-policy)#group 2 R1 (isakmp-policy)#exit R1 (config)#crypto isakmp key 0 ruijie address 101.1.1.2 R1 (config)#crypto ipsec transform-set vpn ah-md5-hmac esp-des esp-md5-hmac R1 (cfg-crypto-trans)#mode tunel R1 (config)#crypto map vpnmap 10 ipsec-isakmp R1 (config-crypto-map)#set peer 101.1.1.2 R1 (config-crypto-map)#set transform-set vpn R1 (config-crypto-map)#match address 110 R1 (config)#crypto map vpnmap1 10 ipsec-isakmp R2 (config)#crypto isakmp policy 10 R2 (isakmp-policy)#authentication pre-share R2 (isakmp-policy)#hash md5 R2 (isakmp-policy)#group 2 R2 (config)#crypto isakmp key 0 ruijie address 101.1.1.2 R2 (config)#crypto ipsec transform-set vpn ah-md5-hmac esp-des esp-md5-hmac R2 (cfg-crypto-trans)#mode tunel R2 (config)#crypto map vpnmap 10 ipsec-isakmp R2 (config-crypto-map)# set peer 101.1.1.1 R2 (config-crypto-map)# set transform-set vpn R2 (config-crypto-map)# match address 110 4定义感兴趣数据流及应用VPN。R1 (config)#access-list extended 110 permit ip 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255 R1 (config)#interface FastEthernet 0/0 R1 (config-if)#crypto map vpnmap R2 (config)#access-list extended 110 permit ip 10.1.2.0 0.0.0.255 10.1.1.0 0.0.0.255 R2 (config)#interface FastEthernet 0/0 R2 (config-if)#crypto map vpnmap 5验证测试。R1#ping Protocol ip: Target IP address: 10.1.2.1 Repeat count 5: Datagram size 100: Timeout in seconds 2: Extended commands n: y Source address:10.1.1.1 Time to Live 1, 64: Type of service 0, 31: Data Pattern 0xABCD:0xabcd Sending 5, 100-byte ICMP Echoes to 10.1.2.1, timeout is 2 seconds: .! Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms R1#show crypto ipsec sa Interface: FastEthernet 0/0 Crypto map tag:vpnmap, local addr 101.1.1.1 media mtu 1500 = item type:static, seqno:10, id=32 local ident (addr/mask/prot/port): (10.1.1.0/0.0.0.255/0/0) remote ident (addr/mask/prot/port): (10.1.2.0/0.0.0.255/0/0) PERMIT #pkts encaps: 4, #pkts encrypt: 4, #pkts digest 8 #pkts decaps: 4, #pkts decrypt: 4, #pkts verify 8 #send errors 0, #recv errors 0 Inbound esp sas: spi:0x36328b56 (909282134) transform: esp-des esp-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (4606998/3594) IV size: 8 bytes Replay detection support:Y Inbound ah sas: spi:0x75aa844e (1974109262) transform: ah-null ah-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (4606998/3594) IV size: 0 bytes Replay detection support:Y Outbound esp sas: spi:0x4c96e9f2 (1284958706) transform: esp-des esp-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (4606998/3594) IV size: 8 bytes Replay detection support:Y Outbound ah sas: spi:0x2c25e472 (740680818) transform: ah-null ah-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (4606998/3594) IV size: 0 bytes Replay detection support:Y R1#show crypto isakmp sa destination source state conn-id lifetime(second) 101.1.1.2 101.1.1.1 QM_IDLE 33 86317 6c1ac77522d07d2b e0062c53799fc5ec实验四访问控制列表一、实验目的1掌握路由配置方法2掌握访问控制列表的配置；二、实验要求1ACL能正常工作的前提是所有主机都能ping通。（采用RIP路由协议）2路由器的基本配置: 1)设置路由器接口IP地址。2) 配置RIP路由3不允许R1访问R4及其内部网络4不允许R2 ping R45不允许10.2.2.0网段访问R4及其内部网络6使用OSPF动态路由协议三、实验环境1、Windows XP ， Cisco Packet Tracer四、实验内容拓扑图五、实验步骤1基本配置及密码设置R1、R2、R3、R4启动后，首先进行如下配置Router(config)#no ip domain lookRouter (config)#line conRouter (config)#line console 0Router (config-line)#exec-Router (config-line)#exec-timeout 0 0Router (config-line)#exitRouter (config)#enable password ciscoRouter (config)#line vty 0 4Router (config-line)#password ciscovtyRouter (config-line)#loginRouter (config-line)#exitRouter (config)#hostname RX /4台路由器分别命名为R1、R2、R3、R42配置R1、R2、R3、R4接口地址（将配置代码附下）（1）配置路由器R1R1(config)#int s1/0R1(config-if)#ip add 192.168.13.1 255.255.255.0R1(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/0, changed state to downR1(config-if)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR1(config-if)#ip add 10.1.1.1 255.255.255.0R1(config-if)#no sh（2）配置路由器R2R2(config)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR2(config-if)#R2(config-if)#ip add 10.2.2.2 255.255.255.0R2(config-if)#no shutR2(config-if)#int s1/1R2(config-if)#ip add 192.168.23.1 255.255.255.0R2(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/1, changed state to down（3）配置路由器R3R3(config)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR3(config-if)#R3(config-if)#ip add 10.3.3.3 255.255.255.0R3(config-if)#no shutR3(config-if)#int s1/0R3(config-if)#ip add 192.168.13.2 255.255.255.0R3(config-if)#clock rate 64000R3(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/0, changed state to upR3(config-if)#int s1/1R3(config-if)#ip add 192.168.23.2 255.255.255.0R3(config-if)#clock rate 64000R3(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/1, changed state to upR3(config-if)#R3(config-if)#int s1/2%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/1, changed state to upR3(config-if)#ip add 192.168.34.1 255.255.255.0R3(config-if)#clock rate 64000R3(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/2, changed state to down（4）配置路由器R4R4(config)#int lo0%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR4(config-if)#R4(config-if)#ip add 10.4.4.4 255.255.255.0R4(config-if)#no shutR4(config-if)#int s1/2R4(config-if)#ip add 192.168.34.2 255.255.255.0R4(config-if)#no shut%LINK-5-CHANGED: Interface Serial1/2, changed state to upR4(config-if)#R4(config-if)#%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/2, changed state to up3设置OSPF路由协议（1）配置路由器R1R1(config)#route ospf 1R1(config-router)#net 192.168.13.0 0.0.0.255 area 0R1(config-router)#net 10.1.1.0 0.0.0.255 area 0R1(config-router)#end（2）配置路由器R2R2(config)#route ospf 1R2(config-router)#net 192.168.23.0 0.0.0.255 area 0R2(config-router)#net 10.2.2.0 0.0.0.255 area 0R2(config-router)#end（3）配置路由器R3R3(config)#route ospf 1R3(config-router)#net 192.168.13.0 0.0.0.255 area 0R3(config-router)#00:32:17: %OSPF-5-ADJCHG: Process 1, Nbr 10.1.1.1 on Serial1/0 from LOADING to FULL, Loading DoneR3(config-router)#net 192.168.23.0 0.0.0.255 area 0R3(config-router)#net 192.168.34.0 0.0.0.255 area 000:32:49: %OSPF-5-ADJCHG: Process 1, Nbr 10.2.2.2 on Serial1/1 from LOADING to FULL, Loading DoneR3(config-router)#net 192.168.34.0 0.0.0.255 area 0R3(config-router)#net 10.3.3.0 0.0.0.255 area 0R3(config-router)#end（4）配置路由器R4R4(config)#route ospf 1R4(config-router)#net 192.168.34.0 0.0.0.255 area 000:33:57: %OSPF-5-ADJCHG: Process 1, Nbr 10.3.3.3 on Serial1/2 from LOADING to FULL, Loading DoneR4(config-router)#net 10.4.4.0 0.0.0.255 area 0R4(config-router)#end4查看各路由器学到的路由（以R3为例）R3# show ip route / 将显示信息附下R3#sh ip routeCodes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODR P - periodic downloaded static routeGateway of last resort is not set 10.0.0.0/8 is variably subnetted, 4 subnets, 2 masksO 10.1.1.1/32 110/782 via 192.168.13.1, 00:04:45, Serial1/0O 10.2.2.2/32 110/782 via 192.168.23.1, 00:04:09, Serial1/1C 10.3.3.0/24 is directly connected, Loopback0O 10.4.4.4/32 110/782 via 192.168.34.2, 00:02:46, Serial1/2C 192.168.13.0/24 is directly connected, Serial1/0C 192.168.23.0/24 is directly connected, Serial1/1C 192.168.34.0/24 is directly connected, Serial1/25设置