神码防火墙配置-配置步骤.doc

1800 E/S 网桥模式的配置步骤

（本部分内容适用于：DCFW-1800E 和DCFW-1800S系列防火墙）

在本章节我们来介绍一下1800E和1800S防火墙网桥模式的配置方法以及步骤。

网络结构：

DCFW - 1800E/S

外网接口
DMZ接口

路由器

Pc 1

互联网
内网接口
交换机
内网接口

内网网段为：10.1.157.0 /24， 路由器连接内部网的接口IP地址为：10.1.157.2 ，内网主机的网关设为：10.1.157.2
pc1 IP地址为10.1.157.61
防火墙工作在网桥模式下，管理地址为：10.1.157.131 ，防火墙网关设为：10.1.157.2
管理主机设为:10.1.157.61

要求：

添加放行规则，放行内网到外网的tcp，udp，ping ；外网能够访问pc1 的http，ftp，ping服务。
地址转换在路由器上作。
注意：

1800E和1800S在启用网桥模式后，只能在内网口上配置管理ip地址，外网口不能配置IP地址，DMZ口在网桥模式下不能用。并且启用网桥后只能在内网中管理防火墙！！！。
实验步骤：
说明：

防火墙的网络地址的默认配置：内网口 192.168.1.1 , 外网口 192.168.0.1 ,DMZ口 192.168.3.1
系统管理员的名称：admin 密码：admin.

一 根据需求更改防火墙IP地址，添加管理主机，然后进入web管理界面

1．1 进入超级终端，添加管理防火墙的IP地址：

在此处输入系统管理员的名称：admin
( 超级终端的配置 )

点击 确定 ，然后按数下回车，进入到1800E/S防火墙的超级终端配置界面：
Welcome to Digital China DCFW (C)
Copyright 2003 Digital China, All rights reserved

login: admin

输入正确的用户名admin ,然后回车。

Password:
#

输入正确的密码admin ,然后回车。

1.2 根据网络环境更改防火墙的内网口的IP地址和防火墙的网关

说明：if0 为防火墙的外网口；if1 为防火墙的内网口；if2 为防火墙的DMZ口

# ifconfig if1 10.1.157.131/24 （此命令目的：将内网口地址改为10.1.157.131）

# route add default 10.1.157.2 （此命令目的：添加默认网关）

# adminhost add 10.1.157.61 （为了能够在管理主机上通过web方式管理防火墙，必须添加管理主机的地址---即：通过浏览器管理防火墙的那台pc机器的地址）

# ifconfig services if1 ping on （防火墙默认是禁止ping的，必须添加此命令才能ping通内网口）

# save （此命令目的：保存我们所作的修改）

# apply （此命令目的：使我们修改后的配置生效，切记！切记!）

1.3 为了验证我们刚才的配置，可以在超级终端中运行如下的命令：
# show interface （查看网络接口的IP地址配置）
[if0] , mtu: 1500
media: Ethernet autoselect (100baseTX full-duplex), status: active
inet: 192.168.0.1, netmask: 255.255.255.0
hwaddr: 00:90:0b:03:3b:44
baudrate: 100000000, colls: 0, drops: 0
Ipkts: 39, Ibytes: 5578, Ierrs: 0
Opkts: 0, Obytes: 112, Oerrs: 0
Imulticast-pkts: 39, Omulticast-pkts: 0
unsupported dest proto: 0, last updated: 2003-09-18 11:03:35
[if1] , mtu: 1500
media: Ethernet autoselect (100baseTX full-duplex), status: active
inet: 10.1.157.131, netmask: 255.255.255.0
hwaddr: 00:90:0b:03:3b:43
baudrate: 100000000, colls: 0, drops: 0
Ipkts: 46, Ibytes: 6367, Ierrs: 0
Opkts: 0, Obytes: 112, Oerrs: 0
Imulticast-pkts: 46, Omulticast-pkts: 0
unsupported dest proto: 0, last updated: 2003-09-18 11:03:18
[if2] , mtu: 1500
media: Ethernet autoselect (none), status: no carrier
inet: 192.168.2.1, netmask: 255.255.255.0
hwaddr: 00:90:0b:03:3b:42
baudrate: 0, colls: 0, drops: 0
Ipkts: 0, Ibytes: 0, Ierrs: 0
Opkts: 0, Obytes: 112, Oerrs: 0
Imulticast-pkts: 0, Omulticast-pkts: 0
unsupported dest proto: 0, last updated: 2003-09-18 11:01:25
## adminhost list （显示管理主机的IP地址）
[1] 10.1.157.61
#
# ping 10.1.157.61 （ping一下管理主机，看网络是否通畅）
64 bytes from 10.1.157.61: icmp_seq=0 ttl=128 time=1.439 ms
64 bytes from 10.1.157.61: icmp_seq=1 ttl=128 time=0.530 ms
64 bytes from 10.1.157.61：icmp_seq=2 ttl=128 time=0.470 ms
3 packets transmitted, 3 packets received, 0% packet loss
（如果显示 3 packets transmitted, 0 packets received, 100% packet loss 的话请检查网络连接）

1.4完成上面的配置后，我们就可以在管理主机上（也就是IP地址为10.1.157.61的那台机器上）通过WEB 的方式来管理防火墙了

首先将管理主机的pc机的IP地址更改为：10.1.157.61

然后打开浏览器，进入到防火墙的web管理界面模式，如下图：
在IE的地址栏中输入：
https://防火墙地址:1211
也就是：
https://10.1.157.131:1211

进入web管理页面后我们就可以在图形界面下对防火墙进行其他复杂的操作了。
二 启用1800E 或1800S防火墙的网桥模式如下图：

2.1 进入网桥配置界面
点击此处

2.2 启用网桥模式 如下图:

最后点击确定
最后点击确定
此处勾选 启用
根据内网机器的数目更改缓冲池大小（一般比实际的内网pc数目要大）
Trunk 选择 off

2.3 启用网桥后DMZ接口和代理功能都不能用了，在下图中点击 确定

2.4 最后点击保存并应用

2.5 应用之后网桥配置就可以生效了

2.6 我们可以在应用成功后查看一下防火墙的 端口配置

网桥模式下只有内外网口可以用，并且只有内网口才可以配置管理地址。

三 添加包过滤规则

说明：进lan只对外网访问内网时起作用
出wan只对内网访问外网时起作用

所以lan访问外网的规则要在出wan处设置
外网访问lan的规则要在进lan处设置

3.1 添加内网访问外网的tcp，udp，ping的服务（注意：此规则在出wan处添加）

3.1.2点击 新增 添加如下的规则

源网络：anyinternal (任何内网)
目的网络：anyexternal (任何外网)
服务：anytcp

3.1.3然后按照上述的方法添加udp，ping的放行规则：

源网络：anyinternal (任何内网)
目的网络：anyexternal (任何外网)
服务：anyudp

3.1.4添加内网访问外网ping的放行规则

源网络：anyinternal (任何内网)
目的网络：anyexternal (任何外网)
服务：ping

3.2 为了让外网用户能够访问到内网pc1 上的服务，必须添加外网访问内往pc1 的规则
（如果你不想让外网访问你的内部网络，可以忽略3.2）

3.2.1 因为要单独控制内网中的pc1 ，所以我们要先在1800防火墙中添加网络对象,名称随便定义，但ip地址必须为pc1 的实际地址（10.1.157.61）添加方法如下图：

点击 新增
因为pc1 是台单机，所以类型选择 主机，IP地址 输入pc1 实际的IP地址，网络接口卡：选择内网接口卡（因为pc1 是在内网中的）

3.2.2 添加外网访问内网pc1 上http服务的规则

添加外网访问内网的规则必须在进LAN 处添加。

添加放行http的规则如下图：

源网络：选择任何外网
目标网络：输入我们定义的内网的那台主机pc1
服务选择：http

3.2.3 同样的方法添加放行外网访问pc1 的ftp，ping等服务。

四 完成规则配置后一定要注意保存，并应用，否则规则不能生效！！！切记！

这样新的规则就会生效，完成上述配置后就能够达到我们的要求