防火墙基本管理环境.pptx

内容提要n介绍防火墙外观与接口介绍n防火墙管理环境搭建 任务一：防火墙外观与接口介绍 nDCFW-1800E具有专门的 Console 口，专门的区域接口。串行部署于 TCP/IP 网络中。将网络一般划分为内、外、服务器区三个区域，对各区域实施安全策略以保护重要网络。n(1)打开防火墙包装箱，取出设备，从外观认识防火墙各接口 DCFW-1800E-V2 背板接口 登录防火墙并熟悉各配置模式 n(2)使用设备自带的控制线缆将防火墙与 PC 的串行接口连接 n(3)配置 PC 机的超级终端属性，接入防火墙命令行模式。注意：防火墙中有两种默认的管理用户：超级管理用户 缺省管理员用户口令和密码是：login：admin password：admin n(4)输入管理员用户口令和密码，可进入防火墙的执行模式，该模式的提示符如下所示，包含了一个数字符号（#）：DCFW-1800#通过PC机测试与防火墙的连通性 n(1)使用交叉双绞线连接防火墙和使用交叉双绞线连接防火墙和 PC 机，此时防火墙机，此时防火墙的的 LAN-link 灯亮起，表明网络的物理连接已经建立。灯亮起，表明网络的物理连接已经建立。观察指示灯状态为闪烁，表明有数据在尝试传输。观察指示灯状态为闪烁，表明有数据在尝试传输。n(2)此时打开此时打开 PC 机的连接状态，发现只有数据发送，机的连接状态，发现只有数据发送，没有接收到的数据，这是因为防火墙的端口默认状态没有接收到的数据，这是因为防火墙的端口默认状态下都会禁止向未经验证和配置的设备发送数据，保证下都会禁止向未经验证和配置的设备发送数据，保证数据的安全。数据的安全。登录防火墙并熟悉各配置模式实训相关知识(1)防火墙是提供信息安全服务，实现网络和信息安全的基础设施。具体是指设置在内部可信网络（trust）和外部不可信网络(untrust)之间或网络安全区域(dmz)之间的安全网关。它是不同网络或网络安全区域之间信息的唯一出入口，能根据企业的安全政策监视和抛弃应用层的网络流量，且本身具有较强的抗攻击能力。(2)防火墙的初始配置 像路由器和交换机一样，在使用防火墙之前，需要经过基本的初始配置。防火 墙的初始配置也是通过console口与PC的串口连接，再通过超级终端程序进行选项配置，这与我们所学的交 换机、路由器初始配置方法是一样的。练习练习 前边介绍未配置防火墙的 IP 地址等信息，课上可从防火墙的前面板对防火墙进行状态的观察，熟悉防火墙各种配置模式之间的切换和简化配置命令的书写模式。任务二：防火墙管理环境搭建 n1、实训目的 学会使用 Telnet 、SSH、WebUI 方式登录防火墙。n2、应用环境 V2 防火墙可以使用 telnet、SSH、WebUI 方式进行管理，使用者可以很方便的使用几种方式进行管理。本实训使用 DCFW-1800E-V2 防火墙，软件版本为：DCFOS-2.0R4。n3、实训设备(1)防火墙设备 1 台(2)Console 线 1 条(3)交叉网络线 1 条(4)PC 机 1 台 使用出厂缺省配置登陆使用出厂缺省配置登陆n缺省出厂时防火墙缺省出厂时防火墙Eth0/0接口接口IP为为192.168.1.1/24n可将管理主机可将管理主机IP配置为配置为192.168.1.0/24网段网段IP与防火墙与防火墙eth0/0接接口相连，通过口相连，通过WEB登陆防火墙管理界面登陆防火墙管理界面n在浏览器地址栏中输入以下两种在浏览器地址栏中输入以下两种URL均可均可nhttp:/192.168.1.1 nhttps:/192.168.1.1 -经过经过SSL加密推荐使用加密推荐使用7缺省登陆缺省登陆 用户名：用户名：admin 密密 码：码：admin通过通过Console口管理口管理8在出厂缺省配置被修改或其他无法通过在出厂缺省配置被修改或其他无法通过WEBUI管理的情况下可通过管理的情况下可通过console口登陆管理口登陆管理终端登陆参数设置如下：终端登陆参数设置如下：参数参数 数值数值 波特率波特率 9600 bit/s 数据位数据位 8停止位停止位 1校验校验/流控流控无无初始登陆用户名：初始登陆用户名：admin 密码：密码：adminConsole口初始配置步骤口初始配置步骤n对防火墙的初始管理配置包括以下几步：n将接口加入指定的安全域（先）n指定接口IP（后）n指定接口管理服务n指定接口管理IP(可选）n添加可信任的管理主机IP9先将接口加入安全域再配置先将接口加入安全域再配置IP地址地址nlogin:adminnpassword:nDCFW-1800#confignDCFW-1800(config)#int eth0/1nDCFW-1800(config-if-eth0/1)#ip address 192.168.10.1/242008-06-26 14:56:14,Event ERRNET:Failed to execute configuration command interface ethernet0/1:ip address 192.168.10.1 255.255.255.0 error:the interface doesnt bind to any zone,please bind to a zone before config ip address10如果接口没有加入安全域前先添加接口IP将出现如上错误提示接口配置接口配置?DCFW-1800(config-if-eth0/1)#zone untrust DCFW-1800(config-if-eth0/1)#zone untrust -将接口添加到安全域中将接口添加到安全域中?DCFW-1800(config-if-eth0/1)#ip address 192.168.10.1/24 DCFW-1800(config-if-eth0/1)#ip address 192.168.10.1/24 -为接口配置为接口配置IPIP地址地址?DCFW-1800(config-if-eth0/1)#manage http DCFW-1800(config-if-eth0/1)#manage http -对该接口启用对该接口启用httphttp管理服务管理服务?DCFW-1800(config-if-eth0/1)#manage https DCFW-1800(config-if-eth0/1)#manage https -对该接口启用对该接口启用httpshttps管理服务管理服务?DCFW-1800(config-if-eth0/1)#manage telnet DCFW-1800(config-if-eth0/1)#manage telnet-对该接口启用对该接口启用telnettelnet管理服务管理服务?DCFW-1800(config-if-eth0/1)#manage ssh DCFW-1800(config-if-eth0/1)#manage ssh -对该接口启用对该接口启用sshssh管理服务管理服务?DCFW-1800(config-if-eth0/1)#manage ping DCFW-1800(config-if-eth0/1)#manage ping 该接口允许该接口允许pingping?DCFW-1800(config-if-eth0/1)#manage ip 192.168.10.2 DCFW-1800(config-if-eth0/1)#manage ip 192.168.10.2 -为接口指定管理为接口指定管理IPIP（可选）（可选）（建议（建议 仅仅开放需要的管理服务，推荐仅仅开放需要的管理服务，推荐WEBUIWEBUI采用采用httpshttps，CLICLI采用采用SSH)SSH)具有安全意义的步骤具有安全意义的步骤n添加可信任的管理主机DCFW-1800(config)#admin host?any Any ip address A.B.C.D Host IP addressDCFW-1800(config)#admin host 192.168.1.0 255.255.255.0？any Allowed any login type http Allowed login from http https Allowed login from https ssh Allowed login from ssh telnet Allowed login from telnetDCFW-1800(config)#admin host 192.168.1.0 255.255.255.0 https这表示192.168.1.0/24网段的设备都具备对防火墙的https管理权限（完成以上配置就可通过（完成以上配置就可通过WEBUI方式对防火墙进行管理）方式对防火墙进行管理）具有安全意义的步骤具有安全意义的步骤n修改缺省管理员admin口令DCN(config)#admin user adminDCN(config-admin)#password q!Jiwx$*lc2H64cd#n修改缺省的管理服务端口DCN(config)#http port 8088DCN(config)#https port 1211n创建具有不同权限的管理员n需要使用admin账户创建新的管理员账户，并可对其修改、删除。n使用admin添加的新管理员账户可赋予不同的权限（读、写）n使用admin添加的新管理员账户可赋予不同的管理方式（Console、Telnet、SSH、HTTP、HTTPS）恢复出厂设置恢复出厂设置nCLIn命令:unset allnWebUIn系统 维护 配置 管理重置n硬件n开机加电前按住前面板“CLR”，然后加电；加电15秒后松开。常用查看命令常用查看命令nShow confignShow versionnShow interfacenShow zonenShow ip routenShow admin user/host/auth-servernShow arp