实验：防火墙配置与NAT配置

实验：防火墙配置与NAT配置

一、实验目的

学习在路由器上配置包过滤防火墙和网络地址转换（NAT）

二、实验原理和内容

1、路由器的基本工作原理 2、配置路由器的方法和命令 3、防火墙的基本原理及配置 4、NAT的基本原理及配置

三、实验环境以及设备

2台路由器、1台交换机、4台Pc机、双绞线若干 四、实验步骤（操作方法及思考题）

{警告：路由器高速同异步串口（即S口）连接电缆时，无论插拔操作，必须在路由器电源关闭情况下进行；严禁在路由器开机状态下插拔同/异步串口电缆，否则容易引起设备及端口的损坏。}

1、请在用户视图下使用“reset saved-configuration”命令和“reboot”命令分别将两台路由器的配置清空，以免以前实验留下的配置对本实验产生影响。

2、在确保路由器电源关闭情况下，按图1联线组建实验环境。配置IP地址，以及配置PC A 和B的缺省网关为 202.0.0.1，PC C 的缺省网关为 202.0.1.1，PC D 的缺省网关为 202.0.2.1。

AR18-12192.0.0.1/24S0E0202.0.0.1/24192.0.0.2/24S0AR28-11202.0.2.1/24E1交叉线202.0.2.2/24D202.0.1.1/24E0交叉线202.0.0.2/24A202.0.0.3/24B202.0.1.2/24C

图 1

3、在两台路由器上都启动RIP，目标是使所有PC机之间能够ping通。请将为达到此目标而在两台路由器上执行的启动RIP的命令写到实验报告中。（5分）

AR28-11

[Quidway]interface e0/0

[Quidway-Ethernet0/0]ip address 202.0.1.1 255.255.255.0 [Quidway-Ethernet0/0]interface ethernet0/1

[Quidway-Ethernet0/1]ip address 202.0.2.1 255.255.255.0 [Quidway-Ethernet0/1]interface serial0/0

[Quidway-Serial0/0]ip address 192.0.0.2 255.255.255.0 [Quidway-Serial0/0]quit [Quidway]rip

[Quidway-rip]network 0.0.0.0 AR18-12

[Router]interface e0

[Router -Ethernet0]ip address 202.0.0.1 255.255.255.0 [Router -Ethernet0]interface s0

[Router - Serial0]ip address 192.0.0.1 255.255.255.0 [Router -Ethernet0]quit [Router]rip

[Router -rip]network all

4、在AR18和/或AR28上完成防火墙配置，使满足下述要求：

（1） 只有PC机A和B、A和C、B和D之间能通信，其他PC机彼此之

间都不能通信。（注：对于不能通信，要求只要能禁止其中一个方向就可以了。）

（2） 防火墙的ACL列表只能作用于两台路由器的以太网接口上，即AR18

的E0、AR28的E0和E1，不允许在两台路由器的S0口上关联ACL。 请将你所执行的配置命令写到实验报告中。（注：配置方法并不唯一，写出

其中任何一种即可）（15分）

AR28-11

[Quidway]firewall enable

[Quidway]firewall default permit

[Quidway]acl number 3001 match-order auto -----------阻止C、D通信

[Quidway-acl-adv-3001]rule deny ip source 202.0.1.2 0 destination 202.0.2.2 0 -----------阻止C、B通信

[Quidway-acl-adv-3001]rule deny ip source 202.0.1.2 0 destination 202.0.0.3 0

[Quidway-acl-adv-3001]int e0/0

[Quidway-Ethernet0/0]firewall packet-filter 3001 inbound [Quidway-Ethernet0/0]shutdown

[Quidway-Ethernet0/0]undo shutdown [Quidway-Ethernet0/0]quit

[Quidway]acl number 3002 match-order auto -----------阻止D、A通信

[Quidway-acl-adv-3002]rule deny ip source 202.0.2.2 0 destination 202.0.0.2 0

[Quidway-acl-adv-3002]int e0/1

[Quidway-Ethernet0/1]firewall packet-filter 3002 inbound [Quidway-Ethernet0/1]shutdown

[Quidway-Ethernet0/1]undo shutdown [Quidway-Ethernet0/1]quit

本机为D pingA 不通

pingB 通

pingC 不通

5、请在用户视图下使用“reset saved-configuration”命令和“reboot”命令分别将两台路由器的配置清空，以免前面实验留下的配置对下面的NAT配置实验产生影响。

6、请将图1中IP地址的配置改为图2，即我们将用IP 网段192.168.1.0/24作为一个私网，AR18作为连接私网与公网的NAT路由器，AR28作为公网上的一个路由器。具体的，请按下述步骤完成NAT配置实验：

（1） 配置AR18-12为NAT路由器，它将私有IP 网段192.168.1.0/24中的

IP地址转换为接口S0的公网IP 地址192.0.0.1。请将所执行的配置命令写到实验报告中。（10分）

[Quidway]acl 2000 match-order auto

[Quidway-acl-2000]rule permit source 192.168.1.0 0.0.0.255 [Quidway-acl-2000]rule deny source any [Quidway-acl-2000]quit

[Quidway]nat address-group 192.0.0.1 192.0.0.1 pool1 [Quidway]int s0

[Quidway-Serial0] nat outbound 2000 address-group pool1

（2） 我们在每一台PC上都安装了Web服务器IIS，它运行在TCP端口80。

请把PC A的Web服务映射到公网IP地址192.0.0.1和公网端口80，把PC B的Web服务映射到公网IP地址192.0.0.1和公网端口8080，并把所执行的配置命令写到实验报告中。（10分）

[Quidway-Serial0]nat server global 192.0.0.1 80 inside 192.168.1.2 80 tcp

[Quidway-Serial0]nat server global 192.0.0.1 8080 inside 192.168.1.3

80 tcp

[Quidway-Serial0]shutdown

[Quidway-Serial0]undo shutdown

（3） 我们在每一台PC上都允许了远程桌面服务，该服务使用TCP端口

3389。请把PC B远程桌面服务映射到公网IP地址192.0.0.1和公网端口3389，并把所执行的配置命令写到实验报告中。（10分）

[Quidway-Serial0]nat server global 192.0.0.1 3389 inside 192.168.1.3 3389 tcp [Quidway-Serial0]shutdown [Quidway-Serial0]undo shutdown

请在AR18上配置一条缺省静态路由，用于指定AR18的缺省网关为192.0.0.2。

[Quidway]ip route-static 0.0.0.0 0 192.0.0.2

注：路由相关配置只需上述一条命令即可，并不需要在AR18和AR28

上启动RIP。不在AR18上启动RIP的原因是私网IP的路由信息不应该被广播到公网上；不在AR28上启动RIP的原因是在本实验中公网环境中只用一台AR28路由器来模拟。

AR18-12192.0.0.1/24S0E0192.168.1.1/24192.0.0.2/24S0202.0.1.1/24E0AR28-11202.0.2.1/24E1交叉线202.0.2.2/24D交叉线192.168.1.2/24A192.168.1.3/24B202.0.1.2/24C

图2

在上述步骤完成后，NAT应该能够正常运转，下述现象应被观察到： （1） 在PC A上执行：ping 202.0.2.2，结果为“通”。请将“通”的原因写到

实验报告中。（10分）

因为配置AR18-12为NAT路由器时规定所有私网地址都可访问公网，即rule permit source 192.168.1.0 0.0.0.255 ，所以位于私网中的PCA可以ping通公网地址202.0.2.2。

（2） 在PC D上执行：ping 192.168.1.2，结果为“不通”。请将“不通”的原

因写到实验报告中。（10分）

192.168.1.2是位于私网的地址，PCD是公网中的机器，私网运用NAT协议时，公网地址是无法直接访问私网ip的。

（3） 在PC C上启动IE浏览“http://192.0.0.1”，可以下载PC A Web服务器上

的网页，该网页大致内容为“网站正在建设中”。请将可以访问的原因写到实验报告中。（10分）

PCA的Web服务映射到公网IP地址192.0.0.1和公网端口80，PCC访问http://192.0.0.1时，访问http默认的端口号80，通过NAT地址表转换，相当于访问PCA的Web服务器

（4） 在PC C上启动IE浏览“http://192.168.1.2”，不可以下载PC A Web服务

器上的网页。请将不能访问的原因写到实验报告中。（10分）

192.168.1.2是私网地址，对公网不可见，所以PCC不能访问。

（5） 在PC B和C上都启动Ethereal，捕获所有TCP的包。然后在PC C上启

动IE浏览“http://192.0.0.1:8080”，将发现可以下载PC B Web服务器上的网页，该网页大致内容为“网站正在建设中”。请将用Ethereal观察到的TCP包的源和目的IP地址、源和目的端口号在私网和公网上的变化情况写到实验报告中，并据此解释NAT在上述HTTP访问过程中做了怎样的地址转换。（10分） PCB

PCC

PCC

访问地址192.0.0.1的8080端口，发送目的地址是192.0.0.1，目的端口号是8080的数据包

接收源地址是192.0.0.1，源端口号是8080的数据包 NAT路由AR18-12

发现包的目的地址是192.0.0.1，目的端口号是8080，查找NAT地址转换表，将包的目的地址替换成192.168.1.3，目的端口号替换成80，然后

转发出去

发现包的源地址是192.168.1.3，源端口号是80，查找NAT地址转换表后，将包的源地址替换成192.0.0.1，源端口号替换成8080，然后转发出去 PCD

接收目的地址是192.168,.1.3，目的端口号是80的数据包 发送源地址是192.168.1.3，源端口号是80的数据包

（6） 在PC D上使用“程序附件通讯远程桌面连接”登录PC B，在登录

对话框中请输入IP地址“192.0.0.1”。在提示用户名和密码时，请分别输入“administrator”和“admin，则可以登录PC B。仅验证此现象即可，不要求写实验报告。 做本实验时请注意：

（1） 关闭PC机上的防火墙。

（2） 同异步串口配置完成后，一定要执行“shutdown”和“undo shutdown”

命令，从而使之生效。

五、讨论、建议、质疑

路由器型号不同命令有微小差别，需自行查阅课件和 指导手册