HA150002

Eudemon基本功能與配置ISSUE1.0本課程旨在介紹Eudemon防火墻工作模式、安全區域概念、ACL以及NAT等常用的基本功能和配置。Page

2學習完此課程，您將會：掌握安全區域的概念掌握防火墻的工作模式掌握ACL的作用與基本配置掌握NAT的作用與配置Page

3第1章工作模式第2章安全區域第3章ACL第4章NATPage

4路由模式服務器PCTrust區服務器EudemonPC54

PCUntrust區內部網絡/24Page

5外部網絡/24透明模式PCTrustEudemonPCPCUntrust/24服務器內部網絡Page

6服務器外部網絡混合模式Eudemon（主）Eudemon（備）VRRPTrust服務器PC服務器PCPCUntrust內部網絡/24Page

7外部網絡/24配置工作模式compositePage

8[Eudemon]firewall

mode[Eudemon]quit<Eudemon>reboot[Eudemon]display

firewall

modefirewall

mode

composite第1章工作模式第2章安全區域第3章ACL第4章NATPage

9防火墻的安全區域Local區域

100Trust區域

85DMZ區域

50UnTrust區域

5接口2接口3接口4接口1用戶自定義區域Page

10防火墻安全區域間-InterZoneServerServerUntrustDMZEth1/0/1E1/0/2inboundoutboundinboundoutbound內部網絡E1/0/0EudemonLocal外部網絡Page

11inboundoutboundTrust配置安全區域[Eudemon]

firewall

zone

name

userzone[Eudemon-zone-userzone]

set

priority

60[Eudemon-zone-userzone]

add

interface

EthernetPage

120/0/1[Eudemon]display

zone

usernameusernamepriority

is

60interface

of

the

zone

is

(1):Ethernet0/0/1配置區域間策略[Eudemon]acl

3000[Eudemon-acl-adv-3000]

rule

permit

ip[Eudemon]firewall

interzone

trust

untrust[Eudemon-interzone-trust-untrust]packet-filter

3000

inboundPCTrust區EudemonPCPCUntrust區服務器內部網絡Page

13服務器外部網絡第1章工作模式第2章安全區域第3章ACL第4章NATPage

14ACL應用Page

15包過濾根據ACL規則決定數據包的丟棄和轉發NAT根據ACL決定哪些報文進行地址轉換IPSec根據ACL決定哪些數據需要保護Qos采用ACL進行流分類路由策略根據ACL對路由進行過濾什么是ACL?PermitDenyACL分類Page

16基本ACL

（組號范圍為2000～2999）使用源地址定義數據流高級ACL

（組號范圍為3000～3999）使用源地址、目的地址、源端口號、目的端口號、上層協議號等多種元素組合定義數據流防火墻ACL

（組號范圍為5000～5499）使用源地址、目的地址、目的端口號定義數據流ACL分類防火墻ACL高級ACL

基本ACLAcl-number小的優先匹配Rule-id小的優先匹配acl

[

number

]

acl-numberrule

[

rule-id

]

{

permit

|

deny

}

[

source

{

sour-address

sour-wildcard

|

any

}

]

[

time-range

time-name

]rule

[

rule-id

]

{

permit

|

deny

}

protocol

[

source

{

sour-address

sour-wildcard

|

any

}

]

[

destination

{

dest-addressdest-mask

|

any

}

]

[

source-port

operator

port1

[

port2

]

][

destination-port

operator

port1

[

port2

]

]

[

icmp-type{

icmp-type

icmp-code

|

icmp-message

}

]

[

precedenceprecedence

]

[

tos

tos

]

[

time-range

time-name

]Page

17ACL應用實例公司外部特定PC公司內部特定PCWANEudemonFTP

Server

Telnet

Server

www

ServerPage

18E1/0/0E0/0/0ACL應用實例－配置[Eudemon]

acl

number

3101[Eudemon-acl-adv-3101]

rule

permit

ip

source

0[Eudemon-acl-adv-3101]

rule

permit

ip

source

0[Eudemon-acl-adv-3101]

rule

permit

ip

source

0[Eudemon-acl-adv-3101]

rule

permit

ip

source

0[Eudemon-acl-adv-3101]

rule

deny

ip[Eudemon-acl-adv-3101]

quit[Eudemon]

acl

number

3102[Eudemon-acl-adv-3102]

rule

permit

tcp

source

0

destination

0[Eudemon-acl-adv-3102]

rule

permit

tcp

source

0

destination

0[Eudemon-acl-adv-3102]

rule

permit

tcp

source

0

destination

0[Eudemon-Interzone-trust-untrust]

packet-filter

3101

outbound[Eudemon-Interzone-trust-untrust]

packet-filter

3102

inboundPage

19第1章工作模式第2章安全區域第3章ACL第4章NATPage

20NAT

(Network

Address

Translation)地址轉換NAT是將IP數據報報頭中的IP地址轉換為另一個IP地址的過程NAT可以解決以下問題IP地址匱乏節省公有IP地址安全因素屏蔽私有網絡企業合并便于網絡合并Page

21私有地址和公有地址InternetLAN1LAN2LAN3私有地址范圍：-55-55-55Page

22Eudemon

NATPC

CServerBPC

BPC

AEudemonE0/0/0E0/0/0TrustUntrust數據報1源目的Internet數據報1源目的數據報2源目的數據報2源目的Page

23Eudemon

NAPTPC

CServerBPC

BPC

ATrust

Eudemon

UntrustE0/0/0

E0/0/0數據報2源源端口2468Internet數據報2源源端口2468數據報3源源端口11111數據報3源源端口11111數據報4源源端口11111數據報4源源端口22222數據報1源源端口1357數據報1源源端口1357Page

24Eudemon

內部服務器NATDMZ/26/24Mail

Server00/24Web

Server01/24FTP

Server02/24E1/0/0E0/0/1InternetUntrust數據報1源202.168.0,2目的1數據報1源202.168.0,2目的01數據報2源1目的數據報2源01目的Page

251-01ALG功能Eudemon

NAT實現ACL私有地址公有地址Page

26Eudemon內部服務器NAT組網內部網絡/240-001:80-01:80802:1021-02:ftpTrustDMZ/24 E0/0/0

/24/24Mail

Server00/24Web

Server01/24FTP

Server02/24E1/0/0Page

27E0/0/1InternetUntrust出口網絡NAT典型配置[Eudemon]

acl

2000[Eudemon-acl-basic-2000]rule

permit[Eudemon-acl-basic-2000]quit[Eudemon]

nat

address-group

1

0

0[Eudemon]acl

3000

配置地址池[Eudemon-acl-adv-3000]

rule

permit

ip

source-address

55[Eudemon]

firewall

interzone

trust

untrust[Eudemon-interzone-trust-untrust]

packet-filter

2000outbound[Eudemon-interzone-trust-untrust]

nat

outbound

3000address-group

1啟動地址轉換功能并綁定地址池和ACLPage

28NAT

Server典型配置[Eudemon]

nat

server

global

0

inside

00[Eudemon]

nat

server

protocol

tcp

global

1

80

inside018080[Eudemon]

nat

server

protocol

tcp

global

2

1021

inside02

ftp[Eudemon]

acl

3000[Eudemon]

rule

permit

ip

destination-address

55[Eudemon]

firewall

interzone

DMZ

untrust[Eudemon-interzone-DMZ-untrust]packet-filter

3000

inbound[Eudemon-interzone-DMZ-untrust]

detect

ftp配置全局地址與內部服務器地址的映射關系Page

29NAT配置驗證[Eudemon]

display