基于虚拟机环境的计算机网络安全访问控制系统的实验(1)

一、实验环境

本实验的拓扑结构如下图所示，本实验存在以下系统：

实验环境由一台主机(Main Host)和两个基于虚拟机技术实现的虚拟子网组成，主机安装Linux操作系统，利用其iptables功能实现防火墙。通过虚拟机技术，主机同时充当两个内网的交换机。路由器由一台Nercore的无线路由器实现。DMZ区的服务器均安装Linux系统，内网主机A、B均安装Windows操作系统。具体配置如下：

1) 路由器的外网（WAN） IP地址为59.78.51.3，内网（LAN）IP地址设置为10.10.33.254，掩码为255.255.255.0。

2) 防火墙的3个接口eth0、eth1（vboxnet1）和eth2（vboxnet0）分别接路由器、内部网络和DMZ区，即防火墙的3块网卡分别与3个网段：10.10.33.0/24、192.168.33.0/24和192.168.22.0/24相连。

l eth0接口地址为10.10.33.1，网关为10.10.33.254，子网掩码为255.255.255.0。

l eth1（vboxnet1）接口地址为192.168.33.254，子网掩码为255.255.255.0。

l eth2（vboxnet0）接口地址为192.168.22.1，子网掩码为255.255.255.0。

3) 在DMZ区有对外提供服务的Web服务器和邮件服务器。其中Web服务器的IP地址为192.168.22.41，Mail服务器的IP地址为192.168.22.40，网关地址都为192.168.22.1（即防火墙vboxnet0的地址）。内部主机A的IP地址为192.168.33.40，网关地址为192.168.33.254（即防火墙vboxnet1的地址），开放Telnet服务，并允许外部主机通过SNAT(静态网络地址转换，Static Network Address Translation)技术进行远程登陆。

4) 系统策略设计中涉及到主机或网络地址的地方使用地址变量名，引用方式为：＄变量名。具体的地址变量及其取值为：

Internal=’192.168.33.0/24’, DMZ=’192.168.1.0/24’

DNSServer=’202.120.2.101’, WWWServer=’ 202.120.2.102’

GlobalA=’10.10.33.100’, GlobalB=’10.10.33.101’

HostA=’192.168.33.40’, HostB=’192.168.33.41’

MailServer=’192.168.1.40’, WebServer=’192.168.1.41’

FireWall=’ 10.10.33.1’, HttpsServer=’216.239.63.83’

FtpServer=’202.38.97.230’, TelnetServer=’202.120.3.1’

二、实验步骤

1. 构建系统及虚拟主机：

在本机上安装Ubuntu 9.10系统，利用iptables软件来实现防火墙的功能。正确安装配置系统后，再安装Virtualbox虚拟机软件来构建虚拟的内网系统。在Virtualbox中新建了4台主机，分别为：DMZ-A-UBUNTU-Web，DMZ-B-UBUNTU-Mail，Internal-A-XP，Internal-B-XP，另有一台Internal-B-98在实验中没有用到。

如下图所示：

2. 配置防火墙及内网主机的网络服务信息：

1）防火墙的eth0接口作为拓扑图中的eth0接口。在Virtualbox的网络管理中新建了2个网络适配器vboxnet0和vboxnet1。 vboxnet0对应与拓扑图中的DMZ区的eth2，vboxnet1对应于拓扑图中的内网的eth1。各网络适配器的设置如实验环境中所述。配置后信息如下图所示：

2）DMZ-A-UBUNTU-Web这台虚拟主机用来作为DMZ区的web服务器。该虚拟主机的eth0网卡连接于防火墙的vboxnet0接口上，IP地址为192.168.22.41/24，网关为192.168.22.1。在该主机上安装了apache程序，用来提供web服务，因为本次实验重点是要实践对于防火墙的配置而不是web服务器的配置，所以在apache程序中仅仅使用了默认的缺省配置，监听80端口，并使用了一张简单的网页来作为主页。该虚拟主机的网络配置信息如下图所示：

3）DMZ-B-UBUNTU-Mail这台虚拟主机用来作为DMZ区的邮件服务器。该虚拟主机的eth0网卡连接于防火墙的vboxnet0接口上，IP地址为192.168.22.40/24，网关为192.168.22.1。在该虚拟机上安装了postfix+sasl+courier-pop等软件来提供邮件服务功能。邮件功能依旧使用了非常简单的设置，其中SMTP服务使用25号端口，pop3服务使用110端口。该虚拟主机的网络配置信息如下图所示：

4）Internal-A-XP虚拟主机作为内网中的主机A。该虚拟主机的eth0网卡连接与防火墙的vboxnet1接口上，IP地址为192.168.33.40/24，网关地址为：192.168.133.254。该虚拟机作为内网主机，要能够正常的访问外网的资源，并提供了telnet服务，允许外网主机远程登录。该虚拟主机的网络信息配置如下图所示：