网络安全综合实验(eNSP)(DHCP、OSPF、NAT、防火墙、ACL)

最新推荐文章于 2024-04-18 20:00:23 发布
最新推荐文章于 2024-04-18 20:00:23 发布
阅读量2w 收藏 350
点赞数 30
分类专栏： 网络知识
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_40613029/article/details/106490622
版权

文章目录

网络安全综合实验

一、概述

1.1 实验背景及要求

  • 配置ACL，过滤具有某种特点的分组。
  • 配置NAT。在企业内部结构化分层使用NAT地址。
  • 实验测试一种网络攻击，比如SYN_Flood、MAC泛洪攻击或ARP攻击。
  • 配置防火墙，禁止某种网络服务（防火墙在企业内网与外网之间）。

1.2 实验技术概要

  • 防火墙
  • ACL

二、隧道

  • 此处因为涉及某些关键词，一直审核不通过，所以此处不多介绍
  • 详细介绍！不将就

三、防火墙

3.1 概述

防火墙技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术。

防火墙技术的功能主要在于及时发现并处理计算机网络运行时可能存在的安全风险、数据传输等问题，其中处理措施包括隔离与保护，同时可对计算机网络安全当中的各项操作实施记录与检测，以确保计算机网络运行的安全性，保障用户资料与信息的完整性，为用户提供更好、更安全的计算机网络使用体验。

3.2 防火墙和路由器

防火墙路由器
背景产生人们对于安全性的需求基于对网络数据包路由而非产生
目的保证任何非允许的数据包"不通"保持网络和数据的"通"
核心技术基于状态包过滤的应用级信息流过滤路由器核心的ACL列表时基于简单的包过滤
安全策略默认配置即可以防止一些攻击默认配置对安全性的考虑不够
对性能影响采用状态包过滤，规则条数，NAT的规则数对性能影响较小进行包过滤会对路由器的CPU和内存产生很大的影响
防攻击能力具有应用层的防范功能普通路由器不具有应用层的防范功能

3.3 安全区域

  • 防火墙通过安全区域来划分网络、标识报文流动的"路线"
  • 将一个或多个接口划分到一个区域中
  • 通过接口划分，就可以在防火墙上划分出不同网络
  • 华为防火墙默认提供Trust、DMS、Untrust三个区域
  • 防火墙提供Local区域，代表防火墙本身
安全区域安全级别说明
Local100设备本身，包括设备的各接口
Trust85通常用于定义内网终端用户所在区域
DMZ50通常用于定义内网服务器所在区域
Untrust5通常用于定义Internet等不安全的网络

3.4 安全策略

安全策略是按一定规则检查数据流是否可以通过防火墙的基本安全控制机制，规则的本质是包过滤。

3.4.1 缺省包过滤
  • 如果防火墙域间没有配置安全策略，或查找安全策略时，所有的安全策略都没有命中，则默认执行域间的缺省包过滤动作(拒绝访问)
    在这里插入图片描述
3.4.2 配置命令
[USG6000V1-policy-security]rule name ftp
//源区域
[USG6000V1-policy-security-rule-ftp]source-zone untrust 
//目的地址
[USG6000V1-policy-security-rule-ftp]destination-address 192.168.10.0 0.0.0.255
//规则
[USG6000V1-policy-security-rule-ftp]action deny

3.5 包过滤技术

在这里插入图片描述
在这里插入图片描述

  • 实现包过滤技术的核心是访问控制列表(后面章节详细分析)
  • 包过滤防火墙只根据设定好的静态规则来判断是否允许报文通过

3.6 状态检测和会话机制

在这里插入图片描述

  • 如果规则与允许通过，状态监测防火墙会将属于同一连接的所有报文作为一个整体的数据流(会话)来对待

3.7 NAT

3.7.1 私网用户访问Internet
  • 多个用户共享少量公网IP地址访问Internet时，可以使用源NAT技术
  • 源NAT技术只对报文的源地址进行转换
3.7.2 公网用户访问私网内部服务器
  • 通过NAT Server，实现外部网络用户通过公网地址访问私网内部服务器的需求
  • NAT Server将某个公网IP地址映射为服务器的私网IP地址

四、ACL

4.1 概述

访问控制列表ACL(Access Control List)可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击

4.2 分类

在这里插入图片描述

4.3 配置

在这里插入图片描述

[Huawei]acl 2000	
[Huawei-acl-basic-2000]rule deny source 192.168.1.0 0.0.0.255
[Huawei-acl-basic-2000]int g0/0/0
//在g0/0/0接口出方向使用规则
[Huawei-GigabitEthernet0/0/0]traffic-filter outbound acl 2000

五、实验拓扑

在这里插入图片描述

六、实验配置

  1. 在公司总部网络中配置端口ip和ospf协议，此处不多赘述

  2. 在AR3和AR4配置DHCP协议

  3. 详细介绍DHCP、OSPF介绍与配置

  4. 防火墙的配置

  5. 防火墙使用的是USG6000v，安装包下载可点击此处

    • 区域划分：端口GE1/0/2在dmz区域；端口GE1/0/0在trust区域；端口GE1/0/1在untrust区域
    [USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add int g1/0/0
[USG6000V1]firewall zone untrust 
[USG6000V1-zone-trust]add int g1/0/1
[USG6000V1]firewall zone dmz 
[USG6000V1-zone-trust]add int g1/0/2
    • 安全策略：trust区域可以访问dmz和untrust区域，untrust区域只能访问dmz区域
    [USG6000V1]security-policy
[USG6000V1-policy-security]rule name ysw01	
[USG6000V1-policy-security-rule-ysw01]source-zone trust 
[USG6000V1-policy-security-rule-ysw01]destination-zone untrust 
[USG6000V1-policy-security-rule-ysw01]action permit 
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name ysw02
[USG6000V1-policy-security-rule-ysw01]source-zone untrust 
[USG6000V1-policy-security-rule-ysw01]destination-zone dmz
[USG6000V1-policy-security-rule-ysw01]action permit 
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name ysw03
[USG6000V1-policy-security-rule-ysw01]source-zone trust 
[USG6000V1-policy-security-rule-ysw01]destination-zone dmz
[USG6000V1-policy-security-rule-ysw01]action permit

  6. 海外分部和总部通信(以FW3为例)

    [USG6000V1]security-policy
[USG6000V1-policy-security]rule name ysw06
//源地址为海外分部的出口地址
[USG6000V1-policy-security-rule-ysw06]source-address 56.1.1.0 24
//目的区域为安全区域
[USG6000V1-policy-security-rule-ysw06]destination-zone trust 
//访问策略为允许通过
[USG6000V1-policy-security-rule-ysw06]action permit

  7. NAT的配置(以FW3为例)

    //地址将会转换为GigabitEthernet 1/0/1的端口地址
USG6000V1]nat-policy 
[USG6000V1-policy-nat]rule name ysw	
[USG6000V1-policy-nat-rule-ysw]egress-interface GigabitEthernet 1/0/1	
[USG6000V1-policy-nat-rule-ysw]action source-nat easy-ip

  8. NAT-Server配置

    • 配置之后公网可以访问100.100.100.100，此时防火墙会将该地址映射为FTP服务器地址192.168.10.2
    [USG6000V1]firewall detect ftp
[USG6000V1]nat server global 100.100.100.100 inside 192.168.10.2 no-reverse 	
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name untrust-DMZ
[USG6000V1-policy-security-rule-untrust-DMZ]source-zone untrust 	
[USG6000V1-policy-security-rule-untrust-DMZ]destination-address 192.168.10.2 24
[USG6000V1-policy-security-rule-untrust-DMZ]service any 
[USG6000V1-policy-security-rule-untrust-DMZ]action permit

  9. 隧道配置(以AR2为例)

    [Huawei]acl number 3001
[Huawei-acl-adv-3001]rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 1
0.1.0.0 0.0.255.255
[Huawei-acl-adv-3001]q
[Huawei]ipsec proposal tran1
[Huawei-ipsec-proposal-tran1]esp authentication-algorithm sha1
[Huawei-ipsec-proposal-tran1]q
[Huawei]ipse	
[Huawei]ipsec policy P1 10 manual 
[Huawei-ipsec-policy-manual-P1-10]security acl 3001
[Huawei-ipsec-policy-manual-P1-10]proposal tran1
//对端IP
[Huawei-ipsec-policy-manual-P1-10]tunnel remote 192.168.3.2
[Huawei-ipsec-policy-manual-P1-10]tunnel local 56.1.3.2
//在对端AR1上配置时outbound密码为12345，inbound密码为54321
[Huawei-ipsec-policy-manual-P1-10]sa spi outbound esp 54321
[Huawei-ipsec-policy-manual-P1-10]sa spi inbound esp 12345
[Huawei-ipsec-policy-manual-P1-10]sa string-key outbound esp simple huawei
[Huawei-ipsec-policy-manual-P1-10]sa string-key inbound esp simple huawei
[Huawei-ipsec-policy-manual-P1-10]int g0/0/1
//在端口上应用规则P1
[Huawei-GigabitEthernet0/0/1]ipsec policy P1
[Huawei-GigabitEthernet0/0/1]
    • 在AR1上进行同样的配置

  10. ACL的配置(AR3)

  • 禁止部门A访问FTP服务器
[Huawei]acl 2003
//禁止源地址为FTP服务器的地址
[Huawei-acl-basic-2003]rule deny source 192.168.10.2 255.255.255.255
//在接口入方向使用该规则
[Huawei-GigabitEthernet0/0/1]traffic-filter inbound acl 2003

七、测试。

7.1 ACL测试

  • 配置前使用ping命令检测(PC1)
    在这里插入图片描述
  • 配置ACL后
    在这里插入图片描述

7.2 防火墙过滤测试

  • trust区域访问untrust(ping测试路由器AR8)
    在这里插入图片描述

  • untrust区域访问trust(测试路由器pingPC1)
    在这里插入图片描述

  • untrust访问dmz(测试路由器pingFTP服务器)
    在这里插入图片描述

  • 海外分部访问FTP服务器(PC6 ping FTP)
    在这里插入图片描述

  • 海外部门和公司总部通信(PC6和PC1)
    在这里插入图片描述

八、数据包

  • NAT转换(FW3的GE1/0/1端口)PC1 ping PC6
  • 将源地址10.1.1.254转换为56.1.1.1
    在这里插入图片描述
  • FTP数据包
    在这里插入图片描述
  • ESP数据包
    在这里插入图片描述
ysw！不将就
关注
  • 30
    点赞
  • 踩
  • 350
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 39
    评论
专栏目录
综合组网实验(eNSP)(vlan、vlan间通信、nat地址转换、acl、dhcp、ospf……)
01-09
综合组网实验 一、概述 本次实验模拟学校实验室的网络环境，通过虚拟环境进行组网，通过vlan、路由、访问控制等，实现不同实验室之间的通信，并且可以通过ACL控制某一个实验室的网络通信，进行简单的组网分析 二、应用的网络知识 Vlan Vlan间通信 静态路由 动态路由 链路聚合 链路备份 Nat地址转换 ACL访问控制 DHCP 三、实验拓扑 四、实验分析 五、实验详细配置 1. LSW1的配置 1.1 划分vlan 将G0/0/1接口划入vlan201，G0/0/2接口划入vlan202 sys Enter system view, return user view with Ctrl+Z
ensp典型三层架构校园网络搭建(文档+拓扑)
04-15
该网络是一个典型的校园网络架构，采用华为ensp模拟器搭建。该压缩包中包含网络工程拓扑文件和项目报告文档，报告文档包含设计思路、网络规划、配置步骤及代码、网络功能测试等。该项目中涉及的技术包括，VLAN、链路聚合、DHCP、OSPF、缺省路由、VRRP、MSTP、ACL、NAT、DNS、FTP、WEB、无线WLAN、防火墙的相关配置等内容，功能自认为非常全面，需要做课设的和毕设的可以参考，不想动手敲代码的可以直接用，准备考网工证的也可以多参考跟着做一做，这里期待大家的下载。
华为ENSP网络实验.pdf
06-13
。。。
计算机网络实验七：配置OSPF和配置NAT
最新发布
小柴
04-18 955
通过本次实验我们实践了计算机网络中OSPF路由协议和NAT技术的配置与应用，我们掌握了如何使用命令来查看路由表，了解了路由项中要素的含义，掌握了OSPF的工作原理，也熟悉了OSPF的基本配置命令。本组网模拟单区域OSPF的应用。--接口优先级（默认为1）最大的为DR，相同时则以router ID 大的为DR ，第二大的为BDR。Client_A、Client_B位于私网，网关为 RTA，RTA同时为NAT设备，有1个私网接口（G0/0）和 1个公网接口（G0/1），公网接口与公网路由器 RTB互连。
华为eNSP实现ospf动态路由，STP，VRRP，DHCP、ACL、NAT、Telnet企业内网访问外网案例
07-03
华为eNSP实现ospf动态路由，STP，VRRP，DHCP、ACL、NAT、Telnet企业内网访问外网案例
25.网络安全实验综合
qq_41116260的博客
11-02 717
25.网络安全实验综合（1）
网络安全 —— 实验（基于华为eNSP模拟器）
qq_58801558的博客
08-05 5590
8. 实验八 —— 通过路由的远程管理（基于实验七的基础配置）8. 实验八 —— 通过路由的远程管理（基于实验七的基础配置）6. 实验六 —— 交换机的远程控制（直接控制和间接控制）6. 实验六 —— 交换机的远程控制（直接控制和间接控制）5. 实验五 —— 将交换机作为PC端通过交换机相连。5. 实验五 —— 将交换机作为PC端通过交换机相连。4. 实验四 —— 两个PC机通过两台交换机相连。2. 实验二 —— 两个PC机通过交换机相连。2. 实验二 —— 两个PC机通过交换机相连。
ENSP实验超详细步骤（内涵小实验一个）
qq_56628318的博客
05-31 9532
小型局域网拓扑图实验 1.常用网络协议图 目的：了解ensp的网络图层： 2.实验常用到的命令 目的：了解日常常用命令及便捷方式 3.实验环境介绍 目的：更直观的理解实验组成与实验要求。 4.交换机，路由流程图及解析 目的：理解交换机与路由器工作原理。 5.实验中用到命令解析 目的：更能直观的理解实验中的命令。 6.完整的实验步骤及验证结果。 目的：使初学者能够按照实验步骤完整的做下来 *本文档分理论与实践两部......
eNSP之防火墙简单实验（一）
热门推荐
Shass的博客
11-10 1万+
eNSP之防火墙简单实验（一） 实验拓扑 图中，FW与ISP连接的网段仅仅是互联的作用，所以用私有地址段，而内部流量经过防火墙的G1/0/2访问外部流量时使用向运营商申请的公有地址段200.8.8.0/29。最后会针对这部分做一个扩展。 实验步骤 1、基础信息配置 将基础的IP地址配置 2、划分防火墙区域 1）代码配置方法 [FW]firewall zone trust [FW-zone-trust]add int g1/0/1 [FW]firewall zone dmz [FW-zone-dmz]add
华为ensp基础实验系列-小型网络综合实验
白话聊网络的博客
05-26 1万+
这么一来协议加起来差不多7-8种，所以基本可以满足老师的任何需求，以上所说的都是常见需求和技术，如果老师稍微专业，可能会提出一些偏特性的知识，或是中高级的知识，那么关注我，我会持续更新内容哦。二层中需要的技术就是stp、vlan，那么stp可以扩展到mstp，vlan无非就是接口状态，acc和trunk，还可以开启边缘端口，汇聚/核心交换机之间配置链路聚合。最近考试、测试的特别多，今天跟大家分享个以最少的设备数量，搭建一个多协议的网络。出口设备配置静态路由，acl，ospf下发缺省路由。
OSPF综合实验，内含MGRE,NAT,RIP,减少LSA的更新量，以及多进程重发布
qq_67758645的博客
08-06 64
本地产生的域外路由将会伪装成7类，然后使用7类在本NSSA区域传递，通过ABR进入骨干区域，被转换成5类，由该区域连接骨干的ABR向内部发送一条缺省。由于都有了指向主干路由，而主干全部路由都有，那么3类LSA也没有存在的必要，也拒绝，仅保留3类的缺省，这就是完全末梢。注意：进程号只具有本地意义，就算R9是进程2，R10是进程1，只要他们的区域都是一样的，那么就可以共享拓扑。作用：拒绝外部进入4/5类的LSA,由该区域连接骨干的ABR向内部产生一条3类的缺省。由于整个图路由，区域比较多，建议分区域完成实验。
【傅老师资源下载】eNSP经典综合实验系列之“项目01-大型企业经典网络架构”
01-02
能学到什么：包含很多企业网络中的常用技术，如VLAN、Trunk、RSTP、DHCP、VRRP、OSPF、PPP、PPPoE、CHAP、Telnet、ACL、NAT等。 阅读建议：解压后，可以结合PDF文档学习配置思路、并按照各网络设备的配置方法自行...
华为模拟器eNSP-HCIA综合实验2
01-04
【华为模拟器eNSP-HCIA综合实验2】是一个基于华为网络设备的教育实践项目，旨在帮助学习者深入理解并掌握HCIA（华为认证ICT助理）级别的网络基础知识。在这个实验中，你将通过华为eNSP（Enterprise Network ...
ensp防火墙综合实验lab
enterprise2333的博客
12-20 1万+
实验要求： 1.完成防火墙组网基础配置（IP，安全域，路由（可配置动态路由,只可宣告防火墙untrust所在网段）ISP路由器不能存在防火墙非untrust区域内路由），校本部和南校区防火墙管理地址分别为192.168.0.1/24，192.168.0.2/24 2.校本部防火墙1/0/1设置为二层接口，在防火墙上配置SVI分别为vlan 10和vlan 20的网关，两SVI安全域均为trust 3.PC2可以使用防火墙出接口地址上网访问到百度服务器（可ping通6.6.6.6即可） 4.使用校本部防火墙出
华为ensp模拟器实现通信安全（交换机配置vlan）
运维派大星
07-01 4036
华为ensp模拟器，实现vlan隔离，将不同的交换机接口放入不同的vlan步骤以及实现原理， 交换机的access接口与trunk接口的功能以及实现步骤
eNSP之防火墙简单实验(二) — 防火墙Telnet配置
Shass的博客
11-10 8135
eNSP之防火墙简单实验（二） 实验拓扑 实验步骤 1、基础信息配置 配置基础的IP地址信息 PC上需要一台默认路由：ip route-static 0.0.0.0 0.0.0.0 200.2.2.2 防火墙上需要一条默认路由：ip route-static 0.0.0.0 0.0.0.0 200.1.1.2 2、防火墙区域划分 3、防火墙上开启Telnet服务 1）Telnet配置 [FW]telnet server enable //全局开启Telent的功能 [FW]user-interface
1. IP协议基础及华为eNSP基础操作
qq_58801558的博客
08-01 1124
IP/TCP协议族，IP分类，IP互联网协议，IP地址，子网掩码，IP路由，IP三要素，IPV4，IPV6，IP地址组成，公有私有地址，网关，交换机，华为eNSP虚拟机，交换机远程控制，路由远程控制，模拟局域网简单搭建
计算机网络实验（华为eNSP模拟器）——第十四章 RIP协议和OSPF协议
小宇y的博客
07-23 3457
自治系统（AS）是指使用同一个内部路由协议的一组网络，每一个AS会分配一个全局的唯一的长度为16位号码的编码标识。 ## （二）内部、外部网关协议 我们知道根据分层次的路由选择方法，可以将路由选择协议分为**内部网关协议**（IGP）和**外部网关协议**（EGP），这里讲的==OSPF==也就是一个`内部网关协议`，与其同类的还有路由信息协议（`RIP`）等，外部网关协议有边界网关协议（`BGP`）等。 ```mermaid graph LR A[路由选择协议] --> B(内部网关协议 IGP) --
网络安全ensp实验
08-13
网络安全实验在ENS（Enterprise Network Simulation）环境中进行。实验一般包括配置ACL（访问控制列表），配置NAT（网络地址转换），测试网络攻击以及配置防火墙等。实验中还会涉及到隧道技术、防火墙和路由器的概述、安全区域、安全策略、包过滤技术、状态检测和会话机制、ACL（访问控制列表）等内容。具体的实验拓扑和配置可以根据需要进行调整和配置。通过这些实验，可以加深对网络安全的理解，并学习如何保护网络免受攻击。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* [网络安全综合实验(eNSP)(DHCP、OSPF、NAT、防火墙、ACL)](https://blog.csdn.net/qq_40613029/article/details/106490622)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}}] [.reference_item style="max-width: 50%"] - *3* [网络安全 —— 实验（基于华为eNSP模拟器）](https://blog.csdn.net/qq_58801558/article/details/132120244)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 39
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

ysw！不将就

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值