防火墙作业

最新推荐文章于 2023-08-07 17:33:43 发布
最新推荐文章于 2023-08-07 17:33:43 发布
阅读量213 收藏
点赞数
文章标签： 网络 数据库
原文链接：http://www.cnblogs.com/LJ0825/p/10924559.html
版权

 

自反ACL实验配置

拓扑图

 

 

R4为外网，R2和R3为内网。

地址表

Device

Interface

IP address

R1

F 0/0

10.112.1.1

F 0/1

14.112.2.1

R2

F 0/0

10.112.1.2

R3

F 0/0

10.112.1.3

R4

F 0/0

14.112.2.4

静态路由基础配置

R1(config)#int f0/0

R1(config-if)#ip address 10.112.1.1 255.255.255.0

R1(config-if)#no shutdown

R1(config)#int f0/1

R1(config-if)#ip address 14.112.2.1 255.255.255.0

R1(config-if)#no shutdown

 

R4(config)#ip route 10.112.1.0 255.255.255.0 14.112.2.1

R3(config)#ip route 14.112.2.0 255.255.255.0 10.112.1.1

R2(config)#ip route 14.112.2.0 255.255.255.0 10.112.1.1

R2pingR4

R1pingR4

 

R4pingR2

 

 

实现互通

 

标准acl

R4(config)#access-list 1 deny 10.112.1.2  0.0.0.0

R4(config)#int f0/1

R4(config-if)#ip access-group 1 in

R4(config-if)#end

 

 

 

可以看到，R2pingR4失败

自反acl

说明：R4为外网，R2和R3为内网。

R1(config)#ip access-list extended come

R1(config-ext-nacl)#permit icmp any any

R1(config-ext-nacl)#evaluate abc

R1(config)#int f0/1

R1(config-if)#ip access-group come in

 

说明ICMP是可以任意访问的

 

R1(config)#ip access-list extended goto

R1(config-ext-nacl)#permit tcp any any eq telnet reflect abc timeout 60

R1(config-ext-nacl)#permit ip any any

R1(config)#int f0/1

R1(config-if)#ip access-group goto out

R2telent

 

 

动态acl

R1(config)#access-list 100 permit tcp an an eq telnet

R1(config)#access-list 100 dynamic ccie timeout 2 permit icmp any any

R1(config)#int f0/0

R1(config-if)#ip access-group 100 in

测试内网R2 telnet外网R4

 

 

配置本地用户数据库

R1(config)#username ccie password yrzzs

R1(config)#line vty 0 181

R1(config-line)#login local

R1(config-line)#autocommand access-enable

R1#show ip access-lists

Extended IP access list 100

    10 permit tcp any any eq telnet (84 matches)

    20 Dynamic ccie permit icmp any any

Reflexive IP access list abc

Extended IP access list come

    10 permit icmp any any (35 matches)

    20 evaluate abc

Extended IP access list goto

    10 permit tcp any any eq telnet reflect abc (23 matches)

20 permit ip any any (15 matches)

基于时间的acl

R1(config)#time-range  TELNET

R1(config-time-range)#periodic weekdays 9:00 to 14:00

R1(config)#access-list 150 deny tcp host 10.112.1.2 any eq 23 time

    R1(config)#$ 150 deny tcp host 10.112.1.2 any eq 23 time-range TELNET

R1(config)#access-list 150 permit ip any any

R1(config)#int f0/0

R1(config-if)#ip access-group 150 in

 

修改路由器时间

Clock set

R1#clock set 15:00:58 nov 12 2019


 

 

Established扩展ACL

拓扑图

 

 

地址表

Device

Interface

IP address

R1

F 0/0

172.16.112.1

F 0/1

10.3.112.1

S 0/1/0

10.1.112.1

R2

S 0/1/0

10.1.112.2

S 0/1/1

10.2.112.2

R3

F 0/0

192.168.112.3

S 0/1/0

10.2.112.3

PC1

NIC

172.16.112.100

Default Gateway

172.16.112.1

PC2

NIC

10.3.112.100

Default Gateway

10.3.112.1

SERVER1

NIC

192.168.112.100

Default Gateway

192.168.112.3

配置扩展ACL前先把网络做通，配置静态路由。

R1(config)#ip route 10.2.112.0 255.255.255.0 10.1.112.2

R1(config)#ip route 192.168.112.0 255.255.255.0 10.1.112.2

 

R2(config)#ip route 172.16.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 10.3.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 192.168.112.0 255.255.255.0 10.2.112.3

 

R3(config)#ip route 10.1.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 172.16.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 10.3.112.0 255.255.255.0 10.2.112.2

R1#sh ip route 查看路由表

 

 

试从PC1 ping 到Server1

 

静态路由配置完成，开始做扩展ACL实验。

实验步骤

要求：

? 拒绝PC1 所在网段访问Server 192.168.112.100 的Web 服务

? 拒绝PC2 所在网段访问Server 192.168.112.100 的Ftp 服务

? 拒绝PC1 所在网段访问Server 192.168.112.100 的SQL 服务

? 拒绝PC1 所在网段访问路由器R3 的Telnet 服务

? 拒绝PC2 所在网段访问路由器R2 的Web 服务

? 拒绝PC1 和PC2 所在网段ping Server 服务器

? 只允许路由器R3 以接口s0/1/0 为源ping 路由器R2 的接口s0/1/1 地址，而不允许路

由器R2 以接口s0/1/1 为源ping 路由器R3 的接口s0/1/0 地址，即单向ping.

（一）配置路由器

R1(config)#access-list 110 remark this is an example for extended acl

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.100 eq 80

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 192.168.112.100 eq 21

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 192.168.112.100 eq 20

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.100 eq 1433

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 10.2.112.3 eq 23

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.3 eq 23

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 10.1.112.2 eq 80

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 10.2.112.2 eq 80

 

R1(config)#access-list 110 deny icmp 172.16.112.0 0.0.0.255 host 192.168.112.100

R1(config)#access-list 110 deny icmp 10.3.112.0 0.0.0.255 host 192.168.112.100

R1(config)#access-list 110 permit ip any any

R1(config)#int s0/1/0

R1(config-if)#ip access-group 110 out

 

（二）配置路由器R3

R3(config)#access-list 120 deny icmp host 10.2.112.2 host 10.2.112.3 echo

R3(config)#access-list 120 permit ip any any

R3(config)#int s0/1/0

R3(config-if)#ip access-group 120 in

四、实验调试

（一）路由器R1 上查看ACL110

R1#show ip access-lists 110

 

（二）路由器R3 和路由器R2 互相ping

 

 

（三）路由器R3 查看ACL 120

R3#show ip access-lists 120

 

 

（四）配置命令扩展ACL

R3(config)#ip access-list extended acl120

R3(config-ext-nacl)#deny icmp host 10.2.112.2 host 10.2.112.3 echo

R3(config-ext-nacl)#permit ip any any

R3(config-ext-nacl)#int s0/1/0

R3(config-if)#ip access-group acl120 in

R3#show ip access-lists

 

扩展ACL实验配置完成，验证成功

 

基于上下文的访问控制

拓扑图

 

地址表

Device

Interface

IP address

R1

F 0/0

192.168.112.1

S 0/0/0

10.1.112.1

R2

S 0/0/0

10.1.112.2

S 0/0/1

10.2.112.2

R3

F 0/0

172.16.112.3

S 0/0/0

10.2.112.3

PC-A

NIC

192.168.112.4

Default Gateway

192.168.112.1

PC-C

NIC

172.16.112.4

Default Gateway

172.16.112.3

预配置：

在配置防火墙之前验证设备间连通性，即先配置静态路由

R1(config)#ip route 10.2.112.0 255.255.255.0 10.1.112.2

R1(config)#ip route 172.16.112.0 255.255.255.0 10.1.112.2

 

R2(config)#ip route 192.168.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 172.16.112.0 255.255.255.0 10.2.112.3

 

R3(config)#ip route 10.1.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 192.168.112.0 255.255.255.0 10.2.112.2

 

在R3启用密码

R3(config)#enable password abc123

启用console口密码

R3(config)#line console 0

R3(config-line)#password abd123

 

 

启用vty行接入密码

R3(config)#line vty 0 4

R3(config-line)#password abe123

 

把S1、S2所有交换机接口都在Vlan1(S2同理)

S1(config)#int f 0/1

S1(config-if)# switchport access vlan 1

S1(config-if)# switchport trunk allowed vlan 1

S1(config)#int f 0/2

S1(config-if)# switchport access vlan 1

S1(config-if)# switchport trunk allowed vlan 1

预配置完成

验证

在PC-C的命令提示符中ping PC-A服务器

 

在PC-C命令提示符中telnet路由R2的s0/0/1接口：地址时10.2.112.2.退出telnet阶段

 

 

 

 

 

在PC-C开一个网页浏览器登入PC-A来展示网页。关掉PC-C的浏览器。

 


在PC-A的命令提示符ping PC-C

 

在R3配置一个命名IP ACl阻隔所有外网产生的流量

用ip access-list extended指令创造一个已命名的IP ACL

R3(config)#ip access-list extended out-in

R3(config-ext-nacl)# deny ip any any

R3(config-ext-nacl)# exit

 

在s0/0/0应用ACl

R3(config)#int s 0/0/0

R3(config-if)# ip access-group out-in in

确保进入s0/0/1接口的流量被阻隔

在PC-C命令提示符ping PC-A服务器。ICMP回送响应会被ACL阻隔

 

 

创建一个CBAC检测规则

第一步  创建一个检测规则来检测ICMP，Telnet，和HTTP流量。

R3(config)# ip inspect name IN-OUT-IN icmp

R3(config)# ip inspect name IN-OUT-IN telnet

R3(config)# ip inspect name IN-OUT-IN http

 

第二步   开启时间戳记记录和CBAC审计跟踪信息。

R3(config)# ip inspect audit-trail

R3(config)# service timestamps debug datetime msec

R3(config)# logging host 192.168.112.3

 

第三步    对在s0/0/0的出口流量用检测规则。

R3(config-if)# ip inspect IN-OUT-IN out

 

第四步   验证审计跟踪信息正被syslog服务器记录

在PC-C 成功ping、telnet访问PC-A来检测连通性。需要注意Telnet不了。

 

 

 

 

 

 
  

 


在PC-A,ping,Telnet PC-C来检测连通性，这两步都被阻隔掉

CBAC基于上下文的访问控制配置完成。

 

 

 

基于区域策略的防火墙

拓扑图

地址表与预配置和上个实验（基于上下文的访问控制）完全一致，参照上面配置即可。

 

验证基本网络连通性

PC-A ping通PC-C

 

 

 

 

PC-C telnet到s0/0/0接口

 

 

 

在R3创建区域防火墙

 

第一步   创建一个内部区域。

R3(config)# zone security IN-ZONE

 

第二步 创建外部区域

R3(config-sec-zone)# zone security OUT-ZONE

R3(config-sec-zone)# exit

 

定义一个流量级别和访问列表

 

第一步   创建一个用来定义内部流量的ACL

R3(config)# access-list 101 permit ip 172.16.112.0 0.0.0.255 any

 

 

 

 

第二步 创建一个涉及内部流量ACL的class map

R3(config)# class-map type inspect match-all IN-NET-CLASS-MAP

R3(config-cmap)# match access-group 101

R3(config-cmap)# exit

 

 

 

指定防火墙策略

第一步 创建一个策略图来确定对匹配的流量干啥。

R3(config)# policy-map type inspect IN-2-OUT-PMAP

 

第二步 定义一个检测级别类型和参考策略图。

R3(config-pmap)# class type inspect IN-NET-CLASS-MAP

 

第三步  定义检测策略图

Inspect这个指令调用基于上下文的访问控制（其他还有通过和丢弃）

 

 

应用防火墙策略

第一步 创建一对区域

R3(config)# zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE

 

第二步 定义策略图来控制两个区域的流量。

R3(config-sec-zone-pair)# service-policy type inspect IN-2-OUT-PMAP

R3(config-sec-zone-pair)# exit

 

第三步 把端口调用到合适的安全区域。

R3(config)# interface fa0/0

R3(config-if)# zone-member security IN-ZONE

R3(config-if)# exit

 

R3(config)# interface s0/0/0

R3(config-if)# zone-member security OUT-ZONE

R3(config-if)# exit

 

 

 

 

 

 

测试从IN-ZONE到OUT-ZONE的防火墙功能

 

第一步 PC_C ping PC-A服务器

第二步 从PC-Ctelnet到R2 的s0/0/1口

 

PC-C打开网页登到PC-A的服务器

 

 

测试外部区域到内部区域的防火墙功能

验证配置ZPF之后外部无法访问内部。

第一步 PC-A ping PC-C（ping 不通）

 

 

数据业务信息化应用

 

防火墙作业

 

 

 

 

 

         专业：通信工程     

         班级：16级通信3班

姓名：     李剑   

学号: 201610110112

序号：     38      

          指导老师：武金龙   

 

 

 

日期： 2019年4月

防火墙技术评分标准

评分标准及要求：　

序号

基本要求

具体要求

分值

自评得分

小组评分

作业评分

1

1、地址合规性检查，每位同学只能使用自己的IP地址；如不符合要求，此次作业为0分；
2、文档命名为：第X组_班级_学号最后3位_作业名；
3、作业抄袭问题
4、地址规划表

合规

0

　

　

　

不合规

-100

　

　

　

命名正确

5

5　

5　

　

抄袭

-100

　

　

　

列出地址规划表

5

5　

5　

　

2

访问控制列表

Established（图、文）

5

4　

4　

　

自反ACL（图、文）

5

4　

4

　

动态ACL（图、文）

5

4

4

　

基于时间的ACL（图、文）

5

5　

5　

　

3

基于上下文的访问控制

配置步骤，描述

10

8　

8　

　

验证截图，文字表述

10

　8

8　

　

4

区域策略防火墙

配置步骤，说明

10

　10

10　

　

验证截图，文字表述

10

　10

　10

　

5

总结，对各种防火墙技术进行对比，写出适用范围，优缺点；
写对知识点的总结，遇到的问题，解决的方法等。

不少于50字

5

　5

　5

　

各技术的对比

5

　5

　5

　

6

排版（字体：宋体；字号：5号；首行缩进；行距：固定值，20磅）

字体、字号正确

5

　5

　5

　

首行缩进，行距正确

5

　5

　5

　

7

在完成提交自己的作业后，先进行自评，然后看其他同学的作品并给出评价。

有自评

5

　5

　5

　

有小组互评

5

　5

　5

　

8

总评成绩

　

　

　93

93　

　

 

 

 

1、图片前有文字说明，写明要表达的意思；

 

 

2、最后需要加总结，写对知识点的总结，遇到的问题，解决的方法等。

 

 

3、标题处写明第几组；

 

 

4、PC端地址采用自动配置；

 

 

5、写出地址规划表

 

         

 

 

 

 

 

自反ACL实验配置

拓扑图

 

R4为外网，R2和R3为内网。

地址表

Device

Interface

IP address

R1

F 0/0

10.112.1.1

F 0/1

14.112.2.1

R2

F 0/0

10.112.1.2

R3

F 0/0

10.112.1.3

R4

F 0/0

14.112.2.4

静态路由基础配置

R1(config)#int f0/0

R1(config-if)#ip address 10.112.1.1 255.255.255.0

R1(config-if)#no shutdown

R1(config)#int f0/1

R1(config-if)#ip address 14.112.2.1 255.255.255.0

R1(config-if)#no shutdown

 

R4(config)#ip route 10.112.1.0 255.255.255.0 14.112.2.1

R3(config)#ip route 14.112.2.0 255.255.255.0 10.112.1.1

R2(config)#ip route 14.112.2.0 255.255.255.0 10.112.1.1

R2pingR4

 

R1pingR4

R4pingR2

 

实现互通

 

标准acl

R4(config)#access-list 1 deny 10.112.1.2  0.0.0.0

R4(config)#int f0/1

R4(config-if)#ip access-group 1 in

R4(config-if)#end

 

 

可以看到，R2pingR4失败

自反acl

说明：R4为外网，R2和R3为内网。

R1(config)#ip access-list extended come

R1(config-ext-nacl)#permit icmp any any

R1(config-ext-nacl)#evaluate abc

R1(config)#int f0/1

R1(config-if)#ip access-group come in

 

说明ICMP是可以任意访问的

 

R1(config)#ip access-list extended goto

R1(config-ext-nacl)#permit tcp any any eq telnet reflect abc timeout 60

R1(config-ext-nacl)#permit ip any any

R1(config)#int f0/1

R1(config-if)#ip access-group goto out

R2telent

 

动态acl

R1(config)#access-list 100 permit tcp an an eq telnet

R1(config)#access-list 100 dynamic ccie timeout 2 permit icmp any any

R1(config)#int f0/0

R1(config-if)#ip access-group 100 in

测试内网R2 telnet外网R4

 

配置本地用户数据库

R1(config)#username ccie password yrzzs

R1(config)#line vty 0 181

R1(config-line)#login local

R1(config-line)#autocommand access-enable

R1#show ip access-lists

Extended IP access list 100

    10 permit tcp any any eq telnet (84 matches)

    20 Dynamic ccie permit icmp any any

Reflexive IP access list abc

Extended IP access list come

    10 permit icmp any any (35 matches)

    20 evaluate abc

Extended IP access list goto

    10 permit tcp any any eq telnet reflect abc (23 matches)

20 permit ip any any (15 matches)

基于时间的acl

R1(config)#time-range  TELNET

R1(config-time-range)#periodic weekdays 9:00 to 14:00

R1(config)#access-list 150 deny tcp host 10.112.1.2 any eq 23 time

    R1(config)#$ 150 deny tcp host 10.112.1.2 any eq 23 time-range TELNET

R1(config)#access-list 150 permit ip any any

R1(config)#int f0/0

R1(config-if)#ip access-group 150 in

 

修改路由器时间

Clock set

R1#clock set 15:00:58 nov 12 2019


 

 

Established扩展ACL

拓扑图

 

地址表

Device

Interface

IP address

R1

F 0/0

172.16.112.1

F 0/1

10.3.112.1

S 0/1/0

10.1.112.1

R2

S 0/1/0

10.1.112.2

S 0/1/1

10.2.112.2

R3

F 0/0

192.168.112.3

S 0/1/0

10.2.112.3

PC1

NIC

172.16.112.100

Default Gateway

172.16.112.1

PC2

NIC

10.3.112.100

Default Gateway

10.3.112.1

SERVER1

NIC

192.168.112.100

Default Gateway

192.168.112.3

配置扩展ACL前先把网络做通，配置静态路由。

R1(config)#ip route 10.2.112.0 255.255.255.0 10.1.112.2

R1(config)#ip route 192.168.112.0 255.255.255.0 10.1.112.2

 

R2(config)#ip route 172.16.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 10.3.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 192.168.112.0 255.255.255.0 10.2.112.3

 

R3(config)#ip route 10.1.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 172.16.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 10.3.112.0 255.255.255.0 10.2.112.2

R1#sh ip route 查看路由表

 

 

试从PC1 ping 到Server1

 

静态路由配置完成，开始做扩展ACL实验。

实验步骤

要求：

? 拒绝PC1 所在网段访问Server 192.168.112.100 的Web 服务

? 拒绝PC2 所在网段访问Server 192.168.112.100 的Ftp 服务

? 拒绝PC1 所在网段访问Server 192.168.112.100 的SQL 服务

? 拒绝PC1 所在网段访问路由器R3 的Telnet 服务

? 拒绝PC2 所在网段访问路由器R2 的Web 服务

? 拒绝PC1 和PC2 所在网段ping Server 服务器

? 只允许路由器R3 以接口s0/1/0 为源ping 路由器R2 的接口s0/1/1 地址，而不允许路

由器R2 以接口s0/1/1 为源ping 路由器R3 的接口s0/1/0 地址，即单向ping.

（一）配置路由器

R1(config)#access-list 110 remark this is an example for extended acl

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.100 eq 80

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 192.168.112.100 eq 21

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 192.168.112.100 eq 20

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.100 eq 1433

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 10.2.112.3 eq 23

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.3 eq 23

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 10.1.112.2 eq 80

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 10.2.112.2 eq 80

 

R1(config)#access-list 110 deny icmp 172.16.112.0 0.0.0.255 host 192.168.112.100

R1(config)#access-list 110 deny icmp 10.3.112.0 0.0.0.255 host 192.168.112.100

R1(config)#access-list 110 permit ip any any

R1(config)#int s0/1/0

R1(config-if)#ip access-group 110 out

 

（二）配置路由器R3

R3(config)#access-list 120 deny icmp host 10.2.112.2 host 10.2.112.3 echo

R3(config)#access-list 120 permit ip any any

R3(config)#int s0/1/0

R3(config-if)#ip access-group 120 in

四、实验调试

（一）路由器R1 上查看ACL110

R1#show ip access-lists 110

 

（二）路由器R3 和路由器R2 互相ping

 

 

（三）路由器R3 查看ACL 120

R3#show ip access-lists 120

 

 

（四）配置命令扩展ACL

R3(config)#ip access-list extended acl120

R3(config-ext-nacl)#deny icmp host 10.2.112.2 host 10.2.112.3 echo

R3(config-ext-nacl)#permit ip any any

R3(config-ext-nacl)#int s0/1/0

R3(config-if)#ip access-group acl120 in

R3#show ip access-lists

 

扩展ACL实验配置完成，验证成功

 

基于上下文的访问控制

拓扑图

 

地址表

Device

Interface

IP address

R1

F 0/0

192.168.112.1

S 0/0/0

10.1.112.1

R2

S 0/0/0

10.1.112.2

S 0/0/1

10.2.112.2

R3

F 0/0

172.16.112.3

S 0/0/0

10.2.112.3

PC-A

NIC

192.168.112.4

Default Gateway

192.168.112.1

PC-C

NIC

172.16.112.4

Default Gateway

172.16.112.3

预配置：

在配置防火墙之前验证设备间连通性，即先配置静态路由

R1(config)#ip route 10.2.112.0 255.255.255.0 10.1.112.2

R1(config)#ip route 172.16.112.0 255.255.255.0 10.1.112.2

 

R2(config)#ip route 192.168.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 172.16.112.0 255.255.255.0 10.2.112.3

 

R3(config)#ip route 10.1.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 192.168.112.0 255.255.255.0 10.2.112.2

 

在R3启用密码

R3(config)#enable password abc123

启用console口密码

R3(config)#line console 0

R3(config-line)#password abd123

 

 

启用vty行接入密码

R3(config)#line vty 0 4

R3(config-line)#password abe123

 

把S1、S2所有交换机接口都在Vlan1(S2同理)

S1(config)#int f 0/1

S1(config-if)# switchport access vlan 1

S1(config-if)# switchport trunk allowed vlan 1

S1(config)#int f 0/2

S1(config-if)# switchport access vlan 1

S1(config-if)# switchport trunk allowed vlan 1

预配置完成

验证

在PC-C的命令提示符中ping PC-A服务器

 

在PC-C命令提示符中telnet路由R2的s0/0/1接口：地址时10.2.112.2.退出telnet阶段

 

 

 

 

 

在PC-C开一个网页浏览器登入PC-A来展示网页。关掉PC-C的浏览器。

 


在PC-A的命令提示符ping PC-C

 

在R3配置一个命名IP ACl阻隔所有外网产生的流量

用ip access-list extended指令创造一个已命名的IP ACL

R3(config)#ip access-list extended out-in

R3(config-ext-nacl)# deny ip any any

R3(config-ext-nacl)# exit

 

在s0/0/0应用ACl

R3(config)#int s 0/0/0

R3(config-if)# ip access-group out-in in

确保进入s0/0/1接口的流量被阻隔

在PC-C命令提示符ping PC-A服务器。ICMP回送响应会被ACL阻隔

 

 

创建一个CBAC检测规则

第一步  创建一个检测规则来检测ICMP，Telnet，和HTTP流量。

R3(config)# ip inspect name IN-OUT-IN icmp

R3(config)# ip inspect name IN-OUT-IN telnet

R3(config)# ip inspect name IN-OUT-IN http

 

第二步   开启时间戳记记录和CBAC审计跟踪信息。

R3(config)# ip inspect audit-trail

R3(config)# service timestamps debug datetime msec

R3(config)# logging host 192.168.112.3

 

第三步    对在s0/0/0的出口流量用检测规则。

R3(config-if)# ip inspect IN-OUT-IN out

 

第四步   验证审计跟踪信息正被syslog服务器记录

在PC-C 成功ping、telnet访问PC-A来检测连通性。需要注意Telnet不了。

 

 

 

 

 

 
  

 


在PC-A,ping,Telnet PC-C来检测连通性，这两步都被阻隔掉

CBAC基于上下文的访问控制配置完成。

 

 

 

基于区域策略的防火墙

拓扑图

地址表与预配置和上个实验（基于上下文的访问控制）完全一致，参照上面配置即可。

 

验证基本网络连通性

PC-A ping通PC-C

 

 

 

 

PC-C telnet到s0/0/0接口

 

 

 

在R3创建区域防火墙

 

第一步   创建一个内部区域。

R3(config)# zone security IN-ZONE

 

第二步 创建外部区域

R3(config-sec-zone)# zone security OUT-ZONE

R3(config-sec-zone)# exit

 

定义一个流量级别和访问列表

 

第一步   创建一个用来定义内部流量的ACL

R3(config)# access-list 101 permit ip 172.16.112.0 0.0.0.255 any

 

 

 

 

第二步 创建一个涉及内部流量ACL的class map

R3(config)# class-map type inspect match-all IN-NET-CLASS-MAP

R3(config-cmap)# match access-group 101

R3(config-cmap)# exit

 

 

 

指定防火墙策略

第一步 创建一个策略图来确定对匹配的流量干啥。

R3(config)# policy-map type inspect IN-2-OUT-PMAP

 

第二步 定义一个检测级别类型和参考策略图。

R3(config-pmap)# class type inspect IN-NET-CLASS-MAP

 

第三步  定义检测策略图

Inspect这个指令调用基于上下文的访问控制（其他还有通过和丢弃）

 

 

应用防火墙策略

第一步 创建一对区域

R3(config)# zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE

 

第二步 定义策略图来控制两个区域的流量。

R3(config-sec-zone-pair)# service-policy type inspect IN-2-OUT-PMAP

R3(config-sec-zone-pair)# exit

 

第三步 把端口调用到合适的安全区域。

R3(config)# interface fa0/0

R3(config-if)# zone-member security IN-ZONE

R3(config-if)# exit

 

R3(config)# interface s0/0/0

R3(config-if)# zone-member security OUT-ZONE

R3(config-if)# exit

 

 

 

 

 

 

测试从IN-ZONE到OUT-ZONE的防火墙功能

 

第一步 PC_C ping PC-A服务器

第二步 从PC-Ctelnet到R2 的s0/0/1口

 

PC-C打开网页登到PC-A的服务器

 

 

测试外部区域到内部区域的防火墙功能

验证配置ZPF之后外部无法访问内部。

第一步 PC-A ping PC-C（ping 不通）

第二步 R2 ping PC-C也ping不通

 

到此基于区域策略的防火墙配置验证完成。

总结

自反ACL（reflexive ACL），它允许内部安全网络上的计算机主动访问非安全区域的出站数据包的目的地返回的应答流量回到该出站数据包的源地址。这样，ACL就能基于一种访问的状态来过滤外部回到企业内部的流量，可以更加严格地控制哪些流量能进入企业的内部网络（安全网络），并且提升了扩展访问列表的实战应用能力。比如，企业网络管理员希望企业内部的用户能访问Internet，但是不希望Internet上的主机主动访问企业内部网络时，自反ACL将是一种理想的选择。自反ACL（reflexive ACL），它允许内部安全网络上的计算机主动访问非安全区域的出站数据包的目的地返回的应答流量回到该出站数据包的源地址。这样，ACL就能基于一种访问的状态来过滤外部回到企业内部的流量，可以更加严格地控制哪些流量能进入企业的内部网络（安全网络），并且提升了扩展访问列表的实战应用能力。比如，企业网络管理员希望企业内部的用户能访问Internet，但是不希望Internet上的主机主动访问企业内部网络时，自反ACL将是一种理想的选择。

基于时间的 ACL 功能类似于扩展 ACL，但它允许根据时间执行访问控制。要使用基于时间的 ACL，需要创建一个时间范围，指定一周和一天内的时段。您可以为时间范围命名，然后对相应功能应用此范围。时间限制会应用到该功能本身

  实验并不好做。做了好几天。在不断改进后验证成功后也收获了很多，更加深了对教材的理解。

 

 

 

数据业务信息化应用

 

防火墙作业

 

 

 

 

 

         专业：通信工程     

         班级：16级通信3班

姓名：     李剑   

学号: 201610110112

序号：     38      

          指导老师：武金龙   

 

 

 

日期： 2019年4月

防火墙技术评分标准

评分标准及要求：　

序号

基本要求

具体要求

分值

自评得分

小组评分

作业评分

1

1、地址合规性检查，每位同学只能使用自己的IP地址；如不符合要求，此次作业为0分；
2、文档命名为：第X组_班级_学号最后3位_作业名；
3、作业抄袭问题
4、地址规划表

合规

0

　

　

　

不合规

-100

　

　

　

命名正确

5

5　

5　

　

抄袭

-100

　

　

　

列出地址规划表

5

5　

5　

　

2

访问控制列表

Established（图、文）

5

4　

4　

　

自反ACL（图、文）

5

4　

4

　

动态ACL（图、文）

5

4

4

　

基于时间的ACL（图、文）

5

5　

5　

　

3

基于上下文的访问控制

配置步骤，描述

10

8　

8　

　

验证截图，文字表述

10

　8

8　

　

4

区域策略防火墙

配置步骤，说明

10

　10

10　

　

验证截图，文字表述

10

　10

　10

　

5

总结，对各种防火墙技术进行对比，写出适用范围，优缺点；
写对知识点的总结，遇到的问题，解决的方法等。

不少于50字

5

　5

　5

　

各技术的对比

5

　5

　5

　

6

排版（字体：宋体；字号：5号；首行缩进；行距：固定值，20磅）

字体、字号正确

5

　5

　5

　

首行缩进，行距正确

5

　5

　5

　

7

在完成提交自己的作业后，先进行自评，然后看其他同学的作品并给出评价。

有自评

5

　5

　5

　

有小组互评

5

　5

　5

　

8

总评成绩

　

　

　93

93　

　

 

 

 

1、图片前有文字说明，写明要表达的意思；

 

 

2、最后需要加总结，写对知识点的总结，遇到的问题，解决的方法等。

 

 

3、标题处写明第几组；

 

 

4、PC端地址采用自动配置；

 

 

5、写出地址规划表

 

         

 

 

 

 

 

自反ACL实验配置

拓扑图

 

R4为外网，R2和R3为内网。

地址表

Device

Interface

IP address

R1

F 0/0

10.112.1.1

F 0/1

14.112.2.1

R2

F 0/0

10.112.1.2

R3

F 0/0

10.112.1.3

R4

F 0/0

14.112.2.4

静态路由基础配置

R1(config)#int f0/0

R1(config-if)#ip address 10.112.1.1 255.255.255.0

R1(config-if)#no shutdown

R1(config)#int f0/1

R1(config-if)#ip address 14.112.2.1 255.255.255.0

R1(config-if)#no shutdown

 

R4(config)#ip route 10.112.1.0 255.255.255.0 14.112.2.1

R3(config)#ip route 14.112.2.0 255.255.255.0 10.112.1.1

R2(config)#ip route 14.112.2.0 255.255.255.0 10.112.1.1

R2pingR4

 

R1pingR4

R4pingR2

 

实现互通

 

标准acl

R4(config)#access-list 1 deny 10.112.1.2  0.0.0.0

R4(config)#int f0/1

R4(config-if)#ip access-group 1 in

R4(config-if)#end

 

 

可以看到，R2pingR4失败

自反acl

说明：R4为外网，R2和R3为内网。

R1(config)#ip access-list extended come

R1(config-ext-nacl)#permit icmp any any

R1(config-ext-nacl)#evaluate abc

R1(config)#int f0/1

R1(config-if)#ip access-group come in

 

说明ICMP是可以任意访问的

 

R1(config)#ip access-list extended goto

R1(config-ext-nacl)#permit tcp any any eq telnet reflect abc timeout 60

R1(config-ext-nacl)#permit ip any any

R1(config)#int f0/1

R1(config-if)#ip access-group goto out

R2telent

 

动态acl

R1(config)#access-list 100 permit tcp an an eq telnet

R1(config)#access-list 100 dynamic ccie timeout 2 permit icmp any any

R1(config)#int f0/0

R1(config-if)#ip access-group 100 in

测试内网R2 telnet外网R4

 

配置本地用户数据库

R1(config)#username ccie password yrzzs

R1(config)#line vty 0 181

R1(config-line)#login local

R1(config-line)#autocommand access-enable

R1#show ip access-lists

Extended IP access list 100

    10 permit tcp any any eq telnet (84 matches)

    20 Dynamic ccie permit icmp any any

Reflexive IP access list abc

Extended IP access list come

    10 permit icmp any any (35 matches)

    20 evaluate abc

Extended IP access list goto

    10 permit tcp any any eq telnet reflect abc (23 matches)

20 permit ip any any (15 matches)

基于时间的acl

R1(config)#time-range  TELNET

R1(config-time-range)#periodic weekdays 9:00 to 14:00

R1(config)#access-list 150 deny tcp host 10.112.1.2 any eq 23 time

    R1(config)#$ 150 deny tcp host 10.112.1.2 any eq 23 time-range TELNET

R1(config)#access-list 150 permit ip any any

R1(config)#int f0/0

R1(config-if)#ip access-group 150 in

 

修改路由器时间

Clock set

R1#clock set 15:00:58 nov 12 2019


 

 

Established扩展ACL

拓扑图

 

地址表

Device

Interface

IP address

R1

F 0/0

172.16.112.1

F 0/1

10.3.112.1

S 0/1/0

10.1.112.1

R2

S 0/1/0

10.1.112.2

S 0/1/1

10.2.112.2

R3

F 0/0

192.168.112.3

S 0/1/0

10.2.112.3

PC1

NIC

172.16.112.100

Default Gateway

172.16.112.1

PC2

NIC

10.3.112.100

Default Gateway

10.3.112.1

SERVER1

NIC

192.168.112.100

Default Gateway

192.168.112.3

配置扩展ACL前先把网络做通，配置静态路由。

R1(config)#ip route 10.2.112.0 255.255.255.0 10.1.112.2

R1(config)#ip route 192.168.112.0 255.255.255.0 10.1.112.2

 

R2(config)#ip route 172.16.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 10.3.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 192.168.112.0 255.255.255.0 10.2.112.3

 

R3(config)#ip route 10.1.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 172.16.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 10.3.112.0 255.255.255.0 10.2.112.2

R1#sh ip route 查看路由表

 

 

试从PC1 ping 到Server1

 

静态路由配置完成，开始做扩展ACL实验。

实验步骤

要求：

? 拒绝PC1 所在网段访问Server 192.168.112.100 的Web 服务

? 拒绝PC2 所在网段访问Server 192.168.112.100 的Ftp 服务

? 拒绝PC1 所在网段访问Server 192.168.112.100 的SQL 服务

? 拒绝PC1 所在网段访问路由器R3 的Telnet 服务

? 拒绝PC2 所在网段访问路由器R2 的Web 服务

? 拒绝PC1 和PC2 所在网段ping Server 服务器

? 只允许路由器R3 以接口s0/1/0 为源ping 路由器R2 的接口s0/1/1 地址，而不允许路

由器R2 以接口s0/1/1 为源ping 路由器R3 的接口s0/1/0 地址，即单向ping.

（一）配置路由器

R1(config)#access-list 110 remark this is an example for extended acl

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.100 eq 80

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 192.168.112.100 eq 21

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 192.168.112.100 eq 20

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.100 eq 1433

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 10.2.112.3 eq 23

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.3 eq 23

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 10.1.112.2 eq 80

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 10.2.112.2 eq 80

 

R1(config)#access-list 110 deny icmp 172.16.112.0 0.0.0.255 host 192.168.112.100

R1(config)#access-list 110 deny icmp 10.3.112.0 0.0.0.255 host 192.168.112.100

R1(config)#access-list 110 permit ip any any

R1(config)#int s0/1/0

R1(config-if)#ip access-group 110 out

 

（二）配置路由器R3

R3(config)#access-list 120 deny icmp host 10.2.112.2 host 10.2.112.3 echo

R3(config)#access-list 120 permit ip any any

R3(config)#int s0/1/0

R3(config-if)#ip access-group 120 in

四、实验调试

（一）路由器R1 上查看ACL110

R1#show ip access-lists 110

 

（二）路由器R3 和路由器R2 互相ping

 

 

（三）路由器R3 查看ACL 120

R3#show ip access-lists 120

 

 

（四）配置命令扩展ACL

R3(config)#ip access-list extended acl120

R3(config-ext-nacl)#deny icmp host 10.2.112.2 host 10.2.112.3 echo

R3(config-ext-nacl)#permit ip any any

R3(config-ext-nacl)#int s0/1/0

R3(config-if)#ip access-group acl120 in

R3#show ip access-lists

 

扩展ACL实验配置完成，验证成功

 

基于上下文的访问控制

拓扑图

 

地址表

Device

Interface

IP address

R1

F 0/0

192.168.112.1

S 0/0/0

10.1.112.1

R2

S 0/0/0

10.1.112.2

S 0/0/1

10.2.112.2

R3

F 0/0

172.16.112.3

S 0/0/0

10.2.112.3

PC-A

NIC

192.168.112.4

Default Gateway

192.168.112.1

PC-C

NIC

172.16.112.4

Default Gateway

172.16.112.3

预配置：

在配置防火墙之前验证设备间连通性，即先配置静态路由

R1(config)#ip route 10.2.112.0 255.255.255.0 10.1.112.2

R1(config)#ip route 172.16.112.0 255.255.255.0 10.1.112.2

 

R2(config)#ip route 192.168.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 172.16.112.0 255.255.255.0 10.2.112.3

 

R3(config)#ip route 10.1.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 192.168.112.0 255.255.255.0 10.2.112.2

 

在R3启用密码

R3(config)#enable password abc123

启用console口密码

R3(config)#line console 0

R3(config-line)#password abd123

 

 

启用vty行接入密码

R3(config)#line vty 0 4

R3(config-line)#password abe123

 

把S1、S2所有交换机接口都在Vlan1(S2同理)

S1(config)#int f 0/1

S1(config-if)# switchport access vlan 1

S1(config-if)# switchport trunk allowed vlan 1

S1(config)#int f 0/2

S1(config-if)# switchport access vlan 1

S1(config-if)# switchport trunk allowed vlan 1

预配置完成

验证

在PC-C的命令提示符中ping PC-A服务器

 

在PC-C命令提示符中telnet路由R2的s0/0/1接口：地址时10.2.112.2.退出telnet阶段

 

 

 

 

 

在PC-C开一个网页浏览器登入PC-A来展示网页。关掉PC-C的浏览器。

 


在PC-A的命令提示符ping PC-C

 

在R3配置一个命名IP ACl阻隔所有外网产生的流量

用ip access-list extended指令创造一个已命名的IP ACL

R3(config)#ip access-list extended out-in

R3(config-ext-nacl)# deny ip any any

R3(config-ext-nacl)# exit

 

在s0/0/0应用ACl

R3(config)#int s 0/0/0

R3(config-if)# ip access-group out-in in

确保进入s0/0/1接口的流量被阻隔

在PC-C命令提示符ping PC-A服务器。ICMP回送响应会被ACL阻隔

 

 

创建一个CBAC检测规则

第一步  创建一个检测规则来检测ICMP，Telnet，和HTTP流量。

R3(config)# ip inspect name IN-OUT-IN icmp

R3(config)# ip inspect name IN-OUT-IN telnet

R3(config)# ip inspect name IN-OUT-IN http

 

第二步   开启时间戳记记录和CBAC审计跟踪信息。

R3(config)# ip inspect audit-trail

R3(config)# service timestamps debug datetime msec

R3(config)# logging host 192.168.112.3

 

第三步    对在s0/0/0的出口流量用检测规则。

R3(config-if)# ip inspect IN-OUT-IN out

 

第四步   验证审计跟踪信息正被syslog服务器记录

在PC-C 成功ping、telnet访问PC-A来检测连通性。需要注意Telnet不了。

 

 

 

 

 

 
  

 


在PC-A,ping,Telnet PC-C来检测连通性，这两步都被阻隔掉

CBAC基于上下文的访问控制配置完成。

 

 

 

基于区域策略的防火墙

拓扑图

地址表与预配置和上个实验（基于上下文的访问控制）完全一致，参照上面配置即可。

 

验证基本网络连通性

PC-A ping通PC-C

 

 

 

 

PC-C telnet到s0/0/0接口

 

 

 

在R3创建区域防火墙

 

第一步   创建一个内部区域。

R3(config)# zone security IN-ZONE

 

第二步 创建外部区域

R3(config-sec-zone)# zone security OUT-ZONE

R3(config-sec-zone)# exit

 

定义一个流量级别和访问列表

 

第一步   创建一个用来定义内部流量的ACL

R3(config)# access-list 101 permit ip 172.16.112.0 0.0.0.255 any

 

 

 

 

第二步 创建一个涉及内部流量ACL的class map

R3(config)# class-map type inspect match-all IN-NET-CLASS-MAP

R3(config-cmap)# match access-group 101

R3(config-cmap)# exit

 

 

 

指定防火墙策略

第一步 创建一个策略图来确定对匹配的流量干啥。

R3(config)# policy-map type inspect IN-2-OUT-PMAP

 

第二步 定义一个检测级别类型和参考策略图。

R3(config-pmap)# class type inspect IN-NET-CLASS-MAP

 

第三步  定义检测策略图

Inspect这个指令调用基于上下文的访问控制（其他还有通过和丢弃）

 

 

应用防火墙策略

第一步 创建一对区域

R3(config)# zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE

 

第二步 定义策略图来控制两个区域的流量。

R3(config-sec-zone-pair)# service-policy type inspect IN-2-OUT-PMAP

R3(config-sec-zone-pair)# exit

 

第三步 把端口调用到合适的安全区域。

R3(config)# interface fa0/0

R3(config-if)# zone-member security IN-ZONE

R3(config-if)# exit

 

R3(config)# interface s0/0/0

R3(config-if)# zone-member security OUT-ZONE

R3(config-if)# exit

 

 

 

 

 

 

测试从IN-ZONE到OUT-ZONE的防火墙功能

 

第一步 PC_C ping PC-A服务器

第二步 从PC-Ctelnet到R2 的s0/0/1口

 

PC-C打开网页登到PC-A的服务器

 

 

测试外部区域到内部区域的防火墙功能

验证配置ZPF之后外部无法访问内部。

第一步 PC-A ping PC-C（ping 不通）

第二步 R2 ping PC-C也ping不通

 

到此基于区域策略的防火墙配置验证完成。

总结

自反ACL（reflexive ACL），它允许内部安全网络上的计算机主动访问非安全区域的出站数据包的目的地返回的应答流量回到该出站数据包的源地址。这样，ACL就能基于一种访问的状态来过滤外部回到企业内部的流量，可以更加严格地控制哪些流量能进入企业的内部网络（安全网络），并且提升了扩展访问列表的实战应用能力。比如，企业网络管理员希望企业内部的用户能访问Internet，但是不希望Internet上的主机主动访问企业内部网络时，自反ACL将是一种理想的选择。自反ACL（reflexive ACL），它允许内部安全网络上的计算机主动访问非安全区域的出站数据包的目的地返回的应答流量回到该出站数据包的源地址。这样，ACL就能基于一种访问的状态来过滤外部回到企业内部的流量，可以更加严格地控制哪些流量能进入企业的内部网络（安全网络），并且提升了扩展访问列表的实战应用能力。比如，企业网络管理员希望企业内部的用户能访问Internet，但是不希望Internet上的主机主动访问企业内部网络时，自反ACL将是一种理想的选择。

基于时间的 ACL 功能类似于扩展 ACL，但它允许根据时间执行访问控制。要使用基于时间的 ACL，需要创建一个时间范围，指定一周和一天内的时段。您可以为时间范围命名，然后对相应功能应用此范围。时间限制会应用到该功能本身

  实验并不好做。做了好几天。在不断改进后验证成功后也收获了很多，更加深了对教材的理解。

 

 

 

数据业务信息化应用

 

防火墙作业

 

 

 

 

 

         专业：通信工程     

         班级：16级通信3班

姓名：     李剑   

学号: 201610110112

序号：     38      

          指导老师：武金龙   

 

 

 

日期： 2019年4月

防火墙技术评分标准

评分标准及要求：　

序号

基本要求

具体要求

分值

自评得分

小组评分

作业评分

1

1、地址合规性检查，每位同学只能使用自己的IP地址；如不符合要求，此次作业为0分；
2、文档命名为：第X组_班级_学号最后3位_作业名；
3、作业抄袭问题
4、地址规划表

合规

0

　

　

　

不合规

-100

　

　

　

命名正确

5

5　

5　

　

抄袭

-100

　

　

　

列出地址规划表

5

5　

5　

　

2

访问控制列表

Established（图、文）

5

4　

4　

　

自反ACL（图、文）

5

4　

4

　

动态ACL（图、文）

5

4

4

　

基于时间的ACL（图、文）

5

5　

5　

　

3

基于上下文的访问控制

配置步骤，描述

10

8　

8　

　

验证截图，文字表述

10

　8

8　

　

4

区域策略防火墙

配置步骤，说明

10

　10

10　

　

验证截图，文字表述

10

　10

　10

　

5

总结，对各种防火墙技术进行对比，写出适用范围，优缺点；
写对知识点的总结，遇到的问题，解决的方法等。

不少于50字

5

　5

　5

　

各技术的对比

5

　5

　5

　

6

排版（字体：宋体；字号：5号；首行缩进；行距：固定值，20磅）

字体、字号正确

5

　5

　5

　

首行缩进，行距正确

5

　5

　5

　

7

在完成提交自己的作业后，先进行自评，然后看其他同学的作品并给出评价。

有自评

5

　5

　5

　

有小组互评

5

　5

　5

　

8

总评成绩

　

　

　93

93　

　

 

 

 

1、图片前有文字说明，写明要表达的意思；

 

 

2、最后需要加总结，写对知识点的总结，遇到的问题，解决的方法等。

 

 

3、标题处写明第几组；

 

 

4、PC端地址采用自动配置；

 

 

5、写出地址规划表

 

         

 

 

 

 

 

自反ACL实验配置

拓扑图

 

R4为外网，R2和R3为内网。

地址表

Device

Interface

IP address

R1

F 0/0

10.112.1.1

F 0/1

14.112.2.1

R2

F 0/0

10.112.1.2

R3

F 0/0

10.112.1.3

R4

F 0/0

14.112.2.4

静态路由基础配置

R1(config)#int f0/0

R1(config-if)#ip address 10.112.1.1 255.255.255.0

R1(config-if)#no shutdown

R1(config)#int f0/1

R1(config-if)#ip address 14.112.2.1 255.255.255.0

R1(config-if)#no shutdown

 

R4(config)#ip route 10.112.1.0 255.255.255.0 14.112.2.1

R3(config)#ip route 14.112.2.0 255.255.255.0 10.112.1.1

R2(config)#ip route 14.112.2.0 255.255.255.0 10.112.1.1

R2pingR4

 

R1pingR4

R4pingR2

 

实现互通

 

标准acl

R4(config)#access-list 1 deny 10.112.1.2  0.0.0.0

R4(config)#int f0/1

R4(config-if)#ip access-group 1 in

R4(config-if)#end

 

 

可以看到，R2pingR4失败

自反acl

说明：R4为外网，R2和R3为内网。

R1(config)#ip access-list extended come

R1(config-ext-nacl)#permit icmp any any

R1(config-ext-nacl)#evaluate abc

R1(config)#int f0/1

R1(config-if)#ip access-group come in

 

说明ICMP是可以任意访问的

 

R1(config)#ip access-list extended goto

R1(config-ext-nacl)#permit tcp any any eq telnet reflect abc timeout 60

R1(config-ext-nacl)#permit ip any any

R1(config)#int f0/1

R1(config-if)#ip access-group goto out

R2telent

 

动态acl

R1(config)#access-list 100 permit tcp an an eq telnet

R1(config)#access-list 100 dynamic ccie timeout 2 permit icmp any any

R1(config)#int f0/0

R1(config-if)#ip access-group 100 in

测试内网R2 telnet外网R4

 

配置本地用户数据库

R1(config)#username ccie password yrzzs

R1(config)#line vty 0 181

R1(config-line)#login local

R1(config-line)#autocommand access-enable

R1#show ip access-lists

Extended IP access list 100

    10 permit tcp any any eq telnet (84 matches)

    20 Dynamic ccie permit icmp any any

Reflexive IP access list abc

Extended IP access list come

    10 permit icmp any any (35 matches)

    20 evaluate abc

Extended IP access list goto

    10 permit tcp any any eq telnet reflect abc (23 matches)

20 permit ip any any (15 matches)

基于时间的acl

R1(config)#time-range  TELNET

R1(config-time-range)#periodic weekdays 9:00 to 14:00

R1(config)#access-list 150 deny tcp host 10.112.1.2 any eq 23 time

    R1(config)#$ 150 deny tcp host 10.112.1.2 any eq 23 time-range TELNET

R1(config)#access-list 150 permit ip any any

R1(config)#int f0/0

R1(config-if)#ip access-group 150 in

 

修改路由器时间

Clock set

R1#clock set 15:00:58 nov 12 2019


 

 

Established扩展ACL

拓扑图

 

地址表

Device

Interface

IP address

R1

F 0/0

172.16.112.1

F 0/1

10.3.112.1

S 0/1/0

10.1.112.1

R2

S 0/1/0

10.1.112.2

S 0/1/1

10.2.112.2

R3

F 0/0

192.168.112.3

S 0/1/0

10.2.112.3

PC1

NIC

172.16.112.100

Default Gateway

172.16.112.1

PC2

NIC

10.3.112.100

Default Gateway

10.3.112.1

SERVER1

NIC

192.168.112.100

Default Gateway

192.168.112.3

配置扩展ACL前先把网络做通，配置静态路由。

R1(config)#ip route 10.2.112.0 255.255.255.0 10.1.112.2

R1(config)#ip route 192.168.112.0 255.255.255.0 10.1.112.2

 

R2(config)#ip route 172.16.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 10.3.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 192.168.112.0 255.255.255.0 10.2.112.3

 

R3(config)#ip route 10.1.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 172.16.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 10.3.112.0 255.255.255.0 10.2.112.2

R1#sh ip route 查看路由表

 

 

试从PC1 ping 到Server1

 

静态路由配置完成，开始做扩展ACL实验。

实验步骤

要求：

? 拒绝PC1 所在网段访问Server 192.168.112.100 的Web 服务

? 拒绝PC2 所在网段访问Server 192.168.112.100 的Ftp 服务

? 拒绝PC1 所在网段访问Server 192.168.112.100 的SQL 服务

? 拒绝PC1 所在网段访问路由器R3 的Telnet 服务

? 拒绝PC2 所在网段访问路由器R2 的Web 服务

? 拒绝PC1 和PC2 所在网段ping Server 服务器

? 只允许路由器R3 以接口s0/1/0 为源ping 路由器R2 的接口s0/1/1 地址，而不允许路

由器R2 以接口s0/1/1 为源ping 路由器R3 的接口s0/1/0 地址，即单向ping.

（一）配置路由器

R1(config)#access-list 110 remark this is an example for extended acl

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.100 eq 80

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 192.168.112.100 eq 21

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 192.168.112.100 eq 20

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.100 eq 1433

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 10.2.112.3 eq 23

R1(config)#access-list 110 deny tcp 172.16.112.0 0.0.0.255 host 192.168.112.3 eq 23

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 10.1.112.2 eq 80

R1(config)#access-list 110 deny tcp 10.3.112.0 0.0.0.255 host 10.2.112.2 eq 80

 

R1(config)#access-list 110 deny icmp 172.16.112.0 0.0.0.255 host 192.168.112.100

R1(config)#access-list 110 deny icmp 10.3.112.0 0.0.0.255 host 192.168.112.100

R1(config)#access-list 110 permit ip any any

R1(config)#int s0/1/0

R1(config-if)#ip access-group 110 out

 

（二）配置路由器R3

R3(config)#access-list 120 deny icmp host 10.2.112.2 host 10.2.112.3 echo

R3(config)#access-list 120 permit ip any any

R3(config)#int s0/1/0

R3(config-if)#ip access-group 120 in

四、实验调试

（一）路由器R1 上查看ACL110

R1#show ip access-lists 110

 

（二）路由器R3 和路由器R2 互相ping

 

 

（三）路由器R3 查看ACL 120

R3#show ip access-lists 120

 

 

（四）配置命令扩展ACL

R3(config)#ip access-list extended acl120

R3(config-ext-nacl)#deny icmp host 10.2.112.2 host 10.2.112.3 echo

R3(config-ext-nacl)#permit ip any any

R3(config-ext-nacl)#int s0/1/0

R3(config-if)#ip access-group acl120 in

R3#show ip access-lists

 

扩展ACL实验配置完成，验证成功

 

基于上下文的访问控制

拓扑图

 

地址表

Device

Interface

IP address

R1

F 0/0

192.168.112.1

S 0/0/0

10.1.112.1

R2

S 0/0/0

10.1.112.2

S 0/0/1

10.2.112.2

R3

F 0/0

172.16.112.3

S 0/0/0

10.2.112.3

PC-A

NIC

192.168.112.4

Default Gateway

192.168.112.1

PC-C

NIC

172.16.112.4

Default Gateway

172.16.112.3

预配置：

在配置防火墙之前验证设备间连通性，即先配置静态路由

R1(config)#ip route 10.2.112.0 255.255.255.0 10.1.112.2

R1(config)#ip route 172.16.112.0 255.255.255.0 10.1.112.2

 

R2(config)#ip route 192.168.112.0 255.255.255.0 10.1.112.1

R2(config)#ip route 172.16.112.0 255.255.255.0 10.2.112.3

 

R3(config)#ip route 10.1.112.0 255.255.255.0 10.2.112.2

R3(config)#ip route 192.168.112.0 255.255.255.0 10.2.112.2

 

在R3启用密码

R3(config)#enable password abc123

启用console口密码

R3(config)#line console 0

R3(config-line)#password abd123

 

 

启用vty行接入密码

R3(config)#line vty 0 4

R3(config-line)#password abe123

 

把S1、S2所有交换机接口都在Vlan1(S2同理)

S1(config)#int f 0/1

S1(config-if)# switchport access vlan 1

S1(config-if)# switchport trunk allowed vlan 1

S1(config)#int f 0/2

S1(config-if)# switchport access vlan 1

S1(config-if)# switchport trunk allowed vlan 1

预配置完成

验证

在PC-C的命令提示符中ping PC-A服务器

 

在PC-C命令提示符中telnet路由R2的s0/0/1接口：地址时10.2.112.2.退出telnet阶段

 

 

 

 

 

在PC-C开一个网页浏览器登入PC-A来展示网页。关掉PC-C的浏览器。

 


在PC-A的命令提示符ping PC-C

 

在R3配置一个命名IP ACl阻隔所有外网产生的流量

用ip access-list extended指令创造一个已命名的IP ACL

R3(config)#ip access-list extended out-in

R3(config-ext-nacl)# deny ip any any

R3(config-ext-nacl)# exit

 

在s0/0/0应用ACl

R3(config)#int s 0/0/0

R3(config-if)# ip access-group out-in in

确保进入s0/0/1接口的流量被阻隔

在PC-C命令提示符ping PC-A服务器。ICMP回送响应会被ACL阻隔

 

 

创建一个CBAC检测规则

第一步  创建一个检测规则来检测ICMP，Telnet，和HTTP流量。

R3(config)# ip inspect name IN-OUT-IN icmp

R3(config)# ip inspect name IN-OUT-IN telnet

R3(config)# ip inspect name IN-OUT-IN http

 

第二步   开启时间戳记记录和CBAC审计跟踪信息。

R3(config)# ip inspect audit-trail

R3(config)# service timestamps debug datetime msec

R3(config)# logging host 192.168.112.3

 

第三步    对在s0/0/0的出口流量用检测规则。

R3(config-if)# ip inspect IN-OUT-IN out

 

第四步   验证审计跟踪信息正被syslog服务器记录

在PC-C 成功ping、telnet访问PC-A来检测连通性。需要注意Telnet不了。

 

 

 

 

 

 
  

 


在PC-A,ping,Telnet PC-C来检测连通性，这两步都被阻隔掉

CBAC基于上下文的访问控制配置完成。

 

 

 

基于区域策略的防火墙

拓扑图

地址表与预配置和上个实验（基于上下文的访问控制）完全一致，参照上面配置即可。

 

验证基本网络连通性

PC-A ping通PC-C

 

 

 

 

PC-C telnet到s0/0/0接口

 

 

 

在R3创建区域防火墙

 

第一步   创建一个内部区域。

R3(config)# zone security IN-ZONE

 

第二步 创建外部区域

R3(config-sec-zone)# zone security OUT-ZONE

R3(config-sec-zone)# exit

 

定义一个流量级别和访问列表

 

第一步   创建一个用来定义内部流量的ACL

R3(config)# access-list 101 permit ip 172.16.112.0 0.0.0.255 any

 

 

 

 

第二步 创建一个涉及内部流量ACL的class map

R3(config)# class-map type inspect match-all IN-NET-CLASS-MAP

R3(config-cmap)# match access-group 101

R3(config-cmap)# exit

 

 

 

指定防火墙策略

第一步 创建一个策略图来确定对匹配的流量干啥。

R3(config)# policy-map type inspect IN-2-OUT-PMAP

 

第二步 定义一个检测级别类型和参考策略图。

R3(config-pmap)# class type inspect IN-NET-CLASS-MAP

 

第三步  定义检测策略图

Inspect这个指令调用基于上下文的访问控制（其他还有通过和丢弃）

 

 

应用防火墙策略

第一步 创建一对区域

R3(config)# zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE

 

第二步 定义策略图来控制两个区域的流量。

R3(config-sec-zone-pair)# service-policy type inspect IN-2-OUT-PMAP

R3(config-sec-zone-pair)# exit

 

第三步 把端口调用到合适的安全区域。

R3(config)# interface fa0/0

R3(config-if)# zone-member security IN-ZONE

R3(config-if)# exit

 

R3(config)# interface s0/0/0

R3(config-if)# zone-member security OUT-ZONE

R3(config-if)# exit

 

 

 

 

 

 

测试从IN-ZONE到OUT-ZONE的防火墙功能

 

第一步 PC_C ping PC-A服务器

第二步 从PC-Ctelnet到R2 的s0/0/1口

 

PC-C打开网页登到PC-A的服务器

 

 

测试外部区域到内部区域的防火墙功能

验证配置ZPF之后外部无法访问内部。

第一步 PC-A ping PC-C（ping 不通）

第二步 R2 ping PC-C也ping不通

 

到此基于区域策略的防火墙配置验证完成。

总结

自反ACL（reflexive ACL），它允许内部安全网络上的计算机主动访问非安全区域的出站数据包的目的地返回的应答流量回到该出站数据包的源地址。这样，ACL就能基于一种访问的状态来过滤外部回到企业内部的流量，可以更加严格地控制哪些流量能进入企业的内部网络（安全网络），并且提升了扩展访问列表的实战应用能力。比如，企业网络管理员希望企业内部的用户能访问Internet，但是不希望Internet上的主机主动访问企业内部网络时，自反ACL将是一种理想的选择。自反ACL（reflexive ACL），它允许内部安全网络上的计算机主动访问非安全区域的出站数据包的目的地返回的应答流量回到该出站数据包的源地址。这样，ACL就能基于一种访问的状态来过滤外部回到企业内部的流量，可以更加严格地控制哪些流量能进入企业的内部网络（安全网络），并且提升了扩展访问列表的实战应用能力。比如，企业网络管理员希望企业内部的用户能访问Internet，但是不希望Internet上的主机主动访问企业内部网络时，自反ACL将是一种理想的选择。

基于时间的 ACL 功能类似于扩展 ACL，但它允许根据时间执行访问控制。要使用基于时间的 ACL，需要创建一个时间范围，指定一周和一天内的时段。您可以为时间范围命名，然后对相应功能应用此范围。时间限制会应用到该功能本身

  实验并不好做。做了好几天。在不断改进后验证成功后也收获了很多，更加深了对教材的理解。

 

 

到此基于区域策略的防火墙配置验证完成。

总结

自反ACL（reflexive ACL），它允许内部安全网络上的计算机主动访问非安全区域的出站数据包的目的地返回的应答流量回到该出站数据包的源地址。这样，ACL就能基于一种访问的状态来过滤外部回到企业内部的流量，可以更加严格地控制哪些流量能进入企业的内部网络（安全网络），并且提升了扩展访问列表的实战应用能力。比如，企业网络管理员希望企业内部的用户能访问Internet，但是不希望Internet上的主机主动访问企业内部网络时，自反ACL将是一种理想的选择。自反ACL（reflexive ACL），它允许内部安全网络上的计算机主动访问非安全区域的出站数据包的目的地返回的应答流量回到该出站数据包的源地址。这样，ACL就能基于一种访问的状态来过滤外部回到企业内部的流量，可以更加严格地控制哪些流量能进入企业的内部网络（安全网络），并且提升了扩展访问列表的实战应用能力。比如，企业网络管理员希望企业内部的用户能访问Internet，但是不希望Internet上的主机主动访问企业内部网络时，自反ACL将是一种理想的选择。

基于时间的 ACL 功能类似于扩展 ACL，但它允许根据时间执行访问控制。要使用基于时间的 ACL，需要创建一个时间范围，指定一周和一天内的时段。您可以为时间范围命名，然后对相应功能应用此范围。时间限制会应用到该功能本身

  实验并不好做。做了好几天。在不断改进后验证成功后也收获了很多，更加深了对教材的理解。

 

转载于:https://www.cnblogs.com/LJ0825/p/10924559.html

weixin_30396699
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
防火墙配置作业（基于Cisco PT）
weixin_33991418的博客
05-29 2106
基于上下文的访问控制 拓扑图 地址表 Device Interface IP address R1 F0/0 192.168.65.1 S0/0/0 10.1.65.1 R2 S0/0/0 10.1.65.2 S0/...
防火墙期末设计大作业(ensp)
08-09
企业网可通过IPsec VPN在公网上为三个甚至三个异地私有网络提供安全通信通道,通过加密通道保证连接的安全性，此时内部的服务器仅对认可的用户开放服务，大大的提高了网络的扩展性、便捷性与安全性。 北京总部部署web服务器向外界提供web服务，使得外网用户也能访问内网中的服务器资源。 使用点到点的IPSec VPN，实现总部和各分部，分部和分部安全数据传输。
防火墙第五次作业
moyuan_4s的博客
08-07 167
恶意软件官方的一个定义：恶意软件 (Malware) 从“恶意”(malicious) 和“软件”(software) 这两个词合并而来，是一个通用术语，可以指代病毒、蠕虫、特洛伊木马、勒索软件、间谍软件、广告软件和其他类型的有害软件。病毒攻击的宿主程序是病毒的栖身地，它是病毒传播的目的地，又是下一-次感染的出发点。当文件查杀与内存查杀都相继失效后，反病毒厂商便提出了行为查杀的概念,从最早的“文件防火墙”发展到后来的“主动防御"，再到现在的部分”云查杀”，其实都应用了行为查杀技术。
锐捷路由策略（route-map）+前缀列表（prefix-list）基础实验
m0_49864110的博客
10-09 5469
ip prefix-list 1 seq 15 permit 0.0.0.0/0 ge 1 匹配全部路由。route-map 出去 permit 10 配置名字为 出去 的策略路由，编号为10。将ospf引入到isis中时使用名为ospf-isis的策略路由进行路由过滤。将isis引入到ospf中时使用名为isis-ospf的策略路由进行路由过滤。默认OSPF在进行充不发路由时，只可以重发布有类路由（A、B、C类）前缀列表只可以匹配路由条目，ACL可以匹配路由条目，也可以匹配数据包。
主变防火墙主体施工作业指导书.pdf
11-05
"主变防火墙主体施工作业指导书" 该文件主要介绍了主变防火墙主体施工作业的指导书，旨在提供详细的施工指导和技术要求，确保施工项目的顺利进行。以下是该指导书中所涉及的主要知识点： 一、工程概况 * 项目概况...
12-SGISLOP-SA14-10防火墙等级保护测评作业指导书三级.pdf
07-11
12-SGISLOP-SA14-10防火墙等级保护测评作业指导书三级.pdf12-SGISLOP-SA14-10防火墙等级保护测评作业指导书三级.pdf12-SGISLOP-SA14-10防火墙等级保护测评作业指导书三级.pdf12-SGISLOP-SA14-10防火墙等级保护测评...
信息安全科技创新课程大作业-基于内核模块的包过滤防火墙c源码+项目说明.zip
最新发布
04-11
NIS3302信息安全科技创新课程大作业——基于内核模块的包过滤防火墙 ## Usage 内核模块、CLI、GUI都在`bin`目录下，下载该目录即可使用 ### 内核模块使用 安装： ```bash sudo insmod VersaGuard_core.ko ``` ...
SGISLOPSA防火墙等级保护测评作业指导说明书.doc
11-24
SGISLOPSA防火墙等级保护测评作业指导说明书.doc
作业--linux防火墙作业
kingdom_xu的博客
09-19 777
说明：以下练习INPUT和OUTPUT默认策略均为DROP 1、限制本地主机的web服务器在周一不允许访问；新请求的速率不能超过100个每秒；web服务器包含了admin字符串的页面不允许访问；web服务器仅允许响应报文离开本机 2、在工作时间，即周一到周五的8:30-18:00，开放本机的ftp服务给172.16.0.0网络中的主机访问；数据下载请求的次数每分钟不得超过5个 3、开放本机的ssh服务给172.16.x.1-172.16.x.100中的主机，x为你的学号，新请求建立的速率一分钟不得超过2个；
第三组 通信一班 030 防火墙技术综合实验
weixin_30481087的博客
04-29 794
一、 扩展ACL 1.实验目的 （一）定义扩展ACL （二）应用扩展ACL （三）扩展ACL 测试 （四） 定义命名扩展ACL 2.拓扑 图 1 3.地址规划 设备 接口 地址 R0 Fa 0/0 172.16.30.2/24 S 0/1/0 1...
基于上下文的访问控制与基于区域策略的防火墙
weixin_30950887的博客
05-22 284
基于上下文的访问控制与基于区域策略的防火墙 拓扑图 地址表 Device Interface IP address R1 F 0/0 192.168.22.1 S 0/0/0 10.1.22.1 R2 S 0/0/0 10.1.22.2 ...
第八组_通信二班_091_防火墙技术综合实验
weixin_34218579的博客
05-05 254
1、网络地址规划表（拓扑有两种，所以地址规划也有两种） 自反ACL、基于上下文的访问控制和区域策略防火墙的地址规划 设备名称 接口 地址 网关 PC-A F1/0 192.91.1.3/24 192.91.1.1 PC-C F1/0 192.91.3.3/24 ...
访问控制列表--扩展ACL、命名的ACL
青红造了个大白之成长记
07-05 1万+
2.1 实验目的（1）理解扩展ACL和标准ACL的区别（2）掌握扩展ACL的配置和应用（3）熟悉扩展ACL的调试2.2 实验原理1.扩展ACL配置命令为了更加精确地控制流量过滤，我们可以使用编号在 100 到 199 之间以及 2000 到 2699 之间的扩展 ACL（最多可使用 800 个扩展 ACL）。扩展 ACL 比标准 ACL 更常用，因为其控制范围更广，可以提升安全性。与标准 ACL ...
ssh命令详解
weixin_33714884的博客
02-05 4万+
基础命令学习目录 SSH(远程连接工具)连接原理：ssh服务是一个守护进程(demon)，系统后台监听客户端的连接，ssh服务端的进程名为sshd,负责实时监听客户端的请求(IP 22端口)，包括公共秘钥等交换等信息。 ssh服务端由2部分组成： openssh(提供ssh服务) openssl(提供加密的程序) ssh的客户端可以用 XSHELL，Secure...
计算机网络基础知识（笔试题）
xhuacmer的专栏
08-05 1万+
1、OSI（Open System Interconnect）：开放系统互联，是一个七层的计算机网络模型，分别为：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。 TCP/IP（Transmission Control Protocol/Internet Proto
ssh服务介绍
weixin_30858241的博客
01-07 1012
阅读目录 1.1 SSH服务协议说明 1.2 SSH加密技术说明 1.3 ssh知识要点： 1.4 SSH服务软件详细说明 1.5 ssh服务配置文件说明： 1.6 ssh服务认证类型 1.7 基于秘钥登录配置 1.8 telnet服务简介 1.9 进行免密码scp传输测试 1.10 使用sftp进行基于密钥的文件传输 1.11 ssh相关重点知识总结 2.1 一个服务...
网络互联技术与实践-习题解答
热门推荐
COOLYUAN的博客
04-28 83万+
第一章练习题1、考虑线序的问题，主机和主机直连应该用下列哪种线序的双胶线连接？A、直连线；B、交叉线；C、全反线；D、各种线均可2、、OSI是由哪一个机构提出的？A、IETF；  B、IEEE；  C、ISO；   D、INTERNET3、屏蔽双绞线（STP）的最大传输距离是？A、100米； B、185米；   C、500米；  D、2000米4、在OSI的七层模型中集线器工作在哪一层？A、物理层...
Linux防火墙安装与管理指南：初阶人员操作程序
本《Linux防火墙标准作业程序书》是由台湾开放系统协会（COSA）提供的一份针对Linux Firewall的详细指南，适用于对操作系统管理有一定基础的初级系统管理员，特别是希望将其用作Internet或Intranet内容管理系统平台...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值