实验三防火墙设计与配置实验实验报告.pdfVIP

实验三、防火墙设计与配置实验

一、实验目的

1、学习防火墙系统设计原理。

2、把握路由器包过滤防火墙配置方式。

3、把握子网过滤防火墙设计和配置方式。

二、实验内容

1、设计并利用路由器包过滤规那么，设置防火墙。

2、设计并组建主机过滤防火墙系统，实现NAT（选做）。

3、设计并组建子网过滤防火墙系统（提高）。

三、实验原理

帧中继互换机

帧中继(FrameRelay)是从综合业务数字网中进展起来的，并在1984年推荐为国际电报

咨询委员会（CCITT）的一项标准，另外，由美国国家标准协会授权的美国TIS标准委员会

也对帧中继做了一些初步工作。由于光纤网比初期的网误码率低得多，因此,能够减少的某

些过失操纵进程，从而能够减少结点的处置时刻,提高网络的吞吐量。帧中继确实是在这种

环境下产生的。帧中继提供的是数据链路层和物理层的协议标准，任何高层协议都独立于帧

中继协议,因此，大大地简化了帧中继的实现。目前帧中继的要紧应用之一是局域网互联,专

门是在局域网通过广域网进行互联时，利用帧中继更能表现它的低网络时延、低设备费用、

高带宽利用率等优势。特点帧中继是一种先进的广域网技术，实质上也是分组通信的一种

形式，只只是它将分组网中分组互换机之间的恢复过失、避免阻塞的处置进程进行了简化。

特点：1.因为帧中继网络不执行纠错功能，因此它的数据传输速度和传输时延比网络要别离

高或低至少一个数量级。2.因为采纳了基于变长帧的异步多路复用技术，帧中继要紧用于数

据传输，而不适合语音、视频或其他对时延时刻灵敏的信息传输。3.仅提供面向连接的虚电

路效劳。4.仅能检测到传输错误，而不试图纠正错误，而只是简单地将错误帧抛弃。5.帧长

度可变，许诺最大帧长度在1000B以上。帧中继的要紧特点是：利用光纤作为传输介质,

因此误码率极低，能实现近似无过失传输,减少了进行过失校验的开销,提高了网络的吞吐量；

帧中继是一种宽带分组互换,利用复用技术时，其传输速度可高达。可是,帧中继不适合于传

输诸如话音、电视等实时信息，它仅限于传输数据。

帧中继特点：在第二层上采纳简化的方式来互换数据帧；帧中继仅完成物理层和数据链

路层核心功能；将流量操纵和过失操纵留给智能终端处置。具有吞吐量高、延时低，适合突

发性数据业务。

FrameRelay的帧格式：

DLCI：数据链路连接标识，共10bits，与中的LCN相似。

C/R：命令/响应位，许诺高层说明该帧是命令帧仍是响应帧。

EA：地址扩充指示，为0表示其后还有扩充地址字节:为1表示帧头终止。

FECN：前向阻塞指示，通知远端用户已遇网络阻塞，要设法避免数据丢失。

BECN：后向阻塞指辰，通知源端用户，数据在传送返回路上碰到了阻塞。

DE：可抛弃帧标识，为1时表示阻塞时该帧口以抛弃;为0时那么表示不可抛

弃的帧。

图1、帧中继格式

防火墙技术——访问操纵列表

防火墙技术可依照防范的方式和偏重点的不同而分为很多种类型，但整体来讲可分为包

过滤、应用级网关和代理效劳器等几大类型。通常在路由器上实现的都是包过滤防火墙，包

过滤防火墙的特点：

1.数据包过滤(PacketFiltering)技术是在网络层对数据包进行选择，选择的依据是系

统内设置的过滤逻辑，被称为访问操纵表(AccessControlTable)。通过检查数据流中每

一个数据包的源地址、目的地址、所用的端口号、协议状态等因素，或它们的组合来确信是

不是许诺该数据包通过。

2.数据包过滤防火墙逻辑简单，价钱廉价，易于安装和利用，网络性能和透明性好，

它通常安装在路由器上。路由器是内部网络与Internet连接必不可少的设备，因此在原有

网络上增加如此的防火墙几乎不需要任何额外的费用。

3.数据包过滤防火墙的缺点有二：一是非法访问一旦冲破防火墙，即可对主机上的软

件和配置漏洞进行解决；二是数据包的源地址、目的地址和IP的端口号都在数据包的头