Создать топологию сети, в которой два межсетевых экрана соединяют локальные сети, обеспечивая доступ в локальные сети друг друга и доступ в интернет через одного провайдера.
Топология сети
(рис 2.1)
На Межсетевом Экране 1 (МЭ 1) используются четыре интерфейса, которые обозначены lan, dmz, wan1 и wan2.
Интерфейс lan имеет IP-адрес 192.168.1.10 и соединен с подсетью 192.168.1.0/24, в которой расположены рабочие станции пользователей.
Интерфейс dmz имеет IP-адрес 172.17.100.1, в текущей топологии к нему не подсоединена никакая сеть.
Интерфейс wan1 имеет IP-адрес 10.6.10.62 и соединен с подсетью 10.6.10.0/28 со шлюзом провайдера, который обеспечивает выход в интернет и имеет IP-адрес 10.6.10.3.
Интерфейс wan2 имеет IP-адрес 192.168.20.10 и соединен с подсетью 192.168.20.0/24, в которой расположен Межсетевой Экран 2 (МЭ 2) с IP-адресом 192.168.20.20.
На Межсетевом Экране 2 (МЭ 2) используются четыре интерфейса, которые обозначены lan, dmz, wan1 и wan2.
Интерфейс lan имеет IP-адрес 192.168.2.20 и соединен с подсетью 192.168.2.0/24, в которой расположены рабочие станции пользователей.
Интерфейс dmz имеет IP-адрес 172.17.200.2, в текущей топологии к нему не подсоединена никакая сеть.
Интерфейс wan1 является DHCP-клиентом, который получает IP-адрес, маску подсети, шлюз по умолчанию и IP-адрес DNS-сервера от DHCP-сервера провайдера.
Интерфейс wan2 имеет IP-адрес 192.168.20.20 и соединен с подсетью 192.168.20.0/24, в которой расположен Межсетевой Экран 1 (МЭ 1) с IP-адресом 192.168.20.10.
Описание практической работы
Сервисы DNS
Межсетевой Экран 1
(рис 2.2)
На МЭ 1 весь DNS-трафик из своей локальной сети и удаленной локальной сети должен перенаправляться на DNS-сервер провайдера, поэтому Межсетевой Экран 1 должен знать IP-адрес DNS-сервера провайдера. Необходимо выполнить следующие настройки:
Объекты Адресной Книги
В Адресной Книге создать необходимые объекты.
Объекты интерфейса lan.
Веб-интерфейс:
Object -> Address Book -> Add -> Address Folder
Name: lan
Object -> Address Book -> lan
(рис 2.3)
Командная строка:
add Address AddressFolder lan Comments=lan
cc Address AddressFolder lan
add IP4Address lan_ip Address=192.168.1.10 Comments=’IPAddress of interface lan’
add IP4Address lan_net Address=192.168.1.0/24 Comments=’The network on interface lan’
Объекты интерфейса dmz.
Веб-интерфейс:
Object -> Address Book -> Add -> Address Folder
Name: dmz
Object -> Address Book -> lan
(рис 2.4)
Командная строка:
add Address AddressFolder dmz Comments=dmz
cc Address AddressFolder dmz
add IP4Address dmz_ip Address=172.17.100.1 Comments=’IPAddress of interface dmz’
add IP4Address dmz_net Address=172.17.100.0/24 Comments=’The network on interface dmz’
Объекты интерфейса wan1.
Веб-интерфейс:
Object -> Address Book -> Add -> Address Folder
Name: wan1
Object -> Address Book -> wan1
(рис 2.5)
Командная строка:
add Address AddressFolder wan1 Comments=wan1
cc Address AddressFolder wan1
add IP4Address wan1_ip Address=10.6.10.62 Comments=’IPAddress of interface wan1’
add IP4Address wan1_gw Address=10.6.10.3 Comments=’Default gateway for interface wan1’
add IP4Address wan1_dns1 Address=10.6.10.3 Comments=’Primary DNS server for interface wan1’
add IP4Address wan1_net Address=10.6.10.0/28 Comments=’The network on interface wan1’
Объекты интерфейса wan2.
Веб-интерфейс:
Object -> Address Book -> Add -> Address Folder
Name: wan2
Object -> Address Book -> wan2
(рис 2.6)
Командная строка:
add Address AddressFolder wan2 Comments=wan2
cc Address AddressFolder wan2
add IP4Address wan2_ip Address=192.168.20.10 Comments=’IPAddress of interface wan2’
add IP4Address wan2_gw Address=192.168.20.20 Comments=’The network on interface wan2’
add IP4Address wan2_net Address=192.168.20.0/24 Comments=’The network on interface wan2’
Объекты, описывающие LAN-сеть, расположенную за МЭ 2.
Веб-интерфейс:
Object -> Address Book -> Add -> Address Folder
Name: remote
Object -> Address Book -> rem_lan
(рис 2.7)
Командная строка:
add Address AddressFolder remote Comments=’The remote objects’
cc Address AddressFolder remote
add IP4Address rem_lan Address=192.168.2.0/24 Comments=’The remote lan’
Дополнительные объекты, необходимые для удобства администрирования и объединяющие в одну группу сети и IP-адреса, которые необходимы одинаковые сервисы DNS.
Веб-интерфейс:
Object -> Address Book -> InterfaceAddresses -> Add
Name: dns_relay
Object -> Address Book -> dns_relay
(рис 2.8)
Командная строка:
add Address AddressFolder dns_relay Comments=’DNS services’
cc Address AddressFolder dns_relay
add IP4Group dns_net Members=lan/lan_net, dmz/dmz_net
add IP4Group dns_ip Members=lan/lan_ip, dmz/dmz_ip
Привязка созданных объектов Адресной Книги к интерфейсам
Объекты, созданные в пунктах 1, 2, 3 и 4, должны быть привязаны к соответствующим Ethernet-интерфейсам.
Веб-интерфейс:
Interfaces -> Ethernet-> wan1
(рис 2.9)
Если IP-адрес данного интерфейса должен быть получен по протоколу DHCP, то следует установить соответствующий флаг "Enable DHCP Client".
(рис 2.10)
На вкладке Advanced рекомендуется добавить флаг автоматического добавления маршрута к указанной сети, используя данный интерфейс. Для интерфейса wan1 следует также установить флаг добавления маршрута по умолчанию к указанному шлюзу через данный интерфейс.
Аналогично привязать созданные объекты к другим интерфейсам.
Командная строка:
set Interface Ethernet lan IP=lan/lan_ip Network=lan/lan_net AutoInterfaceNetworkRoute=yes
set Interface Ethernet dmz IP=dmz/dmz_ip Network=dmz/dmz_net AutoInterfaceNetworkRoute=yes
set Interface Ethernet wan1 IP=wan1/wan1_ip Network=wan1/wan1_net DefaultGateway=wan1/wan1_gw Name=wan1 AutoInterfaceNetworkRoute=yes AutoDefaultGatewayRoute=yes
set Interface Ethernet wan2 IP=wan2/wan2_ip Network=wan2/wan2_net DefaultGateway=wan2/wan2_gw Name=wan2 AutoInterfaceNetworkRoute=yes
В результате заданы следующие параметры интерфейсов:
(рис 2.11)
Таблица маршрутизации следующая:
(рис 2.12)
Группа интерфейсов
Объединить интерфейсы в Группу, чтобы несколько интерфейсов можно было указывать одним параметром в Правилах фильтрования.
Веб-интерфейс:
Interfaces -> Interface Group ->Add
(рис 2.13)
Командная строка:
add Interface InterfaceGroup dns_relay_int Members=lan,dmz
Правила фильтрования
Создать Правила, перенаправляющие DNS-трафик из локальных сетей к DNS-серверу в интернете. Это можно сделать несколькими способами:
Создать правила SAT и NAT для каждого интерфейса, соединенному с сетями, которым необходим сервис DNS. В качестве сети источника следует указать сеть (группу сетей), которой требуется сервис DNS. В качестве сети назначения следует указать IP-адрес интерфейса.
Правило SAT заменяет IP-адрес получателя на IP-адрес, указанный на вкладке SAT.
На вкладке SAT в качестве адреса назначения следует указать IP-адрес DNS-сервера.
Веб-интерфейс:
Rules -> IP Rules -> Add -> IP Rule Folder
Name: dns_relay_multi
Rules -> IP Rules -> dns_relay_multi
(рис 2.13)
(рис 2.14)
(рис 2.15)
Командная строка:
add IPRuleFolder Name=dns_relay_multi
cc IPRuleFolder <N folder>
add IPRule Action=SAT SourceInterface=lan SourceNetwork=lan/lan_net DestinationInterface=core DestinationNetwork=lan/lan_ip Service=dns-all SATTranslateToIP=wan1/wan1_dns1 Name=sat_dns_lan
add IPRule Action=NAT SourceInterface=lan SourceNetwork=lan/lan_net DestinationInterface=core DestinationNetwork=lan/lan_ip Service=dns-all Name=nat_dns_lan
add IPRule Action=SAT SourceInterface=dmz SourceNetwork=dmz/dmz_net DestinationInterface=core DestinationNetwork=dmz/dmz_ip Service=dns-all SATTranslateToIP=wan1/wan1_dns1 Name=sat_dns_dmz
add IPRule Action=NAT SourceInterface=dmz SourceNetwork=dmz/dmz_net DestinationInterface=core DestinationNetwork=dmz/dmz_ip Service=dns-all Name=nat_dns_dmz
Использовать созданные группы IP-сетей, IP-адресов и интерфейсов, для сетей которых необходим сервис DNS. В этом случае будет достаточно одной пары правил SAT-NAT.
Веб-интерфейс:
Rules -> IP Rules -> Add -> IP Rule Folder
Name: dns_relay
Rules -> IP Rules -> dns_relay -> Add
(рис 2.16)
(рис 2.17)
(рис 2.18)
Второе Правило зависит от требований провайдера. На МЭ 1 указано правило NAT. В этом случае провайдер видит только IP-адрес интерфейса wan1 МЭ1.
Командная строка:
add IPRuleFolder Name=dns_relay
cc IPRuleFolder <N folder>
add IPRule Action=SAT SourceInterface=dns_relay_int SourceNetwork=dns_relay/dns_relay_net DestinationInterface=core DestinationNetwork=dns_relay/dns_ip Service=dns-all SATAllToOne=Yes SATTranslateToIP=wan1/wan1_dns1 Name=sat_dns
add IPRule Action=NAT SourceInterface=dns_relay_int SourceNetwork=dns_relay/dns_relay_net DestinationInterface=core DestinationNetwork=dns_relay/dns_ip Service=dns-all Name=nat_dns
Результирующий трафик следующий.
На интерфейс lan приходит трафик:
(рис 2.19)
С интерфейса wan1 уходит трафик:
(рис 2.20)
Статическая маршрутизация
В таблице маршрутизации уже существуют маршруты ко всем сетям, которые непосредственно доступны с интерфейсов. В результате таблица маршрутизации на МЭ1 выглядит следующим образом:
(рис 2.21)
Проверка доступности DNS-сервисов из локальной сети
Проверить из командной строки на рабочей станции, расположенной в локальной сети, возможность обрабатывать DNS-запросы с помощью команды nslookup:
(рис 2.22)
Межсетевой Экран 2
(рис 2.23)
На Межсетевом Экране 2 следует выполнить аналогичные настройки.
Объекты Адресной Книги
В Адресной Книге создать необходимые объекты.
Веб-интерфейс:
Object -> Address Book -> Add -> Address Folder
Name: lan
Object -> Address Book -> lan
(рис 2.24)
Командная строка:
add Address AddressFolder lan
cc AddressAddressFolder lan
add IP4Address lan_ip Address=192.168.2.20 Comments=’IPAddress of interface lan’
add IP4Address lan_net Address=192.168.2.0/24 Comments=’The network on interface lan’
Объекты интерфейса dmz.
Веб-интерфейс:
Object -> Address Book -> Add -> Address Folder
Name: dmz
Object -> Address Book -> dmz
(рис 2.25)
Командная строка:
add Address AddressFolder dmz
cc AddressAddressFolder dmz
add IP4Address dmz_ip Address=172.17.200.20 Comments=’IPAddress of interface dmz’
add IP4Address dmz_net Address=172.17.200.0/24 Comments=’The network on interface dmz’
Объекты интерфейса wan2.
Веб-интерфейс:
Object ->Address Book ->Add->Address Folder
Name: wan2
Object ->Address Book ->wan2
(рис 2.26)
Командная строка:
add Address AddressFolder wan2
cc Address AddressFolder wan2
add IP4Address wan2_ip Address=192.168.20.20 Comments=’IPAddress of interface wan2’
add IP4Address wan2_gw Address=192.168.20.10 Comments=’Default gateway for interface wan2’
add IP4Address wan2_net Address=192.168.20.0/24 Comments=’The network on interface wan2’
Объекты, описывающие сети, расположенные за МЭ 1.
Веб-интерфейс:
Object ->Address Book ->Add->Address Folder
Name: remote
Object ->Address Book -> remote
(рис 2.27)
Командная строка:
add Address AddressFolder remote Comments=’The remote objects’
cc Address AddressFolder remote
add IP4Address rem_lan Address=192.168.1.0/24 Comments=’The remote lan’
Дополнительные объекты, необходимые для удобства администрирования и объединяющие в одну группу сети и IP-адреса, которые необходимы одинаковые сервисы DNS.
Веб-интерфейс:
Object -> Address Book -> Add -> Address Folder
Name: dns_relay
Object -> Address Book -> dns_relay
(рис 2.28)
Командная строка:
add Address AddressFolder dns_relay Comments=’DNS services’
cc Address AddressFolder dns_relay
add IP4Group dns_net Members =lan/lan_net, dmz/dmz_net
add IP4Group dns_ip Members = lan/lan_ip, dmz/dmz_ip
Привязка созданных объектов Адресной Книги к интерфейсам
Объекты, созданные в пунктах 1, 2 и 3, должны быть привязаны к соответствующим Ethernet-интерфейсам.
Веб-интерфейс:
Interfaces -> Ethernet -> wan1
(рис 2.29)
Если IP-адрес данного интерфейса должен быть получен по протоколу DHCP, то следует установить соответствующий флаг "Enable DHCP Client".
(рис 2.30)
На вкладке Advanced рекомендуется добавить флаг автоматического добавления маршрута к указанной сети, используя данный интерфейс. Для интерфейса wan1 следует также установить флаг добавления маршрута по умолчанию к указанному шлюзу через данный интерфейс.
Аналогично привязать созданные объекты к другим интерфейсам.
Командная строка:
set Interface Ethernet lan IP=lan/lan_ip Network=lan/lan_net Name=lan AutoInterfaceNetworkRoute=yes
set Interface Ethernet dmz IP=dmz/dmz_ip Network=dmz/dmz_net Name=dmz AutoInterfaceNetworkRoute=yes
set Interface Ethernet wan1 IP=wan1/wan1_ip Network=wan1/wan1_net DefaultGateway=wan1/wan1_gw Name=wan1 AutoInterfaceNetworkRoute=yes DefaultGateway= wan1/wan1_gw DHCPEnabled=Yes
set Interface Ethernet wan2 IP=wan2/wan2_ip Network=wan2/wan2_net Name=wan2 AutoInterfaceNetworkRoute=yes
В результате заданы следующие параметры интерфейсов:
(рис 2.31)
Группа интерфейсов
Для удобства можно создать группу интерфейсов, в которой перечислены интерфейсы, трафик с которых можно объединить в одно Правило фильтрования. В нашем случае это интерфейсы dmz и lan.
Веб-интерфейс:
Interfaces -> Interface Groups -> Add -> Interface Group
(рис 2.32)
Командная строка:
add Interface InterfaceGroup dns_relay_int Members=lan,dmz
Правила фильтрования
Веб-интерфейс:
Rules -> IP Rules -> Add -> IP Rule Folder
Name: dns_relay
Rules -> IP Rules -> dns_relay
(рис 2.33)
(рис 2.34)
(рис 2.35)
Вторым правилом на МЭ2 является правило NAT.
Командная строка:
add IPRuleFolder Name=dns_relay
cc IPRuleFolder <N folder>
add IPRule Action=SAT SourceInterface=dns_relay_int SourceNetwork=dns_relay/dns_net DestinationInterface=core DestinationNetwork=dns_relay/dns_ip SATAllToOne=Yes SATTranslateToIP=wan1/wan1_dns1 Service=dns-all Name=sat_dns
add IPRule Action=NAT SourceInterface=dns_relay_int SourceNetwork=dns_relay/dns_net DestinationInterface=core DestinationNetwork=dns_relay/dns_ip Service=dns-all Name=nat_dns
Статическая маршрутизация
В таблице маршрутизации уже созданы все необходимые маршруты.
(рис 2.36)
Доступ в интернет
Межсетевой Экран 1
На МЭ 1 все необходимые объекты в Адресной Книге уже созданы и маршруты определены. Осталось добавить Правила фильтрования, разрешающие доступ в интернет.
Правила фильтрования
Веб-интерфейс:
Rules -> IP Rules -> Add -> IP Rule Folder
Name: toInet
Rules -> IP Rules -> toInet
(рис 2.37)
Командная строка:
add IPRuleFolderName=toInet
cc IPRuleFolder <N folder>
add IPRule Action=Drop SourceInterface=dns_relay_int SourceNetwork=dns_relay/dns_relay_net DestinationInterface=wan2 DestinationNetwork=all-nets Service=smb_all Name=drop_smb-all
add IPRule Action=NAT SourceInterface=dns_relay_int SourceNetwork=dns_relay/dns_relay_net DestinationInterface=wan2 DestinationNetwork=all-nets Service=all_tcpudp Name=NAT_standard
Проверка доступа в интернет из локальной сети
(рис 2.38)
Межсетевой Экран 2
На МЭ1 все необходимые объекты в Адресной Книге уже созданы и маршруты определены. Осталось добавить Правила фильтрования, разрешающие доступ в интернет. Для удобства конфигурирования Правил фильтрования был создан объект в Адресной Книге, который объединяет все сети, из которых необходим доступ в интернет.
Правила фильтрования
Веб-интерфейс:
Rules -> IPRules -> Add -> IPRuleFolder
Name: toInet
Rules -> IP Rules -> toInet
(рис 2.39)
Командная строка:
add IPRuleFolderName=toInet
cc IPRuleFolder <N folder>
add IPRule Action=NAT SourceInterface=dns_relay_int SourceNetwork=dns_relay/dns_net DestinationInterface=wan1 DestinationNetwork=all-nets Service=all_tcpudp Name=NAT_standard
Проверка доступа в интернет из локальной сети
(рис 2.40)
Доступ из локальных сетей к каждому межсетевому экрану
Межсетевой Экран 1
Группа интерфейсов
Объединить интерфейсы lan и core в одну группу, чтобы разрешить доступ как к рабочим станциям в локальной сети, так и к lan-интерфейсу межсетевого экрана.
Веб-интерфейс:
Interfaces -> Interface Groups -> Add-> Interface Group
(рис 2.41)
Командная строка:
add Interface InterfaceGroup lan_plus Members=core,lan
Правила фильтрования
Веб-интерфейс:
Rules -> IP Rules -> Add-> IP Rule Folder
Name: toFW2
Rules -> IP Rules -> toFW2
(рис 2.42)
Командная строка:
add IPRuleFolderName=toFW2
cc IPRuleFolder <N folder>
add IPRule Action=Allow SourceInterface=lan SourceNetwork=lan/lan_net DestinationInterface=wan2 DestinationNetwork=remote/rem_lan Service=all_services Name=Allow_to
add IPRule Action=Allow SourceInterface=wan2 SourceNetwork=remote/rem_lan DestinationInterface=lan_plus DestinationNetwork=lan/lan_net Service=all_services Name=Allow_from
Статическая маршрутизация
Веб-интерфейс:
Routing -> Routing Tables -> main -> Add -> Route IPv4
(рис 2.43)
Командная строка:
cc RoutingTable main
add Route Interface=wan2 Network=remote/rem_lan Gateway=wan2/wan2 Metric=100
Межсетевой Экран 2
Следует выполнить настройки, аналогичные настройкам, сделанным на Межсетевом Экране 1.
Проверка конфигурации
Проверяем доступ (команда ping) с lan-интерфейса межсетевого экрана 1 к рабочей станции в локальной сети (IP-адрес 192.168.1.122) и к lan-интерфейсу межсетевого экрана 1.
(рис 2.44)
Для получения официальных документов о завершении программы дополнительного профессионального образования (удостоверения о повышении квалификации, дипломов о профессиональной переподготовке и MBA) необходимо предоставить:
Внимание! Вы можете не заказывать доставку бумажной версии официального документы, а скачать его в электронном виде и распечатать самостоятельно. Информация о выданном документе в течение 1 месяца загружается в Федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» - ФИС ФРДО.
Доступ на новый сайт осуществляется с использованием адреса электронной почты, который был указан вами при регистрации на "старом". Мы постарались перенести все ваши данные с прежнего ресурса, однако не исключена вероятность потери части информации.
При возникновении проблемы со входом, воспользуйтесь функцией сброса пароля
Если вы обнаружите несоответствия, пожалуйста, сообщите нам.