联想防火期设置

上图是一个具有三个区段的小型网络。Internet 区段的网络地址是202.100.100.0，掩码是

255.255.255.0；DMZ 区段的网络地址是172.16.1.0，掩码是255.255.255.0；内部网络区段的

网络地址是192.168.1.0，掩码是255.255.255.0。

fe1 的IP 地址是192.168.1.1，掩码是255.255.255.0；fe3 的IP 地址是172.16.1.1，掩码是

255.255.255.0；fe4 的IP 地址是202.100.100.3，掩码是255.255.255.0。内部网络区段主机的

缺省网关指向fe1 的IP 地址192.168.1.1；DMZ 网络区段的主机的缺省网关指向fe3 的IP 地

址172.16.1.1；防火墙的缺省网关指向路由器的地址202.100.100.1。

WWW 服务器的地址是172.16.1.10，端口是80；MAIL 服务器的地址是172.16.1.11，端

口是25 和110；FTP 服务器的地址是172.16.1.12，端口是21。

安全策略的缺省策略是禁止。允许内部网络区段访问DMZ 网络区段和Internet 区段的

http,smtp，pop3，ftp 服务；允许Internet 区段访问DMZ 网络区段的服务器。其他的访问都

是禁止的。

5.1.2 配置步骤

1. 网络配置>网络设备>：编辑物理设备fe1，将它的IP 地址配置为192.168.1.1，掩码是

255.255.255.0。

注意：fe1 默认是用于管理的设备，如果改变了它的地址，就不能用原来的地址管理了。

而且默认的管理主机地址是10.1.5.200，如果没有事先添加其它的管理主机地址，将会

导致防火墙再也不能被管理了（除非用串口登录上去添加新的管理主机地址）。其它设

备默认是不启用的，所以配地址时要同时选择启用设备。

2. 网络配置>网络设备>：编辑物理设备fe3，将IP 地址配置为172.16.1.1，掩码是

255.255.255.0。

3. 网络配置>网络设备>：编辑物理设备fe4，将IP 地址配置为202.100.100.3，掩码是

255.255.255.0。

4. 网络配置>静态路由>：添加下一跳地址是202.100.100.1 的默认路由。目的地址，掩码

都是0.0.0.0，接口选择fe4。

注意：策略配置是基于资源的，所以在配置下面的策略时，请先定义如下的资源：

LOCAL_NET：网络地址192.168.1.0，掩码255.255.255.0

DMZ_NET：网络地址172.16.1.0，掩码255.255.255.0

WWW_SERVER：主机地址 172.16.1.10，掩码是255.255.255.255

MAIL_SERVER ：主机地址172.16.1.11，掩码是255.255.255.255

FTP_SERVER ：主机地址172.16.1.12，掩码是255.255.255.255

5. 策略配置>安全规则>：添加源地址是LOCAL_NET，目的地址是any，服务是http，动

作是允许的包过滤规则。

6. 策略配置>安全规则>：添加源地址是LOCAL_NET，目的地址是any，服务是smtp，动

作是允许的包过率规则。

7. 策略配置>安全规则>：添加源地址是LOCAL_NET，目的地址是any，服务是pop3，

动作是允许的包过滤规则。

8. 策略配置>安全规则>：添加源地址是LOCAL_NET，目的地址是any，服务是ftp，动

作是允许的包过滤规则。

9. 策略配置>安全规则>：添加源地址是LOCAL_NET，目的地址是any，服务是any 的

NAT 规则。

10. 策略配置>安全规则>：添加源地址是any，目的地址172.16.1.10，服务是http，动作是

允许的包过滤规则。

11. 策略配置>安全规则>：添加源地址是any，目的地址172.16.1.11，服务是smtp，动作是

允许的包过滤规则。

12. 策略配置>安全规则>：添加源地址是any，目的地址172.16.1.11，服务是pop3，动作是

允许的包过滤规则。

13. 策略配置>安全策略>：添加源地址是any，目的地址172.16.1.12，服务是ftp，动作是

允许的包过滤规则。

14. 策略配置>安全策略>：添加公开地址是202.100.100.3，对外服务是http，内部地址是

WWW_SERVER，内部服务是http 的端口映射规则。

15. 策略配置>安全策略>：添加公开地址是202.100.100.3，对外服务是smtp，内部地址是

MAIL_SERVER，内部服务是smtp 的端口映射规则。

16. 策略配置>安全策略>：添加公开地址是202.100.100.3，对外服务是pop3，内部地址是

MAIL_SERVER，内部服务是pop3 的端口映射规则。

17. 策略配置>安全策略>：添加公开地址是202.100.100.3，对外服务是ftp，内部地址是

FTP_SERVER，内部服务是ftp 的端口映射规则。