下一代防火墙-防范DOS攻击

实验设备

1、 山石网科（hillstone）系列下一代防火墙（实训平台v1.0中hillstone设备）

2、 高性能数据中心交换机一台（实训平台v1.0中cisco vios l2设备）

3、 Windows 服务器一台 （实训平台v1.0中windows设备）

4、 增加一个网络net：cloud0

5、 DOS发包工具hyenae-0.36-1_fe_0.1-1-win32.exe

 实验拓扑图

实验目的

1. 掌握网络攻击防护策略配置方法；

2. 通过下一代防火墙来防护服务器免受DOS攻击

实验需求、步骤及配置

数据中心服务器区web windows主机配置，如下步骤：

a) 临时将web服务器直接与网络net cloud0互联，完成从物理主机复制工具文件（ASP

小旋风和网站源码模板）到服务器：

b) 开机后，服务器主机开启远程桌面服务，且查看服务器主机自动获得的ip地址：

从物理主机上，远程桌面接入服务器主机，配置如下：

 如需输入凭证，请输入用户名：administrator 密码：123456

在服务器主机里操作，完成文件复制和安装，如下：

关机，重新将服务器主机按照拓扑要求，互联到交换机上，开机重新配置服务器IP

参数：

Ip 地址： 192.168.10.1

网络掩码：255.255.255.0

网关：192.168.10.254

DNS：114.114.114.114

数据中心接入交换机vIOS_SW配置

Switch(config)#vlan 10

Switch(config-vlan)#exit

Switch(config)#interface g0/0

Switch(config-if)#switchport mode access

Switch(config-if)#switchport access vlan 10

Switch(config-if)#exit

Switch(config)#ip routing 启动路由功能

Switch(config)#interface vlan10

Switch(config-if)#ip address 192.168.10.254 255.255.255.0

Switch(config-if)#no shut

Switch(config)#interface g0/1

Switch(config-if)#no switchport 改为三层接口

Switch(config-if)#no shutdown

Switch(config-if)#ip address 10.1.1.1 255.255.255.252

Switch(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.2 配置上网的缺省路由，下一跳为防火墙

接口e0/1 IP

下一代防火墙的配置：（启动稍慢一点，耐心等待）

a) 基本配置：修改e0/0口属性为管理口且采用http管理方式，默认启动DHCP。

login: hillstone //用户名和密码都为hillstone

password:

SG-6000# conf

SG-6000(config)# interface e0/0

SG-6000(config-if-eth0/0)# manage http

SG-6000(config-if-eth0/0)# show interface 查看e0/0自动获得的IP地址，为管理IP

接下来，在物理主机上，通过浏览器访问管理IP，使用图形化管理下一代防火墙：

配置e0/1接口：绑定安全区域为trust三层安全区域(路由模式)、IP地址等：

配置e0/0接口：修改绑定安全区域为untrust三层安全区域(路由模式)、IP等：

为路由模式，配置路由，包括回程路由和缺省路由（通过e0/0接口dhcp

已经获得）

为路由模式，配置目的NAT策略（即静态NAT），实现公网可以访问web服

务器需求：

为路由模式，配置安全策略即包过滤策略（默认拒绝区域间访问），配置策略

让公网区域可以访问服务器区，即e0/0 untrust区域访问e0/1 trust区域：

接下来，在物理主机上测试是否可以访问服务器web，如图代表ok：

在物理主机上模拟黑客进行DOS攻击服务器，安装hyenae第三方发包工具，

并设置好发包条件如下TCP SYN洪水攻击，源设置为【%-192.168.255.1@80】，

目的设置为【%-192.168.255.150@80】，然后点击执行；如图：

对发包工具做调试，还可完成UDP和ICMP洪水攻击测试，配置略。

j) 接下来，抓取拓扑中交换机G0/1接口数据包，如下情况表明，在没有启动防

火墙防范策略前，有多少syn洪水就进来多少包（及时停止发包，防止消耗主

机资源）。

配置下一代防火墙网络攻击防范策略，对服务器进行安全防护，如图：

接下来，打开发包工具模拟TCP SYN洪水攻击，查看防火墙对dos攻击防护的

效果，抓取交换机G0/1接口数据包，如图表明防火墙启动作用：

可以发现只有10个tcp报文，防护成功

查看防火墙日志：