2022年网络安全和管理实验报告 .pdf
网络安全实验指导网络安全和管理实验指导书电子与信息工程系网络工程教研室2011-10-25 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 18 页 - - - - - - - - - 网络安全实验指导实验一为 WWW 服务配置 SSL 一、实验目的1加深并消化授课内容，掌握SSL 的基本概念；2了解并熟悉万维网服务器的配置；3掌握在万维网服务器上部署SSL 协议；二、实验要求1掌握 Security Socket Layer 在应用层的作用；2独立完成在万维网服务器上部署SSL；3实验结束后，用统一的实验报告用纸编写实验报告。三、实验环境Windows 2003 企业版服务器 +IIS 服务， Linux 企业版服务器+Apache 服务四、实验内容1Windows 系统上部署万维网服务，并配置SSL 2Linux 系统上部署万维网服务，并配置SSL 五、实验步骤Windows 系统上部署万维网服务，并配置SSL （ 1）颁发证书1.从 “ 管理工具 ” 程序组中启动 “ 证书颁发机构 ” 工具。2.展开证书颁发机构，然后选择“ 挂起的申请 ” 文件夹。3.选择刚才提交的证书申请。4.在 “ 操作 ” 菜单中，指向 “ 所有任务 ” ，然后单击 “ 颁发” 。5.确认该证书显示在“ 颁发的证书 ” 文件夹中，然后双击查看它。6.在 “ 详细信息 ” 选项卡中，单击“ 复制到文件 ” ，将证书保存为Base-64 编码的X.509 证书。7.关闭证书的属性窗口。8.关闭 “ 证书颁发机构 ” 工具。（ 2）在Web 服务器上安装证书1. 如果Internet 信息服务尚未运行，则启动它。2. 展开服务器名称，选择要安装证书的Web 站点。3. 右键单击该Web 站点，然后单击“ 属性 ” 。4. 单击 “ 目录安全性 ” 选项卡。5. 单击 “ 服务器证书 ” 启动Web 服务器证书向导。6. 单击 “ 处理挂起的申请并安装证书” ，然后单击 “ 下一步 ” 。7. 输入包含CA 响应的文件的路径和文件名，然后单击“ 下一步 ” 。8. 检查证书概述，单击“ 下一步 ” ，然后单击 “ 完成 ” 。现在，已在Web 服务器上安装了证书。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 18 页 - - - - - - - - - 网络安全实验指导（ 3）将资源配置为要求SSL 访问此过程使用Internet 服务管理器，将虚拟目录配置为要求SSL 访问。为特定的文件、目录或虚拟目录要求使用SSL。客户端必须使用HTTPS 协议访问所有这类资源。1.如果Internet 信息服务尚未运行，则启动它。2.展开服务器名称和Web 站点。（这必须是已安装证书的Web 站点）3.右键单击某个虚拟目录，然后单击“ 属性 ” 。4.单击 “ 目录安全性 ” 选项卡。5. 单击 “ 安全通信 ” 下的 “ 编辑 ” 。6.单击 “ 要求安全通道(SSL) ” 。7. 单击 “ 确定 ” ，然后再次单击“ 确定 ” 关闭 “ 属性 ” 对话框。8.关闭Internet 信息服务。Linux 系统上部署万维网服务，并配置SSL 安装并设置具备SSL 的 Apache 网站服务器1.创建 rasref 目录，在该目录提取文件。# mkdir rsaref-2.0 # cd rsaref-2.0 # gzip -d -c ./rsaref20.tar.Z | tar xvf - 2.配置并构造OpenSSL 库。# cd rsaref-2.0 # cp -rp install/unix local # cd local # make # mv rsaref.a librsaref.a # cd ./. 3.安装 OpenSSL。# cd openssl-0.9.x # ./config -prefix=/usr/local/ssl -Lpwd/./rsaref-2.0/local/ rsaref -fPIC 4.配置 MOD_SSL 模块，然后用Apache 配置指定它为一个可装载的模块。# cd mod_ssl-2.5.x-1.3.x # ./configure -with-apache=./apache_1.3.x # cd . 可以把更多的Apache 模块加到 Apache 源代码树中。可选的 -enable-shared=ssl 选项使得mod_ssl名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 18 页 - - - - - - - - - 网络安全实验指导构造成为一个DSO “libssl.so”。关于在 Apache 支持 DSO 的更多信息，阅读Apache 源代码树中的 INSTALL和 htdocs/manual/dso.html 文档。# cd apache_1.3.x # SSL_BASE=./openssl-0.9.x RSA_BASE=./rsaref-2.0/local ./configure -enable-module=ssl -activate-module=src/modules/php4/libphp4.a -enable-module=php4 -prefix=/usr/local/apache -enable-shared=ssl 5.生成 Apache，然后生成证书，并安装# make 正确地完成，得到类似于以下的信息：+-+ | Before you install the package you now should prepare the SSL | | certificate system by running the make certificate command. | | For different situations the following variants are provided: | | | | % make certificate TYPE=dummy (dummy self-signed Snake Oil cert) | | % make certificate TYPE=test (test cert signed by Snake Oil CA) | | % make certificate TYPE=custom (custom cert signed by own CA) | | % make certificate TYPE=existing (existing cert) | | CRT=/path/to/your.crt KEY=/path/to/your.key | | | | Use TYPE=dummy when youre a vendor package maintainer, | | the TYPE=test when youre an admin but want to do tests only, | | the TYPE=custom when youre an admin willing to run a real server | | and TYPE=existing when youre an admin who upgrades a server. | | (The default is TYPE=test) | | | | Additionally add ALGO=RSA (default) or ALGO=DSA to select | | the signature algorithm used for the generated certificate. | | | | Use make certificate VIEW=1 to display the generated data. | | | | Thanks for using Apache & mod_ssl. Ralf S. Engelschall | | | 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页，共 18 页 - - - - - - - - - 网络安全实验指导| | +-+ 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页，共 18 页 - - - - - - - - - 网络安全实验指导实验二NAT 地址转换一、实验目的1加深并消化授课内容，理解NAT 的作用；2掌握 NAT 网络地址转换的方法；3掌握 NAT 服务在网络设备上的配置方法。二、实验要求1掌握 NAT 的网络地址转换的原理；2熟悉在路由器上使用NAT 服务；3熟悉 Windows 服务器上使用NAT 服务三、实验环境Cisco 路由器； Windows 2003 企业版服务器四、实验内容1静态地址转换2动态地址转换3复用动态地址转换。4Windows 2000 Server 的网络地址翻译五、实验步骤1静态地址转换（ 1） 、在内部本地地址与内部合法地址之间建立静态地址转换。在全局设置状态下输入：Ip nat inside source static 内部本地地址内部合法地址（ 2） 、指定连接网络的内部端口在端口设置状态下输入：ip nat inside （ 3） 、指定连接外部网络的外部端口在端口设置状态下输入：ip nat outside 2动态地址转换（ 1） 、在全局设置模式下，定义内部合法地址池ip nat pool 地址池名称起始 IP 地址 终止 IP 地址子网掩码其中地址池名称可以任意设定。（ 2） 、在全局设置模式下，定义一个标准的access-list 规则以允许哪些内部地址可以进行动态地址转换。Access-list 标号permit 源地址通配符其中标号为1-99 之间的整数。（ 3） 、在全局设置模式下，将由 access-list 指定的内部本地地址与指定的内部合法地址池进行地址转换。ip nat inside source list 访问列表标号pool 内部合法地址池名字名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 6 页，共 18 页 - - - - - - - - - 网络安全实验指导（ 4） 、指定与内部网络相连的内部端口在端口设置状态下：ip nat inside （ 5） 、指定与外部网络相连的外部端口Ip nat outside 3复用动态地址转换。（ 1） 、在全局设置模式下，定义内部合地址池ip nat pool 地址池名字起始 IP 地址终止 IP 地址子网掩码其中地址池名字可以任意设定。（ 2） 、在全局设置模式下，定义一个标准的access-list 规则以允许哪些内部本地地址可以进行动态地址转换。access-list 标号permit 源地址通配符其中标号为199 之间的整数。（ 3） 、 在全局设置模式下， 设置在内部的本地地址与内部合法IP 地址间建立复用动态地址转换。ip nat inside source list 访问列表标号pool 内部合法地址池名字overload （ 4） 、在端口设置状态下，指定与内部网络相连的内部端口ip nat inside （ 5） 、在端口设置状态下，指定与外部网络相连的外部端口ip nat outside 4Windows 2000 Server 的网络地址翻译（ 1） 、连接 Internet 网卡的 IP 由 ISP 提供。（ 2） 、连接内部网网卡的IP 地址需要以下配置：IP 地址： 192.168.0.1 子网掩码： 255.255.255.0 默认网关：无（ 3） 、客户机的IP 地址的配置为：IP 地址： 192.168.0.x(可设为同一网段内的任一独立的IP) 子网掩码： 255.255.255.0 默认网关： 192.168.0.1 （ 4） 、在 “ 路由和远程访问” 控制台中，用鼠标右键单击域服务器，从弹出的快捷菜单中选择“ 配置并启用路由和远程访问” 选项，打开 “ 路由和远程访问服务器安装向导” 对话框。（ 5） 、在路由和远程访问服务器安装向导中，选择用于“Internet连接服务器 ” 的选项，以及用来安装带有网络地址转换(NAT)路由协议的路由器的选项。（ 6） 、接下来要定义好哪块网卡连接Internet。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 7 页，共 18 页 - - - - - - - - - 网络安全实验指导（ 7） 、至此所有配置工作已经全部完成，下面需要测试能不能连接内网和外网。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 8 页，共 18 页 - - - - - - - - - 网络安全实验指导实验三IPSec的配置一、实验目的1加深并消化授课内容，理解VPN 的作用；2掌握在VPN 中部署 IPSec 的方法；3掌握 IPSec在网络设备上的配置方法。二、实验要求1掌握虚拟专用网的原理；2熟悉在路由器上使用VPN 服务；3熟悉使用IPSec 的虚拟专用网的接入方式三、实验环境路由器 2 台四、实验内容假设你是公司的网络管理员，公司因业务的扩大，建立了一个分公司，因为公司的业务数据重要，公司的总部与分公司传输数据时需要加密，采用IPSec VPN 技术对数据进行加密。五、实验步骤1路由器基本配置。R1 (config)# R1 (config)#interface fastEthernet 0/0 R1 (config-if)#ip address 101.1.1.1 255.255.255.252 R1 (config-if)#no shutdown R1 (config-if)#exit R1 (config)#interface Loopback 0 R1 (config-if)#ip address 10.1.1.1 255.255.255.0 R1 (config-if)#no shutdown R1 (config-if)#exit R2 (config)#interface fastEthernet 0/0 R2 (config-if)#ip address101.1.1.2 255.255.255.252 R2 (config-if)#no shutdown R2 (config-if)#exit R2 (config)#interface Loopback 0 R2 (config-if)#ip address 10.1.2.1 255.255.255.0 R2 (config-if)#no sh R2 (config-if)#end 2配置默认路由。R1 (config)#ip route 0.0.0.0 0.0.0.0 101.1.1.2 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 9 页，共 18 页 - - - - - - - - - 网络安全实验指导R2 (config)# ip route 0.0.0.0 0.0.0.0 101.1.1.1 3配置 IPSec VPN。R1 (config)# crypto isakmp policy 10 R1 (isakmp-policy)#authentication pre-share R1 (isakmp-policy)#hash md5 R1 (isakmp-policy)#group 2 R1 (isakmp-policy)#exit R1 (config)#crypto isakmp key 0 ruijie address 101.1.1.2 R1 (config)#crypto ipsec transform-set vpn ah-md5-hmac esp-des esp-md5-hmac R1 (cfg-crypto-trans)#mode tunel R1 (config)#crypto map vpnmap 10 ipsec-isakmp R1 (config-crypto-map)#set peer 101.1.1.2 R1 (config-crypto-map)#set transform-set vpn R1 (config-crypto-map)#match address 110 R1 (config)#crypto map vpnmap1 10 ipsec-isakmp R2 (config)#crypto isakmp policy 10 R2 (isakmp-policy)#authentication pre-share R2 (isakmp-policy)#hash md5 R2 (isakmp-policy)#group 2 R2 (config)#crypto isakmp key 0 ruijie address 101.1.1.2 R2 (config)#crypto ipsec transform-set vpn ah-md5-hmac esp-des esp-md5-hmac R2 (cfg-crypto-trans)#mode tunel R2 (config)#crypto map vpnmap 10 ipsec-isakmp R2 (config-crypto-map)# set peer 101.1.1.1 R2 (config-crypto-map)# set transform-set vpn R2 (config-crypto-map)# match address 110 4定义感兴趣数据流及应用VPN 。R1 (config)#access-list extended 110 permit ip 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255 R1 (config)#interface FastEthernet 0/0 R1 (config-if)#crypto map vpnmap R2 (config)#access-list extended 110 permit ip 10.1.2.0 0.0.0.255 10.1.1.0 0.0.0.255 R2 (config)#interface FastEthernet 0/0 R2 (config-if)#crypto map vpnmap 5验证测试。R1#ping Protocol ip: 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 10 页，共 18 页 - - - - - - - - - 网络安全实验指导Target IP address: 10.1.2.1 Repeat count 5: Datagram size 100: Timeout in seconds 2: Extended commands n: y Source address:10.1.1.1 Time to Live 1, 64: Type of service 0, 31: Data Pattern 0 xABCD:0 xabcd Sending 5, 100-byte ICMP Echoes to 10.1.2.1, timeout is 2 seconds: .! Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms R1#show crypto ipsec sa Interface: FastEthernet 0/0 Crypto map tag:vpnmap, local addr 101.1.1.1 media mtu 1500 = item type:static, seqno:10, id=32 local ident (addr/mask/prot/port): (10.1.1.0/0.0.0.255/0/0) remote ident (addr/mask/prot/port): (10.1.2.0/0.0.0.255/0/0) PERMIT #pkts encaps: 4, #pkts encrypt: 4, #pkts digest 8 #pkts decaps: 4, #pkts decrypt: 4, #pkts verify 8 #send errors 0, #recv errors 0 Inbound esp sas: spi:0 x36328b56 (909282134) transform: esp-des esp-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (4606998/3594) IV size: 8 bytes Replay detection support:Y Inbound ah sas: spi:0 x75aa844e (1974109262) transform: ah-null ah-md5-hmac 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 11 页，共 18 页 - - - - - - - - - 网络安全实验指导in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (4606998/3594) IV size: 0 bytes Replay detection support:Y Outbound esp sas: spi:0 x4c96e9f2 (1284958706) transform: esp-des esp-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (4606998/3594) IV size: 8 bytes Replay detection support:Y Outbound ah sas: spi:0 x2c25e472 (740680818) transform: ah-null ah-md5-hmac in use settings=Tunnel, crypto map vpnmap 10 sa timing: remaining key lifetime (k/sec): (4606998/3594) IV size: 0 bytes Replay detection support:Y R1#show crypto isakmp sa destination source state conn-id lifetime(second) 101.1.1.2 101.1.1.1 QM_IDLE 33 86317 6c1ac77522d07d2b e0062c53799fc5ec 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 12 页，共 18 页 - - - - - - - - - 网络安全实验指导实验四访问控制列表一、实验目的1掌握路由配置方法2掌握访问控制列表的配置；二、实验要求1ACL 能正常工作的前提是所有主机都能ping 通。 （采用 RIP 路由协议）2路由器的基本配置: 1)设置路由器接口IP 地址。 2) 配置 RIP 路由3不允许R1 访问 R4 及其内部网络4不允许R2 ping R4 5不允许10.2.2.0 网段访问R4 及其内部网络6使用 OSPF 动态路由协议三、实验环境1、Windows XP ， Cisco Packet Tracer 四、实验内容拓扑图五、实验步骤1基本配置及密码设置R1、R2、R3、R4 启动后，首先进行如下配置Router(config)#no ip domain look Router (config)#line con Router (config)#line console 0 Router (config-line)#exec- Router (config-line)#exec-timeout 0 0 Router (config-line)#exit Router (config)#enable password cisco Router (config)#line vty 0 4 Router (config-line)#password ciscovty Router (config-line)#login 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 13 页，共 18 页 - - - - - - - - - 网络安全实验指导Router (config-line)#exit Router (config)#hostname RX /4 台路由器分别命名为R1、R2、R3、R4 2配置 R1、R2、R3、R4 接口地址（将配置代码附下）（ 1）配置路由器R1 R1(config)#int s1/0 R1(config-if)#ip add 192.168.13.1 255.255.255.0 R1(config-if)#no shut %LINK-5-CHANGED: Interface Serial1/0, changed state to down R1(config-if)#int lo0 %LINK-5-CHANGED: Interface Loopback0, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to up R1(config-if)#ip add 10.1.1.1 255.255.255.0 R1(config-if)#no sh （ 2）配置路由器R2 R2(config)#int lo0 %LINK-5-CHANGED: Interface Loopback0, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to up R2(config-if)# R2(config-if)#ip add 10.2.2.2 255.255.255.0 R2(config-if)#no shut R2(config-if)#int s1/1 R2(config-if)#ip add 192.168.23.1 255.255.255.0 R2(config-if)#no shut %LINK-5-CHANGED: Interface Serial1/1, changed state to down （ 3）配置路由器R3 R3(config)#int lo0 %LINK-5-CHANGED: Interface Loopback0, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to up R3(config-if)# R3(config-if)#ip add 10.3.3.3 255.255.255.0 R3(config-if)#no shut R3(config-if)#int s1/0 R3(config-if)#ip add 192.168.13.2 255.255.255.0 R3(config-if)#clock rate 64000 R3(config-if)#no shut %LINK-5-CHANGED: Interface Serial1/0, changed state to up 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 14 页，共 18 页 - - - - - - - - - 网络安全实验指导%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/0, changed state to up R3(config-if)#int s1/1 R3(config-if)#ip add 192.168.23.2 255.255.255.0 R3(config-if)#clock rate 64000 R3(config-if)#no shut %LINK-5-CHANGED: Interface Serial1/1, changed state to up R3(config-if)# R3(config-if)#int s1/2 %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/1, changed state to up R3(config-if)#ip add 192.168.34.1 255.255.255.0 R3(config-if)#clock rate 64000 R3(config-if)#no shut %LINK-5-CHANGED: Interface Serial1/2, changed state to down （ 4）配置路由器R4 R4(config)#int lo0 %LINK-5-CHANGED: Interface Loopback0, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to up R4(config-if)# R4(config-if)#ip add 10.4.4.4 255.255.255.0 R4(config-if)#no shut R4(config-if)#int s1/2 R4(config-if)#ip add 192.168.34.2 255.255.255.0 R4(config-if)#no shut %LINK-5-CHANGED: Interface Serial1/2, changed state to up R4(config-if)# R4(config-if)# %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/2, changed state to up 3设置 OSPF 路由协议（ 1）配置路由器R1 R1(config)#route ospf 1 R1(config-router)#net 192.168.13.0 0.0.0.255 area 0 R1(config-router)#net 10.1.1.0 0.0.0.255 area 0 R1(config-router)#end （ 2）配置路由器R2 R2(config)#route ospf 1 R2(config-router)#net 192.168.23.0 0.0.0.255 area 0 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 15 页，共 18 页 - - - - - - - - - 网络安全实验指导R2(config-router)#net 10.2.2.0 0.0.0.255 area 0 R2(config-router)#end （ 3）配置路由器R3 R3(config)#route ospf 1 R3(config-router)#net 192.168.13.0 0.0.0.255 area 0 R3(config-router)# 00:32:17: %OSPF-5-ADJCHG: Process 1, Nbr 10.1.1.1 on Serial1/0 from LOADING to FULL, Loading Done R3(config-router)#net 192.168.23.0 0.0.0.255 area 0 R3(config-router)#net 192.168.34.0 0.0.0.255 area 0 00:32:49: %OSPF-5-ADJCHG: Process 1, Nbr 10.2.2.2 on Serial1/1 from LOADING to FULL, Loading Done R3(config-router)#net 192.168.34.0 0.0.0.255 area 0 R3(config-router)#net 10.3.3.0 0.0.0.255 area 0 R3(config-router)#end （ 4）配置路由器R4 R4(config)#route ospf 1 R4(config-router)#net 192.168.34.0 0.0.0.255 area 0 00:33:57: %OSPF-5-ADJCHG: Process 1, Nbr 10.3.3.3 on Serial1/2 from LOADING to FULL, Loading Done R4(config-router)#net 10.4.4.0 0.0.0.255 area 0 R4(config-router)#end 4查看各路由器学到的路由（以R3 为例）R3# show ip route / 将显示信息附下R3#sh ip route Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF ex
