深入理解路由和远程访问服务中的筛选器和基本防火墙

《深入理解路由和远程访问服务中的筛选器和基本防火墙》由会员分享，可在线阅读，更多相关《深入理解路由和远程访问服务中的筛选器和基本防火墙（14页珍藏版）》请在装配图网上搜索。

1、IP筛选器的属性如下图所示，你可以通过源网络、目标网络和协议来对IP数据包进行筛选器；你可以只设置源IP网络或目标网络，或者都不设置，根据协议来进行筛选。子网掩码目标网络(D)子网掩码匕IP地址迥TCPTCF已建立的）U11FICMF确定 | 魅，RRAS是按照以下原则进行厂源网络IF地址:运加工P篇选器安全中国wd会员箱训将 IP 数据包的源 IP 地址和目的 IP 地址分别与 IP 筛选器中设置的源网络和目标网络的子网掩码进行相与操作，然后 再和IP筛选器中的源网络的IP地址和目的网络的IP地址进行比较。因此，对于筛选器的设置，子网掩码中设置为“0”的位，在IP地址中必须设置为“0”。这是

2、为什么呢？因为在相 与操作中，与“0”相与永远为“0”，因此任何IP地址和子网掩码的“0”位相与后均为“0”。而如果你设置的筛 选器中IP地址对应的位却设置为“1”，那么你的筛选器将永远都得不到匹配，因此此筛选器就没有任何作用。如果 你设置错误，则RRAS会提示你输入的IP地址和子网掩码不兼容，如下图所示：詹辑IP筛选署安全中国VIP会员培训IP地址迥：子网掩码(U):j 255 .255 .255 . 0IF地址子网掩鑑由和远程谊冃协谀(J0)；ICMF类型ICMF代码顶H确宝 | 卿肖因此，定义源网络和目标网络的方法为：定义某个IP地址时，使用子网掩码255.255.255.255。例如定

3、义源网络为IP地址10.2.1.8，应采用子网掩码255.255.255.255；而10.2.1.0/24网络的子网广播地址，应采用IP地址10.2.1.255、子网掩码 255.255.255.255 来定义。定义某个网络时，在子网掩码为0”的位设置IP地址位为“0”。例如要定义网络10.2.1.0/24,则采用IP 地址10.2.1.0、子网掩码255.255.255.0来定义；要定义网络10.2.1.192/27,则采用IP地址10.2.1.192、 子网掩码255.255.255.224来定义。你还可以通过协议来进行筛选。在IP筛选器中，你可以设置为使用TCP、TCP （已建立的）、U

4、DP、ICMP、其他指定协 议号的IP协议或者任何IP协议来进行筛选。其中TCP和TCP（已建立的）区别在于是否已经建立好了 TCP连接，这 是IP筛选器的状态过滤功能。例如，对于一个从外部网络源端口 80发送至本地网络目标端口 1031的入站IP数据包， 如果你入站筛选器中选择的协议类型为TCP （已建立的），那么只有当过去已经从本地端口 1031和外部网络端口 80 创建了 TCP连接时（即本地网络先访问了外部网络，这是外部网络返回的数据），此数据包才会匹配此IP筛选器； 如果你协议类型选择为TCP，那么不管本地端口是否和远端端口已经创建了连接，均会匹配此IP筛选器。此外，在路由和远程访问

5、服务中，如果你启用了 NAT/基本防火墙服务，则你可以对连接到Internet的公用接口设置基本防火墙。基本防火墙是一个具有状态过滤的防火墙，它的工作原理是这样的：基本防火墙会将每一个从专用网络（内部网络）发往公用接口的IP数据包记录到一个连接状态表中，当从公用接口接收到某个数据包时，基本防火墙 将此数据包和连接状态表中的记录进行比较，如果比较结果显示是由专用网络发起的通讯，则允许此IP数据包；如 果比较结果显示不是由专用网络发起的通讯，则丢弃此IP数据包。通过这种方式，基本防火墙可使来自公用网络的 未经请求的通讯无法到达专用网络，保证了专用网络的安全。基本防火墙类似于公用接口上的入站筛选器，

6、但是和入站筛选器有些区别，主要在于： 基本防火墙只能在公用接口上设置，而入站筛选器可以在专用网络接口上设置； 基本防火墙比入站筛选器具有更高的优先级；基本防火墙配置更为简单。你在公用接口属性中的服务和端口、ICMP标签中的配置都会在基本防火墙上开放相 应的协议和端口，但不会设置相应的入站筛选器；除此之外，基本防火墙不可配置。基本防火墙和入站筛选器是独立的，对于每一个入站IP数据包，必须同时基本防火墙和入站筛选器的设置， 否则将被丢弃。因此对于公用接口，当配置使用基本防火墙时，不建议再配置入站筛选器。深入理解路由和远程访问服务中的筛选器和基本防火墙在路由和远程访问服务中，具有两种筛选器：请求拨号

7、筛选器和数据包筛选器。它们的配置方式是一样的，但是作用 不同，针对的接口也不同。请求拨号筛选器只是针对请求拨号接口，它在初始化请求拨号接口之前使用，作用为确定引起请求拨号初始化的IP数 据包。当路由和远程访问服务接收到匹配某个请求拨号接口所设置的请求拨号筛选器的IP数据包时，会自动初始化此 请求拨号连接，从而进行数据包的路由转发。配置的操作步骤为在RRAS管理控制台中展开服务器，然后点击网络接 口，然后在右边窗口中右击请求拨号接口名，然后选择设置 IP 请求拨号筛选器，如下图所示：弹出的设置请求拨号筛选器窗口如下图所示，其中你可以选择仅为下面所设置的筛选器进行请求拨号或者为除了下面所设置的筛选

8、器外的所有通信进行请求拨号，默认情况下，为所有通信初始化请求拨号连接。而数据包筛选器用于 IP 数据包的过滤。数据包筛选器分为入站筛选器和出站筛选器，分别对应接收到的数据包和 发出的数据包。对于某一个接口而言，入站数据包指的是从此接口接收到的数据包，而不论此数据包的源IP地址和目 的IP地址；出站数据包指的是从此接口发出的数据包，而不论此数据包的源IP地址和目的IP地址。类似于请求拨 号筛选器,你可以在入站筛选器和出站筛选器中定义RRAS只是允许筛选器中所定义的IP数据包或者允许除了筛选器 中定义的IP数据包外的所有数据包，对于没有允许的数据包，RRAS将会丢弃此数据包。配置 Windows

9、Server 2003 作为网络间的路由器在Windows服务器系统中，均提供了路由和远程访问（RRAS）服务。其实路由和远程访问服务是两部分功能的结合: 路由服务和远程访问服务。通过RRAS提供的路由功能，你可以把你的Windows服务器配置为一台路由器。RRAS 中提供的路由服务主要有：不同网络间数据包的路由功能；静态路由支持； DHCP 中继代理协议支持； NAT 路由支持； IGMP、RIPv2、OSPF路由协议支持；在这篇文章中，我主要给大家介绍一下如何配置Windows服务器作为不同网络间的路由器。Windows服务器是严 格根据自己的路由表来决定如何对数据进行路由的。路由表是根据

10、自己网络接口的配置而产生，并且可以通过手动配 置静态路由或者从RIPv2、OSPF的动态路由协议获得更新。查看系统的路由表的方式有两种： 在命令提示符下运行 route print 命令；在RRAS管理控制台中查看路由表，具体操作方法为在RRAS管理控制台展开服务器名，然后展开IP路由选 择，右击静态路由，选择显示IP路由表。配置Windows Server 2003作为网络间路由器的过程非常简单：首先，你需要正确配置这台Windows服务器不同 网络接口的TCP/IP属性，如IP地址、子网掩码、默认网关等等，然后点击管理工具下的路由和远程访问，在弹出的 路由和远程访问管理控制台上，你可以看到

11、服务器名左侧图标上有个红色向下的箭头，这表明服务器未运行。右击服 务器名，然后选择配置并启用路由和远程访问，亘路由和运程访何丈件 操作 查看 帮蹲谢0血他同型几由J .二固舸W囹励WA路古和远程访问 ,J服务器状态llllllllllllllllllllllllllllllll!Ill 11111 MUNICH mH配置并启用路由和远程访问i所有任务自和远程访问在弹出的欢迎使用路由和远程访问服务器安装向导页，点击下一步；在配置页，选择自定义配置，然后点击下一步；在自定义配置页，选择 LAN 路由，然后点击下一步；自定兴配置关闭此向导后,选挥您想在此服劳器上启用的服务-r vpn访问理）r拨号访

12、问）洁求拨号连接（由分支办鸟室路由使用）r NAT和基本防致墙JV*連嗨鱼页，RRAS选择摘要2LAN跻由凶星否蝕路由和远程访问服务现在已被安装要开贻服务吗空了毎已成功完成跻由和远程访问服塔器安装向导O驱消仝制台中11卑击完販帀泳天团打可导屬由和运程访何翳由和运程谊冋服务器安装R导上一歩gj 完成等待几秒后，RRAS完成配置后自动开始运行，如下图所示，你可以看到，服务器名左侧的图标上有个绿色向上的箭头，这表明RRAS已经正常运行并提供路由服务了。9路胶和远程访冋fcrj-l亠 八 JJ itiJ-. J. -J J _|文件操作查看里_帮助匕*回眄X囹团餾服务器状态MUBICKt 怎地 1蛊

13、路由和远程访问十芟：EF路由选择十塹远程访问策略sd远程访问记录默认情况下RRAS只会路由本地局域网中的数据包。在RRAS提供请求拨号服务访问Internet时，你应该配置它同时路由请求拨号接口的数据包，配置方式为右击服务器名，选择属性，然后在常规标签中，选择用于局域网和请求拨号路由选择。不过此选项通常情况下无需 你额外配置，在启用NAT服务并使用请求拨号接口时，会自动设置为此选项。你可以在静态路由中创建静态路由，操作步骤为右击静态路由，选择新建静态路由，如下图所示：車器由和运程访冋宜件d）操作（A）查看莎囁哥融阪莎药3 * |勺画|圈园|渗静态賂曲目标A路由和远程访问一服务器状誉 :- 爲

14、MUBICH 体地）： 夏网貉接口-莫IF路由选择 壹常规显示IF路主表迅）查看（Y）.茎+雹远想丽 + 21远程访问刷新（X）导出列表（1）.帮助QI）i你也可以在命令提示符下通过route add命令来添加静态路由。其实 Windows 操作系统均具有数据包路由的功能，只是默认并未启用。你可以修改HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 路径下的 Dword 键值 IPEnableRouter当它的值为1 时，启用数据包路由功能，默认为0，即为不启用。通过IPEnableRouter注册表键值启用路由功

15、能和通过RRAS启用路由功能的区别在于RRAS除了提供路由功能 外，还提供数据包筛选器的数据包过滤功能。关于数据包筛选器详细的信息，请参见深入理解路由和远程访问服务中 的筛选器和基本防火墙一文。子网掩码(sub net mask)是每个网管必须要掌握的基础知识，只有掌握它，才能够真正理解TCP/IP协议的设置。以 下我们就来深入浅出地讲解什么是子网掩码。IP 地址的结构要想理解什么是子网掩码，就不能不了解IP地址的构成。互联网是由许多小型网络构成的，每个网络上都有许多 主机，这样便构成了一个有层次的结构。IP地址在设计时就考虑到地址分配的层次特点，将每个IP地址都分割成网 络号和主机号两部分，

16、以便于IP地址的寻址操作。IP 地址的网络号和主机号各是多少位呢？如果不指定，就不知道哪些位是网络号、哪些是主机号，这就需要通过 子网掩码来实现。子网掩码不能单独存在，它必须结合IP地址一起使用。子网掩码只有一个作用，就是将某个IP地址划分成网络 地址和主机地址两部分。子网掩码的设定必须遵循一定的规则。与IP地址相同，子网掩码的长度也是32位，左边是网络位，用二进制数 字“1”表示；右边是主机位，用二进制数字“0”表示。只有通过子网掩码，才能表明一台主机所在的子网与其他子 网的关系，使网络正常工作。子网掩码的术语是扩展的网络前缀码不是一个地址，但是可以确定一个网络层地址哪一部分是网络号，哪一部

17、分 是主机号，1的部分代表网络号，掩码为0的部分代表主机号。子网掩码的作用就是获取主机IP的网络地址信息， 用于区别主机通信不同情况，由此选择不同路。其中A类地址的默认子网掩码为255.0.0.0； B类地址的默认子网掩 码为255.255.0.0； C类地址的默认子网掩码为：255.255.255.0。如何通过子网掩码来确定网络号或者网络地址？通过 IP 地址的二进制与子网掩码的二进制进行与运算进行定某个设备的网络地址， 也就是说通过子网掩码分辨一个网络的网络部分和主机部分子网掩码一旦设置，网络地址和主机地址就固定了。 相对于使用子网掩码来识别网络地址，早期的使用类别进行网络地址的分类存在着

18、地址大量浪费的不足。子网一个最显著的特征就是具有子网掩码。与IP地址相同，子网掩码的长度也是32位，也可以使用十进制的形 式。例如，为二进制形式的子网掩码： 11111111111111111111111100000000，采用十进制的形式为： 255.255.255.0。1. 子网掩码的概念子网掩码是一个32位地址，用于屏蔽IP地址的一部分以区别网络标识和主机标识，并说明该IP地址是在局域 网上，还是在远程网上。2. 确定子网掩码数 用于子网掩码的位数决定于可能的子网数目和每个子网的主机数目。在定义子网掩码前，必须弄清楚本来使用的子网数和主机数目。定义子网掩码的步骤为：A、确定哪些组地址归我

19、们使用。比如我们申请到的网络号为“210.73.a.b”，该网络地址为c类IP地址，网 络标识为“210.73”，主机标识为“a.b”。B、根据我们现在所需的子网数以及将来可能扩充到的子网数，用宿主机的一些位来定义子网掩码。比如我们现在 需要12个子网，将来可能需要16个。用第三个字节的前四位确定子网掩码。前四位都置为“1”(即把第三字节的 最后四位作为主机位，其实在这里有个简单的规律，非网络位的前几位置1原网络就被分为2的几次方个网络，这样 原来网络就被分成了2的4次方16个子网)，即第三个字节为“1 1 1 10000” ，这个数我们暂且称作新的二进制子 网掩码。C、把对应初始网络的各个位

20、都置为“1”，即前两个字节都置为“1”，第四个字节都置为“0”，则子网掩码的 间断二进制形式为：“11111111.11111111.11110000.00000000”D、把这个数转化为间断十进制形式为：“255.255.240.0”这个数为该网络的子网掩码。3.IP 掩码的标注A、无子网的标注法对无子网的IP地址，可写成主机号为0的掩码。如IP地址210.73.140.5,掩码为255.255.255.0，也可以 缺省掩码，只写 IP 地址。B、有子网的标注法有子网时，一定要二者配对出现。以C类地址为例。1.IP地址中的前3个字节表示网络号，后一个字节既表明子网号，又说明主机号，还说明两个

21、IP地址是否属于 一个网段。如果属于同一网络区间，这两个地址间的信息交换就不通过路由器。如果不属同一网络区间，也就是子网 号不同，两个地址的信息交换就要通过路由器进行。例如：对于IP地址为210.73.140.5的主机来说，其主机标识 为00000101,对于IP地址为210.73.140.16的主机来说它的主机标识为00010000,以上两个主机标识的前面 三位全是 000，说明这两个 IP 地址在同一个网络区域中，这两台主机在交换信息时不需要通过路由器进行。10.73.60.1的主机标识为00000001，210.73.60.252的主机标识为11111100，这两个主机标识的前面三位00

22、0 与011 不同，说明二者在不同的网络区域，要交换信息需要通过路由器。其子网上主机号各为1 和252。2.掩码的功用是说明有子网和有几个子网，但子网数只能表示为一个范围，不能确切讲具体几个子网，掩码不说 明具体子网号，有子网的掩码格式（对C类地址）。子网掩码的表示方法子网掩码通常有以下2种格式的表示方法：1. 通过与IP地址格式相同的点分十进制表示如： 255.0.0.0 或 255.255.255.1282. 在IP地址后加上7符号以及1-32的数字，其中1-32的数字表示子网掩码中网络标识位的长度如： 192.168.1.1/24 的子网掩码也可以表示为 255.255.255.0子网掩

23、码和ip地址的关系注意这讲的都是有类网！子网掩码是用来判断任意两台计算机的IP地址是否属于同一子网络的根据。最为简单的理解就是两台计算机各自的IP地址与子网掩码进行AND运算后，如果得出的结果是相同的，则说明 这两台计算机是处于同一个子网络上的，可以进行直接的通讯。就这么简单。请看以下示例：运算演示之一： aaI P 地址 192.168.0.1子网掩码 255.255.255.0AND运算（AND运算法则：1与1 = 1 ,1与0 = 0 ,0与1 = 0 ,0与0 = 0 ,即当对应位均为1时结果为 1，其余为 0。 ）转化为二进制进行运算：I P 地址 11000000.10101000

24、.00000000.00000001子网掩码 11111111.11111111.11111111.00000000AND 运算11000000.10101000.00000000.00000000转化为十进制后为：192.168.0.0运算演示之二：I P 地址 192.168.0.254子网掩码 255.255.255.0AND 运算转化为二进制进行运算：I P 地址 11000000.10101000.00000000.11111110子网掩码 11111111.11111111.11111111.00000000AND 运算11000000.10101000.00000000.0000

25、0000 转化为十进制后为：192.168.0.0 运算演示之三：I P 地址 192.168.0.4子网掩码 255.255.255.0AND 运算转化为二进制进行运算：I P 地址 11000000.10101000.00000000.00000100子网掩码 11111111.11111111.11111111.00000000AND 运算11000000.10101000.00000000.00000000 转化为十进制后为：192.168.0.0通过以上对三组计算机IP地址与子网掩码的AND运算后，我们可以看到它运算结果是一样的。均为192.168.0.0 所以计算机就会把这三台计算

26、机视为是同一子网络，然后进行通讯的。我现在单位使用的代理服务器，内部网络 就是这样规划的。也许你又要问，这样的子网掩码究竟有多少了 IP地址可以用呢？你可以这样算。根据上面我们可以看出，局域网内部的ip地址是我们自己规定的（当然和其他的ip地址是一样的），这个是由子 网掩码决定的通过对255.255.255.0的分析。可得出：前三位IP码由分配下来的数字就只能固定为192.168.0所以就只剩下了最后的一位了，那么显而易见了，ip 地址只能有（2的8次方-1 ） ，即256-1=255一般末位为0或者是255的都有其特殊的作用。那么你可能要问了 :如果我的子网掩码不是 255.255.255.

27、0 呢？你也可以这样做啊假设你的子网掩码是 255.255.128.0那么你的局域网内的ip地址的前两位肯定是固定的了 这样，你就可以按照下边的计算来看看同一个子网内到底能有多少台机器1、十进制128 = 二进制 1000 00002、IP码要和子网掩码进行AND运算3、I P 地址 11000000.10101000.1*.*子网掩码 11111111.11111111.10000000.00000000AND 运算11000000.10101000.10000000.00000000转化为十进制后为：192 . 168. 128 . 04、可知我们内部网可用的IP地址为：11000000.

28、10101000.10000000.00000000到11000000.10101000.11111111.111111115、转化为十进制：192 . 168.128.0 到192 . 168.255.2556、0和 255通常作为网络的内部特殊用途。通常不使用。7、于是最后的结果如下：我们单位所有可用的IP地址为：192.168.128.1- 192.168.128.254192.168.129.1- 192.168.129.254192.168.130.1- 192.168.130.254192.168.131.1- 192.168.131.254192.168.139.1- 192.1

29、68.139.254192.168.140.1- 192.168.140.254192.168.141.1- 192.168.141.254192.168.142.1- 192.168.142.254192.168.143.1- 192.168.143.254192.168.254.1- 192.168.254.254192.168.255.1- 192.168.255.254 8、总数为(255-128+1)*(254-1+1) =128 * 254 = 32512子网内包含的机器数目应该是2n-2,比如说上面的子网掩码是255.255.128.0,那么他的网络号是17位， 主 机 号 是

30、15 位 ， 只 要 主 机 号 不 全 是 0 或 者 1 就 是 可 以 的 ， 所 以 ip 地 址 是 192.168.192.0(11000000.10101000.11000000.00000000)也允许,除掉全 0 全 1,结果为 2人15-2 = 32766, 上面的落了好多地址9、看看的结果是否正确(1) 、设定 IP 地址为 192.168.128.1Ping 192.168.129.233通过测试访问http:/192.168.129.233可以显示出主页(2) 、设定 IP 地址为 192.168.255.254Ping 192.168.129.233通过测试访问ht

31、tp:/192.168.129.233可以显示出主页10、结论 以上证明我们的结论是对的。现在你就可以看你的子网中能有多少台机器了255.255.255.128分解：11111111.11111111.11111111.1000000所以你的内部网络的ip地址只能是xxxxxxxx.xxxxxxxx.xxxxxxxx.0?到xxxxxxxx.xxxxxxxx.xxxxxxxx.01111111子网掩码(1) 子网TCP/IP网间网技术产生于大型主流机环境中，它能发展到今天的规模是当初的设计者们始料未及的。网 间网规模的迅速扩展对IP地址模式的威胁并不是它不能保证主机地址的唯一性，而是会带来两方

32、面的负担：第一，巨 大的网络地址管理开销；第二,网关寻径急剧膨胀。其中第二点尤为突出,寻径表的膨胀不仅会降低网关寻径效率(甚 至可能使寻径表溢出，从而造成寻径故障)，更重要的是将增加内外部路径刷新时的开销，从而加重网络负担。因此，迫切需要寻求新的技术，以应付网间网规模增长带来的问题。仔细分析发现，网间网规模的增长在内部主 要表现为网络地址的增减，因此解决问题的思路集中在：如何减少网络地址。于是IP网络地址的多重复用技术应运而 生。通过复用技术，使若干物理网络共享同一 IP网络地址，无疑将减少网络地址数。子网编址(sub net add ressi ng)技术，又叫子网寻径(sub net ro

33、uti ng)，英文简称sub nett ing,是最广泛 使用的IP网络地址复用方式，目前已经标准化，并成为IP地址模式的一部分。一般的，32位的IP地址分为两部分， 即网络号和主机号，我们分别把他们叫做IP地址的“网间网部分”和“本地部分”。子网编址技术将本地部分进一步 划分为“物理网络”部分和“主机”部分，如图：网间网部分物理网络主机I _网间网部分一 I | -物理网络一 | |其中“物理网络”用于标识同一 IP网络地址下的不同物理网络即是“子网”。(2) 子网掩码IP协议标准规定：每一个使用子网的网点都选择一个32位的位模式，若位模式中的某位置1,则对 应IP地址中的某位为网络地址(

34、包括网间网部分和物理网络号)中的一位；若位模式中的某位置0则对应IP地址 中的某位为主机地址中的一位。例如位模式：11111111 11111111 11111111 00000000中，前三个字节全1,代表对应IP地址中最高的三个字节为网 络地址；后一个字节全0,代表对应IP地址中最后的一个字节为主机地址。这种位模式叫做子网模(subnet mask) 或“子网掩码”。为了使用的方便,常常使用“点分整数表示法”来表示一个IP地址和子网掩码，例如c类地址子网掩码(11111111 11111111 11111111 00000000)为： 255.255.255.0 IP 协议关于子网掩码的定

35、义提供一种有趣的灵活性，允 许子网掩码中的“0”和“1”位不连续。但是,这样的子网掩码给分配主机地址和理解寻径表都带来一定困难,并且 极少的路由器支持在子网中使用低序或无序的位,因此在实际应用中通常各网点采用连续方式的子网掩码。像 255.255.255.64和255.255.255.160等一类的子网掩码不推荐使用。(3) 子网掩码与IP地址子网掩码与IP地址结合使用，可以区分出一个网络地址的网络号和主机号。例如：有一个C类地址为：192. 9. 200. 13其缺省的子网掩码为：255. 255. 255. 0则它的网络号和主机 号可按如下方法得到： 将 IP 地址 192. 9. 200

36、. 13 转换为二进制 11000000 00001001 11001000 00001101 将子网掩码 255. 255. 255. 0 转换为二进制 11111111 11111111 11111111 00000000 将两个二进制数逻辑与(AND)运算后得出的结果即为网络部分11000000 00001001 11001000 00001101 AND 11111111 11111111 11111111 0000000011000000 00001001 11001000 00000000结果为192.9.200.0，即网络号为192.9.200.0。 将子网掩码取反再与IP地址逻辑与(AND)后得到的结果即为主机部分11000000 00001001 11001000 00001101 AND 00000000 00000000 00000000 11111111 00000000 00000000 00000000 00001101 结果为0.0.0.13，即主机号为13。