一、實驗概述
本實驗旨在通過實際操作，掌握基于Microsoft Threat Management Gateway（TMG）防火墻的安全策略配置，并結(jié)合后端Web服務(wù)器虛擬機，構(gòu)建一個安全的網(wǎng)絡(luò)服務(wù)環(huán)境。實驗?zāi)M了計算機軟硬件及輔助設(shè)備零售企業(yè)的典型網(wǎng)絡(luò)拓?fù)洌渲蠺MG防火墻作為邊界安全設(shè)備，對內(nèi)部Web服務(wù)器進行保護與訪問控制。
二、實驗拓?fù)渑c目標(biāo)
網(wǎng)絡(luò)拓?fù)浜喪觯?/strong>
外部網(wǎng)絡(luò)： 模擬互聯(lián)網(wǎng)環(huán)境（如192.168.1.0/24）。
TMG防火墻： 部署于邊界，配置雙網(wǎng)卡，分別連接外部網(wǎng)絡(luò)與內(nèi)部受信網(wǎng)絡(luò)。
* 內(nèi)部網(wǎng)絡(luò)： 受信網(wǎng)絡(luò)（如10.0.0.0/24），其中運行一臺提供“計算機軟硬件及輔助設(shè)備零售”官網(wǎng)服務(wù)的Web服務(wù)器虛擬機。
核心任務(wù)目標(biāo)：
1. 基礎(chǔ)網(wǎng)絡(luò)配置： 為TMG防火墻及內(nèi)部Web服務(wù)器正確配置IP地址、網(wǎng)關(guān)，確保網(wǎng)絡(luò)連通性。
2. TMG防火墻策略配置： 創(chuàng)建訪問規(guī)則，允許外部客戶端訪問內(nèi)部Web服務(wù)器的HTTP（80端口）及HTTPS（443端口）服務(wù)，同時默認(rèn)阻止其他所有入站流量。
3. Web服務(wù)器發(fā)布： 在TMG上配置“Web服務(wù)器發(fā)布規(guī)則”，將內(nèi)部Web服務(wù)器的服務(wù)安全地發(fā)布到互聯(lián)網(wǎng)。
4. 安全驗證： 從外部網(wǎng)絡(luò)客戶端嘗試訪問Web服務(wù)，驗證策略生效情況，并使用TMG日志驗證訪問記錄。
三、關(guān)鍵步驟、配置命令與截圖
步驟1：網(wǎng)絡(luò)基礎(chǔ)配置
- TMG網(wǎng)絡(luò)配置： 在TMG管理控制臺中，配置網(wǎng)絡(luò)適配器。外部網(wǎng)卡（如192.168.1.10/24，網(wǎng)關(guān)指向外部路由器），內(nèi)部網(wǎng)卡（如10.0.0.1/24）。
- 關(guān)鍵命令/操作位置： TMG控制臺 ->
網(wǎng)絡(luò)連接->網(wǎng)絡(luò)適配器。
- 驗證截圖： 截圖顯示兩塊網(wǎng)卡的IP配置正確，并能從TMG ping通外部網(wǎng)關(guān)（如192.168.1.1）和內(nèi)部Web服務(wù)器（10.0.0.2）。
- Web服務(wù)器配置： 在虛擬機中，將Web服務(wù)器（如IIS）的IP地址設(shè)置為10.0.0.2/24，默認(rèn)網(wǎng)關(guān)指向TMG內(nèi)部接口IP（10.0.0.1）。
- 驗證截圖： 截圖顯示W(wǎng)eb服務(wù)器網(wǎng)絡(luò)配置及本地IIS默認(rèn)網(wǎng)站運行正常。
步驟2：配置TMG防火墻訪問規(guī)則
- 創(chuàng)建“允許外部訪問Web”規(guī)則：
- 操作位置： TMG控制臺 ->
防火墻策略。
- 關(guān)鍵配置：
- 規(guī)則名稱：
Allow<em>HTTP</em>HTTPS<em>To</em>WebServer
- 操作為：
允許
- 協(xié)議：
HTTP和HTTPS
- 源：
外部（網(wǎng)絡(luò)）
- 目標(biāo)：
內(nèi)部->添加-> 選擇Web服務(wù)器計算機對象或直接輸入IP（10.0.0.2）
- 用戶集：
所有用戶
- 配置截圖： 截圖清晰顯示新建規(guī)則的屬性配置頁面，特別是協(xié)議、源、目標(biāo)設(shè)置。
- 確保默認(rèn)規(guī)則生效： 檢查并確保TMG末尾的默認(rèn)規(guī)則是“拒絕所有”的防火墻策略。
步驟3：發(fā)布內(nèi)部Web服務(wù)器
- 創(chuàng)建Web發(fā)布規(guī)則：
- 操作位置： TMG控制臺 ->
防火墻策略-> 右側(cè)任務(wù)窗格點擊發(fā)布網(wǎng)站。
- 關(guān)鍵配置：
- 規(guī)則名稱：
Publish<em>Retail</em>Web_Server
- 選擇
發(fā)布單個網(wǎng)站或負(fù)載平衡器。
- 服務(wù)器連接安全：
使用不安全的連接發(fā)布的Web服務(wù)器或服務(wù)器場。
- 內(nèi)部發(fā)布細(xì)節(jié)：內(nèi)部站點名稱填寫
10.0.0.2（或服務(wù)器主機名）。
- 公共名稱細(xì)節(jié)：輸入公共域名或外部IP（如
www.example-retail.com或 TMG外部IP192.168.1.10）。
- Web偵聽器：選擇或新建一個偵聽外部IP地址80和443端口的偵聽器。
- 身份驗證委派：選擇
無委派，客戶端無法直接進行身份驗證。
- 用戶集：
所有用戶。
- 配置截圖： 截圖顯示W(wǎng)eb發(fā)布規(guī)則向?qū)У年P(guān)鍵步驟配置頁面。
- 應(yīng)用策略更改： 在TMG控制臺頂部點擊
應(yīng)用按鈕，使所有新配置的策略生效。
- 截圖： 顯示策略應(yīng)用成功的提示框。
步驟4：功能與安全性驗證
- 外部訪問測試：
- 從外部網(wǎng)絡(luò)的客戶端（如IP: 192.168.1.100）打開瀏覽器，輸入TMG防火墻的外部IP地址（
http://192.168.1.10）。
- 預(yù)期結(jié)果： 成功顯示內(nèi)部Web服務(wù)器（10.0.0.2）上的“計算機軟硬件及輔助設(shè)備零售”網(wǎng)站頁面。
- 驗證截圖： 瀏覽器成功訪問網(wǎng)站的截圖。
- 非授權(quán)訪問測試：
- 嘗試從外部客戶端訪問Web服務(wù)器的其他端口（如FTP 21端口）或使用非HTTP/HTTPS協(xié)議訪問。
- 預(yù)期結(jié)果： 連接被拒絕或超時，證明防火墻默認(rèn)阻止策略生效。
- 驗證截圖： 可使用
telnet 192.168.1.10 21命令測試，顯示連接失敗。
- TMG日志驗證：
- 操作位置： TMG控制臺 ->
日志和報告-> 查看防火墻日志。
- 關(guān)鍵查看： 篩選出源IP為外部測試客戶端（192.168.1.100），目標(biāo)為Web服務(wù)器（10.0.0.2）的日志記錄。應(yīng)能看到HTTP/HTTPS請求被
允許的記錄，以及可能存在的其他協(xié)議被拒絕的記錄。
- 驗證截圖： 截圖顯示TMG日志查詢結(jié)果，清晰展示允許和拒絕的訪問條目。
四、實驗
本次實驗成功在一個模擬的零售企業(yè)網(wǎng)絡(luò)環(huán)境中，部署并配置了TMG防火墻以保護內(nèi)部的Web應(yīng)用服務(wù)器。通過配置精確的防火墻訪問規(guī)則和Web發(fā)布規(guī)則，實現(xiàn)了將“計算機軟硬件及輔助設(shè)備零售”網(wǎng)站安全地發(fā)布到互聯(lián)網(wǎng)，同時遵循了最小權(quán)限原則，僅開放必要的服務(wù)端口（80/443）。驗證過程表明，TMG防火墻能夠有效控制內(nèi)外網(wǎng)流量，記錄詳細(xì)的訪問日志，為網(wǎng)絡(luò)安全管理提供了有力支撐。本實驗的關(guān)鍵在于理解網(wǎng)絡(luò)拓?fù)洹⒉呗砸?guī)則的邏輯順序（TMG按順序匹配規(guī)則）以及發(fā)布規(guī)則與訪問規(guī)則的協(xié)同工作方式。
