实验7：防火墙配置与NAT配置

上启动RIP。不在AR18上启动RIP的原因是私网IP的路由信息不应该被广播到公网上；不在AR28上启动RIP的原因是在本实验中公网环境中只用一台AR28路由器来模拟。

AR18-12192.0.0.1/24S0E0192.168.1.1/24192.0.0.2/24S0202.0.1.1/24E0AR28-11202.0.2.1/24E1交叉线202.0.2.2/24D交叉线192.168.1.2/24A192.168.1.3/24B202.0.1.2/24C

图2

在上述步骤完成后，NAT应该能够正常运转，下述现象应被观察到： （1） 在PC A上执行：ping 202.0.2.2，结果为“通”。请将“通”的原因写到

实验报告中。（5分）

答：因为在RA18上配置了静态路由表，并且访问控制列表上允许网段192.168.1.0 24的从Serial0上通，所以能ping的通。 （2） 在PC D上执行：ping 192.168.1.2，结果为“不通”。请将“不通”的原

因写到实验报告中。（5分）

答：因为192.168.1.2是私网地址，外网要想访问私网内的PC必须通过私网的公网IP地址，才能访问内网。

（3） 在PC C上启动IE浏览“http://192.0.0.1”，可以下载PC A Web服务器上

的网页，该网页大致内容为“网站正在建设中”。请将可以访问的原因写到实验报告中。（5分）

答：因为在PCA上建立了内部服务器，外网可以通过端口80访问内部服务器。

（4） 在PC C上启动IE浏览“http://192.168.1.2”，不可以下载PC A Web服务

器上的网页。请将不能访问的原因写到实验报告中。（5分）

答：因为192.168.1.2是私网配置的IP地址，在外网并不可见，外网只能看见它的公网IP，因此想通过192.168.1.2时不能直接访问到内部服务器的。

（5） 在PC B和C上都启动Ethereal，捕获所有TCP的包。然后在PC C上启

动IE浏览“http://192.0.0.1:8080”，将发现可以下载PC B Web服务器上的网页，该网页大致内容为“网站正在建设中”。请将用Ethereal观察到的TCP包的源和目的IP地址、源和目的端口号在私网和公网上的变化情况写到实验报告中，并据此解释NAT在上述HTTP访问过程中做了怎样的地址转换。（5分）

答：可以看到在PCB上接受到的TCP报文的目的IP地址是192.168.1.3端口是80，在PCC上发出的TCP报文的目的IP是192.0.0.1目的端口号是80源端口号是8080，可以知道NAT将目的IP是192.0.0.1目的端口号是80源端口号是8080的IP转成192.168.1.3了。 PCB的截图：

PCC的截图：

（6） 在PC D上使用“程序?附件?通讯?远程桌面连接”登录PC B，在登录

对话框中请输入IP地址“192.0.0.1”。在提示用户名和密码时，请分别输入“admin”和“admin123”，则可以登录PC B。仅验证此现象即可，不要求写实验报告。 做本实验时请注意：

（1） 关闭PC机上的防火墙。

（2） 同异步串口配置完成后，一定要执行“shutdown”和“undo shutdown”

命令，从而使之生效。

五、讨论、建议、质疑

本实验中同一个ACL可不可以用于两个不同的端口。