【问题3】
包过滤规则策略是防火墙实现安全管理的重要手段，通常防火墙包过滤规则的默认策略为拒绝。图 3-9给出了防火墙的包过滤规则的相关配置界面。若要求内部所有主机不能访问外部IP地址段为 202.117.12.0/24的Web服务器，请将图3-9中(9)～(12)空缺处的内容填写完整，以完成相应的配置任务。
【供选择的答案】
(9)
- A．192.168.10.0/24
- B．211.156.169.6/28
- C．211.156.169.0/30
- D．any
(10)A．80B．8080C．53D．any
(11)A．HTTPB．TCPC．UDPD．IP
(12)A．LAN→DMZB．DMZ→WANC．LAN→WAND．DMZ→LAN
参考答案：(9) A，或192.168.10.0/24 (10) D，或any
(11) B，或TCP (12) C，或LAN→WXN
解析：这是一道要求读者掌握防火墙设备包过滤规则策略配置的分析理解题。本题的解答思路如下。
1)注意到试题中关键信息“要求内部所有主机不能访问外部IP地址段为202.117.12.0/24的Web服务器”的“内部所有主机”，这些主机在图3-7所示的网络拓扑图中对应于区域B的计算机。由于防火墙与区域B相连接的接口IP地址为192.168.10.254/24，其中子网掩码为255.255.255.0，而区域B仅给出了一台交换机，可见区域B就是一个广播域。因此(9)空缺处应填入区域B的网段地址(192.168.10.0/24)， (10)空缺处的填写内容应选择“any”。
2)通常Web服务器是使用TCP/IP协议族中的HTTP协议提供服务的，而HTTP协议是一个传输层基于TCP协议的应用层协议，同时注意到防火墙包过滤规则配置界面(见图3-9)的“目的端口”中已给出“80”的数据，因此(11)空缺处的“协议”应选择“TCP”。
3)同理，由试题的关键信息“要求内部所有主机不能访问外部……的Web服务器”可知，该包过滤规则的控制方向是控制内网传输到Internet网的数据包，即从防火墙的“LAN”端口流入，“WAN”端口流出的IP数据包，因此(12)空缺处的“方向”应选择“LAN→WAN”。