阅读下列有关网络防火墙的说明，回答问题1至问题4，将答案填入答题纸对应的解答栏内。
【说明】
某公司网络有200台主机、一台WebServer和一台MailServer。为了保障网络安全，安装了一款防火墙，其网络结构如图4-1所示，防火墙上配置NAT转换规则如表4-1所示。
防火墙的配置遵循最小特权原则(即仅允许需要的数据包通过，禁止其他数据包通过)，请根据题意回答以下问题。
【问题1】(6分，每空1分)
防火墙设置的缺省安全策略如表4-2所示，该策略含义为：内网主机可以访问WebServer、MailServer和Internet，Intemet主机无法访问内网主机和WebServer、MailServer。
如果要给Internet主机开放WebServer的Web服务以及MaiIServer的邮件服务，请补充完成表4-3的策略。(注：表4-3策略在表4-2之前生效)
【问题2】(3分，每空1分)
如果要禁止内网用户访问Internet上202.10.20.30的FTP服务，请补充完成表4-4的策略。
(注：表4-4策略在表4-2之前生效)
问题3】(4分，每空1分)
如果要禁止除PC1以外的所有内网用户访问Internet上219.16.17.18的Web服务，请补充
完成表4-5的策略。(注：表4-5策略在表4-2之前生效)
【问题4】(2分，每空1分)
如果要允许Intemet用户通过Ping程序对WebServer的连通性进行测试，请补充完成表4-6的策略。(注：表4-6策略在表4-2之前生效)
【问题1】 (6分) (1) 192.168.2.2 (2) 80 (3)允许 (4) 192.168.2.3 (5) SMTP (6)允许 【问题2】(3分) (7) EO-> E2 (8) Any (9)禁止 【问题3】（4分） (10) 192.168.1.1 (11)允许 (12) Any或192.168.1.0/24 (13)禁止 【问题4】（2分） (14) 192.168.2.2 (15) ICMP 【解析】 解析： 【问题1】 (6分) 正如题干所描述的，防火墙默认配置允许内网访外网和DMZ，但不允许外网访问内网和DMZ，这样的配置从安全角度来说无可厚非，但从应用角度来说就不合适了。DMZ中的web、mail服务器是需要发布到出去的，换言之是要允许外网的用户访问的，所以为了实现这一点，我们需要额外添加访问规则允许外网访问DMZ中web和mail服务器，而且添加的规则一定要在防火墙默认规则之前生效，基于这一点，我们在表4-3中添加的规则就比较容易了。允许外网访问 web和mail服务器，那么其流量源就是外部地址，用any来表示，那么流量目的地就是DMZ区域的web和mail服务器地址,其流量的方向是E2--->E1,对应的ip地址分别是192.168.2.2、192.168.2.3，对应的目的端口分别是TCP 80、TCP 25，对应的协议分别是HTTP、SMTP，给予的工作都是允许，故(1)~(6)的答案是： (1) 192.168.2.2 (2) 80 (3)允许 (4) 192.168.2.3 (5) SMTP (6)允许 【问题2】(3分) 要禁止内网访问internet上202.10.20.30的FTP服务，其流量方向为E0-->E2,源地址192.168.1.0/24，源端口是随机端口，所以是any，给予的动作是禁止，目的地址为202.10.20.30，目的端口是21，所以(7)~(9)答案为： (7) EO-> E2 (8) Any (9)禁止 【问题3】（4分） 要禁止除PC1以外的所有内网用户访问Internet上219.16.17.18的Web服务，在添加规则的时候一定是先处理特权流量，再处理范围流量。根据题意，是允许 PC1访问219.16.17.18的web服务，但拒绝192.168.1.0/24网络其他主机访问219.16.17.18的web服务。所以在写规则的时候先要添加针对于PC1访问219.16.17.18的web服务给予允许规则，在添加对于192.168.1.0/24访问219.16.17.18的web服务给予禁止规则，由此得到(10)~(13)的答案是： (10) 192.168.1.1 (11)允许 (12) Any或192.168.1.0/24 (13)禁止 【问题4】（2分） 结合前面几个问题的分析和解答，不难得出这道题的答案为： (14) 192.168.2.2 (15) ICMP
