测试项目
一．测试项目
包过滤，NAT，地址绑定，本地访问控制，多播，TRUNK,代理路由,内容过滤,报警,审计实时监控,攻击，双机热备,性能。
二．测试环境简略拓扑图
10.10.1.240
10.10.1.1 10.10..3.1 FW1 10.10.2.1 10.10.2.240 172.1.1.1 192.168.1.10 FW2 172.10.2.1 192.168.2.1 FW3 172.10.1.1 Si 192.168.1.1 172.10.1.20 172.10.3.1 192.168.3.1 192.168.1.20 192.168.3.10 192.168.3.20 172.10.1.10 10.10.3.10 （192.168.3.30） 10.10.3.20 （192.168.1.30） 10.10.11.10 10.10.12.20 10.10.11(2).1 （192.168.2.252） 172.10.3.10 172.10.3.20 （192.168.2.251） 172.10.2.254 192.168.2.254 （192.168.2.253）
图1
1
管理器
172.16.1.10 192.168.1.10
192.168.1.251 172.16.1.20 192.168.1.20
192.168.1.11 192.168.1.21
图2
说明：在括号内的IP地址，为测试单一防火墙功能时所用的IP地址。
图2仅为测试TRUNK,代理路由和非IP规则时使用.
三．测试前软件环境的准备
1. 子网主机具有Linux，windows 2000（or 98 or NT）两种环境。 2. 测试环境Linux主机配置www，ftp，telnet服务，同时安装nmap，http_load，sendudp
等测试工具；Windows主机配置ftp，telnet，iis，snmp等服务，同时安装IE，Netscape等浏览器
3. 防火墙分区内主机的网关都设为指向所连防火墙当前连接接口，ip地址为当前网段
的1地址。例：当前主机所在网段为192.168.1.0，那么它的网关为192.168.1.1，即防火墙接入接口的ip地址。
4. 防火墙的默认路由均指向其通往广域网的路由器或三层交换机。 5. 在广域网中采用静态路由和动态路由（rip或ospf）两种。 6. 。
四.功能说明及规则设计。
针对防火墙各项功能，分别加以说明。 A. 包过滤――――区间通信。
2
1.）单一地址 2.）多地址
规则设计：a.方向：区1—>区2 b.操作：允许（拒绝）
c.协议：tcp，udp，icmp和其它协议号的协议。 d.审计：是（否） e.有效时间段
B.地址绑定――――ip，mac地址绑定。防止地址欺骗。
a) 单一地址绑定 b) 多地址绑定。
规则设计：a.方向：区1—>区2
b.操作：允许（或拒绝）
C本地访问控制――――对管理主机的访问进行控制 1．）单一地址 2.）多地址
规则设计：a.操作：1.允许ping ，telnet等。 2.允许管理
D NAT――――地址，端口的转换。私有ip转为公网ip。
1．）一对一 2.）多对一 3.）多对多
规则设计：a.方向： 区1－>区2.
b.操作：拒绝（或允许）
c.协议：tcp，udp，icmp和其它协议号的协议。 d.审计：是（否）
E多播――――解决一对多的通信。
1. 单一多播源，多接收端。 2. 多多播源，多接收端。
G.TRUNK,代理路由――――复用链路,为防火墙单一区域内的子网通信进行路由. H.报警――――利用邮件,TRAP,蜂鸣等及时向管理员报告防火墙的信息. I .审计――――审计防火墙上的访问,及事件信息,防火墙的状态.
J.实时监控――――实时检测防火墙的通讯情况,跟踪防火墙的运行状况. K攻击――――防攻击。
检测企图通过防火墙实施攻击的行为,并报警,阻断攻击。 L．双机热备――――设备冗余。
同一网络，两台防火墙，一台设为激活状态，另一台设为备份状态。当激活状态的
防火墙down掉时，备份防火墙接管。 通过测试用例来对具体的操作进行阐述。
在所有的规则制定中考虑范围内取非，范围的临界值，中间值情况,时间的控制等。 A. 包过滤
3
测试项目 测试内容 测试环境 包过滤 IP过滤规则对ICMP数据包的过滤效果 1. 路由模式 2. Linux，windows。 测试日期 1. 192.168.1.10-100－>192.168.2.254 ICMP允许。（内到外） 规则指定 192.168.2.254－>192.168.3.10 ICMP允许。（外到DMZ） 192.168.3.1-15－>192.168.1.10 ICMP允许。（DMZ到内） 1. 在192.168.1.10上ping 192.168.2.254，在192.168.2.254上ping 192.168.3.10，在192.168.3.10上ping 192.168.1.10。并反方向ping。 2. 在192.168.1.10上telnet 192.168.2.254，在192.168.2.254上telnet 192.168.3.10，在执行操作 192.168.3.10上telnet 192.168.1.10。并反方向ftp，telnet。 3. 加载ICMP全通规则。 4. 重复步骤1 步骤 测试结果 1. 2. 3 备注 测试项目 测试内容 测试环境 包过滤 IP过滤规则对TCP数据包的过滤效果 1. 路由模式 2. Linux，windows。 1： 192.168.1.10－>192.168.2.254 telnet允许。（内到外） 规则指定 192.168.2.254－>192.168.3.10 telnet允许。（外到DMZ） 192.168.3.10－>192.168.1.10 telnet允许。（DMZ到内） 1. 在192.168。1.10上telnet 192.168.2.254，在192.168.2.254上telnet 192.168.3.10，在192.168.3.10上telnet 192.168.1.10，并反向telnet。 执行操作 2. 在192.168.1.10用nslookup 到192.168.2.254上进行名字解析或其它的udp服务。 3. 加载telnet全通规则，重复步骤1. 测试日期 预期结果 正向ping成功，反向ping不通，被禁止。 访问被禁止，规则不允许。 都可以相互ping通。 实测结果 4
步骤 1. 测试结果 2. 3. 备注 测试项目 测试内容 测试环境 包过滤 预期结果 正向成功，反向被禁止 访问被禁止，没有允许UDP服务。TCP协议的放开，对UDP协议不发生影响。 telnet访问都成功。 实测结果 测试日期 IP过滤规则对TCP数据包的过滤效果，侧重于实时效果 1. 路由模式 2. Linux，windows。 1. 192.168.1.10－>192.168.2.254 telnet允许。（内到外） 192.168.2.254－>192.168.3.10 telnet允许。（外到DMZ） 规则指定 192.168.3.10－>192.168.1.10 telnet允许。（DMZ到内） 生效时间：9:00－10:00 1. 在192.168。1.10上telnet 192.168.2.254，在192.168.2.254上telnet 192.168.3.10，在192.168.3.10上telnet 192.168.1.10，并反向telnet。 执行操作 2. 保持上述telnet已建立的连接，并不断的telnet没有建立连接的。 3. 在9:59－10:01之间，查看telnet状态的反应。 步骤 测试结果 备注
测试项目 测试内容 这个用例主要用来测试FTP建立连接后，防火墙对20端口的特殊处理 测试环境 1. 路由模式 2. Linux，windows。 1.192.168.1.10－>192.168.2.254 ftp允许 （内到外） 规则指定 包过滤 测试日期 在IP包过滤中，由于FTP服务的特殊性，所以下面几个用例主要针对FTP进行测试。1. 3 预期结果 正向telnet成功，反向被禁止。 已建立的telnet连接被断开。 实测结果 5
1. 在192.168.1.10上telnet 192.168.2.254 20。 2. 在192.168.1.10上ftp 192.168.2.254 ，进行大文件（1G）的数据传输。 执行操作 3. 在ftp的同时，在192.168.1.10上telnet 192.168.2.254 20。 4. passive进行ftp文件的传输。 5. 在192.168.1.10上telnet 192.168.2.254 20 步骤 测试结果 备注 测试项目 测试内容 测试环境 包过滤 测试日期 1,3,5 2,4 访问被禁止 访问成功。 预期结果 实测结果 IP包过滤包括ICMP、UDP、TCP和非（ICMP、UDP、TCP）包的过滤，UDP过滤行测试 1. 路由模式 2. Linux，windows。 规则1：192.168.1.10－>192.168.2.254 UDP允许。 192.168.2.253－>192.168.3.20 UDP允许。 规则指定 192.168.3.30－>192.168.1. 30 UDP允许 生效时间：9:00－10:00。〕 规则2：192.168.1.10－>192.168.2.254 UDP拒绝。 1. 在192.168.1.10，192.168.2.253，192.168.3.30上启动UDP的测试工具Udp_Server，在192.168.2.253，192.168.3.20，192.168.1.30上启动Udp_Client来分别连192.168.1.10,192.168.2.253,192.168.3.30上的服务程序。 执行操作 2. 保持连接。查看在10:00时连接的状态。 3. 保持Client对Server的主动，不间断的连接去掉时间限制，重新加载规则1，在连接重新建立的同时，加载规则2。 步骤 测试结果 1. 2. 3. 备注 连接成功 连接被断开。 连接建立后，马上又被断开。 预期结果 实测结果 目的：测试UDP过滤的基本功能、在规则有效时间上的实时性、规则变化时对动态连接表的实时刷新性能等
说明：对于EIP的测试，通过在包过滤中IP协议的设置过程中同步设置，用发包工具对其进行测试，例如：igmp，ospf包等。
6
B. 地址绑定 测试项目 测试内容 而MAC地址不匹配得两种IP欺骗的情况下防火墙的处理能力 测试环境 1. 路由模式 2. Linux，windows。 1. 192.168.1.10----100＝>MAC 00.12.30.34.89.29进行绑定 规则指定 IPMAC地址绑定 测试日期 测试IPMAC绑定的基本功能，以及在MAC地址匹配而IP地址不匹配和IP地址匹1. 192.168.1.10上telnet 192.168.2.254。 执行操作 2. 修改192.168.1.10的IP地址为192.168.1.11，telnet 192.168.2.254。 3. 在此基础上将192.168.1.20的地址改为192.168.1.10。然后，telnet 192.168.2.254。 步骤 测试结果 备注
测试项目 IPMAC地址绑定 测试日期 在制定IPMAC绑定规则时，可以只绑定一个区域当中的某几个主机的地址，绝大多测试内容 数主机可能不需要绑定，此时，我们还可以指定防火墙对那些没指定的主机的绑定过滤规则。这个用例主要用来测试防火墙对绑定规则之外的主机的访问的处理能力。 测试环境 1. 路由模式 2. Linux，windows。 1． 192.168.1.10＝>MAC 00.12.30.34.89.29进行绑定, 绑定规则之外的主机不允许通规则指定 过 1 2,3 访问成功 访问被禁止，IP或MAC不匹配。 预期结果 实测结果 首先，加载IP全通过滤规则 1. 在192.168.1.10上telnet 192.168.2.254。 2. 在192.168.1.20上telnet 192.168.2.254 执行操作 3. 修改规则，绑定之外的主机允许通过。 4. 在192.168.1.20上telnet 192.168.2.254 测试结果 步骤 预期结果 实测结果 7
1. 2 4. 备注
D.NAT 测试项目 测试内容 NAT转换 访问成功 访问禁止 访问成功 首先，加载IP全通过滤规则 测试日期 这个用例主要用来测试一对一的同时对多个方向上的转换功能 1. 路由模式。 2. Linux ,Windows 测试环境 1. 192.168.1.10－>192.168.2.100 (in NAT out) 规则指定 2. 192.168.1.10－>192.168.3.100 (in NAT dmz) 1. 在192.168.1.10上telnet 192.168.2.254 2. 在192.168.2.254上telnet 192.168.2.100 执行操作 3. 在192.168.2.254上telnet 192.168.1.10 4. 在192.168.1.10上telnet 192.168.3.10 5. 在192.168.3.10上telnet 192.168.3.100 步骤 1 测试结果 2 3 4 5 备注 测试项目 测试内容 测试环境 NAT转换 测试日期 访问成功 访问成功 访问失败 访问成功 访问成功 预期结果 实测结果 在访问成功的同时在对端机器上用netstat命令看是真实IP还是转换后的IP地址。 这个用例主要在于测试同时双向的NAT转换功能 1. 路由模式 2. Linx,windows 8
1. 192.168.1.10－>192.168.2.100 (in NAT out) 2. 192.168.1.10－>192.168.3.100 (in NAT dmz) 3. 192.168.3.10－>192.168.1.100 （dmz NAT in） 规则指定 4. 192.168.3.10－>192.168.1.200 （dmz NAT out） 5. 192.168.2.254－>192.168.1.200 （out NAT in） 6. 192.168.2.254－>192.168.3.200 （out NAT dmz） 1. 在192.168.1.10上telnet 192.168.1.100，192.168.1.200，192.168.2.254,192.168.3.10。 执行操作 2. 在192.168.2.254上telnet 192.168.2.100,192.168.2.200,192.168.3.10,192.168.1.10。 3. 在192.168.3.10上telnet 192.168.3.100,192.168.3.200,192.168.2.254,192.168.1.10。 步骤 1 测试结果 2 3 4 备注
测试项目 测试内容 测试环境 NAT转换 测试多对一转换时的基本功能 1. 路由模式 2. Linux，windows。 1. 192.168.2.254－>192.168.1.100 规则指定 2. 192.168.2.253－>192.168.1.100 3. 以上不提供服务转换。 1. 在192.168.2.254，192.168.2.253上ping 192.168.1.10 执行操作 2. 在192.168.2.253，192.168.2.253上telnet 192.168.1.10 测试日期 访问成功 访问成功 访问成功 访问成功 预期结果 实测结果 服务都开放，同时用netstat 进行查看连接的IP地址。 步骤 测试结果 备注
9
预期结果 访问成功 访问成功 实测结果 1 2 首先，加载IP全通过滤规则。
测试项目 测试内容 测试环境 NAT转换 测试多对一转换时的服务转换功能 1. 路由模式 2. Linux，windows。 测试日期 1. 192.168.2.254－>192.168.1.100 提供telnet服务。 规则指定 2. 192.168.2.253---254－>192.168.1.100 提供www服务。（去除254地址。） 1. 在192.168.9.254，192.168.2.253上telnet 192.168.1.10。 执行操作 2. 在192.168.1.10上telnet 192.168.1.100，在192.168.1.20上 http：//192.168.1.100 3. 在192.168.2.254上telnet 192.168.1.100 ：80 。 步骤 测试结果 1. 2. 3. 备注 测试项目 测试内容 测试环境 NAT转换 测试多对多转换时的服务转换功能 1. 路由模式 2. Linux，windows。 规则1: 192.168.2.254，192.168.2.253，192.168.2.252－>192.168.1.100，192.168.1.200 规则指定 规则2：192.168.2.254 23－>192.168.1.100 23 192.168.2.254 23－>192.168.1.200 2323 1. 加载规则1。 2. 在192.168.2.254，192.168.2.253，192.168.2.253上telnet 192.168.1.10。 执行操作 3. 在规则1的基础上，加载规则2。 4. 在192.168.1.10，192.168.1.20上telnet 192.168.1.100 23；telnet 192.168.1.200 2323 测试结果 备注
10
预期结果 访问成功 访问成功。 访问失败。 实测结果 首先，加载IP全通过滤规则。 测试日期 步骤 2，4 访问成功 首先，加载IP全通过滤规则 预期结果 实测结果
测试项目 测试内容 测试环境 NAT转换 测试多对多转换时的FTP服务转换功能 1. 路由模式 2. Linux，windows。 规则1: 192.168.2.254，192.168.2.253，192.168.2.252－>192.168.1.100，192.168.1.200 规则指定 规则2： 192.168.2.254－>192.168.1.100 21号端口提供ftp服务。 192.168.2.252 －>192.168.1.200 2121号端口提供ftp服务。 1. 加载规则1。 2. 在192.168.2.254，192.168.2.253，192.168.2.253上telnet 192.168.1.10。 执行操作 3. 在规则1的基础上加载规则2 4. 在192.168.1.10，192.168.1.20上ftp 192.168.1.100 ，ftp 192.168.1.200 2121。 测试结果 备注
E．多播。 测试项目 测试内容 测试环境 多播 数据的转发（分区方向的控制），组的加入。 1. 路由模式 2. Linux，windows。 1.OUT－>224.1.1.1－239.255.255.255 （192.168.1.10＝>GDA） 规则指定 测试日期 步骤 2,4 首先，加载IP全通过滤规则 预期结果 访问应该能够成功 实测结果 测试日期 1. 在192.168.2.254上，用media player建立一个多播站。播放test.nsc影音文件。 执行操作 2. 在192.168.1.10上运行mplayer 2 //192.168.1.254/test.nsc。 测试结果 备注
步骤 2. 正常播放。 预期结果 实测结果 11
测试项目 测试内容 测试环境 多播 分区方向的控制 1. 路由模式 2. Linux，windows。 测试日期 1.IN－>224.1.1.1－239.255.255.255 （内网区域内） 规则指定 1. 在10.10.3.10上用media player建立多播站，播放影音文件test.nsc。 执行操作 2. 在10.10.3.20上运行mplay2 //10.10.3.10/test.nsc。观看影音文件test.nsc。 测试结果 备注 测试项目 测试内容 测试环境 步骤 2. 预期结果 访问成功，可以正常观看。 实测结果 多播 与下行流多播路由器的数据交换 1.路由模式 2.Linux，windows。 测试日期 1. DMZ－>224.1.1.1－239.255.255.255 （IN=>GDA） 规则指定 1. 在10.10.3.10上用media player建立多播站，播放影音文件test.nsc。 执行操作 2. 在10.10.11.10上运行mplayer2 //10.10.3.10/test.nsc，接收影音文件。 3. 在192.168.2.254上运行mplayer2 //10.10.3.10/test.nsc,影音文件. 步骤 测试结果 备注 测试项目 测试内容 多播 多播树的嫁接（多多播源，多接收端） 测试日期 2. 3. 不能成功. 预期结果 访问成功，接收正常。 实测结果 12
测试环境 1. 路由模式 2. Linux，windows。 1. OUT－>224.1.1.1－239.255.255.255 （IN=>GDA） 规则指定 2. IN－>224.1.1.1－239.255.255.255 （OUT=>GDA） 1. 在192.168.2.254，192.168.1.10上建立多播站。运行影音文件test.nsc。 2. 在执行操作 3. 在192.168.3.10上运行mplayer：//192.168.1.10/test.nsc，mplayer：//192.168.2.254/test.nsc影音文件。 4. 在192.168.2.253上运行mplayer：//192.168.1.10/test.nsc影音文件。 测试结果 备注 步骤 2,3,4 预期结果 访问成功，正常播放。 实测结果 192.168.1.20，先后运行mplayer:2 //1921.168.1.10/test.nsc，mplayer://192.168.2.254/test.nsc。 注:桥模式下,多播与之类似,防火墙透明,与路由情况配置一样,指定区域即可.不再赘述. F．VPN
G.TRUNK 测试项目 测试内容 TRUNK 跨越防火墙,完成同一VLAN内的通信. 1. 桥模式 2. Linux，windows。 3. 在两交换机上将192.168.1.10,192.168.1.11设为同一VLAN100.将192.168.1.20,192.168.1.21设为同一VLAN200.与防火墙trunk连接.类型802.1q. 1. 192.168.1.10 ?192.168.1.11 允许. 协议:tcp,icmp. 规则指定 2.。192.168.1.20 ?192.168.1.21 拒绝 协议.tcp允许,icmp拒绝. 测试日期 测试环境 13
1. 在192.168.1.10上ping 192.168.1.11,telnet 192.168.1.11 执行操作 2. 在192.168.1.20上telnet 192.168.1.21,ping 192.168.1.21 步骤 测试结果 备注 测试项目 测试内容 TRUNK,代理路由 1 2 访问全部成功。 预期结果 Telnet 成功.ping 不成功. 实测结果 测试日期 跨越防火墙,完成同一VLAN内的通信. 1. 2. 3. 4. 桥模式 Linux，windows。 将192.168.1.20与192.168.1.21改IP为192.168.2.20,192.168.2.21. 在两交换机上将192.168.1.10,192.168.1.11设为同一VLAN100.将192.168.2.20,192.168.2.21设为同一VLAN200. 测试环境 1.192.168.1.11-?192.168.2.10,192.168.2.11 协议:所有协议. 规则指定 2. 192.168.1.10 ?192.168.1.11 允许. 协议:tcp,icmp. 3. 192.168.1.10 ?192.168.2.21 拒绝 1. 将防火墙内外网卡分别绑定两个IP地址192.168.1.1和192.168.2. 2. 在192.168.1.11上ping ,telnet,ftp,192.168.2.10和192.168.2.11. 执行操作 3. 在192.168.1.10上ping telnet 192.168.1.11 4. 在192.168.1.10上ping telnet ftp 192.168.2.21. 步骤 测试结果 1 2 3 备注
G. 内容过滤 测试项目 测试内容 测试环境 内容过滤 对SMTP,HTTP,FTP等应用层进行过滤. 1. 路由,桥. 2. Linux,Windows. 测试日期 访问全部成功。 访问成功. 所有操作都拒绝. 预期结果 实测结果 14
在包过滤中添加相应的过滤规则,其中对内容,主题,附件,命令,都进行过滤.在此仅举一例.其他不再赘述. 规则指定 1. 172.10.1.20-?172.10.2.254, HTTP: GET 命令禁止. SMTP:主题 病毒 禁止. FTP: USER 禁止. 1. 在172.10.1.20上http://172.10.2.254 . GET页面禁止. 执行操作 2. 在172.10.1.20发mail到邮件服务器172.10.2.254的主题为病毒的邮件. 3. 在172.10..120上ftp 172.10.2.254 . user test 测试结果 备注
H. 报警 测试项目 测试内容 测试环境 报警. 邮件,trap,蜂鸣等.。 1. 路由模式,桥模式. 2. Linux，windows。 设定相应的报警mail.,trap接收地址. 规则指定 测试日期 步骤 1,2,3 访问都不成功。 预期结果 实测结果 执行操作 1. 在装有OpenView等可以接收trap信息的主机上结束trap. 2. 在任意一台主机上设置mail帐号为报警mail帐号,接收报警mail. 3. 当进行相应的报警操作,防火墙开始蜂鸣. 测试结果 备注
I审计 测试项目 测试内容 测试环境 步骤 1,2,3 可以完成. 预期结果 实测结果 审计. 对防火墙进行事件及访问日志的审计.。 1. 路由模式,桥模式. 2. Linux，windows。 测试日期 15
1查看全部时间日志,事件类型,事件来源全部.. 规则指定 2.设置访问日志,方向,原因,源IP地址不作为审计条件.目标 IP地址:172.10.2.254 协议全部. 1. 查看.事件日志. 2. 在172.10.1.10上进行ping,telnet,扫描172.10.2.254等操作. 执行操作 步骤 测试结果 备注 J. 实时监控. . 测试项目 测试内容 测试环境 实施监控 1 2 查看到事件日志. 预期结果 查看到相应的访问日志. 实测结果 在测试的过程中,在包过滤中选中,进行审计.就可以直接查看以前进行的操作信息. 测试日期 进行相应的流量,连接等信息查看. 1. 路由模式,桥模式. 2. Linux，windows。 1. 数据包捕捉. 规则指定 172.10.1.10-?172.10.2.254, 协议:tcp,icmp,udp. 1. 直接在工具栏中查看相应的流量,连接等信息. 2. 在172.10.1.10上ping ,telnet ,sendudp.到172.10.2.254 执行操作 步骤 测试结果
K．攻击 测试项目 测试内容 测试环境 攻击 防攻击测试。 3. 路由模式 4. Linux，windows。 1 2 . 预期结果 查看信息,准确. 捕捉到数据包.正确分析. 实测结果 测试日期 16
规则指定 4. flooding攻击（syn flooding，udp flooding，ping flooding ，ping of death等）。 执行操作 5. nmap扫描，是否误报（非正常状态）。 6. Land攻击。 7. KillWin攻击。 步骤 1. 预期结果 FW正常工作，攻击包被丢弃。 FW正常工作，扫描包被丢弃。 FW正常工作，攻击包被丢弃 FW工作正常，攻击包被丢弃。 实测结果 测试结果 2. 3 4. 备注 被攻击区域不受任何影响。
K. 双机热备。 测试项目 测试内容 测试环境 双机热备 测试日期 激活状态的防火墙正常关机或异常掉电，看备份防火墙能否正常启用 1.路由模式 2.Linux，windows。 1. 设置FW2,FW3状态，Group ID：standby，FW2 ID：1，FW3 ID：2 规则指定 1．在FW2上加载一些实际的访问控制规则、NAT规则、IPMAC绑定规则、认证设置（可以沿用在前述用例设定的规则） 2．在192.1168.1.10上ping 172.10.3.254 限制规则：包过滤，NAT，IPMAC绑定。执行操作 在FW上截包判断生效的FW。 3．让ping一直处于建立状态 4．使当前的FW2，正常关闭或异常掉电 5．监视ping，看在整个过程中，备份防火墙是否能正常启用，上述实时链接的反应。 步骤 测试结果 5. 预期结果 已建立的连接断掉，约3秒钟后，备份防火墙启动，连接重新建立。 实测结果 备注 1. FW2,FW3的相同分区的接口设在同一个网段中。 2. 也可以用脚本写一个不间断的telnet连接来测试或其它协议。主要考虑ping不间断，效果一致，故用之。 17
18