实验要求:
7.办公区设备可以通过电信链路和移动链路上网(多对多的NAT,并且需要保留一个公网IP不能用来转换)
8.分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器
9.多出口环境基于带宽比例进行选路,但是,办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护,保护阈值80%;
10.分公司内部的客户端可以通过域名访问到内部的服务器,公网设备也可以通过域名访问到分公司内部服务器;
11.游客区仅能通过移动链路访问互联网
实验步骤:
一、配置IP地址以及服务设置
配置防火墙IP地址以及服务设置
配置分公司IP地址
[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.1 24
配置防火墙分公司网关
二、进入web防火墙界面配置
三、并在ISP设备上配置IP
找到NAT 勾选NAT,选择办公到电信,填写公网电信的IP范围,并且配置上路由黑洞
点击下方高级,配置转换的个数范围和保留的IP地址
并点击下方的安全策略,配置上安全策略
移动同样配置
此时办公区设备可以通过电信链路和移动链路上网
四、进入分公司fw接口配置
配置NAT
新建安全策略
五、给ISP设备配置静态路由,方便公司间的通讯
[Huawei]ip route-static 10.0.0.0 16 g0/0/0
[Huawei]ip route-static 10.0.0.0 16 g0/0/2
[Huawei]ip route-static 192.168.1.0 24 g0/0/1
分公司一端的ISP的IP地址
六、配置主公司和分公司从外部网来的安全策略
七、DMZ到外部的http服务以及NAT
测试ISP设置
八、配置分公司的NAT和安全策略
测试到内部的ping,测试http服务
九、链路开启过载保护,保护阈值80%
单独给10.0.2.2 设置限制
配置负载分担,链路开启过载保护,保护阈值80%
在全局里面配置一个20%,一个80%
十、进入DNS服务器的代理
内网服务器创建一个域名对应
分公司创一个
双方填写对方的域名
十一、修改访客访问公网只能通过移动访问
创建一个访客账户
写一条策略路由
选择访客,单出口,移动出口