综合安全防护（二）

7，办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)
8，分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器
9，多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%；
10，分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器；
11，游客区仅能通过移动链路访问互联网

实验步骤
一.配置IP地址以及服务设置
配置防火墙IP地址以及服务设置

配置分公司IP地址

[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.1 24

配置防火墙分公司网关 

 

二.进入web防火墙界面配置

三.并在ISP设备上配置I

找到NAT 勾选NAT，选择办公到电信，填写公网电信的IP范围，并且配置上路由黑洞

点击下方高级，配置转换的个数范围和保留的IP地址

 并点击下方的安全策略，配置上安全策略(电信
 

移动同样配置

此时办公区设备可以通过电信链路和移动链路上网

四.进入分公司fw接口配置
 

配置NAT

新建安全策略
 

五.给ISP设备配置静态路由，方便公司间的通讯

[Huawei]ip route-static 10.0.0.0 16 g0/0/0
[Huawei]ip route-static 10.0.0.0 16 g0/0/2
 
[Huawei]ip route-static 192.168.1.0 24 g0/0/1 

分公司一端的ISP的IP地址

六.配置主公司和分公司从外部网来的安全策略

七.DMZ到外部的http服务以及NAT

测试ISP设备

八.配置分公司的NAT和安全策略

测试到内部的ping，测试http服务

九.链路开启过载保护，保护阈值80%

单独给10.0.2.2 设置限制

配置负载分担，链路开启过载保护，保护阈值80%

在全局里面配置一个20%，一个80%

十.进入DNS服务器的代理 
内网服务器创建一个域名对应

分公司创一个

双方填写对方的域名

十一.修改访客访问公网只能通过移动访问

创建一个访客账户
 

写一条策略路由

选择访客，单出口，移动出口