安全防御3

实验要求：

实验过程：

12，对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，游客区和DMZ区走FW3，生产区和办公区的流量走FW1

FW1：

FW3：

 将心跳线接口都加入trust区域：

FW1：

FW3：

双击热备配置：

FW1：

添加虚拟IP地址1（虚拟IP为10.0.1.254)主：

添加虚拟IP地址2（虚拟IP为10.0.2.254）主：

添加虚拟IP地址3（虚拟IP为10.0.3.254）备：

添加虚拟IP地址4（虚拟IP为10.0.0.254） 备：

添加虚拟IP地址5（虚拟IP为12.0.0.10）主：

添加虚拟IP地址6（虚拟IP为21.0.0.10） 主：

添加虚拟IP地址7（虚拟IP为12.0.0.30）备：

添加虚拟IP地址8（虚拟IP为21.0.0.30） 备：

 双击热备  负载分担：

FW3：

 添加虚拟IP地址1（虚拟IP为10.0.1.254）  备：

添加虚拟IP地址2（虚拟IP为10.0.2.254）备：

添加虚拟IP地址3（虚拟IP为10.0.3.254）主：

添加虚拟IP地址4（虚拟IP为10.0.0.254） 主：

添加虚拟IP地址5（虚拟IP为12.0.0.10） 备：

添加虚拟IP地址6（虚拟IP为21.0.0.10）  备：

添加虚拟IP地址7（虚拟IP为12.0.0.30）主：

添加虚拟IP地址8（虚拟IP为21.0.0.30）主：

双机热备 负载分担： 

 双机热备配置完成：

FW1：

FW2：

因为FW3是新加入的防火墙，且总公司下面的生产区和办公区是划分了vlan的，所以需要在总公司的交换机上配置Trunk口放通vlan2和vlan3的流量：

<LSW3>sys
[LSW3]int g 0/0/4
[LSW3-GigabitEthernet0/0/4]port link-type trunk 
[LSW3-GigabitEthernet0/0/4]port trunk allow-pass vlan 2 3 
[LSW3-GigabitEthernet0/0/4]undo port trunk allow-pass vlan 1

修改设备网关IP地址：

PC2：

PC4：

server1：

13，办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M

创建销售部：

先创建带宽通道：

办公区：

销售部： 

构建带宽策略：

办公区：

销售部： 

14，销售部保证email应用在办公时间至少可以使用10M的带宽，每个人至少1M

新建带宽通道：

新建带宽策略：

15，移动链路采用的是100M的带宽，要求游客区用户仅能占用50M，并且基于在线地址进行动态均分

修改移动链路带宽：

新建带宽通道：

新建带宽策略： 

16，外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。

新建带宽通道：

新建带宽策略：

最后放通流量：