防火墙策略综合实验报告

1.新建拓扑

2.请勿使用本机公网网卡可能会导致网络瘫痪，没有虚拟机网卡的情况下，需要配置环回网卡

使用硬件添加向导

选择高级我手动从列表中的硬件

选择添加类型网络适配器

厂商选择microsoft，型号km-test环回适配器

安装硬件

选择网络偏好设置

手动配置环回适配ipv4网卡

3.配置云端服务

端口选择GE

配置udp和环回适配网卡

配置端口映射组双向通道

4.配置防火墙

这里需要注意反恐精英二的完美平台私服以及其他私人服务器也可能会导致防火墙无法启动，报错40

首先需要登录账号

默认账号：admin

默认密码：Admin@123

登录成功后选择yes

按指令修改密码

<USG6000V1>system-view

[USG6000V1]interface GigabitEthernet 0/0/0（选择端口0/0/0）

[USG6000V1-GigabitEthernet0/0/0]ip address 10.0.12.3 24(注意你配制的防火墙ip必须与换回网卡手动配置的ip一个网段)

[USG6000V1-GigabitEthernet0/0/0]service-manage all permit

5.使用浏览器登录防火墙

在浏览器网址框直接输入配置的防火墙ip即可

如果显示无法连接可以尝试更换浏览器或者换一张网卡重复上述步骤

如果显示出登录界面

使用原本的默认账号admin和修改后的密码登录路由器

6.浏览器中配置防火墙
进入网络模块配置dmz区G10/0/0接口

创建新的区域

新建生产区和办公区

切换到接口模块，新建vlan2和VLAN3的接口

查看路由表

配置pc ip略

配置服务器

将两台服务器分别配置为http服务器和ftp服务器

文件根目录选择c盘即可

DMZ区存在两台服务器，现在要求生产区的设备仅能在办公时间（9：00 - 18：00）访问，办公区的设备全天都可以访问。

修改安全策略

生产区不允许访问互联网，游客区和办公区允许访问互联网

办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10

新建一个安全策略使10.0.2.10只能ping通10.0.3.10，再将该安全策略置顶，使其最先匹配

在创建一个安全策略让10.0.2.10只能ping通10.0.3.10在将安全策略置顶

①办公区分为市场部和研发部，市场部IP地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证；
②游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅有访问公司门户网站和上网的权限，门户网站地址10.0.3.10；

③生产区访问DMZ时，需要进行protal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登陆需要修改密码，用户过期时间设定为10天，用户不允许多人使用；

首先新建部门达到要求

匿名认证dmz区

新建自定义管理员