实验拓扑:
实验要求:
12,对现有网络进行改造升级,将当个防火墙组网改成双机热备的组网形式,做负载分担模式,游客区和DMZ区走FW3,生产区和办公区的流量走FW1
13,办公区上网用户限制流量不超过100M,其中销售部人员在其基础上限制流量不超过60M,且销售部一共10人,每人限制流量不超过6M
14,销售部保证email应用在办公时间至少可以使用10M的带宽,每个人至少1M
15,移动链路采用的是100M的带宽,要求游客区用户仅能占用50M,并且基于在线地址进行动态均分
16,外网访问内网服务器,下行流量不超过40M,DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。
实验思路:
对于新加的设备FW3进行相关的网络配置;
防火墙双机热备技术的负载分担模式的相关配置;
流量的带宽管理配置。
实验步骤:
1.将FW1和FW3之间的两条线做链路聚合
FW1:
HRP_S[USG6000V1]int Eth-Trunk 1
HRP_S[USG6000V1]int g1/0/5
HRP_S[USG6000V1-GigabitEthernet1/0/5]eth-trunk 1
HRP_S[USG6000V1]int g1/0/6
HRP_S[USG6000V1-GigabitEthernet1/0/6]eth-trunk 1
HRP_S[USG6000V1-Eth-Trunk1]ip add 13.0.0.2 24
FW3:
HRP_M[USG6000V1]int Eth-Trunk 1
HRP_M[USG6000V1]int g1/0/6
HRP_M[USG6000V1-GigabitEthernet1/0/6]eth-trunk 1
HRP_M[USG6000V1]int g1/0/5
HRP_M[USG6000V1-GigabitEthernet1/0/5]eth-trunk 1
HRP_M[USG6000V1-Eth-Trunk1]ip add 13.0.0.1 24
LSW5的0/0/4口改为trunk模式
[Huawei] int g0/0/4
[Huawei-GigabitEthernet0/0/4] port link-type trunk
[Huawei-GigabitEthernet0/0/4] port trunk allow-pass vlan 2 to 3
2.FW3的安全区域
将FW3的接口ip配置好
3.防火墙组网改成双机热备
FW1的配置
FW3的配置
双机热备启动好等一分钟,记住同步配置
路由策略不能用出接口,都用地址池配置
最终结果
FW1
FW3
4.办公区的带宽管理
要求
条件13和14其实是作用在一个区域的。
办公区上网用户限制流量不超过100M,其中销售部人员在其基础上限制流量不超过60M,且销售部一共10人,每人限制流量不超过6M。
销售部保证email应用在办公时间至少可以使用10M的带宽,每个人至少1M
带宽通道
BG区上网总流量
BG区销售部
BG区销售部对email类应用
带宽策略
BG区上网总流量
BG区销售部
BG区销售部对email类应用
5.移动区的带宽管理
要求:
移动链路采用的是100M的带宽,要求游客区用户仅能占用50M,并且基于在线地址进行动态均分。
移动采用100M的带宽:
带宽通道
游客区用户上网的带宽通道
带宽策略
游客区在公网上网的带宽策略
6.外网访问内网服务器的带宽管理
要求
外网访问内网服务器,下行流量不超过40M,DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。
带宽通道
外网访问内网服务器