华为防火墙上的配置（1）

实验拓扑图

实验要求：

1、DMZ区内的服务器，生产区仅能在办公时间内（9：00-18:00)可以访问，办公区的设备全天可以访问

2、生产区不允许访问互联网，办公区和游客区允许访问互联网

3、办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10

4、办公区分为市场部和研发部，研发部ip地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定ip地址，访问DMZ区使用免认证。

       游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123,游客仅有访问公司门户网站和上网权限，门户网站地址10.0.3.10

5、生产区访问DMZ区时，需要进行protal认证，建立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

6、创建一个自定义管理员，要求不能拥有系统管理的功能

配置

1.基础配置

1.1在防火墙上的配置

1.2在交换机lsw2创建vlan和划分vlan

生产区化为vlan3

办公区化为vlan2

Trunk通道放行vlan2 ，vlan3

1.3防火墙接口配置

2.完成要求1

要求：DMZ区内的服务器，生产区仅能在办公时间内（9：00-18:00)可以访问，办公区的设备全天可以访问

2.1配置dmz到所有的策略

2.2配置生产区仅能在办公时间策略

2.3配置Worktime

2.4测试

在未设置时间段的时候，pc2是能访问服务器的，时间段设置后，如果不在该工作日，无法

服务器也能访问到pc2

生产区办公区的设备全天可以访问

测试：访问服务器

3.实现要求2

要求：生产区不允许访问互联网，办公区和游客区允许访问互联网

3.1配置移动和电信

3.2配置生产区禁止到互联网策略

3.3配置游客区访问互联网策略

3.4配置办公区访问互联网策略

4.实现要求3

要求：办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10

4.1禁止10.0.2.10对DMZ区的HTTP和ftp的服务

4.2禁止10.0.2.10对DMZ区的10.0.3.20的icmp服务，让它ping不通

4.3移策略

将之前的办公区的配置策略移到最后

4.4测试

Client2不能访问DMZ的HTTP和ftp服务器

Client2只能ping通DMZ的10.0.3.10，不能ping通10.0.3.20

5.实现要求4第一个条件

要求：办公区分为市场部和研发部，研发部ip地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定ip地址，访问DMZ区使用免认证。

5.1做市场部访问dmz区，免认证策略

5.2做研发部访问dmz区，匿名认证策略

5.3创建办公认证区域

5.4创建市场部和研发部

5.5策略绑定

5.6测试

6.实现要求4的第二个条件

要求：游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123,游客仅有访问公司门户网站和上网权限，门户网站地址10.0.3.10

6.1创建游客认证域和用户

用户为guest，绑定10.0.1.10

做游客区禁止访问dmz区和生产区的策略

7.实现要求5

要求：生产区访问DMZ区时，需要进行protal认证，建立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

7.1生产区访问DMZ区时，需要进行protal认证

7.2新建DMZ和生产区

7.3创建三个部门

7.4批量创建员工

用户统一密码openlab123，用户过期时间设定为10天，用户不允许多人使用

生产区下的部门和员工

7.5首次登录需要修改密码

8.实现要求6

要求：创建一个自定义管理员，要求不能拥有系统管理的功能

 先在管理员角色里面创建自定义管理员，将系统的权限改为无

在管理员创建一个用户，输入设置密码，并划分为自定义角色。