防火墙配置实验

一、

1.什么是防火墙

在网络中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。

2.状态防火墙的工作原理是什么？

状态防火墙是一种能够提供状态封包检查或状态检视功能的防火墙，其工作原理是在包过滤(ACL表)的基础上增加一个会话表，数据包需要查看会话表来实现匹配。 状态会话表可以用hash来处理形成定长值，使用CAM芯片处理，达到交换机的处理速度。

二、实现下图所示网络配置

1. Cloud1配置

2. 防火墙FW1的g0/0/0口配置IP（需和绑定网卡的IP同网段），并登陆防火墙

3. untrust区配置

防火墙g1/0/1：

AR1：

防火墙配置缺省路由：

4. trust区配置：

防火墙g1/0/0:

LSW2:

[Huawei]int vlan 2
[Huawei-Vlanif3]ip add 10.1.1.2 24
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]port link-type access
[Huawei-GigabitEthernet0/0/1]port default vlan 2
[Huawei]int vlan 3
[Huawei-Vlanif3]ip add 10.1.3.1 24
[Huawei]int g0/0/2
[Huawei-GigabitEthernet0/0/2]port link-type access
[Huawei-GigabitEthernet0/0/2]port default vlan 3

PC1:

5. DMZ区配置：

防火墙g01/0/2和g1/0/3做接口聚合：

LSW3配置：

[Huawei]int Eth-Trunk 1   
[Huawei-Eth-Trunk1]trunkport g0/0/1
[Huawei-Eth-Trunk1]trunkport g0/0/2
[Huawei-GigabitEthernet0/0/3]port default vlan 10
[Huawei-GigabitEthernet0/0/4]port default vlan 11

创建vlan接口：

6. 设置策略

trust区访问untrust区：

trust区访问DMZ区:

untrust区访问DMZ区：

7. 测试

PC1访问server1：

PC1访问server3:

server3访问server1: