防火墙综合拓扑

要求：

1.办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)

在FW1上

做安全策略

做NAT策略

这样，两条线就负载均衡了，并且相当于做了一个备份，一个断了就走另一条

 2.分公司设备可以通过总公司的移动链路和电信链路访问到DMZ区的http服务器

FW2

做安全策略

做NAT策略

这样分公司的设备就可以访问到1.1.1.1了

为了分公司设备访问DMZ的http服务器可以做服务器映射，把http服务器的10.0.3.10：80映射到12.0.0.3：80上面，分公司直接访问12.0.0.3就可以访问到http服务器

做安全策略

做NAT（服务器映射）

这样分公司设备成功访问DMZ区的http服务器

 3.分公司内部的客户端可以通过公网地址访问到内部的服务器

分公司内部的设备要访问分公司的http服务器就要做双向NAT

做安全策略

做NAT策略

成功访问

4,FW1和FW3组成主备模式的双机热备

5,办公区上网用户限制流量不超过60M,其中销售部人员在其基础上限制流量不超过30M,且销售部一共10人,每人限制流量不超过3M

改电信和移动的接口带宽

办公区流量限制60M

配置带宽通道

配置带宽策略

销售部人员在其基础上限制流量不超过30M,且销售部一共10人,每人限制流量不超过3M

6,销售部保证emai1应用在办公时间至少可以使用10M的带宽,每个人至少1M

7,多出口环境基于带宽比例进行选路,但是,办公区中10.0.2.10该设备只能通过电信的链路访问互联网。