项目九 基于IP地址的转发策略

项目九 基于IP地址的转发策略

1. 实验目的：

掌握基于IP地址控制访问的配置方法

1. 实验拓扑图，如图10-37所示：

图10-37 实验拓扑图

配置信息：

下载：eNSP稳定版
链接：https://pan.baidu.com/s/19ZAx-pP2Zs15HQZ3FShs-A 
提取码：1234

二层交换机型号：S3700

防火墙型号：USG6000V

1.启动防火墙，默认账号：admin  密码：Admin@123，按提示要求更改密码为：自定义

1. 实验步骤（CLI）

步骤一：配置各个接口的IP地址并加入相应的安全区域。

<SRG>system-view

• 配置防火墙各接口的IP地址，命令如下：

[USG]interface GigabitEthernet 0/0/0

[USG -GigabitEthernet0/0/0]ip address 192.168.5.1 24

[USG -GigabitEthernet0/0/0]interface GigabitEthernet 0/0/1

[USG -GigabitEthernet0/0/1]ip address 1.1.1.1 24

[USG -GigabitEthernet0/0/1]quit

• 将防火墙的G0/0/0接口加入trust区域

[SRG]firewall zone trust

[USG -zone-trust]add interface GigabitEthernet 0/0/0

[USG -zone-trust]quit

• 将防火墙的0/0/1接口加入untrust区域

[USG]firewall zone untrust

[USG -zone-untrust]add interface GigabitEthernet 0/0/1

[USG -zone-untrust]quit

步骤二：配置名称为ip_deny的地址集，将几个不允许通过防火墙的IP地址加入地址集。

• 创建名称为ip_deny的地址集

[USG]ip address-set ip_deny type object

• 将不允许通过防火墙的IP地址加入ip_deny地址集

[USG -object-address-set-ip_deny]address 192.168.5.2 0

[USG -object-address-set-ip_deny]address 192.168.5.3 0

[USG -object-address-set-ip_deny]address 192.168.5.6 0

[USG -object-address-set-ip_deny]quit

步骤三：创建不允许通过防火墙IP地址的转发策略。

[USG]security-policy

[USG-policy-security]rule name policy_deny

[USG-policy-security-rule-policy_deny]source-address address-set ip_deny

[USG-policy-security-rule-policy_deny]action deny

[USG-policy-security-rule-policy_deny]quit

步骤四：创建允许其他属于192.168.5.0/24这个网段的IP地址通过防火墙的转发策略。

[USG]security-policy

[USG-policy-security]rule name policy_permit

[USG-policy-security-rule-policy_permit]source-address 192.168.5.0 24

[USG-policy-security-rule-policy_permit]action permit

[USG-policy-security-rule-policy_permit]quit

步骤五：测试不同IP地址通过防火墙的情况。

Trust区域三台PC分别用ping命令测试与untrust区域的www服务器1.1.1.2的连通情况，应该只有PC3的192.168.5.4可以ping通服务器1.1.1.2。

实验报告：完成以上实验，将实验步骤、命令及过程截图并进行详细说明。