防火墙实验续1

一、实验拓扑图

二、实验要求

7.办公区设备可以通过电信链路和移动链路上网（多对多的NAT，并且需要保留一个公网ip不能用来转换）
8.分公司设备可以通过总公司的移动链路和电信链路访问到DMZ区的http服务器
9.多出口环境基于宽带比例进行选路，但是办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%
10.分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器

11.游客区仅能通过移动链路访问互联网

三、实验思路

1.为新添链路配置ip

2.办公区到untrust区配置两条nat策略，一条出接口为1/0/2（电信），一条出接口为1/0/3（移动）。

3.在分公司的防火墙上配置一条由trust区到untrust的安全策略和源nat策略，在总部服务器上配置一条访问12.0.0.5（公网ip）映射到10.0.3.10的安全策略和目标nat策略

4.智能选路，总部服务器上配置一条由10.0.3.10到untrust区的源nat策略，出接口只有1/0/2（电信），并将该策略移动到上方第二问的策略之前

5.在分公司的防火墙上配置一条双向nat，和目标nat并配置相应的安全策略，并在服务器上开启DNS服务

6.在总部服务器上配置一条出接口为1/0/3的源nat

四、实验配置

ISP：

[ISP]int g4/0/0
[ISP-GigabitEthernet4/0/0]ip add 100.0.0.1 24
[ISP-GigabitEthernet4/0/0]int g0/0/1
[ISP-GigabitEthernet0/0/1]ip add 23.0.0.2 24

防火墙：

[USG6000V1]int g0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip add 192.168.100.3 24---配置与虚拟网卡同一网段ip地址

[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 23.0.0.1 24

[USG6000V1-GigabitEthernet1/0/0]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.1 22

将分公司接口加入安全区域

多对多NAT，保留一个公网ip

办公区通过电信上网

办公区通过移动上网

分公司通过电信或移动链路访问dmz区的http服务器

在分公司配置安全策略和源NAT策略

在总公司配置服务器映射

测试：

智能选路，基于带宽比例选路，办公区设备10.0.2.10仅能通过电信上网，链路开启过载保护，保护阈值80%

配好之后需将该策略移动，从上到下依次是范围小的在上，范围大的在下

1.配置nat策略

2.新建链路接口

3.开启过载保护，阈值为80%

4.配置全局选路策略

5.配置策略路由

在分公司防火墙上配置双向NAT，和目标NAT

配置域名服务器

访问公网

开启http服务

开启dns服务

测试：

游客区仅能通过移动链路访问互联网

配置游客区仅能通过移动链路访问互联网的源NAT

测试：