一、实验拓扑
二、实验要求
1, Fw1和Fw2组成主备模式的双机热备
2,DMZ区存在两台服务器,现在要求生产区的设备仅能在办公时间(9:00 - 18:00)访问,办公区的设备全天都可以访问。
3,办公区设备可以通过电信链路和移动链路上网(多对多的NAT,并且需要保留一个公网IP不能用来转换)
4,办公区上网用户限制流量不超过60M,其中销售部人员在其基础上限制流量不超过30M,且销售部一共10人,每人限制流量不超过3M
5,销售部保证email应用在办公时间至少可以使用10M的带宽,每个人至少1M
6,多出口环境基于带宽比例进行选路,但是,办公区中10.0.2.10该设备只能通过电信的链路访问互联网。
7,分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器
8,分公司内部的客户端可以通过域名访问到内部的服务器
9,假设内网用户需要通过外网的web服务器和pop3邮件服务器下载文件和邮件,内网的FTP服务器也需要接受外网用户上传的文件。针对该场景进行防病毒的防护。
10,我们需要针对办公区用户进行上网行为管理,要求进行URL过滤,要求在上班时间仅能访问教育/科研类,搜索/门户类网站,以及一个www.example.com/working相关URL都可以访问。其余都不允许访问。
11,通过DNS过滤,实现办公区仅能使用一个域名访问公网发HTTP服务器,另一个不行
三、实验思路
1、划分VLAN
2、配置IP地址
3、配置路由
4、配置安全策略等
四、实验配置
网段网关都已该网段的最后一个可用IP(即x.x.x.254)作为网关;
1、云配置![](https://i-blog.csdnimg.cn/blog_migrate/a5546afebadcc63db188e53cc9d52a0e.png)
2、基础配置--划分VLAN、出防火墙设备以外的IP配置
ISP配置
sys
int l0
ip add 1.1.1.1 24
int g0/0/0
ip add 12.0.0.2 24
int g0/0/1
ip add 21.0.0.2 24
int g0/0/2
ip add 100.0.0.254 24
int g4/0/0
ip add 23.0.0.2 24
LSW9配置
sys
vlan batch 2 3
int g0/0/3
port link-type access
port default vlan 2
int g0/0/4
port link-type access
port default vlan 3
int g0/0/1
port link-type trunk
port trunk allow-pass vlan 2 3
undo port trunk allow-pass vlan 1
int g0/0/2
port link-type trunk
port trunk allow-pass vlan 2 3
undo port trunk allow-pass vlan 1
3、防火墙配置
FW1基本配置
sys
int g0/0/0
ip add 192.168.100.1 24
service-manage all permit
FW2基本配置
sys
int g0/0/0
ip add 192.168.100.2 24
service-manage all permit
FW3基本配置
sys
int g0/0/0
ip add 192.168.100.3 24
service-manage all permit
FW1配置
FW2配置
FW3配置
要求1:
FW1配置
FW2配置
要求2:
要求3:
要求4:
要求5:
要求6:
要求7:
要求8:
要求9:
要求10:
要求11:
五、测试
要求1结果:
要求2结果:
要求3结果:
要求4结果:
该要求配置完成后,模拟器无法展示;
要求5结果:
该要求配置完成后,模拟器无法展示;
要求6结果:
要求7结果:
要求8结果:
要求9结果:
该要求配置完成后,模拟器无法展示;
要求10结果:
该要求配置完成后,模拟器无法展示;
要求11结果:
该要求配置完成后,模拟器无法展示;