eNSP:防火墙配置&模拟公司设置（三）

实验拓扑：

实验要求（三）：

12，对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，
游客区和DMZ区走FW3，生产区和办公区的流量走FW1
13，办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M
14，销售部保证email应用在办公时间至少可以使用10M的带宽，每个人至少1M
15，移动链路采用的是100M的带宽，要求游客区用户仅能占用50M，并且基于在线地址进行动态均分
16，外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。

实验思路（三）：

1.防火墙的双机热备（高可用），负载分担

2.防火墙的流量控制（带宽控制）

实验步骤（三）：

要求12：对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，游客区和DMZ区走FW3，生产区和办公区的流量走FW1

1.进入另一个防火墙，配置IP和服务

2.进入web管理页面

由于变更的线，所以重新配置电信和移动的安全区域

重新配置接口

先给心跳线，配置IP（172.16.1.0/24）

进入如图的界面，配置双机热备

设置为负载分担，填写对方的IP，设定一样的hello time

发现两个防火墙变为主动时双方配置成功

现在，在防火墙2配置IP

现在配置虚拟IP

fw1

fw2

我这里给fw1的办公和生产的别名打反了，注意分别

同步策略

检查没有完全同步好的信息，并更改，因为我fw1写的英文，fw2写得中文

现在配置NAT策略

分别只分配了2个IP

同步到fw2了

游客区和DMZ区走FW3，生产区和办公区的流量走FW1

其实就是更改主备

把游客和DMZ的主设备改为fw2，

以DMZ为例子

fw1

fw2

要求13：办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M

100m/s=800mbp/s

60m/s=480mbp/s

6m/s=48mbp/s

所以配置办公宽带时

先设置为800mbps

再到宽带策略配置销售部门的

配置我们的安全策略

要求14，销售部保证email应用在办公时间至少可以使用10M的带宽，每个人至少1M

相当于配置一个对于销售来说的Email保底策略

转发优先级最高，服务和应用选择电子邮件相关

要求15，移动链路采用的是100M的带宽，要求游客区用户仅能占用50M，并且基于在线地址进行动态均分

先写一个移动链路有100m/s的带宽

再单独给游客写一个<50m/s的子策略

并且选择动态平均分配，链接数10个，在线地址其实就是上网的IP数量

要求16，外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。

由题可知，服务器到外网最大40m/s，外网到服务器最大20m/s

服务器到外网

外网到服务器

记得配置安全策略（我这里只是举例，因为我们已经从fw1,获得了安全策略的)