防御保护课-nat策略实验

一、实验拓扑

二、实验要求

1.生产区在工作时间（9：00-18：00）内可以访问DMZ区，仅可以访问http服务器；
2.办公区全天可以访问DMZ区，其中10.0.2.10可以访问FTP服务器和HTTP服务器，10.0.2.20仅可以ping通10.0.3.10；
3.办公区在访问服务器区时采用匿名认证的方式进行上网行为管理；
4.到公网的nat配置。

四、实验过程

1.配置终端IP地址、划分vlan

LSW3

[SW3]vlan batch 2 to 3
[SW3]int g0/0/2
[SW3-GigabitEthernet0/0/2]port link-type access
[SW3-GigabitEthernet0/0/2]port default vlan 2
[SW3-GigabitEthernet0/0/2]int g0/0/3
[SW3-GigabitEthernet0/0/3]port link-type access
[SW3-GigabitEthernet0/0/3]port default vlan 3
[SW3]interface GigabitEthernet0/0/1
[SW3-GigabitEthernet0/0/1]port link-type trunk
[SW3-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 to 3
[SW3GigabitEthernet0/0/1]undo port trunk allow-pass vlan 1

server1、server2、pc1client1、client2、pc2配置IP地址

AR1

[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip ad 12.0.0.2 24 
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip ad 21.0.0.2 24	
[Huawei]int LoopBack 0
[Huawei-LoopBack0]ip ad 1.1.1.1 24

2.防火墙和cloud配置

FW1

[USG6000V1]int g0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip ad 172.16.10.10 24	
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit 

在浏览器中输入 https://172.16.10.10:8443

即可进入防火墙

3.新建安全区域（办公区和生产区）

生产区同理

新建子接口对应安全区域

将1/0/0接口划分到DMZ区

4.防火墙安全策略

创建地址方便管理

以此类推创建 生产区、办公区、DMZ区域的ftp和http、办公区的pc和client

5.完成需求1

创建策略

测试生产区可以访问服务器区中的http服务器，不能访问ftp服务器，只放通http服务，并没有放通icmp服务，所以pc端ping不通

6.完成需求2

（1）10.0.2.20可以访问FTP服务器和HTTP服务器

（2）10.0.2.10仅可以ping通10.0.3.10

7.完成需求3

 8.完成需求4

测试：

办公区访问公网

生产区访问公网