一、实验拓扑
二、实验要求
1.生产区在工作时间(9:00-18:00)内可以访问DMZ区,仅可以访问http服务器;
2.办公区全天可以访问DMZ区,其中10.0.2.10可以访问FTP服务器和HTTP服务器,10.0.2.20仅可以ping通10.0.3.10;
3.办公区在访问服务器区时采用匿名认证的方式进行上网行为管理;
4.到公网的nat配置。
四、实验过程
1.配置终端IP地址、划分vlan
LSW3
[SW3]vlan batch 2 to 3
[SW3]int g0/0/2
[SW3-GigabitEthernet0/0/2]port link-type access
[SW3-GigabitEthernet0/0/2]port default vlan 2
[SW3-GigabitEthernet0/0/2]int g0/0/3
[SW3-GigabitEthernet0/0/3]port link-type access
[SW3-GigabitEthernet0/0/3]port default vlan 3
[SW3]interface GigabitEthernet0/0/1
[SW3-GigabitEthernet0/0/1]port link-type trunk
[SW3-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 to 3
[SW3GigabitEthernet0/0/1]undo port trunk allow-pass vlan 1
server1、server2、pc1client1、client2、pc2配置IP地址
AR1
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip ad 12.0.0.2 24
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip ad 21.0.0.2 24
[Huawei]int LoopBack 0
[Huawei-LoopBack0]ip ad 1.1.1.1 24
2.防火墙和cloud配置
FW1
[USG6000V1]int g0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip ad 172.16.10.10 24
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit
在浏览器中输入 https://172.16.10.10:8443
即可进入防火墙
3.新建安全区域(办公区和生产区)
生产区同理
新建子接口对应安全区域
将1/0/0接口划分到DMZ区
4.防火墙安全策略
创建地址方便管理
以此类推创建 生产区、办公区、DMZ区域的ftp和http、办公区的pc和client
5.完成需求1
创建策略
测试生产区可以访问服务器区中的http服务器,不能访问ftp服务器,只放通http服务,并没有放通icmp服务,所以pc端ping不通
6.完成需求2
(1)10.0.2.20可以访问FTP服务器和HTTP服务器
(2)10.0.2.10仅可以ping通10.0.3.10
7.完成需求3
8.完成需求4
测试:
办公区访问公网
生产区访问公网