ENSP-NGFW安全策略认证

目录

Topo

需求

DMZ区内的服务器，办公区仅能在工作时间访问（9-18点），生产全全天可以访问

生产区不允许访问互联网，办公区和游客区允许访问互联网

办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10

办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证；游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅又访问公司门户网站和上网的权限，门户网站地址为10.0.3.10

生产区访问DMZ区时，需要进行Portal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

创建一个自定义管理员，要求不能拥有系统管理的功能

解决

首先配置各个设备的IP地址

生产区

办公区

DMZ区

防火墙，并配置子接口作为生产区和办公区的网关

生产区和办公区汇聚层交换机配置接口的Trunk放通VLAN10、20和接入用户Acces

需求1：DMZ区内的服务器，办公区仅能在工作时间访问（9-18点），生产全全天可以访问

1，先创建一个时间段9-18点周一至周五

2，配置安全策略办公区仅能在工作时间访问DMZ区域

3，配置生产区全体可以访问DMZ区域

需求二：生产区不允许访问互联网，办公区和游客区允许访问互联网

1，配置生产区不允许访问互联网

2，配置办公区游客区允许访问互联网

需求三：办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10

1，配置办公区设备10.0.2.10不允许访问DMZ区域FTP和HTTP服务器

2，配置办公区设备10.0.2.10仅能ping通10.0.3.10

需求四：办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证；游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅又访问公司门户网站和上网的权限，门户网站地址为10.0.3.10

1，创建认证域，配置办公区、生产区和游客区

2，配置各个区域认证策略

3，配置游客区不允许访问DMZ和生产区，仅能访问门户和互联网

4，配置游客区使用Guest账户登录

需求五：生产区访问DMZ区时，需要进行Portal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

1，设立生产区组织架构及用户

2，配置过期时间及首次登录密码修改

需求六：创建一个自定义管理员，要求不能拥有系统管理的功能

1，创建管理员角色

2，创建管理员

Thanks

---

Topo

需求

1. DMZ区内的服务器，办公区仅能在工作时间访问（9-18点），生产全全天可以访问

2. 生产区不允许访问互联网，办公区和游客区允许访问互联网

3. 办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10

4. 办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证；游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅又访问公司门户网站和上网的权限，门户网站地址为10.0.3.10

5. 生产区访问DMZ区时，需要进行Portal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

6. 创建一个自定义管理员，要求不能拥有系统管理的功能

解决

首先配置各个设备的IP地址

生产区

办公区

DMZ区

防火墙，并配置子接口作为生产区和办公区的网关

生产区和办公区汇聚层交换机配置接口的Trunk放通VLAN10、20和接入用户Acces

需求1：DMZ区内的服务器，办公区仅能在工作时间访问（9-18点），生产全全天可以访问

1，先创建一个时间段9-18点周一至周五

2，配置安全策略办公区仅能在工作时间访问DMZ区域

3，配置生产区全体可以访问DMZ区域

需求1：生产区不允许访问互联网，办公区和游客区允许访问互联网

1，配置生产区不允许访问互联网

2，配置办公区游客区允许访问互联网

需求3：办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10

1，配置办公区设备10.0.2.10不允许访问DMZ区域FTP和HTTP服务器

2，配置办公区设备10.0.2.10仅能ping通10.0.3.10

需求4：办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证；游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅又访问公司门户网站和上网的权限，门户网站地址为10.0.3.10

1，创建认证域，配置办公区、生产区和游客区

2，配置各个区域认证策略

3，配置游客区不允许访问DMZ和生产区，仅能访问门户和互联网

4，配置游客区使用Guest账户登录

需求5：生产区访问DMZ区时，需要进行Portal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

1，设立生产区组织架构及用户

2，配置过期时间及首次登录密码修改

需求6：创建一个自定义管理员，要求不能拥有系统管理的功能

1，创建管理员角色

2，创建管理员

Thanks