策略防火墙

1. 拓扑

 

1. 地址表

Device	interface	IP Address	Subnet mask	Default Gateway
R1	F 0/0	172.20.1.1	/24	N/A
	S0/0/0	10.20.1.1	/24	N/A
R2	S0/0/0	10.20.1.2	/24	N/A
	S0/0/1	10.20.2.2	/24	N/A
R3	F 0/0	172.20.1.1	/24	N/A
	S0/0/1	10.20.2.1	/24	N/A
PC-A	Fa0	172.20.1.2	/24	172.20.1.1
PC-C	Fa0	172.20.2.2	/24	172.20.2.1

（1）console密码和Vty密码

Router(config)#username zhu1 password zjw1        //console 密码

Router(config)#aaa authentication login default local

Router(config)#lin

Router(config)#line console 0

Router(config-line)#login authentication default

 

Router(config)#aaa authentication login ZTE local    //vty 密码

Router(config)#line vty 0 4

Router(config-line)#login authentication ZTE

Router(config-line)#end

 

（2）接口配置

与上实验相同，这里省略

（3）静态路由

与上实验相同，这里省略

1. 验证基本网络联通性

（1）PC-A ping PC-C

 

（2）PC-C telnet R2的s0/0/1口

 

说明：如上，基本网络联通性完好。

1. 在R3 创建一个区域防火墙

（1）创建一个内部区域

R3(config)#zone security IN-ZONE

 

（2）创建一个外部区域

R3(config-sec-zone)#zone security OUT-ZONE

R3(config-sec-zone)#exi

1. 定义一个流量级别和访问

（1）创建一个用来定义内部流量的ACL

R3(config)#access-list 101 permit ip 172.20.2.0 0.0.0.255 any

（2）创建一个涉及内部流量ACL的class map

R3(config)#class-map type inspect match-all IN-NET-CLASS-MAP

R3(config-cmap)#match access-group 101

R3(config-cmap)#exi

1. 指定防火墙策略

（1）创建一个策略图来确定对匹配的流量

R3(config)#policy-map type inspect IN-2-OUT-PMAP

（2）定义一个检测级别类型和参考策略图。

R3(config-pmap)#class type inspect IN-NET-CLASS-MAP

（3）定义检测策略图

R3(config-pmap-c)# inspect

R3(config-pmap-c)#exi

R3(config-pmap)# exit

 

 

1. 应用防火墙策略

（1）创建一对区域

R3(config)#zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE

（2）定义策略图来控制两个区域的流量。

R3(config-sec-zone-pair)#service-policy type inspect IN-2-OUT-PMAP

R3(config-sec-zone-pair)# exit

 R3(config)#

（3）把端口调用到合适的安全区域。

在端口的全局模式用zone-member security来把F0/1调用到IN-ZONE ，把S0/0/1调用到OUT-ZONE

R3(config)# interface fa0/1

R3(config-if)# zone-member security IN-ZONE

R3(config-if)# exit

 

R3(config)# interface s0/0/1

R3(config-if)# zone-member security OUT-ZONE

R3(config-if)# exit

 

 

 

 

1. 测试从IN-ZONE到OUT-ZONE的防火墙功能

（1）PC-C ping PC-A服务器

 

（2）从PC-Ctelnet到R2的s0/0/1口

 

 

（3）在R3输show policy-map type inspect zone-pair sessions看完成情况。

 

结论：如上，内部到外部的防火墙功能完整，内部能够访问外部。

1. 第七步 测试外部区域到内部区域的防火墙功能

（1）验证配置ZPF之后外部无法访问内部。

 

（2）R2 ping PC-C也ping不通

 

结论：如上，外部区域到内部区域的防火墙功能完整，外部不能访问内部。

转载于:https://www.cnblogs.com/zhujinwei/p/10946388.html