防火墙NAT智能选举综合实验

一、实验拓扑图

二、实验要求

1、DMZ区的服务器，办公区仅能在办公时间内（9:00-18:00）可以访问，生产区设备全天都是可以访问的

2、生产区不允许访问互联网，办公区和游客区允许访问互联网

3、办公区设备10.0.2.20不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10

4、办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，研发部需要用户绑定IP地址，访问DMZ区使用免认证；

游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅有访问公司门户网站和上网的权利，门户网站地址10.0.3.10

5、生产区访问DMZ区时，需要进行protal认证，设立生产区用户架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，

首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

6、创建一个自定义管理员，要求不能拥有系统管理的功能

7、办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)

8、分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器

9、多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%;

10、分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器;

11、游客区仅能通过移动链路访问互联网

三、实验思路

1、配置多对多NAT策略：

        a.保留IP地址不变，实现设备之间的相互访问。

        b.配置双向NAT，确保数据流能够双向传输

        c.设置智能选路策略，根据不同目的地优化数据传输路径。

2.进行服务测试。

四、实验步骤

1.FW2的网络相关配置

所有的防火墙开启都是一样的，第一次输入默认的账户和密码（账户：admin；密码：Admin@123）后，对密码进行修改。然后修改默认的ip，和自己的网卡要在同一个网段内，然后在g0/0/0的端口里面配置开启所有的服务：server-manage all permit。

FW2g1/0/0：

g1/0/1：

2.多对多的NAT，并且需要保留一个公网IP不能用来转换，实现办公区设备可以通过电信链路和移动链路上网。

在防火墙（FW1）上面创建两块安全区域[移动、电信]。

修改防火墙FW1的g1/0/1和g1/0/2的安全区域：

做NAT策略，并且需要保留一个公网IP不能用来转换。

先创建一个源转换地址池：

NAT策略：

测试一下：

用Client4去ping路由器的换回地址，使用display firewall server-map：

3.分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器

防火墙FW2上做NAT：

安全策略以及NAT策略：

在防火墙FW2上面做目标NAT：

创立一个地址转换池以及策略：

4.智能选路：

修改g1/0/1的接口配置

修改g1/0/2的接口配置

在创建一个电信和移动的链路接口：

在新建一个策略：

5.分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器

首先修改公网client5，和分公司server5和client6的域名服务器地址，并且公网中的server4（NDS服务器）开启DNS服务，和分公司的server5开启http服务器。在FW2上面做目标NAT，使公网设备也可以通过域名访问到分公司内部服务器

6. 分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器;

NAT策略：

7.游客区仅能通过移动链路访问互联网

安全策略以及NAT策略：