防火墙虚拟系统实验

防火墙虚拟系统实验

一、实验拓扑

二、需求

​

安全策略要求：
1、只存在一个公网IP地址，公司内网所有部门都需要借用同一个接口访问外网
2、财务部禁止访问Internet，研发部门只有部分员工可以访问Internet，行政部门全部可以访问互联网
3、为三个部门的虚拟系统分配相同的资源类

三、配置思路

1、由根系统管理员创建虚拟系统abc并且为其分配资源以及配置管理员
2、根系统管理员为内网用户创建安全策略和NAT策略
3、由abc三个虚拟系统各自完成IP、路由、安全策略配置

四、配置

1、命令行

#配置IP
FW:
	int g 1/0/1
	ip ad 10.3.0.254 24
	int g 1/0/2
	ip ad  10.3.1.254 24
	int g 1/0/3
	ip ad 10.3.2.254 24
	int g 1/0/0
	ip ad 11.1.1.1 24
	int v 1
	ip ad 172.16.1.1 24
R1:
	int 0/0/0
	ip ad 11.1.1.2 24
	int  l 0-----进入环回接口0 
	ip ad 100.1.1.1 24
PC1:
	ip ad 10.3.0.1 24
PC2:
	ip ad 10.3.1.1 24
PC3:
	ip ad 10.3.2.1 24

#开启虚拟系统
FW:
	vsys enable

#创建资源类
FW：
	resource-class r1-----创建资源类r1
	resource-item-limit session resverved-number 500 maximum 1000-----设定会话数保证 值与最大值
	resource-item-limit policy resverved-number 200-----设置策略数200
	resource-item-limit user resverved-number 100-----限制用户数100
	resource-item-limit bandwidth 2 outbound-----设置出方向带宽2Mbps

	resource-class r2-----创建资源类r2
	resource-item-limit session resverved-number 500 maximum 1000
	resource-item-limit policy resverved-number 200
	resource-item-limit user resverved-number 100
	resource-item-limit bandwidth 2 outbound

	resource-class r3-----创建资源类r3
	resource-item-limit session resverved-number 500 maximum 1000
	resource-item-limit policy resverved-number 200
	resource-item-limit user resverved-number 100
	resource-item-limit bandwidth 2 outbound
	
#接入虚拟系统
FW:
	vsys name vsysa ---创建虚拟系统，名称为vsysa
	assign resource-class r1 ---设定使用的资源类
	assign interface GigabitEthernet 1/0/1 ---将接口划入虚拟系统

	vsys name vsysb 
	assign resource-class r2 
	assign interface GigabitEthernet 1/0/2

	vsys name vsysc 
	assign resource-class r3 
	assign interface GigabitEthernet 1/0/3
	
#配置管理员
FW:
	switch vsys vsysa-----切换vsysa系统中
	aaa
	manager-user admin@@vsysa-----创建vsysa虚拟系统管理员，@@其固定值，前为用户名，后为虚拟系统名称
	password-----配置密码，需要输入两次（先设置后确认），密码不会显示---admin@123
	level 15-----设定权限
	service-type web telnet ssh-----设定登录服务，一般选择ssh和web即可
	quit-----需要退出一步
	bind manager-user admin@@vsysa role system-admin-----定义admin@@vsysa用户为系统管理员

#配置根策略
FW:
	#安全策略
	security-policy 
	rule name to_internet
	source-zone trust 
	destination-zone untrust 
	action permit

	#nat策略：
	nat-policy
	rule name nat1
	source-zone trust 
	egress-interface GigabitEthernet 1/0/0
	source-address 10.3.0.0 16
	action source-nat easy-ip 
#配置虚拟系统
#a
FW：
	switch vsys vsysa      
	int Virtual-if 1
	ip add 172.16.1.1 24

	#安全区域：
	firewall zone trust 
	add int g 1/0/1
	firewall zone untrust     
	add int Virtual-if 1

	#路由：
	ip route-static 0.0.0.0 0 public 

	#地址组：
	ip address-set ip_add01 type object 
	add range 10.3.0.1 10.3.0.10

	#策略：
	security-policy
	rule name to_vsysb
	source-zone trust
	destination-zone untrust
	source-address 10.3.0.0 mask 255.255.255.0
	destination-address 10.3.1.0 mask 255.255.255.0
	action permit
	
	rule name to_internet
	source-zone trust
	destination-zone untrust
	source-address 10.3.2.0 mask 255.255.255.0
	source-address address-set ip_add01
	action permit
	  
	rule move to_vsysb before to_internet   ----移动规则

#b
FW:
	switch vsys vsysb
	int g 1/0/2
	ip add 10.3.1.254 24    
	int Virtual-if 2
	ip add 172.16.2.1 24

	#安全区域设置：
	firewall zone untrust 
	add interface Virtual-if 
	firewall zone trust 
	add int g 1/0/2

	#安全策略：
	security-policy
	rule name vsysa_tosource-zone untrust
	destination-zone trust
	source-address 10.3.0.0 mask 255.255.255.0
	destination-address 10.3.1.0 mask 255.255.255.0
	action permit

	#路由：
	ip route-static 0.0.0.0 0 public 

#c
FW:
	switch vsys vsysc
	int g 1/0/3
	ip add 10.3.2.254 24    
	int Virtual-if 3
	ip add 172.16.3.1 24

	#安全区域设置：
	firewall zone untrust 
	add interface Virtual-if 
	firewall zone trust 
	add int g 1/0/3

	#安全策略：
	security-policy
	rule name vsysa_tosource-zone untrust
	destination-zone trust
	destination-address 10.3.2.0 mask 255.255.255.0
	action permit

	#路由：
	ip route-static 0.0.0.0 0 public 

2、云

资源类r2、r3同样配置

配置资源类r1

配置接口

r2、r3同理