一、实验拓扑
二、实验要求
1,DMZ区内的服务器,办公区仅能在办公时间内(9:00 - 18:00)可以访问,生产区的设备全天可以访问.
2,生产区不允许访问互联网,办公区和游客区允许访问互联网
3,办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器,仅能ping通10.0.3.10
4,办公区分为市场部和研发部,市场部IP地址固定,访问DMZ区使用匿名认证,研发部需要用户绑定IP地址,访问DMZ区使用免认证;
游客区人员不固定,不允许访问DMZ区和生产区,统一使用Guest用户登录,密码Admin@123
5,生产区访问DMZ区时,需要进行protal认证,设立生产区用户组织架构,至少包含三个部门,每个部门三个用户,用户统一密码openlab123,首次
登录需要修改密码,用户过期时间设定为10天,用户不允许多人使用
6,创建一个自定义管理员,要求不能拥有系统管理的功能
7,办公区设备可以通过电信链路和移动链路上网(多对多的NAT,并且需要保留一个公网IP不能用来转换)
8,分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器
9,多出口环境基于带宽比例进行选路,但是,办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护,保护阈值80%;
10,分公司内部的客户端可以通过域名访问到内部的服务器,公网设备也可以通过域名访问到分公司内部服务器;
11,游客区仅能通过移动链路访问互联网
备注:1-6策略已经在上一篇文章中完成
三、实验步骤
1、问题7
(1)写NAT策略:
办公区设备可以通过电信链路和移动链路上网;
多对多的NAT——转换后的数据包-转换后的地址为地址池中的地址;
(2)新建源转换地址池:
同时新建电信和移动的源转换地址池;
勾选黑洞路由;
高级-NAT类型为五元组NAT-保留一个公网IP地址(10.0.0.5)不能用来转换.
(3)新建安全策略:
新建NAT策略最下方的提示中自动生成对应安全策略;
测试:
ping路由器AR1的环回测试口1.1.1.1
2、问题8
(1)配置电信和移动的服务器映射:
策略-NAT策略-服务器映射
(2)配置安全策略:
新建服务器映射之后会自动生成安全策略
(3)配置分公司防火墙:
(4)分公司防火墙写安全策略放通流量访问总公司:
测试分公司内部是否可以访问互联网:
3、问题9
(1)多出口环境基于带宽比例选路,配置选路策略:
网络-路由-智能选路-全局选路策略-配置
根据链路权重负载分担,并且分别创建DX和YD的链路接口
(2)新建一条禁止访问移动的策略路由,因为办公区中的10.0.2.10设备智能通过电信的链路访问互联网:
网络-路由-智能选路-策略路由-新建
(3)修改DX和YD接口的带宽阈值占比为80%:
网络-接口-to DX和to YD
勾选多出口选项;
勾选启用源进源出路由;
更改接口带宽出入方向带宽为1000kbps,出入方向的国在保护阈值为80%;