防火墙双机热备带宽管理综合实验

实验拓扑

实验需求

1，DMZ区内的服务器，办公区仅能在办公时间内（9：00 - 18：00）可以访问，生产区的设备全天可以访问.
2，生产区不允许访问互联网，办公区和游客区允许访问互联网
3，办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10
4，办公区分为市场部和研发部，市场部IP地址固定，访问DMZ区使用匿名认证，研发部需要用户绑定IP地址，访问DMZ区使用免认证；
游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123
5，生产区访问DMZ区时，需要进行protal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次
登录需要修改密码，用户过期时间设定为10天,用户不允许多人使用
6，创建一个自定义管理员，要求不能拥有系统管理的功能

7，办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)
8，分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器
9，多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%；
10，分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器；
11，游客区仅能通过移动链路访问互联网

12，对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，游客区和DMZ区走FW3，生产区和办公区的流量走FW1
13，办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M
14，销售部保证email应用在办公时间至少可以使用10M的带宽，每个人至少1M
15，移动链路采用的是100M的带宽，要求游客区用户仅能占用50M，并且基于在线地址进行动态均分
16，外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。

17，假设内网用户需要通过外网的web服务器和pop3邮件服务器下载文件和邮件，内网的FTP服务器也需要接受外网用户上传的文件。针对该场景进行防病毒的防护。
18，我们需要针对办公区用户进行上网行为管理，要求进行URL过滤，要求在上班时间仅能访问教育/科研类，搜索/门户类网站，以及一个www.example.com/working相关URL都可以访问。其余都不允许访问。
19，通过DNS过滤，实现办公区仅能使用一个域名访问公网发HTTP服务器，另一个不行

实验步骤

前11个条件已经在之前的博客中完成了

一. 将FW1和FW3之间的两条线左链路聚合

FW1

[USG6000V1]int Eth-Trunk  1
[USG6000V1]int g1/0/5
[USG6000V1-GigabitEthernet1/0/5]eth-trunk 1
[USG6000V1]int g1/0/6
[USG6000V1-GigabitEthernet1/0/6]eth-trunk 1
[USG6000V1-Eth-Trunk1]ip add 13.0.0.2 24

FW2

[USG6000V1]int Eth-Trunk  1
[USG6000V1]int g1/0/6
[USG6000V1-GigabitEthernet1/0/6]eth-trunk 1
[USG6000V1]int g1/0/5
[USG6000V1-GigabitEthernet1/0/5]eth-trunk 1
[USG6000V1-Eth-Trunk1]ip add 13.0.0.1 24

二.LSW5的0/0/4口改为Trunk模式

[LSW5] int g0/0/4
[LSW5-GigabitEthernet0/0/4] port link-type trunk
[LSW5-GigabitEthernet0/0/4] port trunk allow-pass vlan 2 to 3

三.FW3的配置

FW3的安全区域

接口ip配置

四.防火墙组网改成双机热备 

FW1

 FW3

 双机热备启动后等一分钟，记住同步配置

 同步配置

此时如果策略路由没有同步，需要手动配置 

注意：路由策略不能用出接口，都用地址池配置

最终效果 

FW1

FW3

五.办公区的带宽管理 

（1）带宽通道

BG区上网总流量

BG区销售部 

BG区销售部对email类应用 

（2）带宽策略 

BG区上网总流量

BG区销售部 

BG区销售部对email类应用

 

最终效果

 六.移动区的带宽管理

移动采用100M的带宽

带宽通道

游客区用户上网的带宽通道

（因为基于地址动态均分，所以选每ip和把动态均分勾上）

带宽策略

游客区在公网上网的带宽策略

最终效果

 七.外网访问内网服务器的带宽管理 

带宽通道

外网访问内网服务器

 带宽策略

外网访问内网服务器

最终效果 

 至此，实验完成