防御保护---防火墙（安全策略、NAT策略实验）

一、实验括扑图

二、实验要求
 

1.生产区在工作时间（9：00-18：00）内可以访问DMZ区，仅可以访问http服务器；

2.办公区全天可以访问DMZ区，其中10.0.2.10可以访问FTP服务器和HTTP服务器，10.0.2.20仅可以ping通10.0.3.10

3.办公区在访问服务器区时采用匿名认证的方式进行上网行为管理

4.到公网的nat配置
 

三、实验思路

此次实验主要是以web界面的形式来配置防火墙，所以在上图中防火墙与cloud连接（不需要交换机也可），为了在web界面管理防火墙，web界面相对来说比较友好，可以直观的看出各种配置及条目。
在防火墙与交换机SW7做三层，并且在防火墙部署三个区域的网关，向下使用子接口，分别对应生产区与办公区，然后在防火墙上做安全策略以及NAT策略，实现对路由的控制与转发。

四、实验步骤
配置IP地址以及VLAN

[Huawei]sy ISP
[ISP]int l0
[ISP-LoopBack0]ip add 1.1.1.1 24
[ISP-LoopBack0]int g0/0/1
[ISP-GigabitEthernet0/0/1]ip add 12.0.0.2 24
[ISP-GigabitEthernet0/0/1]int g0/0/2
[ISP-GigabitEthernet0/0/2]ip add 21.0.0.2 24

[LSW4]vlan b 2 to 3
[LSW4]int g0/0/2
[LSW4-GigabitEthernet0/0/2]port link-type access 
[LSW4-GigabitEthernet0/0/2]port default vlan 2
[LSW4-GigabitEthernet0/0/2]int g0/0/3
[LSW4-GigabitEthernet0/0/3]port link-type access 
[LSW4-GigabitEthernet0/0/3]port default vlan 3
[LSW4-GigabitEthernet0/0/3]int g0/0/1   
[LSW4-GigabitEthernet0/0/1]port link-type trunk 
[LSW4-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 to 3
[LSW4-GigabitEthernet0/0/1]undo port trunk allow-pass vlan  1
 

配置防火墙IP地址及划分区域
[USG6000V1]int g0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip add 192.168.100.20 24
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit 








 

配置防火墙安全策略






根据实验需求配置安全策略：

测试

 配置防火墙NAT策略