機試綜合案例_防火墻典型應(yīng)用實驗步驟

1、設(shè)計需求：1：局域網(wǎng)需求（1）vlan 的設(shè)計vlan10，教務(wù)部，網(wǎng)絡(luò)地址為 /24vlan20，后勤部，網(wǎng)絡(luò)地址為 /24vlan15，財務(wù)部，網(wǎng)絡(luò)地址為 /24（2）資源要求教務(wù)部和后勤部可以上網(wǎng)，并且可以DMZ 區(qū)域的 FTP 和 WEB 服務(wù)財務(wù)部不能和其他 vlan 通信，也不能上網(wǎng)，但是能夠DMZ 區(qū)域的 FTP 和 WEB 服務(wù)2：安全區(qū)域的設(shè)計接口 G1/0/0 加入到 trust 區(qū)域接口 G1/0/4 和 G1/0/5 加入 DMZ 區(qū)域G1/0/1 加入 untrust 區(qū)域3：互聯(lián)網(wǎng)用戶內(nèi)網(wǎng)服務(wù)器的設(shè)計要求在互聯(lián)網(wǎng)上能夠DMZ 區(qū)域中的 WEB 服務(wù)，但不能它的 FT

2、P 服務(wù)1：內(nèi)網(wǎng)二層交換機配置undo terminalmonitorsyssysname S2S2S2vlan batch 10 15 20S2S2e0/0/10S2-Ethernet0/0/10port link-type hybridS2-Ethernet0/0/10port hybrid pvid vlan 10S2-Ethernet0/0/10port hybrid untagged vlan 10 20S2-Ethernet0/0/10quitS2S2g0/0/20S2-Ethernet0/0/20port link-type hybridS2-Ethernet0/0/20port

3、 hybrid pvid vlan 20S2-Ethernet0/0/20port hybrid untagged vlan 1020S2-Ethernet0/0/20quitS2S2g0/0/15S2-Ethernet0/0/15port link-type hybridS2-Ethernet0/0/15port hybrid pvid vlan 15S2-Ethernet0/0/15port hybrid untagged vlan 1 15S2-Ethernet0/0/15quitS2S2g0/0/1S2-Ethernet0/0/1port link-type hybridS2-Ethe

4、rnet0/0/1port hybrid pvid vlan 1S2-Ethernet0/0/1port hybrid untagged vlan 110 1520S2-Ethernet0/0/1quitS22：運營商路由器的IP 地址的設(shè)置undo terminal monitorsyssysname R1R1g0/0/0R1-GigabitEthernet0/0/0ip add 30R1-GigabitEthernet0/0/0quitR1R1g0/0/1R1-GigabitEthernet0/0/1ip add 54 24R1-GigabitEthernet0/0/1quitR1R1g0

5、/0/2R1-GigabitEthernet0/0/2ip add 54 24R1-GigabitEthernet0/0/2quitR12：設(shè)置（1）Ip 地址的設(shè)置undo terminal monitorsysUSG6000V1g1/0/0USG6000V1-GigabitEthernet1/0/0ip add 16USG6000V1g1/0/1USG6000V1-GigabitEthernet1/0/1ip add 30USG6000V1-GigabitEthernet1/0/1quitUSG6000V1USG6000V1g1/0/4USG6000V1-GigabitEthernet1/

6、0/4ip add 24USG6000V1-GigabitEthernet1/0/4quitUSG6000V1（2）安全區(qū)域的設(shè)置USG6000V1firewall zone trustUSG6000V1-zone-trustaddg1/0/0USG6000V1-zone-trustquitUSG6000V1USG6000V1firewall zone dmzUSG6000V1-zone-dmzaddg1/0/4USG6000V1-zone-dmzquitUSG6000V1USG6000V1firewall zone name untrustUSG6000V1-zone-jiaoyuaddg1

7、/0/1USG6000V1-zone-jiaoyuquitUSG6000V1（3）設(shè)置安全策略，使內(nèi)網(wǎng)用戶可以dmz 區(qū)域的FTP 服務(wù)和WEB 服務(wù)USG6000V1security-policyUSG6000V1-policy-securityrule name sec_1USG6000V1-policy-security-rule-sec_1source-zone trustUSG6000V1-policy-security-rule-sec_1destination-zone dmzUSG6000V1-policy-security-rule-sec_1service ftpUSG60

8、00V1-policy-security-rule-sec_1service httpUSG6000V1-policy-security-rule-sec_1action permitUSG6000V1-policy-security-rule-sec_1quitUSG6000V1-policy-securityquitUSG6000V1（4）設(shè)置安全策略，使內(nèi)網(wǎng)用戶可以互聯(lián)網(wǎng)，并且財務(wù)部上網(wǎng)USG6000V1security-policyUSG6000V1-policy-securityrule name sec_2USG6000V1-policy-security-rule-sec_3so

9、urce-zone trustUSG6000V1-policy-security-rule-sec_2source-address 24USG6000V1-policy-security-rule-sec_2source-address 24USG6000V1-policy-security-rule-sec_3destination-zone untrustUSG6000V1-policy-security-rule-sec_3action permitUSG6000V1-policy-security-rule-sec_3quitUSG6000V1-policy-securityquitU

10、SG6000V1（5）設(shè)置安全策略，使互聯(lián)網(wǎng)用戶能夠DMZ 區(qū)域的WEB 服務(wù)USG6000V1security-policyUSG6000V1-policy-securityrule name sec_3USG6000V1-policy-security-rule-sec_3source-zone untrustUSG6000V1-policy-security-rule-sec_3destination-zone dmzUSG6000V1-policy-security-rule-sec_3destination-address 24USG6000V1-policy-security-ru

11、le-sec_3service httpUSG6000V1-policy-security-rule-sec_3action permitUSG6000V1-policy-security-rule-sec_3quitUSG6000V1-policy-securityquitUSG6000V1（6）配置默認路由USG6000V1ip route-sic （7）配置 natUSG6000V1nat-policyUSG6000V1-policy-natrule name nat_policyUSG6000V1-policy-nat-rule-nat_policysource-address 16USG6000V1-policy-nat-rule-nat_policysource-zone trustUSG6000V1-policy-nat-rule-nat_policydestination-zone untrustUSG6000V1-policy-nat-rule-nat_policyaction nat easy-ipUSG6000V1-policy-nat-rule-nat_policyqu