一、实验拓扑
二、实验需求
1,DMZ区内的服务器,办公区仅能在办公时间内(9:00-18:00)可以访问,生产区的设备全天可以访问.
2,生产区不允许访问互联网,办公区和游客区允许访问互联网
3,办公区设备10.0.2.10不允许访问DMz区的FTP服务器和HTTP服务器,仅能ping通10.0.3.10
4,办公区分为市场部和研发部,研发部IP地址固定,访问DMz区使用匿名认证,研发部需要用户绑定IP地址,访问DMz区使用免认证;游客区人员不固定,不允许访问DMz区和生产区,统一使用Guest用户登录,密码Admin@123
5,生产区访问DMZ区时,需要进行protal认证,设立生产区用户组织架构,至少包含三个部门,每个部门三个用户,用户统一密码openlab123,首次登录需要修改密码,用户过期时间设定为10天,用户不允许多人使用
6,创建一个自定义管理员,要求不能拥有系统管理的功能
三、实验配置
一、DMZ区内的服务器,办公区仅能在办公时间内(9:00-18:00)可以访问,生产区的设备全天可以访问
1.在Windows系统添加一个环回网卡,步骤如下:
1)右键单机开始,选择设备管理器
2)找到网络适配器,点击左上角操作,点击添加过时硬件
3)连续点下一步,直到有下图画面,找到网络适配器,点击下一步
4)点击Microsoft,再点击Microsoft KM-TEST 环回适配器,最后点击下一步完成添加网卡。
2.在云上添加网卡和UDP,勾上双向通道,添加即可。
3.登录防火墙FW1,默认账号admin,密码Admin@123;修改密码,进去之后去进入G0/0/0接口,输入如下命令,即配置G0/0/0接口的IP为192.168.100.1,使其IP与网卡是一个网段上,并打开所有服务管理。
4.打开自带浏览器,url栏输入192.168.100.1:8443回车,无视风险进入虚拟华为防火墙登录界面,输入之前设置的账号密码登录
5.LSW7操作,对办公区和生产区进行vlan划分,办公区是vlan2,生产区是vlan3,将G0/0/1设置为trunk模式,允许vlan2和vlan3通过,取消vlan1通过。
[LSW7]vlan batch 2 3
[LSW7]int g0/0/2
[LSW7-GigabitEthernet0/0/2]port link-type access
[LSW7-GigabitEthernet0/0/2]port default vlan 3
[LSW7-GigabitEthernet0/0/2]int g0/0/3
[LSW7-GigabitEthernet0/0/3]port link-type access
[LSW7-GigabitEthernet0/0/3]port default vlan 2
进入G0/0/1接口设置trunk接口,设置关闭vlan1
[LSW7]int g0/0/1
[LSW7-GigabitEthernet0/0/1]port link-type trunk
[LSW7-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 3
[LSW7-GigabitEthernet0/0/1]undo port trunk allow-pass vlan 1
6.在FW1web界面:
1)进入g1/0/1和g1/0/2接口中设置移动和电信的分配
(1)g1/0/1为电信
(2)g1/0/2为移动
2).在G0/0/3接口创建两个子接口,给生产区和办公区设置安全区域
1)办公区
办公区可以访问DMZ服务器
2)生产区
生产区可以访问DMZ区的服务器
3)进入DMZ区域设置:
4)端口配置设置如下:
二、生产区不允许访问互联网,办公区和游客区允许访问互联网
1)防火墙FW1端口G1/0/1IP在上面一、中已配置
2)路由器AR1上的配置
[AR1]int g0/0/0
[AR1-GigabitEthernet0/0/0]ip add 12.0.0.2 24
[AR1-GigabitEthernet0/0/0]int g0/0/1
[AR1-GigabitEthernet0/0/1]ip add 21.0.0.2 24
[AR1-GigabitEthernet0/0/1]int g0/0/2
[AR1-GigabitEthernet0/0/2]ip add 23.0.0.1 24
[AR1-GigabitEthernet0/0/2]rip 1
[AR1-rip-1]v 2
[AR1-rip-1]net 12.0.0.0
[AR1-rip-1]net 21.0.0.0
[AR1-rip-1]net 23.0.0.0
3)禁止生产区访问互联网
4)允许办公区上网策略
5)允许游客区上网策略
三、办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器,仅能ping通10.0.3.10
对10.0.2.10 禁止对DMZ区的http和ftp服务
四、办公区分为市场部和研发部,研发部IP地址固定,访问DMz区使用匿名认证,研发部需要用户绑定IP地址,访问DMz区使用免认证;游客区人员不固定,不允许访问DMz区和生产区,统一使用Guest用户登录,密码Admin@123
(1)创建认证域bg
(2)在bg认证域中建立市场部和研发部
(3)做认证策略,使研发部10.0.1.20使用匿名认证登录DMZ区
研发部IP地址固定,访问DMZ区使用匿名验证,这里研发部IP为10.0.2.20/32
(4)市场部需要用户绑定IP地址,访问DMZ区使用免认证
(5)创建游客(tourist)认证域,建立Guest用户,密码为Admin@123,允许多人同时登陆
(6)写安全策略,使游客区不允许访问DMZ区和生产区
(7) 游客使用Guest用户登录,仅有访问公司门户网站和上网的权限,门户网站地址10.0.3.10:
五、生产区访问DMZ区时,需要进行protal认证,设立生产区用户组织架构,至少包含三个部门,每个部门三个用户,用户统一密码openlab123,首次登录需要修改密码,用户过期时间设定为10天,用户不允许多人使用
(1)创建生产区访问DMZ区认证域
(2)点击sctodmz创建用户组,分别创建维修部、科研部、质检部
(3)新建批量用户,用户名间以英文逗号隔开,密码为openlab123
有效时间为10天,允许多人登录取消,分别每个部门创建3个用户。