一、拓扑图：

二、实验需求：

1、DMz区内的服务器，办公区仅能在办公时间内(9:00-18：00)可以访问，生产区的设备全天可以访问；

2、生产区不允许访问互联网，办公区和游客区允许访问互联网

3、办公区设备10.0.2.10不允许访问DMz区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10

4、办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证;游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123,

游客仅有访问公司门户网站和上网的权限，门户地址10.0.3.10

5，生产区访问DMz区时，需要进行portal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，

用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

6、创建一个自定义管理员，要求不能拥有系统管理功能

三、实验思路：

1、防火墙配置g0/0/0接口IP地址（192.168.0.1/24），开启server-manage all服务，连接Cloud云后通过web登录；防火墙g1/0/1配置子接口放通对应vlan（生产区vlan10，办公区vlan20）；

2、两条安全策略，通往DMZ区域，一条办公区仅能在办公时间内(9:00-18：00)可以访问，一条生产区的设备全天可以访问；

3、三条安全策略，通往untrust区域，实现生产区不允许访问互联网，办公区和游客区允许访问互联网；

4、 一条安全策略，通往DMZ区域，办公区设备10.0.2.10不允许访问DMz区的FTP服务器和HTTP服务器，但能ping通10.0.3.10；

 5、办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证;

6、游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123,游客仅有访问公司门户网站和上网的权限，门户地址10.0.3.10

7、生产区访问DMz区时，需要进行portal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

8、创建一个自定义管理员，开启只读。

四、实验步骤：

（web登录步骤略）

    1、LSW2配置vlan10（生产区）、vlan20（办公区），配置access和trunk；

LSW2上：

vlan batch 10 20

interface GigabitEthernet0/0/1

 port link-type trunk

 undo port trunk allow-pass vlan all

 port trunk allow-pass vlan 10 to 20

#

interface GigabitEthernet0/0/2

 port link-type access

 port default vlan 10

#

interface GigabitEthernet0/0/3

 port link-type access

 port default vlan 20

2、创建子接口，并划分valn

创建办公区（BG）和生产区（SC）安全区域

创建子接口，划分vlan和安全区域

3、两条安全策略，通往DMZ区域，一条办公区仅能在办公时间内(9:00-18：00)可以访问，一条生产区的设备全天可以访问；

办公区到DMZ：

创建办公时间

生产区访问DMZ：

4、三条安全策略，通往untrust区域，实现生产区不允许访问互联网，办公区和游客区允许访问互联网；

       创建游客区

       配置连接ISP的接口

创建安全策略

游客区：

生产区：

办公区：

5、一条安全策略，办公区通往DMZ区域，办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，但能ping通10.0.3.10；（因为前面已经有一条BG到DMZ的安全策略，这里直接修改服务，只选icmp服务）

6、办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，研发部需要用户绑定IP地址，访问DMZ区使用免认证;

    创建部门：

研发部访问DMZ：

市场部访问DMZ：

7、游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123,游客仅有访问公司门户网站和上网的权限，门户地址10.0.3.10

    创建guest用户：

游客区不允许访问DMZ和生产区：

       游客仅有访问公司门户网站和上网的权限，门户地址10.0.3.10：

8、生产区访问DMz区时，需要进行portal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用

       生产区访问DMZ进行portal认证：

生产区用户组织架构：

9、创建一个自定义管理员，要求不能拥有系统管理的功能