网络安全-防御第一次作业（由于防火墙只成功启动了一次未补截图）

防火墙安全策略课堂实验报告

一、拓扑

本实验拓扑包含预启动设备、DMZ区域（含OA Server和Web Server）、防火墙（FW1）、Trust区域（含办公区PC和生产区PC）等。具体IP地址及连接关系如给定拓扑图所示，办公区对应VLAN 2，生产区对应VLAN 3，各设备通过不同接口与防火墙相连。

在这里插入图片描述

二、需求

VLAN 2属于办公区，VLAN 3属于生产区。
办公区PC在工作日（周一至周五，早8到晚6）可以正常访问OA Server，其他时间不允许。
办公区PC可以在任意时刻访问Web Server。
生产区PC可以在任意时刻访问OA Server，但是不能访问Web Server。
特例：生产区PC3可以在每周一早10到早11访问Web Server，用来更新企业最新产品信息。

三、需求分析

（一）时间策略分析

对于办公区PC访问OA Server，需要设置时间策略，限定在工作日（周一至周五）的早8到晚6时间段。
生产区PC3访问Web Server的特例，需要设置每周一的早10到早11时间策略。

（二）区域访问策略分析

需配置办公区（VLAN 2）到DMZ区域（OA Server和Web Server）的访问策略，区分不同的访问时间和服务器。
生产区（VLAN 3）到DMZ区域的访问策略，允许访问OA Server但禁止访问Web Server，同时处理PC3的特例访问。

四、配置详细信息

（一）Web界面配置

登录防火墙：打开浏览器，输入防火墙IP地址，使用用户名admin和密码admin@123登录。
配置区域：进入“区域”配置界面，将接口分别加入Trust区域和DMZ区域。
配置时间策略：
- 在“时间”配置模块，创建“工作日8 - 18”时间对象，设置周一至周五的早8到晚6时间段。
- 创建“周一10 - 11”时间对象，设置每周一的早10到早11时间段。
配置安全策略：
- 办公区PC访问OA Server策略：源区域为Trust（办公区VLAN 2），目的区域为DMZ（OA Server），服务为any，时间为“工作日8 - 18”，动作为允许；其他时间配置一条拒绝策略。（截图展示策略配置界面及参数设置）
- 办公区PC访问Web Server策略：源区域为Trust（办公区VLAN 2），目的区域为DMZ（Web Server），服务为any，时间为any，动作为允许。
- 生产区PC访问OA Server策略：源区域为Trust（生产区VLAN 3），目的区域为DMZ（OA Server），服务为any，时间为any，动作为允许。
- 生产区PC访问Web Server策略：源区域为Trust（生产区VLAN 3），目的区域为DMZ（Web Server），服务为any，时间为any，动作为拒绝。
- 生产区PC3访问Web Server特例策略：源IP为PC3的IP（192.168.1.130），源区域为Trust，目的区域为DMZ（Web Server），服务为any，时间为“周一10 - 11”，动作为允许。

（二）命令行配置

进入系统视图：

system - view

配置区域：

firewall zone trust
add interface GigabitEthernet 0/0/1
quit
firewall zone dmz
add interface GigabitEthernet 0/0/0
quit

配置时间策略：

time - range workday_8 - 18 08:00 to 18:00 working - days
time - range monday_10 - 11 10:00 to 11:00 monday

配置安全策略：

rule name office_to_oa_allow
source - zone trust
destination - zone dmz
source - address 192.168.1.0 255.255.255.0
destination - address 10.0.0.1 255.255.255.0
service any
time - range workday_8 - 18
action permit
rule name office_to_oa_deny
source - zone trust
destination - zone dmz
source - address 192.168.1.0 255.255.255.0
destination - address 10.0.0.1 255.255.255.0
service any
action deny
rule name office_to_web_allow
source - zone trust
destination - zone dmz
source - address 192.168.1.0 255.255.255.0
destination - address 10.0.0.2 255.255.255.0
service any
action permit
rule name production_to_oa_allow
source - zone trust
destination - zone dmz
source - address 192.168.1.129 0.0.0.0
destination - address 10.0.0.1 255.255.255.0
service any
action permit
rule name production_to_web_deny
source - zone trust
destination - zone dmz
source - address 192.168.1.129 0.0.0.0
destination - address 10.0.0.2 255.255.255.0
service any
action deny
rule name pc3_to_web_allow
source - zone trust
destination - zone dmz
source - address 192.168.1.130 0.0.0.0
destination - address 10.0.0.2 255.255.255.0
service any
time - range monday_10 - 11
action permit