虚拟系统配置案例

一、拓扑

二、需求一

安全策略要求：
1.只存在一个公网IP地址，公司内网所有部门都需要借用同一个接口访问外网
2.财务部禁止访问Internet，研发部门只有部分员工可以访问Internet，行政部门全部可以访问互联网
3.由abc三个虚拟系统各自完成IP、路由、安全策略配置
配置思路：
1.由根系统管理员创建虚拟系统abc并且为其分配资源以及配置管理员
2.根系统管理员为内网用户创建安全策略和NAT策略
3.由abc三个虚拟系统各自完成IP、路由、安全策略配置

三、配置步骤

1、开启虚拟系统

2、配置资源类

3、创建虚拟系统

4、管理员配置

五、在根系统下的配置

划分区域 配置IP

配置缺省路由

路由器配置

六、配置安全策略

七、配置nat策略

八、各个虚拟系统配置

vsysa

接口配置

缺省路由

创建地址组

安全策略

vsysb

[FW]switch vs    
[FW]switch vsys vsysb
<FW-vsysb>sys
[FW-vsysb]int g1/0/2
[FW-vsysb-GigabitEthernet1/0/2]ip add 10.3.1.254 24
[FW1-vsysb-GigabitEthernet1/0/2]int virtual-if2
[FW-vsysb-Virtual-if2]ip add 172.16.2.1 24
[FW-vsysb-Virtual-if2]q    
[FW-vsysb]firewall zone trust 
[FW-vsysb-zone-trust]add int g1/0/2
[FW-vsysb-zone-trust]q
[FW-vsysb]firewall zone untrust 
[FW-vsysb-zone-untrust]add int Virtual-if 2

缺省路由
[FW-vsysb]ip route-static 0.0.0.0 0 public 

vsysc

[FW]switch v    
[FW]switch vsys vsysc
<FW-vsysc>sys

[FW-vsysc]int g1/0/3
[FW-vsysc-GigabitEthernet1/0/3]ip add 10.3.2.254 24
[FW1-vsysc-GigabitEthernet1/0/3]int virtual-if3
[FW-vsysc-Virtual-if3]ip add 172.16.3.1 24
[FW-vsysc-Virtual-if3]q

[FW-vsysc]firewall zone trust 
[FW-vsysc-zone-trust]add int g1/0/3
[FW-vsysc-zone-trust]q

[FW-vsysc]firewall zone untrust 
[FW-vsysc-zone-untrust]add int Virtual-if 3
[FW-vsysc-zone-untrust]q

缺省路由
[FW-vsysc]ip route-static 0.0.0.0 0 public 

安全策略    
[FW-vsysc]security-policy
[FW1-vsysc-policy-security]rule name policy_1
[FW-vsysc-policy-security-rule-to_internet]source-zone trust 
[FW-vsysc-policy-security-rule-to_internet]destination-zone untrust 
[FW-vsysc-policy-security-rule-to_internet]source-address 10.3.2.0 24
[FW-vsysc-policy-security-rule-to_internet]action permit 

九、测试：

十、需求二

实现虚拟机之间的直接通讯--单向路由
vsysa

配置安全策略
[FW-vsysa]security-policy
[FW-vsysa-policy-security]rule name to_vsysb
[FW-vsysa-policy-security-rule-to_vsysb]source-zone trust     
[FW-vsysa-policy-security-rule-to_vsysb]destination-zone untrust 
[FW-vsysa-policy-security-rule-to_vsysb]source-address 10.3.0.0 24
[FW-vsysa-policy-security-rule-to_vsysb]destination-address 10.3.1.0 24
[FW-vsysa-policy-security-rule-to_vsysb]action p

[FW1-vsysa-policy-security]rule move to_vsysb before policy_1

[FW1-vsysa-policy-security]dis th
2025-03-26 09:20:48.310 
#
security-policy
 rule name to_vsysb
  source-zone trust
  destination-zone untrust
  source-address 10.3.0.0 mask 255.255.255.0
  action permit
 rule name policy_1
  description to_internat
  source-zone trust
  destination-zone untrust
  source-address address-set ip_add01
  action permit
#
return

vsysb

安全策略
[FW-vsysb]security-policy
[FW-vsysb-policy-security]rule name to_vsysa    
[FW-vsysb-policy-security-rule-to_vsysa]source-zone untrust 
[FW-vsysb-policy-security-rule-to_vsysa]destination-zone trust 
[FW-vsysb-policy-security-rule-to_vsysa]source-address 10.3.0.0 24
[FW-vsysb-policy-security-rule-to_vsysa]destination-address 10.3.1.0 24    
[FW-vsysb-policy-security-rule-to_vsysa]action permit 

[FW1-vsysb-policy-security-rule-to_vsysa]dis th
2025-03-26 09:22:34.500 
#
 rule name to_vsysa
  source-zone untrust
  destination-zone trust
  source-address 10.3.0.0 mask 255.255.255.0
  destination-address 10.3.1.0 mask 255.255.255.0
  action permit
#
return

根系统

[FW]ip route-static vpn-instance vsysa 10.3.1.0 24 vpn-instance vsysb 

十一、测试