防火墙双机热备带宽管理综合实验_深信服防火墙链路聚合-优快云博客

1，DMZ区内的服务器，办公区仅能在办公时间内（9：00 - 18：00）可以访问，生产区的设备全天可以访问.
2，生产区不允许访问互联网，办公区和游客区允许访问互联网
3，办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10
4，办公区分为市场部和研发部，市场部IP地址固定，访问DMZ区使用匿名认证，研发部需要用户绑定IP地址，访问DMZ区使用免认证；
游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123
5，生产区访问DMZ区时，需要进行protal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次
登录需要修改密码，用户过期时间设定为10天,用户不允许多人使用
6，创建一个自定义管理员，要求不能拥有系统管理的功能

7，办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)
8，分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器
9，多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%；
10，分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器；
11，游客区仅能通过移动链路访问互联网

12，对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，游客区和DMZ区走FW3，生产区和办公区的流量走FW1
13，办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M
14，销售部保证email应用在办公时间至少可以使用10M的带宽，每个人至少1M
15，移动链路采用的是100M的带宽，要求游客区用户仅能占用50M，并且基于在线地址进行动态均分
16，外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。

17，假设内网用户需要通过外网的web服务器和pop3邮件服务器下载文件和邮件，内网的FTP服务器也需要接受外网用户上传的文件。针对该场景进行防病毒的防护。
18，我们需要针对办公区用户进行上网行为管理，要求进行URL过滤，要求在上班时间仅能访问教育/科研类，搜索/门户类网站，以及一个www.example.com/working相关URL都可以访问。其余都不允许访问。
19，通过DNS过滤，实现办公区仅能使用一个域名访问公网发HTTP服务器，另一个不行

基本配置

防火墙的配置

防火墙初始密码是：

Username：admin
Password:Admin@123

进去就需要修改密码,修改完毕后

进去g0/0/0端口配置ip：

[USG6000V1-GigabitEthernet0/0/0]ip address 192.168.100.1 255.255.255.0
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit

对于云的配置

以上防火墙和云配置完毕就可以通过web进入可视化界面

LSW5的配置

[Huawei]vlan batch 2 to 3
[Huawei]int g0/0/2
[Huawei-GigabitEthernet0/0/2] port link-type access
[Huawei-GigabitEthernet0/0/2] port default vlan 2
[Huawei]int g0/0/3
[Huawei-GigabitEthernet0/0/3] port link-type access
[Huawei-GigabitEthernet0/0/3] port default vlan 3
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1] port link-type trunk
[Huawei-GigabitEthernet0/0/1] port trunk allow-pass vlan 2 to 3

配置防火墙ip

创建安全区域

安全策略

配置让生产区到DMZ的策略

SC concem

策略

结果

配置办公区到dmz的策略

BG TO DMZ 1

策略

结果

BG TO DMZ 2

策略

结果

BG TO DMZ 3

策略

结果

BG TO ISP

策略

结果

不能ping通

因为并未对路由器设置nat这里并不能ping通。

配置游客区的策略

YK1 TO 10.0.3.10

策略

结果

YK2 TO SC

策略

结果

YK3 TO ISP

策略

结果

不能ping通

因为并未对路由器设置nat这里并不能ping通。

配置用户

创建认证域

创建用户

办公区

研发部

市场部

生产区

生产1

生产2

生产3

认证策略

配置路由器

配置路由器的ip

[ISP]int g0/0/0
[ISP-GigabitEthernet0/0/0]ip address 12.0.0.2 255.255.255.0
[ISP]int g0/0/1
[ISP-GigabitEthernet0/0/1]ip address 21.0.0.2 255.255.255.0
[ISP]int lo0
[ISP-LoopBack0]ip add 1.1.1.1 24