防火墙虚拟系统实验

原创 已于 2025-03-08 01:49:19 修改 · 692 阅读 · 16 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#服务器 #网络 #运维

于 2025-03-08 01:00:28 首次发布

一、实验拓扑

二、实验需求

1、只存在一个公网IP地址，公司内网所有部门都需要借用同一个接口访问外网
2、财务部禁止访问Internet，研发部门只有部分员工可以访问Internet，行政部门全部可以访问互联网
3、为三个部门的虚拟系统分配相同的资源类

三、实验配置

配置思路：
1、由根系统管理员创建虚拟系统abc并且为其分配资源以及配置管理员
2、根系统管理员为内网用户创建安全策略和NAT策略
3、由abc三个虚拟系统各自完成IP、路由、安全策略配置

接口IP配置

[FW1]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip add 10.3.0.254 24
[FW1]int g1/0/2
[FW1-GigabitEthernet1/0/2]ip add 10.3.1.254 24
[FW1]int g1/0/3
[FW1-GigabitEthernet1/0/3]ip add 10.3.2.254 24
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip add 11.1.1.1 24

[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 11.1.1.2 24
[R1]int l 0
[R1-LoopBack0]ip add 100.1.1.1 24

1、启动虚拟系统

[FW]vsys enable

2、配置资源类

[FW1]resource-class r1     -----创建资源类r1
[FW1-resource-class-r1]resource-item-limit session reserved-number 500 maximum 1000
[FW1-resource-class-r1]resource-item-limit bandwidth 2 outbound   ----设置出方向带宽为2
[FW1-resource-class-r1]resource-item-limit policy reserved-number 200   ----设置策略数
[FW1-resource-class-r1]resource-item-limit user reserved-number 100    ----限制用户数

 

[FW1]display resource global-resource   ----查看剩余公共资源

3、创建虚拟系统

[FW1]vsys name vsysa     -----创建虚拟系统，名称为vsysa
[FW1-vsys-vsysa]assign resource-class r1      ----设定使用的资源类
[FW1-vsys-vsysa]assign interface GigabitEthernet 1/0/1    -----将接口划入虚拟系统

公共接口 --- 勾选后，该接口发出的流量为出方向，即为公有接口。一般而言，在虚拟系统中，只有存在多个物理接口时，才会配置公共接口，来替代Virtual-if接口。 --- 资源类中的出接口带宽，只有在接口为公共接口时才有效。

4、管理员配置

[FW]switch vsys vsysa   ---切换vsysa系统中
[FW-vsysa]aaa
[FW-vsysa-aaa]manager-user admin@@vsysa     -----创建vsysa虚拟系统管理员，@@其固定值，前为用户名，后为虚拟系统名称
[FW-vsysa-aaa-manager-user-admin@@vsysa]password    ----配置密码，需要输入两次（先设置后确认），密码不会显示
Enter Password:（admin@123）
Confirm Password:（admin@123）
[FW-vsysa-aaa-manager-user-admin@@vsysa]level 15   ---设定权限
[FW-vsysa-aaa-manager-user-admin@@vsysa]service-type web telnet ssh   ----设定登录服务，一般选择ssh和web即可
[FW-vsysa-aaa-manager-user-admin@@vsysa]quit     ----需要退出一步
[FW-vsysa-aaa]bind manager-user admin@@vsysa role system-admin    ---定义admin@@vsysa用户为系统管理员

5、划分根系统的安全区域

[FW1]firewall zone untrust 
[FW1-zone-untrust] add interface GigabitEthernet1/0/0
[FW1]firewall zone trust 
[FW1-zone-trust] add interface Virtual-if0

6、配置路由

7、配置安全策略和NAT策略

安全策略：
[FW1]security-policy 
[FW1-policy-security]rule name to_internet
[FW1-policy-security-rule-to_internet]source-zone trust 
[FW1-policy-security-rule-to_internet]destination-zone untrust 
[FW1-policy-security-rule-to_internet]action permit

NAT策略：
[FW1]nat-policy
[FW1-policy-nat]rule name nat1
[FW1-policy-nat-rule-nat1]source-zone trust 
[FW1-policy-nat-rule-nat1]egress-interface GigabitEthernet 1/0/0
[FW1-policy-nat-rule-nat1]source-address 10.3.0.0 16
[FW1-policy-nat-rule-nat1]action source-nat easy-ip

[FW1]switch vsys vsysa      ----从根系统切换至vsysa虚拟系统
[FW1-vsysa]interface GigabitEthernet 1/0/1
[FW1-vsysa-GigabitEthernet1/0/1]ip add 10.3.0.254 24
[FW1-vsysa]interface Virtual-if 1
[FW1-vsysa-Virtual-if1]ip add 172.16.1.1 24

安全区域设置：
[FW1-vsysa]firewall zone trust 
[FW1-vsysa-zone-trust]add int g 1/0/1
[FW1-vsysa]firewall zone untrust     
[FW1-vsysa-zone-untrust]add int Virtual-if 1

配置路由：
[FW-vsysa]ip route-static 0.0.0.0 0 public 

创建地址组：
[FW1-vsysa]ip address-set ip_add01 type object 
[FW1-vsysa-object-address-set-ip_add01]add range 10.3.0.1 10.3.0.10

配置安全策略：
[FW1-vsysa]security-policy
[FW1-vsysa-security-policy]rule name to_vsysb
[FW1-vsysa-security-policy-rule name to_vsysb]source-zone trust
[FW1-vsysa-security-policy-rule name to_vsysb] destination-zone untrust
[FW1-vsysa-security-policy-rule name to_vsysb] source-address 10.3.0.0 mask 255.255.255.0
[FW-vsysa-security-policy-rule name to_vsysb] destination-address 10.3.1.0 mask 255.255.255.0
[FW1-vsysa-security-policy-rule name to_vsysb]action permit
[FW1-vsysa-policy-security] rule name to_internet
[FW1-vsysa-policy-security-rule-to_internet]  source-zone trust
[FW1-vsysa-policy-security-rule-to_internet]  destination-zone untrust
[FW1-vsysa-policy-security-rule-to_internet] source-address 10.3.2.0 mask 255.255.255.0
[FW1-vsysa-policy-security-rule-to_internet] source-address address-set ip_add01
[FW1-vsysa-policy-security-rule-to_internet]action permit
  
[FW1-vsysa-policy-security]rule move to_vsysb before to_internet   ----移动规则

[FW1]switch vsys vsysb
[FW1-vsysb]int g 1/0/2
[FW1-vsysb-GigabitEthernet1/0/2]ip add 10.3.1.254 24    
[FW1-vsysb]int Virtual-if 2
[FW1-vsysb-Virtual-if2]ip add 172.16.2.1 24

安全区域设置：
[FW1-vsysb]firewall zone untrust 
[FW1-vsysb-zone-untrust]add interface Virtual-if 2
[FW1-vsysb]firewall zone trust 
[FW1-vsysb-zone-trust]add int g 1/0/2

配置安全策略：
[FW1-vsysb]security-policy
[FW1-vsysb-policy-security] rule name vsysa_to
[FW1-vsysb-policy-security-rule-vsysa_to] source-zone untrust
[FW1-vsysb-policy-security-rule-vsysa_to] destination-zone trust
[FW1-vsysb-policy-security-rule-vsysa_to]  source-address 10.3.0.0 mask 255.255.255.0
[FW1-vsysb-policy-security-rule-vsysa_to] destination-address 10.3.1.0 mask 255.255.255.0
[FW1-vsysb-policy-security-rule-vsysa_to]action permit

配置路由：
[FW1-vsysb]ip route-static 0.0.0.0 0 public

[FW1]switch vsys vsysc
[FW1-vsysc]int g 1/0/3
[FW1-vsysc-GigabitEthernet1/0/3]ip add 10.3.2.254 24
[FW1-vsysc]int Virtual-if 3
[FW1-vsysc-Virtual-if3]ip add 172.16.3.1 24

安全区域设置：
[FW1-vsysc]firewall zone untrust     
[FW1-vsysc-zone-untrust]add int Virtual-if 3
[FW1-vsysc]firewall zone trust 
[FW1-vsysc-zone-trust]add int g 1/0/3

配置安全策略：
[FW1-vsysc]security-policy
[FW1-vsysc-policy-security] rule name to_internet
[FW1-vsysc-policy-security-rule-to_internet] source-zone trust
[FW1-vsysc-policy-security-rule-to_internet]  destination-zone untrust
[FW1-vsysc-policy-security-rule-to_internet] source-address 10.3.2.0 mask 255.255.255.0
[FW1-vsysc-policy-security-rule-to_internet]  action permit

配置路由：
[FW1-vsysc]ip route-static 0.0.0.0 0 public

[FW1]ip route-static vpn-instance vsysa 10.3.1.0 24 vpn-instance vsysb     ----补充vsysa到vsysb的明细路由

因为，虚拟系统之间无法感知到其他虚拟系统，只有根系统能够知晓所有的虚拟系统的存在。

查看vsysa路由表

五、测试

 

 

 

 

 

 

茜米瓜花
关注
防火墙虚拟系统与交换机虚拟系统（防火墙旁挂）
earthtoearth的博客
06-22 1560
3、路由规划：采用OSPF路由，交换机对应不同用户的虚拟系统VRF_A和VRF_B分布对应区域1和区域2，防火墙上的两个虚拟系统VRF_A和VRF_B分布对应区域1和区域2，防火墙上的根系统和路由器接口对应区域0。2、交换机与防火墙之间使用链路聚合，分别设置4个逻辑接口，这四个接口分别两两对应两个防火墙虚拟系统实例VRF_A和VRF_B，其中交换机侧使用VLANIF接口，防火墙侧使用子接口。在虚拟系统VRF_B中与在VRF_A总相同，此处省略............在虚拟系统中设置接口等内容。
防火墙虚拟系统综合实验1
earthtoearth的博客
08-13 1146
1、接口地址配置：防火墙接口地址外网为.12，内网虚拟墙侧均为.254，内网PC1和server均为.10，外网PC为.105，如图所示配置相应接口地址及终端地址。在根系统上配置路由使外网能够访问内网服务器端、使内网客户端访问内网服务器端，使内网能够访问外网。在两个虚拟系统设置路由使其能够访问根系统。3、nat server配置。虚拟系统连接服务器端。
防火墙多虚拟系统实验
weixin_74812361的博客
03-05 811
​ 公共接口：勾选后，该接口发出的流量为出方向，即为共有接口。一般而言，在虚拟系统中，只有存在多个物理接口时，才会配置公共接口，来代替Virtual-if接口。----资源类中的出接口带宽，只有在接口为公共接口时才有效。​ 因为，虚拟系统之间无法感知到其他虚拟系统，只有根系统能够知晓所有的虚拟系统的存在。1、由根系统管理员创建虚拟系统abc并且为其分配资源以及配置管理员。3、由abc三个虚拟系统各自完成IP、路由、安全策略配置。3、为三个部门的虚拟系统分配相同的资源类。5、划分根系统的安全区域。
一文打尽UCI统一配置接口、UCI配置文件、UCI工具用法、UCI配置脚本、UCI API编程接口（Libubox库、UCI库）
hktkfly6的专栏
04-06 4243
接下来几篇文章首先讲述 UCI 配置及配置接口，接着讲述系统内核设置，最后还会讲述一些非 UCI 系统配置，这些配置通常不提供用户修改接口，但在系统运行时也是非常重要的。 一、UCI简介 MVC（Model-View-Control）模式是经典的Web开发编程模式，OpenWrt也采用该设 计模式。该设计模式为分层设计，模型层负责数据的持久化操作。OpenWrt 的模型层采用 统一配置接口（Unified Configuration Interface，UCI）。 统一配置接口（Unified Config
接口及基本配置实战
热门推荐
kaoa000的专栏——非淡泊无以明志，非宁静无以致远
07-06 1万+
接口分为管理接口、物理接口和逻辑接口三类1、管理接口——Console和MEth（标识为MEth0/0/1）两种管理接口。管理接口不承担业务传输。（也是一种物理接口）2、物理接口——真实存在、有器件支持的接口。承担业务传输。交换机上主要是各种以太网接口。物理接口又分为电口和光口。3、逻辑接口——能够实现数据交换功能但物理上不存在，需要通过配置建立的接口。Loopback接口、Null接口、VLAN...
1-思科防火墙：搭建防火墙环境
weixin_34194379的博客
07-07 833
一、实验拓扑：二、实验要求：如R1、R2和ASA之间不能Ping通，建议先开启VM—ASA842，等虚拟机稳定后再开启GNS3。三、命令部署：1、基本配置：ASA1(config)# int g0ASA1(config-if)# no shutdownASA1(config-if)# nameif insideASA1(config-if)# security-level 100ASA1(conf...
防火墙综述以及实验
m0_72286569的博客
07-22 191
防火墙（英语：Firewall）技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术。防火墙技术的功能主要在于及时发现并处理计算机网络运行时可能存在的安全风险、数据传输等问题，其中处理措施包括隔离与保护，同时可对计算机网络安全当中的各项操作实施记录与检测，以确保计算机网络运行的安全性，保障用户资料与信息的完整性，为用户提供更好、更安全的计算机网络使用体验。
HCIE-Datacom防火墙虚拟系统LAB实验手册
03-12
HCIE-Datacom防火墙虚拟系统LAB实验手册
防火墙虚拟系统
earthtoearth的博客
06-21 1108
1、正向引流表（目的地址匹配，服务器访问虚拟系统B，节约根系统资源）1、在防火墙上启动虚拟系统，设置相应的接口、路由，实现各系统互联；2、反向引流表（源地址匹配，虚拟系统访问服务器，节省根系统资源）（二）引流表配置（为减少防火墙上的引流表，节约防火墙资源）2、并通过引流表对虚拟系统进行优化，节省根系统资源。（一）实现PC1与服务器，服务器与PC2互通。2、在VRF_A上设置静态路由。（三）实现PC1至PC2互通。3、在根系统上设置静态路由。一、实验思路和网络拓扑。
华为防火墙虚拟系统+IPsec VPN案例
qq_45024159的博客
11-05 1556
总部：部署了一台防火墙，想要通过一台防火墙即能在保证内网的数据安全的情况下与分部的内部通信，还要求外网的业务也经过防火墙进行转发（通过防火墙虚拟系统+IPsec VPN方式），分部：对安全性没有要求，使得内网设备不仅可以访问总部，还可以访问互联网络。小智公司有上海总部与广州分部两个办公地点。1.总部内网设备与分部可以实现互访。2.总部外网设备可以访问外网服务器。3.分部设备可以访问外网服务器。网络规划：拓扑图已标注。
防火墙综合实验
2302_76601833的博客
02-18 479
【代码】防火墙综合实验。
如何实现高质量的系统数据对接/API接口整合集成方案？
vincent067的博客
01-29 2064
如果是我们数字化系统上注册的会员数据需要同步给对方，对方那边注册的会员数据，修改的会员资料也需要同步过来，做到数据双方的实时更新，这个就是做数据的双向对接了。这种数据的双向对接会用在很多的平台上，我们在进行对接的时候也要考虑我们需要的是数据的获取就可以，还是还需要把数据传送过去。另外常见的一种情况就是：存在依赖情况的系统服务，例如业务端与用户端（业务端负责生产数据，用户端负责展示数据），需要数据同步来保障跨系统服务的数据一致性，很多时候采用何种数据同步方式，来保障数据应用的时效性至关重要。
计算机网络-防火墙简单配置实验
Linux基础知识、计算机网络基础学习分享。
02-26 2369
基础的区域间访问可以通过命令行进行配置，但是对于一些如授权、流量检测等命令行就比较麻烦了，因此实际配置中一般是开局网络配通之后通过管理口登录Web界面进行更详细的配置，像防火墙、无线控制器AC等设备。上面是简单的安全策略配置，没有涉及到用户、时间段、源主机IP，目的主机IP等等，但都是在规则里面配置的，可以自行尝试。如果是通过Web界面配置可视化配置比较直观方便，而且对于流量监控那些会比较好看点，最重要的是配置完成记得保存。但是正常情况下没有配置策略的情况下是无法ping通防火墙接口地址的。
Linux 进程管理与计划任务
Sadsvit的博客
07-31 919
本文介绍了Linux系统中进程管理与计划任务的核心知识。主要内容包括：程序与进程的概念区分，静态进程查看工具ps和动态监控工具top的使用方法，进程的启动、挂起、恢复和终止操作，以及一次性计划任务at和周期性计划任务crontab的配置方法。文章详细讲解了各种命令参数、输出字段含义及实际应用场景，帮助读者掌握Linux系统进程控制和任务自动化的基本技能，提升系统管理效率。
通过filezilla在局域网下实现高速传输数据
最新发布
Tipriest的博客
08-02 224
本文介绍了FileZilla的安装与使用方法。Linux系统通过apt安装openssh-server，Windows可参考相关教程。使用部分详细说明了WiFi和有线网络两种连接方式，包括IP设置和连通性测试步骤，并展示了20-40MB/s的传输速度。常见问题解答了不同频段WiFi连接和"connection refused"错误的排查方法，提供了相关技术文章的参考链接。文章配有详细的配置截图，便于用户直观理解操作流程。
服务器稳定性的关键：深度剖析宕机根源及应对策略
now_cn的博客
07-31 418
摘要：数字化时代服务器故障危害严重，需掌握核心诱因。硬件层面，电力异常和老化设备是主要隐患，建议部署UPS和建立更换制度；软件层面，未修复漏洞和错误配置易致瘫痪，应采用灰度发布；外部威胁方面，DDoS攻击和勒索病毒风险加剧，需部署防御系统。通过三级监控和自动化运维，可显著减少宕机时间，建立熔断机制能有效避免全面崩溃。
宝塔服务器挂载数据盘
ysy1119的博客
08-01 516
打包项目：mvn clean package -DskipTests。测试文件上传：验证文件是否正确存储到 /data/xxx-files。启动应用：java -jar campus-backend.jar。权限正确：目录权限设置正确，应用可以正常读写。自动挂载：重启后自动挂载，无需手动操作。上传到服务器：将jar包上传到服务器。独立存储：文件存储在独立的数据盘上。容量充足：可用空间足够存储大量文件。性能优化：不影响系统盘性能。
防火墙虚拟系统互访
04-25
### 防火墙虚拟系统互访配置方法 #### 扩展模式下的间接互访配置 为了实现防火墙虚拟系统间的互访，可以通过设置共享虚拟系统（Shared-vsys）作为路由中转来完成间接互访。在此过程中，需在根系统的系统视图下启用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值