防火墙综合实验

最新推荐文章于 2025-05-29 13:28:20 发布
最新推荐文章于 2025-05-29 13:28:20 发布
阅读量363 收藏 1
点赞数 7
文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_74120587/article/details/145684432
版权

基础配置

路由配置

[r2]interface GigabitEthernet 0/0/0
[r2-GigabitEthernet0/0/0]ip address 13.0.0.3 24
[r2-GigabitEthernet0/0/0]interface GigabitEthernet 0/0/1
[r2-GigabitEthernet0/0/1]ip address 100.1.1.254  24
[r2-GigabitEthernet0/0/1]interface GigabitEthernet 0/0/2
[r2-GigabitEthernet0/0/2]ip address 110.1.1.254 24
 
[r3]interface GigabitEthernet 0/0/0
[r3-GigabitEthernet0/0/0]ip address 12.0.0.2 24
[r3-GigabitEthernet0/0/0]interface GigabitEthernet 0/0/1     
[r3-GigabitEthernet0/0/1]ip address 210.1.1.254 24
[r3-GigabitEthernet0/0/1]interface GigabitEthernet 0/0/2
[r3-GigabitEthernet0/0/2]ip address 200.1.1.254 24

 防火墙配置

Ensp配置
[FW]interface GigabitEthernet 0/0/0    
[FW-GigabitEthernet0/0/0]service-manage all permit 
[FW]interface GigabitEthernet 1/0/0    
[FW-GigabitEthernet1/0/0]ip address 192.168.1.254 24
[FW-GigabitEthernet1/0/0]interface GigabitEthernet 1/0/1
[FW-GigabitEthernet1/0/1]ip address 13.0.0.1 24
[FW-GigabitEthernet1/0/1]interface GigabitEthernet 1/0/2
[FW-GigabitEthernet1/0/2]ip address 12.0.0.1 24
Web配置

其余配置

创建安全区域

[FW]firewall zone trust     
[FW-zone-trust]add interface GigabitEthernet 1/0/0
[FW]firewall zone name untrust_1
[FW-zone-untrust_1]set priority 10
[FW-zone-untrust_1]add interface GigabitEthernet 1/0/1
[FW]firewall zone name untrust_2
[FW-zone-untrust_2]set priority 15
[FW-zone-untrust_2]add interface GigabitEthernet 1/0/2
新建链路接口 

配置真实DNS服务器

[FW]slb enable ---开启服务器负载均衡功能
[FW]slb ---进入服务器负载均衡配置视图
[FW-slb]group 0 dns ---创建服务器组
[FW-slb-group-0]metric roundrobin ---算法修改为简单轮询算法
[FW-slb-group-0]rserver 1 rip 100.1.1.1 port 53 ---设定真实服务器IP地址，端口号
[FW-slb-group-0]rserver 0 rip 200.1.1.1 port 53

创建虚拟DNS服务器 

[FW]slb
[FW-slb]vserver 0 dns ---创建虚拟服务器组
[FW-slb-vserver-0]vip 10.10.10.10 ---设定虚拟服务器IP地址
[FW-slb-vserver-0]group dns ---关联真实服务器组，组名为dns

配置DNS透明代理 

[FW]dns-transparent-policy ---进入DNS透明代理视图
[FW-policy-dns]dns transparent-proxy enable ---开启透明代理功能，模拟器上无法通
过web界面配置，只能命令开启


[FW]dns-transparent-policy
[FW-policy-dns]dns server bind interface GigabitEthernet 1/0/1 preferred
100.1.1.1 ---将200.1.1.1这个DNS的IP地址与出接口绑定
[FW-policy-dns]dns server bind interface GigabitEthernet 1/0/2 preferred
200.1.1.1


透明代理策略
[FW]dns-transparent-policy
[FW-policy-dns]rule name dns_policyt ---创建策略规则
[FW-policy-dns-rule-dns_policyt]source-address 192.168.1.0 24 ---设定源IP地址
[FW-policy-dns-rule-dns_policyt]enable ---启用规则
[FW-policy-dns-rule-dns_policyt]action tpdns ---配置DNS透明代理规则动作为“代理”

安全策略配置 

[FW-policy-security]rule name internet
[FW-policy-security-rule-internet]source-zone trust 
[FW-policy-security-rule-internet]destination-zone untrust_1 untrust_2
[FW-policy-security-rule-internet]source-address 192.168.1.0 mask 255.255.255.0
[FW-policy-security-rule-internet]action permit

NAT策略配置 

[FW]nat-policy    
[FW-policy-nat]rule name 2
[FW-policy-nat-rule-2]source-zone trust     
[FW-policy-nat-rule-2]destination-zone untrust_2
[FW-policy-nat-rule-polic1]source-address 192.168.1.0 24
[FW-policy-nat-rule-2]action source-nat easy-ip 


[FW]nat address-group 1
[FW-address-group-1]section 13.0.0.10
[FW-address-group-1]mode pat
[FW-address-group-1]route enable


[FW]nat-policy
[FW-policy-nat]rule name polic1
[FW-policy-nat-rule-polic1]source-zone trust 
[FW-policy-nat-rule-polic1]destination-zone untrust_1
[FW-policy-nat-rule-polic1]source-address 192.168.1.0 mask 255.255.255.0
[FW-policy-nat-rule-polic1]action source-nat address-group 1

测试 

策略路由选路

IP-Link安全策略

[FW-policy-security]rule name ip_link
[FW-policy-security-rule-ip_link]source-zone trust 
[FW-policy-security-rule-ip_link]destination-zone untrust_1 untrust_2
[FW-policy-security-rule-ip_link]action permit


[FW]ip-link check enable 
[FW]ip-link name p_1
[FW-iplink-p_1]destination 13.0.0.3 interface GigabitEthernet 1/0/1
[FW]ip-link name p_2
[FW-iplink-p_2]destination 12.0.0.2 interface GigabitEthernet 1/0/2

配置策略路由

[FW]policy-based-route
[FW-policy-pbr]rule name 1
[FW-policy-pbr-rule-1]source-zone trust 
[FW-policy-pbr-rule-1]source-address 192.168.1.1 mask 255.255.255.0 
[FW-policy-pbr-rule-1]destination-address 100.1.1.1 mask 255.255.255.0 
[FW-policy-pbr-rule-1]track ip-link p_1
[FW-policy-pbr-rule-1]action pbr next-hop 13.0.0.3

配置全局选路策略 

配置接口所在链路带宽以及过载保护机制
[FW]interface  GigabitEthernet 1/0/1
[FW-GigabitEthernet1/0/1]bandwidth ingress 200000    
[FW-GigabitEthernet1/0/1]bandwidth egress 200000
[FW-GigabitEthernet1/0/1]bandwidth ingress 200000 threshold 95
[FW-GigabitEthernet1/0/1]bandwidth egress 200000 threshold 95
[FW-GigabitEthernet1/0/1]gateway 13.0.0.3
[FW]interface GigabitEthernet 1/0/2    
[FW-GigabitEthernet1/0/2]bandwidth ingress 100000 threshold 95
[FW-GigabitEthernet1/0/2]bandwidth egress 100000 threshold 95
[FW-GigabitEthernet1/0/2]gateway 12.0.0.2


配置全局选路策略
[FW]multi-linkif
[FW-multi-linkif]mode proportion-of-bandwidth
[FW-multi-linkif]add linkif 1
[FW-multi-linkif]add linkif 2
[FW-multi-linkif]session persistence enable
[FW-multi-linkif]session persistence mode destination-ip

智能选路

配置健康检查

[FW]healthcheck enable
[FW]healthcheck name isp1 
[FW-healthcheck-isp1]destination 110.1.1.1 interface GigabitEthernet 1/0/1 proto
col tcp-simple  destination-port 80
[FW-healthcheck-isp1]destination 100.1.1.1 interface GigabitEthernet 1/0/1 proto
col tcp-simple destination-port 80
 
[FW]healthcheck enable 
[FW]healthcheck name isp2    
[FW-healthcheck-isp2]destination 200.1.1.1 interface GigabitEthernet 1/0/2 proto
col tcp-simple destination-port 80
[FW-healthcheck-isp2]destination 210.1.1.1 interface GigabitEthernet 1/0/2 proto
col tcp-simple destination-port 80

应用健康检查

[FW]interface GigabitEthernet 1/0/1
[FW-GigabitEthernet1/0/1]healthcheck isp1
 
[FW]interface GigabitEthernet 1/0/2
[FW-GigabitEthernet1/0/2]healthcheck isp2

查看unr路由表  

ENSP防火墙综合实验（GRE、IPSec、NAT通信）【防火墙安全策略】
JohnnyG2000的博客
05-18 1万+
防火墙综合实验一、实验要求1. 总部需要通过VPN与分支和合作伙伴进行通信2. 分支机构（Branch）员工使用NGFW接入总部。要求实现分支机构安全访问IPSec保护的总部内网服务器。3. 合作伙伴（Partner）使用NGFW接入总部。要求实训合作伙伴通过GRE隧道与总部进行通信。4. 所有的客户端可以通过公网IP地址来访问WEB服务器二、实验拓补三、实验配置1. 防火墙安全区域划分（包括Tunnel接口）2. 静态路由3. GRE配置4. IPSec VPN配置5. Easy-ip配置6. NAT S
防火墙综合实验（NAT、双击热备）
m0_70638961的博客
02-19 791
先用PC2ping公网1.1.1.1 ping 1.1.1.1 -t一直ping，然后再断开FW1也就是主状态防火墙的上联口两个，g1/0/0和g1/0/5，shutdown 丢了两个包，之后正常上网。销售部人员在其基础上限制流量不超过30M,且销售部一共10人,每人限制流量不超过3M。这里的IP配置和二层交换机配置和上次的配置一样。根据拓扑划分的IP配置。移动与电信的相同，IP地址池是20.0.0.4-20.0.0.5。电信移动接口宽带100M。FW2同理，选择备用。办公区流量限制60M。
智能选路+NAT实验
这里什么都没有qwq
02-17 287
【代码】智能选路+NAT实验。
eNSP - 防火墙双机热备和带宽管理
m0_74939395的博客
07-16 1015
使用华为模拟器在前两次实验的基础上完成新的需求配置，主要是双机热备和带宽管理。
防火墙综合实验2
zyp246810的博客
07-14 972
多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)。分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器。分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器。私网访问需要作双向NAT（因为同属于一个trust区域，故不用作安全策略）原始数据包中的目的地址是公网进入私网时需要在那台设备上作地址转换。
ensp防火墙综合实验
2301_77114936的博客
02-06 713
实验要求1、VLAN 2属于办公区;VLAN 3属于生产区2、办公区PC在工作日时间(周一至周五，早8到晚6)可以正常访问0A server，其他时间不允许3、办公区PC可以在任意时刻访问web server4、生产区PC可以在任意时刻访问0A Server，但是不能访问Web server5、特例:生产区PC3可以在每周一早10到早11访问Web server，用来更新企业最新产品信息实验分析1、VLAN 2属于办公区;VLAN 3属于生产区。
防火墙综合实验之NAT和智能选路
AXDRXS的博客
07-14 1241
本篇文章是延续上一篇文章，简单来说就是防火墙实验的完善和延续，本次主要完善的模块是内外网的NAT转换以及如何通过策略进行智能选路，我们的实验图也会拓展好公网和分公司部分的内容，当然，为了更好的让大家理解，我也会将所有需求再写一遍。
华为防火墙综合实验
super_tool_man的博客
02-19 690
从图中可以看到要求1.办公区设备可以通过电信链路和移动链路上网（多对多的NAT,并且需要保留一个公网IP不能用来转换）2.分公司设备可以通过总公司的移动链路和电信链路访问到DMZ区的http服务器3.分公司内部的客户端可以通过公网地址访问到内部的服务器4.FW1和FW3组成主备模式的双机热备5.办公区上网用户限制流量不超过60M，其中销售部人员在其基础上限制流量不超过30M，且销售部一共10人，每人限制流量不超过3M6.销售部保证email应用在办公时间至少可以使用10M的宽带，每人至少1M。
ENSP防火墙综合实验（一）
adc8848nb的博客
07-10 491
5.生产部门访问DMZ区时，需要进行protal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码open1ab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用。4.办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证，游客区人员不固定，统一使用Guest用户登录，密码Admin@123，游客区人员不固定，统一使用Guest用户登录，密码Admin@123，生产区不允许访问互联网，
防御（5）-防火墙综合实验（nat、双机热备、带宽、选路）
vt_yjx的博客
01-31 725
通过两条链路上网，我这里采用的方式是分别给电线和移动两条链路创建一个安全区域，然后配置一个源nat转换；因为还要保留地址，所以使用地址池。5.办公区上网用户限制流量不超过60M，其中销售部人员在其基础上限制流量不超过30M，且销售部一共10人，每人限制流量不超过3M。其中销售部人员在其基础上限制流量不超过30M，且销售部一共10人，每人限制流量不超过3M。6.销售部保证email应用在办公时间至少可以使用10M的带宽，每人至少1M。再查看会话表，可以看到目标地址是http服务器地址，源地址是内部客户端。
ensp防火墙综合实验lab
热门推荐
enterprise2333的博客
12-20 1万+
实验要求： 1.完成防火墙组网基础配置（IP，安全域，路由（可配置动态路由,只可宣告防火墙untrust所在网段）ISP路由器不能存在防火墙非untrust区域内路由），校本部和南校区防火墙管理地址分别为192.168.0.1/24，192.168.0.2/24 2.校本部防火墙1/0/1设置为二层接口，在防火墙上配置SVI分别为vlan 10和vlan 20的网关，两SVI安全域均为trust 3.PC2可以使用防火墙出接口地址上网访问到百度服务器（可ping通6.6.6.6即可） 4.使用校本部防火墙出
防御保护--防火墙综合实验
M372109150的博客
02-19 1168
1，FW2和FW4组成主备模式的双机热备 2，DMZ区存在两台服务器，现在要求生产区的设备仅能在办公时间访问，办公区的设备全天都可以访问 3，办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换) 4，办公区上网用户限制流量不超过60M，其中销售部人员在其基础上限制流量不超过30M，且销售部一共10人，每人限制流量不超过3M 5，销售部保证email应用在办公时间至少使用10M的带宽，每个人至少1M 6，多出口环境基于带宽比例进行选路，但是办公区中10.0.2.10
Netty 框架介绍
技术改变世界
05-28 260
Netty是一个基于 Java NIO（Non-blocking I/O）的异步事件驱动网络应用框架，旨在快速开发高性能、高可靠性的网络服务器和客户端。它简化了 TCP/UDP 等协议的编程，并提供了高度可定制的组件，适用于高并发场景（如游戏服务器、即时通讯、分布式系统等）。
shell脚本中常用的命令
最新发布
2302_81660458的博客
05-29 71
b)网卡被设定，需要修改。a)当网卡没有被设置时。
AXI协议乱序传输机制解析：提升SoC性能的关键设计
JInx299的博客
05-28 289
AXI（Advanced eXtensible Interface）协议的乱序传输（Out-of-Order）机制是现代高性能SoC设计的核心特性之一。本文深入探讨AXI如何通过ID标识符和通道独立性实现高效的数据乱序传输，显著提升总线利用率和系统并发性能
[特殊字符]使用 Hyperlane 实现 WebSocket广播
m0_52796585的博客
05-27 861
## 推荐几款学习编程的免费平台 ### 免费在线开发平台（[https://docs.ltpp.vip/LTPP/](https://docs.ltpp.vip/LTPP/)） <blockquote> <p>        探索编程世界的新天地，为学生和开发者精心打造的编程平台，现已盛大开启！这个平台汇集了近4000道精心设计的编程题目，覆盖了C、C++、JavaScript、TypeScript、Go、Rust、PHP、Java、Ruby
enspnat防火墙综合实验
05-20
Enspnat防火墙是一种网络安全设备，用于保护企业网络不受来自网络外部的攻击。综合实验可以帮助您深入了解Enspnat防火墙的配置和管理。 以下是Enspnat防火墙综合实验的步骤： 1. 确定实验目标：在实验前，您需要明确实验目标。例如，您可以选择了解Enspnat防火墙的基本配置和管理，或者了解如何配置防火墙以保护企业网络免受攻击。 2. 准备实验环境：在进行实验之前，您需要准备一个实验环境，包括Enspnat防火墙和一些测试设备。您可以使用虚拟机或物理设备来模拟网络环境。 3. 配置防火墙：一旦准备好实验环境，您可以开始配置Enspnat防火墙。您可以使用命令行界面或Web界面进行配置。 4. 测试防火墙：一旦完成防火墙的配置，您可以进行一些测试，以确保防火墙可以保护企业网络免受攻击。例如，您可以使用端口扫描工具测试防火墙的端口过滤功能。 5. 优化防火墙：如果您发现防火墙存在一些问题，您可以进行一些优化来提高防火墙的效率和保护能力。例如，您可以添加更多的规则来防止特定类型的攻击。 6. 总结实验：在实验结束时，您可以总结您的实验结果，并记录下您所学到的知识和经验。 通过进行Enspnat防火墙综合实验，您可以获得关于网络安全的更多知识，并掌握Enspnat防火墙的配置和管理技能。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值