ENSP 安全策略配置

一，需求:

1、VLAN 2属于办公区iVLAN 3属于生产区

2、办公区PC在工作日时间(周一至周五,早8到晚6)可以正常访问OA Server,其他时间不允许

3、办公区Pc可以在任意时刻访问Web Server

4、生产区Pc可以在任意时刻访问OA Server,但是不能访问Web Server

5、特例:生产区PC3可以在每周一早10到早11访问Web Server,用来更新企业最新产品信息

二，需求分析：

1.vlan2一个IPvlan3一个IP

2对于办公区PC访问OA Server的时间限制（工作日早8到晚6），需要在ENSP中配置基于时间的ACL（访问控制列表）。具体来说，要定义一个时间范围，允许在该时间范围内从VLAN 2到OA Server的访问，而在其他时间则禁止访问。

3.对于生产区PC访问Web Server的限制（除PC3外不能访问），可以通过配置基于MAC地址的ACL来实现。先允许所有生产区PC访问Web Server，然后针对生产区PC3配置特殊的时间策略，允许其在每周一早10到早11访问Web Server。

4.访问控制列表（ACL）配置

• 办公区PC访问OA Server的ACL配置：
  • 创建一个标准ACL，允许VLAN 2的主机访问OA Server的IP地址。
  • 再创建一个时间范围，定义工作日早8到晚6为允许访问的时间。
  • 将该ACL应用到连接办公区PC的接口上，并关联上述时间范围。
• 生产区PC访问Web Server的ACL配置：
  • 创建一个扩展ACL，禁止生产区VLAN 3的所有主机访问Web Server的IP地址。
  • 然后针对生产区PC3的MAC地址，创建一个允许访问Web Server的permit语句，并将其加入到上述ACL中。
  • 最后，将该ACL应用到连接生产区PC的接口上。

5.路由配置

在三层交换机上配置不同VLAN的接口IP地址，并启用路由功能，以确保不同VLAN之间能够进行通信。同时，要为OA Server和Web Server配置相应的IP地址和网关，使它们能够在网络中被正确识别和访问。

通过以上ENSP需求分析和相应配置，可以实现满足你所描述规则的网络环境，确保办公区和生产区的PC对OA Server和Web Server的访问符合要求。

三，配置详细

1.打开web界面配置

2.配ip

安全区域中查看

2.在策略中继续配置

1 、地址

[FW]ip address-set BG --- 创建地址集，名称为 BG

[FW-object-address-set-BG]address 192.168.1.0 mask 25 --- 创建地址内容

2 、时间段

[FW]time-range working-time --- 创建时间段名称

[FW-time-range-working-time]period-range 08:00:00 to 18:00:00 working-day

 

3 、创建安全策略

[FW1]security-policy --- 进入安全策略配置视图

[FW1-policy-security]rule name policy_1

[FW1-policy-security-rule-policy_1]description BG_to_OA 

[FW1-policy-security-rule-policy_1]source-zone trust

[FW1-policy-security-rule-policy_1]destination-zone dmz

[FW1-policy-security-rule-policy_1]source-address address-set BG

[FW1-policy-security-rule-policy_1]destination-address address-set "OA Server"

[FW1-policy-security-rule-policy_1]time-range working-time

[FW1-policy-security-rule-policy_1]action permit 

3.pc可以放你违背server

4.生产区Pc可以在任意时刻访问OA Server,但是不能访问Web Server

5.