防火墙智能选路实验

一.实验拓扑

二.实验要求

1.根据下列表格所示，为每个设备配置合理的IP地址

设备	接口	IP
FW	GE1/0/0	192.168.1.254/24
	GE1/0/1	12.0.0.1/24
	GE1/0/2	13.0.0.1/24
R2	GE0/0/0	12.0.0.2/24
	GE0/0/1	100.1.1.254/24
	GE0/0/2	110.1.1.254/24
R3	GE0/0/0	13.0.0.3/24
	GE0/0/1	200.1.1.254/24
	GE0/0/2	210.1.1.254/24
设备	IP	备注
---------	--------------	------------
Clinet1	192.168.1.1/24	内网VIP用户
Clinet2	192.168.1.2/24	内网普通用户
电信DNS	100.1.1.1/24	电信运营商
百度web-1	110.1.1.1/24	百度服务器1
百度web-2	210.1.1.1/24	百度服务器2
联通DNS	200.1.1.1/24	联通运营商

2.安全区域配置

3.地址组信息

4.用户认证配置

用户认证证策略要求：
VIP用户在访问任何区域时，都需要使用免认证策略；
普通用户在访问Untrust_1区域时，需要使用Portal认证；在访问Untrust_2区域时，需要使用匿名认证。

5.防火墙安全策略配置

VIP用户可以在工作日内的任何时间访问电信和联通的相关服务；
普通用户只能在周一、周三、周五的任何时间访问电信的相关服务，在周二、周四的任何时间访问联通的相关服务。

6.智能选路

在网络中部署DNS代理服务器或启用路由器的DNS代理功能。
配置DNS代理服务器以监听客户端的DNS查询请求。
根据查询请求的目的地（如域名或IP地址范围），配置DNS代理服务器选择不同的DNS服务器进行解析。
确保DNS代理服务器能够透明地处理DNS查询请求，即客户端无需更改其DNS设置即可使用透明DNS选路功
能。

三.实验配置

基础配置

[USG6000V1]int g 0/0/0
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit 
确保能在web界面配置防火墙

1.IP配置

FW

[USG6000V1]int g 0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[USG6000V1-GigabitEthernet0/0/0]int g 1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip address 12.0.0.1 24
[USG6000V1-GigabitEthernet1/0/1]int g 1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip address 13.0.0.1 24

R2

[Huawei]int g 0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 12.0.0.2 24
[Huawei-GigabitEthernet0/0/0]int g 0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 100.1.1.254 24
[Huawei-GigabitEthernet0/0/1]int g 0/0/2
[Huawei-GigabitEthernet0/0/2]ip address 110.1.1.254 24

R3

[Huawei]int g 0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 13.0.0.3 24
[Huawei-GigabitEthernet0/0/0]int g 0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 200.1.1.254 24
[Huawei-GigabitEthernet0/0/1]int g 0/0/2
[Huawei-GigabitEthernet0/0/2]ip address 210.1.1.254 24

Client1/2

百度web-1/2

电信/联通DNS

2.防火墙安全区域划分

[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add interface GigabitEthernet 1/0/0

[USG6000V1]firewall zone name Untrust_1
[USG6000V1-zone-Untrust_1]add int g 1/0/1
[USG6000V1-zone-Untrust_1]set priority 70

[USG6000V1]firewall zone name Untrust_2
[USG6000V1-zone-Untrust_2]set priority 80
[USG6000V1-zone-Untrust_2]add interface  GigabitEthernet 1/0/2

3.防火墙地址组信息

4.用户认证

创建认证域

创建并设置用户组和用户

创建认证策略

5.防火墙安全策略

6.智能选路

nat

导入运营商地址

创建链路接口

创建虚拟DNS服务器

[USG6000V1]slb
[USG6000V1-slb]vserver 0 dns
[USG6000V1-slb-vserver-0]
[USG6000V1-slb-vserver-0]vip 10.10.10.10
[USG6000V1-slb-vserver-0]group dns   --关联到真实服务器组dns

配置真实DNS服务器信息

[USG6000V1]slb enable
[USG6000V1]slb     ---进入视图
[USG6000V1-slb]
[USG6000V1-slb]group 0 dns    ----创建服务器组
[USG6000V1-slb-group-0]rserver 0 rip 100.1.1.1 port 53	---设定真实服务器IP地址和端口号

开启透明DNS透明代理服务

从下开始电脑不知道为什么不能复制粘贴了，用截图凑活着看吧

aciotn tpdns是配置DNS透明代理规则动作为1

结果测试

Client1