网络防御保护综合练习

一、实验拓扑

二、实验要求

1, Fw1和Fw2组成主备模式的双机热备

2，DMZ区存在两台服务器，现在要求生产区的设备仅能在办公时间（9：00 - 18：00）访问，办公区的设备全天都可以访问。

3，办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)

4，办公区上网用户限制流量不超过60M，其中销售部人员在其基础上限制流量不超过30M，且销售部一共10人，每人限制流量不超过3M

5，销售部保证email应用在办公时间至少可以使用10M的带宽，每个人至少1M

6，多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。

7，分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器

8，分公司内部的客户端可以通过域名访问到内部的服务器

9，假设内网用户需要通过外网的web服务器和pop3邮件服务器下载文件和邮件，内网的FTP服务器也需要接受外网用户上传的文件。针对该场景进行防病毒的防护。

10，我们需要针对办公区用户进行上网行为管理，要求进行URL过滤，要求在上班时间仅能访问教育/科研类，搜索/门户类网站，以及一个www.example.com/working相关URL都可以访问。其余都不允许访问。

11，通过DNS过滤，实现办公区仅能使用一个域名访问公网发HTTP服务器，另一个不行

三、实验思路

1、划分VLAN

2、配置IP地址

3、配置路由

4、配置安全策略等

四、实验配置

网段网关都已该网段的最后一个可用IP(即x.x.x.254)作为网关;

1、云配置

2、基础配置--划分VLAN、出防火墙设备以外的IP配置

ISP配置

sys
int l0
ip add 1.1.1.1 24
int g0/0/0
ip add 12.0.0.2 24
int g0/0/1
ip add 21.0.0.2 24
int g0/0/2
ip add 100.0.0.254 24
int g4/0/0
ip add 23.0.0.2 24

LSW9配置

sys
vlan batch 2 3
int g0/0/3
port link-type access
port default vlan 2
int g0/0/4
port link-type access
port default vlan 3
int g0/0/1
port link-type trunk
port trunk allow-pass vlan 2 3
undo port trunk allow-pass vlan 1
int g0/0/2
port link-type trunk
port trunk allow-pass vlan 2 3
undo port trunk allow-pass vlan 1

3、防火墙配置

FW1基本配置

sys
int g0/0/0
ip add 192.168.100.1 24
service-manage all permit

FW2基本配置

sys
int g0/0/0
ip add 192.168.100.2 24
service-manage all permit

FW3基本配置

sys
int g0/0/0
ip add 192.168.100.3 24
service-manage all permit

FW1配置

FW2配置

FW3配置

要求1：

FW1配置

FW2配置

要求2：

要求3：

要求4：

要求5：

要求6：

要求7：

要求8：

要求9：

要求10：

要求11：

五、测试

要求1结果：

要求2结果：

要求3结果：

要求4结果：

该要求配置完成后，模拟器无法展示；

要求5结果：

该要求配置完成后，模拟器无法展示；

要求6结果：

要求7结果：

要求8结果：

要求9结果：

该要求配置完成后，模拟器无法展示；

要求10结果：

该要求配置完成后，模拟器无法展示；

要求11结果：

该要求配置完成后，模拟器无法展示；