防御保护作业二

拓扑图

需求

需求一：

需求二：

需求三：

需求四：

需求五：

需求六：

需求七：

需求分析

1.按照要求进行设备IP地址的配置

2.在FW上开启DHCP功能，并配置不同的全局地址池，为接入网络的设备分配IP地址

3.配置防火墙的安全区域

4.配置防火墙的地址组信息

5.按要求对所需的防火墙管理员进行配置

6.进行用户认证的配置

7.进行安全策略的配置

配置详细信息

需求一：

SW2

[sw2]vlan 10

[sw2]interface GigabitEthernet 0/0/2

[sw2-GigabitEthernet0/0/2]port link-type access 

[sw2-GigabitEthernet0/0/2]port default vlan 10

[sw2]vlan 20

[sw2]interface GigabitEthernet 0/0/3

[sw2-GigabitEthernet0/0/3]port link-type access 

[sw2-GigabitEthernet0/0/3]port default vlan 20

[sw2]interface GigabitEthernet 0/0/1

[sw2-GigabitEthernet0/0/1]port link-type trunk 

[sw2-GigabitEthernet0/0/1]port trunk allow-pass vlan 10 20

FW

OA Server

Web Server

DNS Server

百度服务器

Clint2

PC1

需求二：

FW

开启DHCP功能

[fw]dhcp enable 

[fw-GigabitEthernet1/0/1.1]dhcp select interface 

[fw-GigabitEthernet1/0/1.2]dhcp select interface 

需求三：

需求四：

需求五：

FW

[fw]telnet server enable 

[fw]user-interface vty 0 4

[fw-ui-vty0-4]protocol inbound telnet 

需求六：

因为policy_auth_06策略认证后，在线用户会记录pc2，因此policy_auth_07将会不在进行认证直接通过，多以需要将顺序调换一下

需求六测试：

policy_auth_01

policy_auth_02

因为设备没有web界面所以portal认证没法通过，所以不通，但是认证策略匹配成功

policy_auth_03

没用ping通的理由同上

policy_auth_04

policy_auth_05

policy_auth_06

没ping通理由同上

policy_auth_067

测试结果：

每条规则均可正常匹配

需求七：

需求七测试：

Telnet 策略测试

DHCP 策略测试

DNS 策略测试

运维部允许随时随地访问 DMZ 区域，并对设备进行管理；

高管和财务部仅允许访问 DMZ 区域的 OA 和 Web 服务器，并且只有 HTTP 和 HTTPS 权限

运维部允许在非工作时间访问互联网环境

高管允许随时访问互联网环境

财务部任何时间都不允许访问互联网环境

技术部允许访问 DMZ区域中的web服务器，并进行管

技术部和市场部允许访问 DMZ 区域中的 OA 服务器，并且只有 HTTP 和 HTTPS 权限。

每周末公司服务器需要检修维护，允许运维部访问；即，每周末拒绝除运维部以外的流量访问 DMZ 区

域。

为了测试更改下时间

部门 A 和部门 B 不允许存在直接访问流量，如果需要传输文件信息，则需要通过 OA 服务器完成。 --- 依靠默认规则拒绝

综合测试：

因为设备原因，没有web界面所以无法进行portal认证，所以选择一个非portal认证的策略进行测试

挑选安全策略为policy_01

挑选认证策略为policy_auth_01