安全策略与用户认证综合实验

一、实验拓扑

二、实验需求

1,DMZ区内的服务器,办公区仅能在办公时间内(9:00-18:00)可以访问,生产区的设备全天可以访问.
2,生产区不允许访问互联网,办公区和游客区允许访问互联网
3,办公区设备10.0.2.10不允许访问DMz区的FTP服务器和HTTP服务器,仅能ping通10.0.3.10
4,办公区分为市场部和研发部,研发部IP地址固定,访问DMz区使用匿名认证,研发部需要用户绑定IP地址,访问DMz区使用免认证;游客区人员不固定,不允许访问DMz区和生产区,统一使用Guest用户登录,密码Admin@123
5,生产区访问DMZ区时,需要进行protal认证,设立生产区用户组织架构,至少包含三个部门,每个部门三个用户,用户统一密码openlab123,首次登录需要修改密码,用户过期时间设定为10天,用户不允许多人使用
6,创建一个自定义管理员,要求不能拥有系统管理的功能

三、实验配置

一、DMZ区内的服务器，办公区仅能在办公时间内(9:00-18:00)可以访问，生产区的设备全天可以访问

1.在Windows系统添加一个环回网卡，步骤如下：

1)右键单机开始，选择设备管理器

2)找到网络适配器，点击左上角操作，点击添加过时硬件

3)连续点下一步，直到有下图画面，找到网络适配器，点击下一步

4)点击Microsoft，再点击Microsoft KM-TEST 环回适配器，最后点击下一步完成添加网卡。

2.在云上添加网卡和UDP，勾上双向通道，添加即可。

3.登录防火墙FW1，默认账号admin，密码Admin@123；修改密码，进去之后去进入G0/0/0接口，输入如下命令，即配置G0/0/0接口的IP为192.168.100.1，使其IP与网卡是一个网段上，并打开所有服务管理。

4.打开自带浏览器，url栏输入192.168.100.1:8443回车，无视风险进入虚拟华为防火墙登录界面，输入之前设置的账号密码登录

5.LSW7操作，对办公区和生产区进行vlan划分，办公区是vlan2，生产区是vlan3，将G0/0/1设置为trunk模式，允许vlan2和vlan3通过，取消vlan1通过。

[LSW7]vlan batch 2 3
[LSW7]int g0/0/2
[LSW7-GigabitEthernet0/0/2]port link-type access
[LSW7-GigabitEthernet0/0/2]port default vlan 3
[LSW7-GigabitEthernet0/0/2]int g0/0/3
[LSW7-GigabitEthernet0/0/3]port link-type access
[LSW7-GigabitEthernet0/0/3]port default vlan 2

进入G0/0/1接口设置trunk接口，设置关闭vlan1
[LSW7]int g0/0/1
[LSW7-GigabitEthernet0/0/1]port link-type trunk
[LSW7-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 3
[LSW7-GigabitEthernet0/0/1]undo port trunk allow-pass vlan 1

6.在FW1web界面：

1)进入g1/0/1和g1/0/2接口中设置移动和电信的分配

(1)g1/0/1为电信

(2)g1/0/2为移动

2).在G0/0/3接口创建两个子接口，给生产区和办公区设置安全区域

1)办公区

办公区可以访问DMZ服务器

2)生产区

生产区可以访问DMZ区的服务器

3)进入DMZ区域设置:

4)端口配置设置如下：

二、生产区不允许访问互联网，办公区和游客区允许访问互联网

1）防火墙FW1端口G1/0/1IP在上面一、中已配置

2）路由器AR1上的配置

[AR1]int g0/0/0
[AR1-GigabitEthernet0/0/0]ip add 12.0.0.2 24
[AR1-GigabitEthernet0/0/0]int g0/0/1
[AR1-GigabitEthernet0/0/1]ip add 21.0.0.2 24
[AR1-GigabitEthernet0/0/1]int g0/0/2
[AR1-GigabitEthernet0/0/2]ip add 23.0.0.1 24
[AR1-GigabitEthernet0/0/2]rip 1
[AR1-rip-1]v 2
[AR1-rip-1]net 12.0.0.0
[AR1-rip-1]net 21.0.0.0
[AR1-rip-1]net 23.0.0.0