一、实验拓扑
二、实验需求
1.DMZ区内的服务器,办公区仅能在办公时间内<9:00-18:00>可以访问,生产区的设备全天可以访问
2.办公区不允许访问互联网,办公区和游客区允许访问互联网
3.办公区设备10.0.2.10不充许访问DMZ区的FTP服务器和HTTP服务器,仅能ping通10.0.3.10
4.办公区分为市场部和研发部,研发部IP地址固定,访问DM2区使用匿名认证,市场部需要用户绑定IP地址,访问DMZ区使用免认证;游客区人员不固定,不允许访问DMZ区和生产区,统一使用Guest用户登录,密码Admin@123,游客仅有边访问公司门户网站和上网的权限,门户网站地址10.0.3.10
5,.生产区访问DMz区时,需要进行protai认证登录,设立生产区用户组织架构,至少包含三个部门,每个部门三个用户,用户统一密码openlab23,首次登陆需要修改密码,用户过期时间设定为10天,用户不允许多人使用
6.创建一个自定义管理员,要求不能拥有系统管理的功能
三、实验过程
1.内网通:先在sw6上划分valn区域 分别为vlan10 跟vlan 20 并且接口设置为acesses口,再在0/0/1口上配置trunk放通vlan10 20 的流量
[SW6]vlan batch 10 20[SW6]int g 0/0/2
[SW6-GigabitEthernet0/0/2]p l a
[SW6-GigabitEthernet0/0/2]port default vlan 10[SW6-GigabitEthernet0/0/2]int g 0/0/3
[SW6-GigabitEthernet0/0/3]port link-type access
[SW6-GigabitEthernet0/0/3]port default vlan 20[SW6-GigabitEthernet0/0/3]int g 0/0/1
[SW6-GigabitEthernet0/0/1]port link-type trunk
[SW6-GigabitEthernet0/0/1]port trunk allow-pass vlan 10 20
2.登录防火墙,进行云端配置,并且通过云访问防火墙的http配置页面
(1).用户名为admin,密码为Admin@123,登录后需修改密码
(2)cloud配置
(3)配置IP
[USG6000V1]int g 0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip add 192.168.100.1 24
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit
(4)登录http页面
(5)按下图以此配置防火墙各接口
达到下图
3.配置两条安全策略使DMZ区内的服务器,办公区仅能在办公时间内(9:00-18:00)可以访问,生产区的设备全天可以访问
4.配置安全策略达到要求:生产区不允许访问互联网,办公区和游客区允许访问互联网
5.写安全策略,拒绝FTP和HTTP服务,但能ping通10.0.3.10
6.创建用户区域,创建办公区,生产区,游客区,办公区下分为市场部,研发部,各部门下创建一个用户,单向绑定,研发部访问DMZ使用匿名验证,生产区访问DMZ使用免认证
(1)创建大组网
(2)创建用户组及用户
(3)认证
(4)禁止游客访问DMZ和生产区,但能访问10.0.3.10
7.生产区访问DMZ区时,需要进行protal认证,设立生产区用户组织架构,至少包含三个部门,每个部门三个用户,用户统一密码openlab123,首次登录需要修改密码,用户过期时间设定为10天
8.创建自定义管理员,不拥有系统管理功能即可;