案例模拟实验二(模拟双线接入配置)

《案例模拟实验二(模拟双线接入配置)》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、案例模拟实验二【实验背景】企业集团总部通过使用一台USG5320防火墙作为路由连接外网。各个子公司分别通过电信运营簡和联通运营商接入集团总部网络。【实验目的】1.了解防火墙的基本工作原理；2.掌握防火墙安全区域的划分配置；3.掌握防火墙基本安全策略的配置；4.掌握防火墙NAT的基本配置。【实验内容】模拟配置USG5320防火墙，实现防火墙基本功能。区域划分，双线接入，内网外网隔离。【实验环境】计算机一台，华为模拟软件ensp【实验原理】一、安全区域在防火墙屮引入“安全区域”的概念是为了对流量来源进行安全等级的划分，以判断何时对流量进行检测。

2、通常悄况下，相同安全区域中的流量流动是不需耍检测的，而跨安全区域的流量由于存在安全风险,是需要受到防火墙控制的。（详见配置指南7.2.1、7.2.2、7.2.3、7.2.4）二、安全策略安全策略用于对流经设备或访问设备的流量进行安全检查、控制哪些流量可以通过或访问设备。如果安全策略错误将直接影响网络的正常通信。（详见配置指南7.5.1、7.5.2、7.5.3、7.5.4）三、配置MTNAT主要用于多个私网用户使用一个公网TP地址访问外部网络的情况，从而减缓可用IP地址资源枯竭的速度。随着MAT技术的发展，NAT已经不仅可以实现源地址的转换，

3、还可以实现日的地址的转换。（详见配置指南7.9.1、7.9.2、7.9.3>7.9.4、7.9.5、7.9.9.1、7.9.9.2）【实验拓扑】在模拟实验一拓扑结构基础上，模拟双线接入的连接，为了进行配置的测试，电信和联通端的设备用两台主机来模拟。【实验步骤】IP地址规划:USG5320W火墙接口地址按入接口IP地址子网掩码电信g0/0/0119.97.211.26255.255.255.252联通g0/0/l220.249.97.114255.255.255.248内网g0/0/210.0.0.1255.255.255.240外网HAT地

4、址池分配接入电信119.97.211.26联通220.249.97.114-220.249.97.1181.配置硬件接口地址〈USG5320>systemview[USG5320]interfaceGigabitEthernet0/0/0#进入gO/O/O[USG5320-GigabitEthernet0/0/1]ipaddress119.97.211.26255.255.255.252#为g0/0/0配置IP地址[USG5320]interfaceGigabitEthernetO/O/1[USG5320-GigabitEthernet0/

5、0/l]ipaddress220.249.97.114255.255.255.248[USG5320]interfaceGigabitEthernetO/O/2[USG5320-GigabitEthernet0/0/2]ipaddress10.0.0.1255.255.255.2402•划分安全区域，把相应的接口加入到安全区域内#将集团总部内网划分到trust区域[USG5320]firewal1zonetrust[USG5320~zone-trust]addinterfaceGigabitEthernetO/O/2[USG5320-zon

6、e-trust]descriptionto-nciwang#将连接电信的外网划分到untmst区域[USG5320]firewal1zoneuntrust[USG5320-zone-untrust]addinterfaceGigabitEthernet0/0/0[USG5320-zone-trust]descriptionto-dianxin#将连接联通的外网划分到isp区域[USG5320]firewal1zonenameisp[USG5320~zone-isp]setpriority10[USG5320-zone-isp]addinte

7、rfaceGigabitEthernet0/0/l[USG5320-zone-trust]descriptionto-liantong3.配置基本安全策略(1)配置域问包过滤，以保证网络基本通信正常[USG5320]firewalIpacket-fi1terdefaultpermitinterzonolocaltrustdirectioninbound[USG5320]firewallpacket-filterdefaultpermitinterzonelocaltrustdirectionoutbound[USG5320]firewal1

8、packet-filterdefaultpermitinterzonelocaluntrustdirectioninbound[USG5320]firewal1packet-fi