案例模拟实验二(模拟双线接入配置).docx

案例模拟实验二 【实验背景】 企业集团总部通过使用一台USG5320防火墙作为路由连接外网。各个子公司分别通过电信运营商和联通运营商接入集团总部网络。 【实验目的】 1.了解防火墙的基本工作原理； 2.掌握防火墙安全区域的划分配置； 3.掌握防火墙基本安全策略的配置； 4.掌握防火墙NAT的基本配置。 【实验内容】 模拟配置USG5320防火墙，实现防火墙基本功能。区域划分，双线接入，内网外网隔离。 【实验环境】 计算机一台，华为模拟软件ensp 【实验原理】 一、安全区域 在防火墙中引入“安全区域”的概念是为了对流量来源进行安全等级的划分，以判断何时对流量进行检测。通常情况下，相同安全区域中的流量流动是不需要检测的，而跨安全区域的流量由于存在安全风险，是需要受到防火墙控制的。（详见配置指南7.2.1、7.2.2、7.2.3、7.2.4） 二、安全策略 安全策略用于对流经设备或访问设备的流量进行安全检查、控制哪些流量可以通过或访问设备。如果安全策略错误将直接影响网络的正常通信。（详见配置指南7.5.1、7.5.2、7.5.3、7.5.4） 三、配置NAT NAT 主要用于多个私网用户使用一个公网IP 地址访问外部网络的情况，从而减缓可用IP 地址资源枯竭的速度。随着NAT 技术的发展，NAT 已经不仅可以实现源地址的转换，还可以实现目的地址的转换。（详见配置指南7.9.1、7.9.2、7.9.3、7.9.4、7.9.5、、） 【实验拓扑】 在模拟实验一拓扑结构基础上，模拟双线接入的连接，为了进行配置的测试，电信和联通端的设备用两台主机来模拟。 【实验步骤】 IP地址规划： 1. 配置硬件接口地址 USG5320system view [USG5320]interface GigabitEthernet0/0/0 #进入g0/0/0 [USG5320-GigabitEthernet0/0/1]ip address 6 52 #为g0/0/0配置IP地址 [USG5320]interface GigabitEthernet0/0/1 [USG5320-GigabitEthernet0/0/1]ip address 14 48 [USG5320]interface GigabitEthernet0/0/2 [USG5320-GigabitEthernet0/0/2] ip address 40 2.划分安全区域，把相应的接口加入到安全区域内 #将集团总部内网划分到trust区域 [USG5320]firewall zone trust [USG5320-zone-trust]add interface GigabitEthernet0/0/2 [USG5320-zone-trust]description to-neiwang #将连接电信的外网划分到untrust区域 [USG5320]firewall zone untrust [USG5320-zone-untrust] add interface GigabitEthernet0/0/0 [USG5320-zone-trust]description to-dianxin #将连接联通的外网划分到isp区域 [USG5320]firewall zone name isp [USG5320-zone-isp]set priority 10 [USG5320-zone-isp] add interface GigabitEthernet0/0/1 [USG5320-zone-trust]description to-liantong 3.配置基本安全策略 （1）配置域间包过滤，以保证网络基本通信正常 [USG5320]firewall packet-filter default permit interzone local trust direction inbound [USG5320]firewall packet-filter default permit interzone local trust direction outbound [USG5320]firewall packet-filter default permit interzone local untrust direction inbound [USG5320]firewall packet-filter default permit interzone local untrust direction outbound [USG5320]firewall packet-filter default permit interzone local isp direction inbound [US