防火墙安全实验

一、实验拓补图

二、实验需求

1、VLAN 2属于办公区;VLAN 3属于生产区

2、办公区PC在工作日时间(周一至周五，早8到晚6)可以正常访OA Server，其他时间不允许

3、办公区PC可以在任意时刻访问Web server

4、生产区PC可以在任意时刻访问OA Server，但是不能访问Web Server

5、特例:生产区PC3可以在每周一早10到早11访问Web Server，用来更新企业最新产品信息

三、分析实验需求

一、VLAN 配置

创建 VLAN：在交换机上分别创建 VLAN 2（办公区）和 VLAN 3（生产区）。
端口分配 ：
- 将办公区的 PC（如 PC1）连接的交换机端口划分到 VLAN 2。
- 将生产区的 PC（如 PC2、PC3）连接的交换机端口划分到 VLAN 3。

二、防火墙策略配置

办公区 PC（VLAN 2）访问 OA Server ：
- 允许规则：配置基于时间的访问规则，允许 VLAN 2 的流量在工作日（周一至周五）的早 8 点到晚 6 点访问 OA Server 所在的服务器（可能在 DMZ 区域或其他特定网段）。
- 禁止规则：在其他时间段，配置规则禁止 VLAN 2 的流量访问 OA Server。
办公区 PC（VLAN 2）访问 Web Server：配置允许规则，允许 VLAN 2 的流量在任意时间访问 Web Server。
生产区 PC（VLAN 3）访问 OA Server：配置允许规则，允许 VLAN 3 的流量在任意时间访问 OA Server。
生产区 PC（VLAN 3）访问 Web Server ：
- 常规禁止规则：配置规则禁止 VLAN 3 中除 PC3 外的其他 PC 访问 Web Server。
- PC3 特殊规则：配置基于时间的访问规则，允许 PC3（属于 VLAN 3）在每周一的早 10 点到早 11 点访问 Web Server。

三、路由配置

三层交换机或路由器：确保三层交换机或路由器上配置了正确的路由，使得不同 VLAN 之间以及与外部网络（如 Internet）能够进行通信。
默认网关：为每个 VLAN 配置默认网关，以便 VLAN 内的设备能够访问其他网络。

四、时间策略配置

在防火墙或相关设备上：配置时间对象，定义工作日（周一至周五）、早 8 点到晚 6 点、每周一的早 10 点到早 11 点等时间范围。
关联时间对象与访问规则：将时间对象与相应的防火墙访问规则进行关联，以实现基于时间的访问控制。

五、服务器配置

OA Server 和 Web Server：确保服务器上的相关服务（如 OA 系统、Web 服务）正常运行，并且服务器的网络配置（如 IP 地址、子网掩码、默认网关等）正确，能够与其他网络设备进行通信。

四、具体配置

一、配置IP地址

OA Server

WEB Server

PC1

PC2

PC3

检查IP配置

PC1-PC2

PC2-PC3

PC1-PC3

二、划分vlan

LSW2配置

复制代码

[LSW2]vlan batch 2 3
[LSW2]interface GigabitEthernet 0/0/2
[LSW2-GigabitEthernet0/0/2]port link-type access 
[LSW2-GigabitEthernet0/0/2]port default vlan 2
[LSW2]interface GigabitEthernet 0/0/3
[LSW2-GigabitEthernet0/0/3]port link-type access 
[LSW2-GigabitEthernet0/0/3]port default vlan 3
[LSW2]interface GigabitEthernet 0/0/4
[LSW2-GigabitEthernet0/0/4]port link-type access 
[LSW2-GigabitEthernet0/0/4]port default vlan 3
[LSW2]interface GigabitEthernet 0/0/1
[LSW2-GigabitEthernet0/0/1]port link-type trunk 
[LSW2-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 to 3

三、cloud配置

四、防火墙配置

在华为ENSP模拟器中防火墙的默认账号是：admin 密码是：Admin@123

进入防火请设备并且重置密码

复制代码

Username:admin
Password:
The password needs to be changed. Change now? [Y/N]: y
Please enter old password: 
Please enter new password: 
Please confirm new password:

进入接口开启服务

复制代码

[USG6000V1]interface GigabitEthernet 0/0/0
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit

五、进入网页后台配置

配置GE1/0/0接口为dmz区域

GE1/0/1的两个子接口为trust区域

配置防火墙接口

在GE1/0/1接口新建两个子接口分别是GE1/0/1.1，GE1/0/1.2

六、策略配置

一、PC3配置

配置名称和描述以及源安全区域和目的安全区域

配置源地址和目标地址

将服务器一并配置

新建时间段

检查配置

二、办公区PC在工作日时间(周一至周五，早8到晚6)可以正常访问OA Server，其他时间不允许

检查配置

三、办公区PC可以在任意时刻访问Web server

检查配置

四、生产区PC可以在任意时刻访问OA Server，但是不能访问Web Server

检查配置