防火墙安全策略与用户认证综合实验
一、实验拓扑
二、实验需求
1.DMZ区内的服务器，办公区仅能在办公时间内<9:00-18:00>可以访问，生产区的设备全天可以访问
2.办公区不允许访问互联网，办公区和游客区允许访问互联网
3.办公区设备10.0.2.10不充许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10
4.办公区分为市场部和研发部，研发部IP地址固定，访问DM2区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证;游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅有边访问公司门户网站和上网的权限，门户网站地址10.0.3.10
5,.生产区访问DMz区时，需要进行protai认证登录，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab23，首次登陆需要修改密码，用户过期时间设定为10天，用户不允许多人使用
6.创建一个自定义管理员，要求不能拥有系统管理的功能
三、实验过程
1.内网通：先在sw6上划分valn区域 分别为vlan10 跟vlan 20 并且接口设置为acesses口，再在0/0/1口上配置trunk放通vlan10 20 的流量
[SW6]vlan batch 10 20[SW6]int g 0/0/2
[SW6-GigabitEthernet0/0/2]p l a
[SW6-GigabitEthernet0/0/2]port default vlan 10[SW6-GigabitEthernet0/0/2]int g 0/0/3
[SW6-GigabitEthernet0/0/3]port link-type access
[SW6-GigabitEthernet0/0/3]port default vlan 20[SW6-GigabitEthernet0/0/3]int g 0/0/1
[SW6-GigabitEthernet0/0/1]port link-type trunk
[SW6-GigabitEthernet0/0/1]port trunk allow-pass vlan 10 202.登录防火墙，进行云端配置，并且通过云访问防火墙的http配置页面
（1）.用户名为admin，密码为Admin@123，登录后需修改密码
（2）cloud配置
（3）配置IP
[USG6000V1]int g 0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip add 192.168.100.1 24
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit
（4）登录http页面
（5）按下图以此配置防火墙各接口
达到下图
3.配置两条安全策略使DMZ区内的服务器,办公区仅能在办公时间内(9:00-18:00)可以访问,生产区的设备全天可以访问
4.配置安全策略达到要求：生产区不允许访问互联网,办公区和游客区允许访问互联网
5.写安全策略，拒绝FTP和HTTP服务，但能ping通10.0.3.10
6.创建用户区域，创建办公区，生产区，游客区，办公区下分为市场部，研发部，各部门下创建一个用户，单向绑定，研发部访问DMZ使用匿名验证，生产区访问DMZ使用免认证
（1）创建大组网
（2）创建用户组及用户
（3）认证
（4）禁止游客访问DMZ和生产区，但能访问10.0.3.10
7.生产区访问DMZ区时,需要进行protal认证,设立生产区用户组织架构,至少包含三个部门,每个部门三个用户,用户统一密码openlab123,首次登录需要修改密码,用户过期时间设定为10天
8.创建自定义管理员，不拥有系统管理功能即可；
