防火墙安全实验
一、实验拓补图
二、实验需求
1、VLAN 2属于办公区;VLAN 3属于生产区
2、办公区PC在工作日时间(周一至周五，早8到晚6)可以正常访OA Server，其他时间不允许
3、办公区PC可以在任意时刻访问Web server
4、生产区PC可以在任意时刻访问OA Server，但是不能访问Web Server
5、特例:生产区PC3可以在每周一早10到早11访问Web Server，用来更新企业最新产品信息
三、分析实验需求
一、VLAN 配置
- 创建 VLAN：在交换机上分别创建 VLAN 2（办公区）和 VLAN 3（生产区）。
- 端口分配：
- 将办公区的 PC（如 PC1）连接的交换机端口划分到 VLAN 2。
- 将生产区的 PC（如 PC2、PC3）连接的交换机端口划分到 VLAN 3。
二、防火墙策略配置
- 办公区 PC（VLAN 2）访问 OA Server：
- 允许规则：配置基于时间的访问规则，允许 VLAN 2 的流量在工作日（周一至周五）的早 8 点到晚 6 点访问 OA Server 所在的服务器（可能在 DMZ 区域或其他特定网段）。
- 禁止规则：在其他时间段，配置规则禁止 VLAN 2 的流量访问 OA Server。
- 办公区 PC（VLAN 2）访问 Web Server：配置允许规则，允许 VLAN 2 的流量在任意时间访问 Web Server。
- 生产区 PC（VLAN 3）访问 OA Server：配置允许规则，允许 VLAN 3 的流量在任意时间访问 OA Server。
- 生产区 PC（VLAN 3）访问 Web Server：
- 常规禁止规则：配置规则禁止 VLAN 3 中除 PC3 外的其他 PC 访问 Web Server。
- PC3 特殊规则：配置基于时间的访问规则，允许 PC3（属于 VLAN 3）在每周一的早 10 点到早 11 点访问 Web Server。
三、路由配置
- 三层交换机或路由器：确保三层交换机或路由器上配置了正确的路由，使得不同 VLAN 之间以及与外部网络（如 Internet）能够进行通信。
- 默认网关：为每个 VLAN 配置默认网关，以便 VLAN 内的设备能够访问其他网络。
四、时间策略配置
- 在防火墙或相关设备上：配置时间对象，定义工作日（周一至周五）、早 8 点到晚 6 点、每周一的早 10 点到早 11 点等时间范围。
- 关联时间对象与访问规则：将时间对象与相应的防火墙访问规则进行关联，以实现基于时间的访问控制。
五、服务器配置
- OA Server 和 Web Server：确保服务器上的相关服务（如 OA 系统、Web 服务）正常运行，并且服务器的网络配置（如 IP 地址、子网掩码、默认网关等）正确，能够与其他网络设备进行通信。
四、具体配置
一、配置IP地址
OA Server
WEB Server
PC1
PC2
PC3
检查IP配置
PC1-PC2
PC2-PC3
PC1-PC3
二、划分vlan
LSW2配置
[LSW2]vlan batch 2 3
[LSW2]interface GigabitEthernet 0/0/2
[LSW2-GigabitEthernet0/0/2]port link-type access
[LSW2-GigabitEthernet0/0/2]port default vlan 2
[LSW2]interface GigabitEthernet 0/0/3
[LSW2-GigabitEthernet0/0/3]port link-type access
[LSW2-GigabitEthernet0/0/3]port default vlan 3
[LSW2]interface GigabitEthernet 0/0/4
[LSW2-GigabitEthernet0/0/4]port link-type access
[LSW2-GigabitEthernet0/0/4]port default vlan 3
[LSW2]interface GigabitEthernet 0/0/1
[LSW2-GigabitEthernet0/0/1]port link-type trunk
[LSW2-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 to 3三、cloud配置
四、防火墙配置
在华为ENSP模拟器中防火墙的默认账号是：admin 密码是：Admin@123
进入防火请设备并且重置密码
Username:admin
Password:
The password needs to be changed. Change now? [Y/N]: y
Please enter old password:
Please enter new password:
Please confirm new password:
进入接口开启服务
[USG6000V1]interface GigabitEthernet 0/0/0
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit五、进入网页后台配置
配置GE1/0/0接口为dmz区域
GE1/0/1的两个子接口为trust区域
配置防火墙接口
在GE1/0/1接口新建两个子接口分别是GE1/0/1.1，GE1/0/1.2
六、策略配置
一、PC3配置
配置名称和描述以及源安全区域和目的安全区域
配置源地址和目标地址
将服务器一并配置
新建时间段
检查配置
二、办公区PC在工作日时间(周一至周五，早8到晚6)可以正常访问OA Server，其他时间不允许
检查配置
三、办公区PC可以在任意时刻访问Web server
检查配置
四、生产区PC可以在任意时刻访问OA Server，但是不能访问Web Server
检查配置
