自学内容网 自学内容网

安全防御拓扑2

实验拓扑:​​​​​​​


要求:

1、办公区设备可以通过电信链路和移动链路上网(多对多的NAT,并且需要保留一个公网IP不能用来转换)
2、分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器
3、多出口环境基于带宽比例进行选路,但是,办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护,保护阈值80%;
4、分公司内部的客户端可以通过域名访问到内部的服务器,公网设备也可以通过域名访问到分公司内部服务器;
5、游客区仅能通过移动链路访问互联网

步骤:

1、将设备的接口ip地址配置全面,包括新添加的设备和FW2的配置

2、做出NAT转换

3、进行服务测试,验证策略是否配置正确

连接ISP的接口

新增加的设备地址

多对多的NAT策略配置,需要保存一个公网ip不能用来换,所以办公区的设备需要连接电信、移动来进行上网

在FW1上建立电信与移动的安全区域

修改G1/0/2和G1/0/3的区域

G1/0/2改为电信

G1/0/3改成移动

创建一个源地址转池:将配置黑洞路由勾选(防止路由环路),不勾选允许端口地址转换(此处要配置多对多的NAT抓换和源地址转换,如果勾选端口地址转换就会让其变为了端口映射)

NAT的安全策略

NAT策略

使分公司设备通过总公司的电信和移动来连接DMZ的服务器

FW2上做NAT和策略

NAT

安全策略

FW1上做服务器映射和安全策略

服务器映射

安全策略

选路智能,多出口环境基于带宽比例来进行选路,办公区的10.0.2.10设备只能通过电信来访问网络

修改接口

增加链路接口

电信

移动

分公司的用户可以通过域名访问到内部的服务器,其他设备也可以

在FW2上做双向NAT

游客区只能通过移动来访问互联网

​​​​​​​


原文地址:https://blog.csdn.net/SuperBigToilet/article/details/140480670

免责声明:本站文章内容转载自网络资源,如本站内容侵犯了原著者的合法权益,可联系本站删除。更多内容请关注自学内容网(zxcms.com)!