安全防御拓扑2
实验拓扑：
要求：
1、办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)
2、分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器
3、多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%；
4、分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器；
5、游客区仅能通过移动链路访问互联网
步骤:
1、将设备的接口ip地址配置全面，包括新添加的设备和FW2的配置
2、做出NAT转换
3、进行服务测试，验证策略是否配置正确
连接ISP的接口
新增加的设备地址
多对多的NAT策略配置，需要保存一个公网ip不能用来换，所以办公区的设备需要连接电信、移动来进行上网
在FW1上建立电信与移动的安全区域
修改G1/0/2和G1/0/3的区域
G1/0/2改为电信
G1/0/3改成移动
创建一个源地址转池：将配置黑洞路由勾选(防止路由环路)，不勾选允许端口地址转换(此处要配置多对多的NAT抓换和源地址转换，如果勾选端口地址转换就会让其变为了端口映射)
NAT的安全策略
NAT策略
使分公司设备通过总公司的电信和移动来连接DMZ的服务器
FW2上做NAT和策略
NAT
安全策略
FW1上做服务器映射和安全策略
服务器映射
安全策略
选路智能，多出口环境基于带宽比例来进行选路，办公区的10.0.2.10设备只能通过电信来访问网络
修改接口
增加链路接口
电信
移动
分公司的用户可以通过域名访问到内部的服务器，其他设备也可以
在FW2上做双向NAT
游客区只能通过移动来访问互联网
原文地址：https://blog.csdn.net/SuperBigToilet/article/details/140480670
免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！