项目八 防火墙基本配置
实验目标：
防火墙安装在网络的边界，将其设置为三个区域：信任区（Trust）、非信任区（Untrust）、DMZ（服务器区），并且让信任区（Trust）的内网用户能访问非信任区（Untrust 外网）、DMZ（服务器区），同时要保护内网主机免受外网和服务器的攻击，即DMZ区、Untrust区的用户均不能访问（攻击）信任区（Trust）的用户。
实验的拓扑结构如下：
配置信息：
下载：eNSP稳定版
链接：https://pan.baidu.com/s/19ZAx-pP2Zs15HQZ3FShs-A
提取码：1234
路由器型号：AR1220
防火墙型号：USG6000V
三层交换机型号：S5700
1.启动防火墙，默认账号：admin 密码：Admin@123，按提示要求更改密码为：Admin@1234
实验步骤：
1.配置端口的IP地址，方法与配置交换机相似，依次将防火墙的端口配置为如下：
GigabitEthernet1/0/1 192.168.10.1/24 up up
GigabitEthernet1/0/2 172.16.10.1/24 up up
GigabitEthernet1/0/3 64.1.1.1/24 up up
<USG6000V1>sy //进入配置模式
[USG6000V1]un in en //关闭不必要的信息提示
[USG6000V1]int g1/0/1 //进入g1/0/1端口
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.10.1 24 //给g1/0/1端口配置ip地址
按此方法完成其它端口的配置，完成后用命令dis ip int br检查。
1.1配置静态路由:指引数据包转发的路径
[USG6000V1]ip route-static 0.0.0.0 0.0.0.0 64.1.1.10 //设置静态路由（目标网段 目标网段掩码 下一跳IP）
ip route-static //设置一条静态路由
0.0.0.00.0.0.0 //全0代表所有目标，目的地全0，代表去互联网，全0含义是所有地址，专业名词叫缺省路由
64.1.1.10 //下一跳，收到数据包后转发给哪一个地址
[USG6000V1]display ip routing-table //显示路由表
3.配置安全策略
3.1配置三个区域：信任区（Trust）、非信任区（Untrust）、DMZ（服务器区）
[USG6000V1]firewall zone trust //进入信任区
[USG6000V1-zone-trust]add int g1/0/1 //将端口g1/0/1加入信任区
[USG6000V1-zone-trust]firewall zone untrust //进入非信任区
[USG6000V1-zone-untrust]add int g1/0/3 //将端口g1/0/3加入非信任区
[USG6000V1-zone-untrust]firewall zone dmz //进入DMZ区
[USG6000V1-zone-dmz]add int g1/0/2 //将g1/0/2加入DMZ区
3.2 配置策略：放行（允许）从信任区的用户对外网（非信任区Untrust）、服务器区DMZ区的访问
[USG6000V1]security-policy //进入安全策略配置
[USG6000V1-policy-security]rule name shangwang //新建一个名为shangwang的规则
[USG6000V1-policy-security-rule-shangwang]source-zone trust //从内网（信任区）来的数据包
[USG6000V1-policy-security-rule-shangwang]destination-zone untrust //到外网（非信任区）去的数据包
[USG6000V1-policy-security-rule-shangwang]action permit //动作：允许
[USG6000V1-policy-security]rule name fuwuqi //新建一个名为fuwuqi的规则
[USG6000V1-policy-security-rule-fuwuqi]source-zone trust //从内网（信任区）来的数据包
[USG6000V1-policy-security-rule-fuwuqi]destination-zone dmz //到外网（非信任区）去的数据包
[USG6000V1-policy-security-rule-fuwuqi]action permit //动作：允许（放行）
验证：在PC1、PC2、PC3、PC4、PC5上用ping命令测试联通性。
3.3禁止外网对内网的访问：直接采用防火墙的默认值即可。防火墙是安全设备，凡是没有经过允许的访问，一律禁止通过。此例中，没有定义外网用户对内网、服务器区的访问规则，所以所有来自非信任区的外网用户的访问全部被禁止，所以什么都不用做就可以实现目标。
4.配置AR1的ip地址等：
<Huawei>sy
[Huawei]un in en
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 64.1.1.10 24
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add 6.6.6.1 24
[Huawei-GigabitEthernet0/0/1]q
<Huawei>display ip interface brief
5.配置NAT策略，使安全区Trunk（内网）用户能访问非安全区Untrunk（外网）
[USG6000V1]nat-policy //进入nat策略配置
[USG6000V1-policy-nat]rule name nat //新建名为nat的地址转换规则
[USG6000V1-policy-nat-rule-nat]source-zone trust //来自安全区的
[USG6000V1-policy-nat-rule-nat]destination-zone untrust //目标为非安全区
[USG6000V1-policy-nat-rule-nat]action source-nat easy-ip //执行地址转换，将源ip地址转换为出口ip地址
验证：在安全区的PC1上使用ping测试连通性
6.配置AR1的ip地址等：
<Huawei>sy
[Huawei]un in en
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 64.1.1.10 24
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add 6.6.6.1 24
[Huawei-GigabitEthernet0/0/1]q
<Huawei>display ip interface brief
- 实验报告
- 完成以上实验，并将实验步骤、命令及过程截图整理成文。
- 回答以下问题：实验拓扑图中，哪一些设备还可以做什么样的配置？实现什么功能？
附：华为USG6000V防火墙设备包下载链接:
百度网盘-链接不存在 提取码: a6ag
--来自百度网盘超级会员v9的分享
