防火墙NAT配置与DHCP下发
该实验如果有做的不足的地方请见谅
实验目标：
按要求划分区域，公司内部办公区为trust，服务器区为dmz，外部网络为untrust。
PC1和PC2为公司内部办公区，需要从防火墙中的DHCP服务获取IP地址，并通过nat技术使内部网络能连接外部网络。而外部网络想要连接Server2服务器则需要在防火墙中映射Server2的IP至GE1/0/3接口，使用户通过访问GE1/0/3接口连接到Server2。
以上拓扑图需要用到USG6000V设备
注意USG6000V防火墙设备需要更改密码 原密码为:Admin@123
|
设备 |
端口号 |
IP地址 |
|
USG6000V |
GE1/0/1 |
10.1.1.254/24 |
|
GE1/0/2 |
10.2.1.254/24 |
|
|
GE1/0/3 |
100.1.1.2/28 |
|
|
AR3260-AR2 |
GE0/0/0 |
100.1.1.1/28 |
|
GE0/0/1 |
172.16.1.254/24 |
|
|
PC1 |
E0/0/1 |
DHCP获取 (10.1.1.10-10.1.1.15) |
|
PC2 |
E0/0/1 |
DHCP获取 (10.1.1.10-10.1.1.15) |
|
Server1 |
E0/0/0 |
10.2.1.1/24 |
|
Server2 |
E0/0/0 |
10.2.1.2/24 |
办公区NAT转换地址池:100.1.1.10-100.1.1.14
首先配置防火墙与路由器的接口地址和静态路由：
[FW]interface g1/0/1
[FW-GigabitEthernet1/0/1]ip address 10.1.1.254 24
[FW]interface g1/0/2
[FW-GigabitEthernet1/0/2]ip address 10.2.1.254 24
[FW]interface g1/0/3
[FW-GigabitEthernet1/0/3]ip address 100.1.1.2 28
[FW]ip route-static 0.0.0.0 0 100.1.1.1
[R]interface g0/0/0
[R-GigabitEthernet0/0/3]ip address 100.1.1.1 28
[R]interface g0/0/1
[R-GigabitEthernet0/0/3]ip address 172.16.1.254 24
[R]ip route-static 0.0.0.0 0 100.1.1.2
接下来进行防火墙区域配置及DHCP下发trust：
[FW]firewall zone trust
[FW-zone-trust]add interface g1/0/1
[FW]firewall zone dmz
[FW-zone-dmz]add interface g1/0/2
[FW]firewall zone untrust
[FW-zone-untrust]add interface g1/0/3
[FW]interface g1/0/1
[FW-GigabitEthernet1/0/1]dhcp select interface
[FW-GigabitEthernet1/0/1]dhcp server ip-range 10.1.1.1 10.1.1.253
[FW-GigabitEthernet1/0/1]dhcp server gateway-list 10.1.1.254
[FW-GigabitEthernet1/0/1]dhcp server excluded-ip-address 10.1.1.1 10.1.1.9
[FW-GigabitEthernet1/0/1]dhcp server excluded-ip-address 10.1.1.16 10.1.1.253
进入PC机查看：
可以看到IP地址获取成功网关为10.1.1.254防火墙的GE1/0/1接口地址
开始对内网访问外网进行NAT转换：
创建NAT地址池
[FW]nat address-group 1
[FW-address-group-1]section 0 100.1.1.10 100.1.1.14
[FW-address-group-1]mode pat //模式更改为pat模式
进入NAT策略配置
[FW]nat-policy
[FW-policy-nat]rule name trust-nat //创建名为trust-nat的规则
[FW-policy-nat-rule-trust-nat]source-zone trust //源区域trust
[FW-policy-nat-rule-trust-nat]destination-zone untrust //目的区域untrust
[FW-policy-nat-rule-trust-nat]source-address 10.1.1.0 mask 255.255.255.0
[FW-policy-nat-rule-trust-nat]action source-nat address-group 1 //应用NAT地址池1
//源IP地址为10.1.1.0的地址可以使用NAT地址池1进行地址转换
进入安全策略设置区域通信：
[FW]security-policy
[FW-policy-security]rule name trust-untrust //创建策略规则
[FW-policy-security-rule-trust-untrust]source-zone trust
[FW-policy-security-rule-trust-untrust]destination-zone untrust
[FW-policy-security-rule-trust-untrust]source-address 10.1.1.0 mask 255.255.255.0
[FW-policy-security-rule-trust-untrust]action permit //策略动作为允许
//源区域信任区中的源IP地址为10.1.1.0的地址可以对非信任区进行通信
使用PC机ping非信任区：
在防火墙中查看会话表查看结果
[FW]display firewall session table
再进行server2的外部地址映射使得非信任区能连接到server2的http
[FW]nat server protocol tcp global 100.1.1.2 inside 10.2.1.2
//内部网络10.2.1.2tcp协议映射在100.1.1.2上
[FW]security-policy
[FW-policy-security]rule name un-dmz
[FW-policy-security-rule-un-dmz]source-zone untrust
[FW-policy-security-rule-un-dmz]destination-zone dmz
[FW-policy-security-rule-un-dmz]service http
[FW-policy-security-rule-un-dmz]action permit
最后使用client访问http://100.1.1.1/index.html
