實驗拓撲

實驗要求

• 全網互通

實驗配置

地址規劃

# AR1
int g0/0/0
	ip ad 172.16.1.254 24
int g0/0/2
	ip ad 192.168.1.254 24
int g0/0/1
	ip ad 10.1.12.1 24

# FW
int g0/0/0
	ip ad 192.168.43.3 24  //這里配置與橋接的網卡的地址同一個網段的IP
int g1/0/0
	ip ad 10.1.12.2 24
int g1/0/1
	ip ad 12.1.1.1 24
int g1/0/2
	ip ad 13.1.1.1 24

# AR2
int g0/0/0
	ip ad 12.1.1.2 24
int g0/0/1
	ip ad 2.2.2.254 24
int g0/0/2
	ip ad 2.2.1.254 24

如果需要使用Web管理界面管理，需要在防火墻的G0/0/0介面下開啟Web管理service-manage all permit

• 在物理機上測驗與防火墻G0/0/0介面的連通性
• 在瀏覽器訪問：https://192.168.43.3:8443登錄

靜態路由配置

# AR1
ip route-static 0.0.0.0 0 10.1.12.2  //配置預設路由,也可以寫明細路由

# AR2
ip route-static 0.0.0.0 0 12.1.1.1

# AR3
ip route-static 0.0.0.0 0 13.1.1.1

# FW
ip route-static 3.3.3.0 24 13.1.1.3
ip route-static 2.2.0.0 22 12.1.1.2
ip route-static 192.168.1.0 24 10.1.12.1
ip route-static 172.16.1.0 24 10.1.12.1

防火墻劃分安全區域

# FW
firewall zone trust
	add int g 1/0/0
	q
firewall zone untrust
	add int g 1/0/2
	q
firewall zone dmz
	add int g 1/0/1
	q

防火墻配置安全策略

# FW
security-policy
 rule name tr_un
  source-zone trust
  destination-zone untrust
  source-address 172.16.1.0 24  //也可以精確匹配
  source-address 192.168.1.0 24
  action permit

 rule name tr_dmz
  source-zone trust
  destination-zone dmz
  source-address 172.16.1.0 24
  source-address 192.168.1.0 24
  action permit

rule name un_dmz
  source-zone untrust
  destination-zone dmz
  source-address 3.3.3.0 24
  action permit

rule name dmz_tr
  source-zone dmz
  destination-zone trust
  source-address 2.2.0.0 22
  action permit

rule name dmz_un
  source-zone dmz
  destination-zone untrust
  source-address 2.2.0.0 22
  action permit

配置NAT地址池

# FW
nat address-group 1
	mode no-pat local  //不使用一對一映射，不做埠轉換
 	route enable
 	section 0 100.1.1.1 100.1.1.10   //公網映射的地址范圍

配置NAT策略

# FW
nat-policy
 rule name 1
  source-zone trust
  destination-zone untrust
  source-address 172.16.1.0 24   //可以寫精確地址
  source-address 192.168.1.0 24
  destination-address 3.3.3.0 24
  action source-nat address-group 1   //對源做NAT地址轉換

• 配置AR3回防火墻的靜態路由

ip route-static 100.1.1.0 24 13.1.1.1

連通性測驗

• 在PC和Client上分別測驗與其他設備的連通性
• 在防火墻的G1/0/2介面抓包查看源地址是否轉換

使用Easy-ip做地址轉換

# FW
nat-policy
	rule name 1
	 undo action source-nat
nat address-group 1
	mode pat
nat-policy
	rule name 1
	 action source-nat easy-ip  //使用easy-ip 做地址轉換

通過命令dis firewall session table查看地址轉換的表項
通過抓包查看

DMZ區域配置FTP服務器

• 配置公網IP映射到內網的服務器地址

# FW
nat server 1 protocol tcp global 100.1.1.1 ftp inside 2.2.1.1 ftp

• 防火墻配置從untrust區域到dmz區域的安全策略（前面已配置，這里可以不用配置）

rule name un_dmz
  source-zone untrust
  destination-zone dmz
  source-address 3.3.3.0 24
  destination-address 2.2.1.0 24  //可以配置精確地址也可以不配置
  action permit

配置Server 1的FTP服務，使用給Client 2訪問

• 如果不能訪問，檢查AR3上是否有路由

查看防火墻上的會話表資訊dis firewall session table
配置HTTP相同的配置nat server

• nat server protocol tcp global 100.1.1.2 80 inside 2.2.1.1 80

拓展：

• 這里還可以在Server端配置DNS服務器，配置相關的域名與IP的映射關系
• 客戶端也配置相應的DNS服務器地址，可以實作在客戶端通過域名訪問HTTP

總結

• 如果不通，檢查以下步驟：

1. 檢查路由器以及防火墻的路由表dis ip routing-table查看是否有去往目的網段的路由，沒有則檢查靜態路由配置
2. 有路由，檢查防火墻的安全策略以及介面的區域規劃
3. 檢查在AR3上是否配置了回防火墻的靜態路由
4. 可以通過dis firewall session table查看地串列會話址轉換
5. 如果無法訪問Server端的服務，檢查Server端的服務是否啟動

以上內容均屬原創，如有不詳或錯誤，敬請指出，