当前位置： 首页 > news >正文

防御综合实验

news 2025/8/4 9:50:18

一、实验拓补图

二、实验需求及配置

需求一

设备接口VLAN接口类型
SW2GE0/0/2VLAN 10Access
GE0/0/3VLAN 20Access
GE0/0/1VLAN List : 10 20Trunk
[SW2]vlan 10
[SW2]vlan 20
[SW2]interface GigabitEthernet 0/0/2
[SW2-GigabitEthernet0/0/2]port link-type access 
[SW2-GigabitEthernet0/0/2]port default vlan 10
[SW2]interface GigabitEthernet 0/0/3
[SW2-GigabitEthernet0/0/3]port link-type access
[SW2-GigabitEthernet0/0/3]port default vlan 20
[SW2]interface GigabitEthernet 0/0/1
[SW2-GigabitEthernet0/0/1]port trunk allow-pass vlan 10 20
设备接口VLANIP
FWGE1/0/1.110172.16.1.254/24
GE1/0/1.220172.16.2.254/24
GE1/0/0/10.0.0.254/24
GE1/0/2/100.1.1.10/24
OA ServerEthernet0/0/010.0.0.10/24
Web ServerEthernet0/0/010.0.0.20/24
DNS ServerEthernet0/0/010.0.0.30/24
[FW]interface GigabitEthernet 0/0/0
[FW-GigabitEthernet0/0/0]ip address 192.168.100.1 24
[FW-GigabitEthernet0/0/0]service-manage all permit 
[FW] interface GigabitEthernet 1/0/1.1
[FW-GigabitEthernet1/0/1.1] vlan-type dot1q 10  # 绑定VLAN 10
[FW-GigabitEthernet1/0/1.1] ip address 172.16.1.254 24  # 配置IP地址
[FW] interface GigabitEthernet 1/0/1.2
[FW-GigabitEthernet1/0/1.2] vlan-type dot1q 20  # 绑定VLAN 20
[FW-GigabitEthernet1/0/1.2] ip address 172.16.2.254 24  # 配置IP地址
[FW] interface GigabitEthernet 1/0/0
[FW-GigabitEthernet1/0/0] ip address 10.0.0.254 24  # 配置IP地址
[FW] interface GigabitEthernet 1/0/2
[FW-GigabitEthernet1/0/2] ip address 100.1.1.10 24  # 配置IP地址

设备接口VLANIP
百度服务器Ethernet0/0/0100.1.1.1/24
Clinet2Ethernet0/0/0172.16.1.100/24
PC1Ethernet0/0/1172.16.2.100/24

 需求二:配置DHCP协议,具体要求如下 

1.在FW上启动DHCP功能，并配置不同的全局地址池，为接入网络的终端设备分配IP地址。

2.Client1、Client3和PC2通过DHCP获取地址信息。

3.Client1必须通过DHCP获取172.16.1.90/24地址。

设备接口VLANIP
Clinet1Ethernet0/0/0DHCP 获取 (172.16.1.90/24)
Clinet3Ethernet0/0/0DHCP 获取
PC2Ethernet0/0/1DHCP 获取
地址池名称网段 / 掩码网关DNS
dhcp-a172.16.1.0/24172.16.1.25410.0.0.30
dhcp-b172.16.2.0/24172.16.2.25410.0.0.30
[FW]dhcp enable 
[FW]interface GigabitEthernet 1/0/1.1
[FW-GigabitEthernet1/0/1.1]dhcp select interface 
[FW]interface GigabitEthernet 1/0/1.2
[FW-GigabitEthernet1/0/1.2]dhcp select interface

[FW]display ip pool
2025-08-02 10:54:34.420  -------------------------------------------------------------------------------
------Pool-name        : GigabitEthernet1/0/1.1Pool-No          : 0Lease            : 1 Days 0 Hours 0 MinutesPosition         : Interface       Status           : UnlockedGateway-0        : 172.16.1.254    Network          : 172.16.1.0Mask             : 255.255.255.0Conflicted address recycle interval: -Address Statistic: Total       :253       Used        :0          Idle        :253       Expired     :0          Conflict    :0         Disabled    :0      -------------------------------------------------------------------------------
------Pool-name        : GigabitEthernet1/0/1.2Pool-No          : 1Lease            : 1 Days 0 Hours 0 MinutesPosition         : Interface       Status           : UnlockedGateway-0        : -               Network          : 172.16.2.0Mask             : 255.255.255.0Conflicted address recycle interval: -Address Statistic: Total       :254       Used        :0          Idle        :254       Expired     :0          Conflict    :0         Disabled    :0      IP address StatisticTotal       :507    Used        :0          Idle        :507    Expired     :0          Conflict    :0          Disabled  :0

查看Client1，发现未获取到IP地址

解决方法：给FW GE1/0/1接口配置IP地址

 需求三:防火墙安全区域配置

设备接口安全区域优先级
FWGE1/0/1Trust_A70
GE1/0/1.2Trust_B80
GE1/0/0DMZ默认
GE1/0/2Untrust默认

需求四:防火墙地址组信息 

设备地址地址族描述信息
OA Server10.0.0.10/32DMZ_ServerDMZ 区域的 OA 服务器
Web Server10.0.0.20/32DMZ_ServerDMZ 区域的 Web 服务器
DNS Server10.0.0.30/32DMZ_ServerDMZ 区域的 DNS 服务器
Client1 (高管)172.16.1.90/32Trust_A_address高管
Client2 (财务部)172.16.1.100/32Trust_A_address财务部
PC1 (技术部)172.16.2.100/32Trust_B_address技术部
PC2 (市场部)172.16.2.0/24 需要去除 172.16.2.100 ｡Trust_B_address市场部
管理员172.16.1.10/32Trust_A_address

新建地址

需求五:管理员

为FW配置一个配置管理员｡要求管理员可以通过Telnet登录到CLI界面对FW进行管理和维护｡FW对管理员进行本地认证｡

项目数据说明
管理员账号密码账号: vtyadmin 密码: admin@123
管理员 PC 的 IP 地址172.16.1.10/24
角色service-admin拥有业务配置和设备监控权限｡
管理员信任主机172.16.1.0/24登录设备的主机 IP 地址范围
认证类型本地认证
名称权限控制项
service-admin策略､对象､网络：读写操作
面板､监控､系统：无

  开启Telnet功能

[FW-GigabitEthernet1/0/1.1]service-manage telnet permit 
[FW-GigabitEthernet1/0/1.1]display this
2025-08-02 12:32:16.750 
#
interface GigabitEthernet1/0/1.1vlan-type dot1q 10ip address 172.16.1.254 255.255.255.0service-manage telnet permitdhcp select interfacedhcp server ip-range 172.16.1.1 172.16.1.254dhcp server gateway-list 172.16.1.254dhcp server excluded-ip-address 172.16.1.100dhcp server static-bind ip-address 172.16.1.90 mac-address 5489-98b9-3c45dhcp server dns-list 10.0.0.30
#
return

 创建管理员

开启Telnet服务

[FW]telnet server enable 
[FW]user-interface vty 0 4
[FW-ui-vty0-4]protocol inbound telnet

需求六:用户认证配置

1、部门A分为运维部、高层管理、财务部；其中，财务部IP地址为静态IP。高管地址DHCP固定分配。

2、部门B分为研发部和市场部；研发部IP地址为静态IP

3、新建一个认证域，所有用户属于认证域下组织架构

4、根据下表信息，创建企业组织架构

5、用户密码统一为admin@123 6、首次登录必须修改密码

项目数据
认证域名称: openlab 认证方案: Portal 接入控制：上网行为管理 新用户认证选项：使用 /openlab 组权限
用户组信息
部门 A用户组组名: A 用户组所属组: /openlab
部门 B用户组组名: B 用户组所属组: /openlab
高级管理者用户组组名: manager 用户组所属组: /openlab/A
运维部用户组组名: DevOps 用户组所属组: /openlab/A
财务部用户组组名: FD 用户组所属组: /openlab/A
技术部用户组组名: TD 用户组所属组: /openlab/B
市场部用户组组名: MD 用户组所属组: /openlab/B
用户信息
高管用户

用户登录名：user_001

用户显示名：Super_user

用户所属组：/openlab/A/manager

不允许多人同时使用该账号登录

IP/MAC绑定方式：双向绑定

IP/MAC地址：Client1的MAC

运维部用户

用户登录名：DevOps_001

用户显示名：张三

用户所属组：/openlab/A/DevOps

不允许多人同时使用该账号登录

财务部用户

用户登录名：FD_001

用户显示名：李四

用户所属组：/openlab/A/FD

IP/MAC绑定方式：双向绑定

IP/MAC地址：172.16.1.100

不允许多人同时使用该账号登录

技术部用户

用户登录名：TD_001...TD_003

用户所属组：/openlab/B/TD

允许多人同时使用该账号登录

市场部用户

用户登录名：MD_001...MD_005

用户所属组：/openlab/B/MD

不允许多人同时使用该账号登录

账号过期时间：10天

编写用户信息

 编写认证策略

1、高级管理者访问任何区域时，需要使用免认证。

2、运维部访问DMZ区域时，需要进行Portal认证。

3、技术部和市场部访问DMZ区域时，需要使用匿名认证。

4、财务部访问DMZ区域时，使用不认证。

5、运维部和市场部访问外网时，使用Portal认证。

6、财务部和技术部不能访问外网环境。故不需要认证策略

项目数据
高级管理者认证策略

名称: policy_auth_01

描述：高级管理者认证策略

源安全区域: Trust_A

目的安全区域: any

源地址 / 地区 :Client1

目的地址 / 地区: any

认证动作：免认证

运维部认证策略

名称: policy_auth_02

描述：运维部 _to_DMZ

源安全区域: Trust_A

目的安全区域: dmz

源地址 / 地区 :Client3

目的地址 / 地区: DMZ_Server

认证动作: Portal 认证

名称: policy_auth_03

描述：运维部 _to_Untrust

源安全区域: Trust_A

目的安全区域: untrust

源地址 / 地区 :Client3

目的地址 / 地区: any

认证动作: Portal 认证

技术部认证策略

名称: policy_auth_04

描述：技术部 _to_DMZ

源安全区域: Trust_B

目的安全区域: dmz

源地址 / 地区 :PC1

目的地址 / 地区: DMZ_Server

认证动作：匿名认证

财务部认证策略

名称: policy_auth_05

描述：财务部 _to_DMZ

源安全区域: Trust_A

目的安全区域: dmz

源地址 / 地区 :Client2

目的地址 / 地区: DMZ_Server

认证动作：不认证

市场部认证策略

名称: policy_auth_06

描述：市场部 _to_DMZ

源安全区域: Trust_B

目的安全区域: dmz

源地址 / 地区 :PC2

目的地址 / 地区: DMZ_Server

认证动作：匿名认证

名称: policy_auth_07

描述：市场部 _to_Untrust

源安全区域: Trust_B

目的安全区域: untrust

源地址 / 地区 :PC2

目的地址 / 地区: any

认证动作: Portal 认证

需求七:安全策略配置

1、配置Telnet策略

2、配置DHCP策略

3、配置DNS策略

4、部门A中分为三个部门，运维部、高管、财务:

a.运维部允许随时随地访问DMZ区域，并对设备进行管理；

b.高管和财务部仅允许访问DMZ区域的OA和Web服务器，并且只有HTTP和HTTPS权限。

c.运维部允许在非工作时间访问互联网环境

d.高管允许随时访问互联网环境

e.财务部任何时间都不允许访问互联网环境

5、部门B分为两个部门，技术部和市场部:

a.技术部允许访问DMZ区域中的web服务器，并进行管理

b.技术部和市场部允许访问DMZ区域中的OA服务器，并且只有HTTP和HTTPS权限。

c.市场部允许访问互联网环境

6、每周末公司服务器需要检修维护，允许运维部访问；即，每周末拒绝除运维部以外的流量访问DMZ区 域。

7、部门A和部门B不允许存在直接访问流量，如果需要传输文件信息，则需要通过OA服务器完成。---依 靠默认规则拒绝

策略名称项目
policy_01

描述：防火墙 telnet 管理

源安全区域: Trust_A

目的安全区域: Local

源地址：管理员

目的地址: any

服务: telnet

动作：允许

policy_02

描述: DHCP 协议

源安全区域: Trust_A , Trust_B

目的安全区域: Local

源地址: any

目的地址: any

服务：自定义服务 (UDP 、 67/68)

动作：允许

policy_03

描述: DNS 协议

源安全区域: Trust_A,Trust_B

目的安全区域: dmz

源地址: Trust_A_address 、 Trust_B_address

目的地址: DNS Server

服务: DNS 动作：允许

policy_04

描述：运维部_to_DMZ

源安全区域: Trust_A

目的安全区域: dmz

源地址: Client3

目的地址: DMZ_Server

动作：允许

policy_05

描述：高管和财务部_to_DMZ

源安全区域: Trust_A

目的安全区域: dmz

源地址: Client1 、 Client2

目的地址: OA Server 、 Web Server

服务: HTTP 、 HTTPS

动作：允许

policy_06

描述：运维部_to_Untrust

源安全区域: Trust_A

目的安全区域: untrust

源地址: Client3

目的地址: any

时间段: no_worktime (工作日，0-8 ; 18-23)

动作：允许

policy_07

描述：高管_to_Untrust

源安全区域: Trust_A

目的安全区域: untrust

源地址: Client1

目的地址: any

动作：允许

policy_08

描述：技术部_to_web

源安全区域: Trust_B

目的安全区域: dmz

源地址: PC1

目的地址: Web Server

动作：允许

policy_09

描述：技术部和市场部_to_oa

源安全区域: Trust_B

目的安全区域: dmz

源地址: PC1 、 PC2

目的地址: OA Server

服务: HTTP 、 HTTPS

动作：允许

policy_10

描述：市场部_to_Untrust

源安全区域: Trust_B

目的安全区域: untrust

源地址: PC2

目的地址: any

动作：允许

policy_11

描述：运维检修

源安全区域: Trust_A,Trust_B

目的安全区域: dmz

源地址: Client1、Client2、PC1、PC2

目的地址: DMZ_Server

时间段: weekend (周六周日全天)

动作：拒绝

http://www.dtcms.com/a/311663.html

相关文章：

  • TypeScript03-web项目知识
  • Python正则表达式使用指南：从基础到实战
  • 【C语言】内存函数与数据在内存中的存储
  • 自动驾驶中的传感器技术15——Camera（6）
  • 【数据结构初阶】--排序(二)--直接选择排序，堆排序
  • 内核协议栈源码阅读(三) --- 网桥处理
  • 每日五个pyecharts可视化图表-bars（1）
  • AG32mcu通过寄存器方式操作cpld
  • linux ssh公钥移除办法
  • K8S部署ELK（三）：部署Elasticsearch搜索引擎
  • accept函数及示例
  • CMake指令：mark_as_advanced
  • Django 日志配置详解
  • gbase8s 常见表约束介绍
  • 数字化转型驱动中小制造企业的质量管理升级
  • 技术面试知识点详解 - 从电路到编程的全栈面经
  • 【密码学】5. 公钥密码
  • 【Python修仙编程】(二) Python3灵源初探(11)
  • Noob靶机
  • 集成电路学习：什么是CMSIS微控制器软件接口标准
  • 用键盘快速移动Word和WPS文字中的选中段落
  • K8S部署ELK（二）：部署Kafka消息队列
  • 计算机分类大全
  • 【学习笔记】MySQL技术内幕InnoDB存储引擎——第9章 性能调优
  • Android 13/14/15 默认授权应用权限的实现方法
  • 广告牌+序列帧的Shader效果
  • rocky\centos安装docker镜像的命令
  • 深入理解C++中的list容器：介绍、使用与实现
  • Flutter dart运算符
  • mini-swe-agent源码解读（进行中）