当前位置：首页 > news >正文

虚拟系统配置实验

news 来源：原创 2025/6/21 4:20:19

一.实验拓扑

二.实验需求

安全策略要求：

1、只存在一个公网IP地址，公司内网所有部门都需要借用同一个接口访问外网

2、财务部禁止访问Internet，研发部门只有部分员工可以访问Internet，行政部门全部可以访问互联网

3、为三个部门的虚拟系统分配相同的资源类

三.配置思路

配置思路：

1、由根系统管理员创建虚拟系统abc并且为其分配资源以及配置管理员

2、根系统管理员为内网用户创建安全策略和NAT策略

3、由abc三个虚拟系统各自完成IP、路由、安全策略配置

四.实验配置

1.开启虚拟系统

命令行方式：

[FW1]vsys enable

2.配置资源类

命令行方式：

[FW1]resource-class r1 --创建资源类r1
[FW1-resource-class-r1]resource-item-limit session reserved-number 500 maximum 
1000
[FW1]display resource global-resource   ---查看剩余公共资源

3. 创建虚拟系统

命令行方式：

[FW1]vsys name vsysa ---创建虚拟系统，名称为vsysa
[FW1-vsys-vsysa]assign resource-class r1 ---设定使用的资源类
[FW1-vsys-vsysa]assign interface GigabitEthernet 1/0/1 ---将接口划入虚拟系统

4.管理员配置

命令行方式：

[FW1]switch vsys vsysa ---切换到vsysa系统中
[FW1-vsysa]aaa [FW-vsysa-aaa]manager-user admin@@vsysa ---创建vsysa虚拟系统管理员，@@为固定，前为用户
名，后为虚拟系统名称
[FW1-vsysa-aaa-manager-user-admin@@vsysa]password   --配置密码，需要输入两遍，密码没有回显
Enter Password:admin@123
Confirm Password:admin@123
[FW1-vsysa-aaa-manager-user-admin@@vsysa]level 15 --设定权限
[FW1-vsysa-aaa-manager-user-admin@@vsysa]service-type web telnet ssh ---设定登录服务，一般选择ssh和web即可
[FW1-vsysa-aaa-manager-user-admin@@vsysa]quit 
[FW1-vsysa-aaa]bind manager-user admin@@vsysa role system-admin   ---定义admin@@vsysa用户为系统管理员

5.安全策略配置

[FW1]security-policy
[FW1-policy-security]rule name to_internet
[FW1-policy-security-rule-to_internet]source-zone trust 
[FW1-policy-security-rule-to_internet]destination-zone trust 
[FW1-policy-security-rule-to_internet]action permit


[FW1]nat-policy
[FW1-policy-nat]rule name nat1
[FW1-policy-nat-rule-nat1]source-zone trust 
[FW1-policy-nat-rule-nat1]egress-interface GigabitEthernet 1/0/0
[FW1-policy-nat-rule-nat1]source-zone	
[FW1-policy-nat-rule-nat1]source-address 10.3.0.0 16	
[FW1-policy-nat-rule-nat1]action source-nat easy-ip

6.虚拟系统内配置

以虚拟系统1为例：

[FW1]switch vsys vsysa
<FW1-vsysa>sys
[FW1-vsysa]int g 1/0/1
[FW1-vsysa-GigabitEthernet1/0/1]ip address 10.3.0.254 24
[FW1-vsysa-GigabitEthernet1/0/1]q
[FW1-vsysa]int Virtual-if 1
[FW1-vsysa-Virtual-if1]ip address 172.16.1.1 24
[FW1-vsysa-Virtual-if1]q
[FW1-vsysa]firewall zone trust 
[FW1-vsysa-zone-trust]add	
[FW1-vsysa-zone-trust]add int g 1/0/1
[FW1-vsysa-zone-trust]q
[FW1-vsysa]firewall zone untrust 
[FW1-vsysa-zone-untrust]add int Virtual-if 1
[FW1-vsysa-zone-untrust]q
[FW1-vsysa]ip route-static 0.0.0.0 0 public 
[FW1-vsysa]ip address-set ip_add01 type object 
[FW1-vsysa-object-address-set-ip_add01]address range 10.3.0.1 10.3.0.10
[FW1-vsysa-object-address-set-ip_add01]q
[FW1-vsysa]security-policy
[FW1-vsysa-policy-security]rule name to_internet
[FW1-vsysa-policy-security-rule-to_internet]source-zone trust 
[FW1-vsysa-policy-security-rule-to_internet]destination-zone untrust 
[FW1-vsysa-policy-security-rule-to_internet]source-address address-set ip_add01
[FW1-vsysa-policy-security-rule-to_internet]action permit