虚拟系统配置
目录
一.拓扑信息
二.需求分析
三.配置
1、由根系统管理员创建虚拟系统abc并且为其分配资源以及配置管理员
虚拟系统资源配置
先启动虚拟系统功能
配置资源类
创建虚拟系统
配置管理员
2、根系统管理员为内网用户创建安全策略和NAT策略
3、由abc三个虚拟系统各自完成IP、路由、安全策略配
一.拓扑信息
二.需求分析
安全策略要求：
1
、只存在一个公网
IP
地址，公司内网所有部门都需要借用同一个接口访问外网
2
、财务部禁止访问
Internet
，研发部门只有部分员工可以访问
Internet
，行政部门全部可以访问互联网
3
、为三个部门的虚拟系统分配相同的资源类
三.配置
1、由根系统管理员创建虚拟系统abc并且为其分配资源以及配置管理员
虚拟系统资源配置
先启动虚拟系统功能
[FW1]vsys enable
配置资源类
r1:
[FW1]resource-class r1
[FW1-resource-class-r1]resource-item-limit session reserved-number 500 maximum 1000
[FW1-resource-class-r1]resource-item-limit bandwidth 2 outbound
[FW1-resource-class-r1]resource-item-limit user reserved-number 100
[FW1-resource-class-r1]resource-item-limit policy reserved-number 200
r2:
r3:
创建虚拟系统
[FW1]vsys name vsysa
[FW1-vsys-vsysa]assign resource-class r1
[FW1-vsys-vsysa]assign interface g1/0/1
配置管理员
vsysa：
切换到vsysa系统中
[FW1]switch vsys vsysa
<FW1-vsysa>创建管理员
[FW1-vsysa-aaa]manager-user admin@@vsysa
[FW1-vsysa-aaa-manager-user-admin@@vsysa]创建密码
[FW1-vsysa-aaa-manager-user-admin@@vsysa]password
Enter Password:
Confirm Password:
[FW1-vsysa-aaa-manager-user-admin@@vsysa]设权
[FW1-vsysa-aaa-manager-user-admin@@vsysa]level 15
[FW1-vsysa-aaa-manager-user-admin@@vsysa]service-type web telnet ssh
Warning: The user access modes include Telnet or FTP, so security risks exist.
[FW1-vsysa-aaa]bind manager-user admin@@vsysa role system-admin 虚拟系统切换到vsysa->管理员->新建
vsysb：
vsysc：
2、根系统管理员为内网用户创建安全策略和NAT策略
根防火墙ip
静态路由
安全策略
[FW1]security-policy
[FW1-policy-security]rule name 1
[FW1-policy-security-rule-1]source-zone trust
[FW1-policy-security-rule-1]destination-zone untrust
[FW1-policy-security-rule-1]action permit nat策略
[FW1]nat-policy
[FW1-policy-nat]rule name 2
[FW1-policy-nat-rule-2]source-zone trust
[FW1-policy-nat-rule-2]egress-interface g1/0/0
[FW1-policy-nat-rule-2]source-address 10.3.0.0 16
[FW1-policy-nat-rule-2]action source-nat easy-ip 3、由abc三个虚拟系统各自完成IP、路由、安全策略配置
a
[FW1-vsysa]int g1/0/1
[FW1-vsysa-GigabitEthernet1/0/1]ip address 10.3.0.254 24
[FW1-vsysa-GigabitEthernet1/0/1]int Virtual-if 1
[FW1-vsysa-Virtual-if1]ip address 172.16.1.1 24
[FW1-vsysa]firewall zone trust
[FW1-vsysa-zone-trust]add interface g1/0/1
[FW1-vsysa]firewall zone untrust
[FW1-vsysa-zone-untrust]add interface Virtual-if 1
[FW1-vsysa]ip route-static 0.0.0.0 0 public
[FW1-vsysa]ip address-set ip_add01 type object
[FW1-vsysa-object-address-set-ip_add01]address range 10.3.0.1 10.3.0.10
[FW1-vsysa]security-policy
[FW1-vsysa-policy-security]rule name 3
[FW1-vsysa-policy-security-rule-3]source-zone trust
[FW1-vsysa-policy-security-rule-3]destination-zone untrust
[FW1-vsysa-policy-security-rule-3]source-address address-set ip_add01
[FW1-vsysa-policy-security-rule-3]action permit b
[FW1-vsysb]int g1/0/2
[FW1-vsysb-GigabitEthernet1/0/2]ip add 10.3.1.254 24
[FW1-vsysb-GigabitEthernet1/0/2]int Virtual-if 2
[FW1-vsysb-Virtual-if2]ip add 172.16.2.1 24
[FW1-vsysb]firewall zone trust
[FW1-vsysb-zone-trust]add interface g1/0/2
[FW1-vsysb]firewall zone untrust
[FW1-vsysb-zone-untrust]add int Virtual-if 2
[FW1-vsysb]ip route-static 0.0.0.0 0 public c
[FW1-vsysc]int g1/0/3
[FW1-vsysc-GigabitEthernet1/0/3]ip add 10.3.2.254 24
[FW1-vsysc]int Virtual-if 3
[FW1-vsysc-Virtual-if3]ip add 172.16.3.1 24
[FW1-vsysc]firewall zone trust
[FW1-vsysc-zone-trust]add int g1/0/3
[FW1-vsysc]firewall zone untrust
[FW1-vsysc-zone-untrust]add int Virtual-if 3
[FW1-vsysc]ip route-static 0.0.0.0 0 public
[FW1-vsysc]security-policy
[FW1-vsysc-policy-security]rule name 4
[FW1-vsysc-policy-security-rule-4]source-zone trust
[FW1-vsysc-policy-security-rule-4]destination-zone untrust
[FW1-vsysc-policy-security-rule-4]source-address 10.3.2.0 24
[FW1-vsysc-policy-security-rule-4]action permit 内部访问：
[FW1-vsysa]security-policy
[FW1-vsysa-policy-security]rule name 5
[FW1-vsysa-policy-security-rule-5]source-zone trust
[FW1-vsysa-policy-security-rule-5]destination-zone untrust
[FW1-vsysa-policy-security-rule-5]source-address 10.3.0.0 24
[FW1-vsysa-policy-security-rule-5]destination-address 10.3.1.0 24
[FW1-vsysa-policy-security-rule-5]action permit [FW1-vsysb]security-policy
[FW1-vsysb-policy-security]rule name 6
[FW1-vsysb-policy-security-rule-6]source-zone untrust
[FW1-vsysb-policy-security-rule-6]destination-zone trust
[FW1-vsysb-policy-security-rule-6]source-address 10.3.0.0 24
[FW1-vsysb-policy-security-rule-6]destination-address 10.3.1.0 24
[FW1-vsysb-policy-security-rule-6]action permit[FW1]ip route-static vpn-instance vsysa 10.3.1.0 24 vpn-instance vsysb