当前位置：首页 > backend >正文

防火墙配置实验2（DHCP,用户认证，安全策略）

backend 2025/8/5 15:47:09

一、实验拓扑

二、实验步骤（需求）

需求一：根据下表，完成相关配置

需求二：配置DHCP协议，具体要求如下

需求三：防火墙安全区域配置

需求四：防火墙地址组信息

需求五：管理员

需求六：用户认证配置

需求七：安全策略配置

三、实验配置

（此板块主要展示防火墙相关配置）

1.vlan配置

[SW2]vlan 10
[SW2]vlan 20
[SW2]interface g0/0/2
[SW2-GigabitEthernet0/0/2]port link-type access
[SW2-GigabitEthernet0/0/2]port default vlan 10
[SW2]interface g0/0/3
[SW2-GigabitEthernet0/0/3]port link-type access
[SW2-GigabitEthernet0/0/3]port default vlan 20
[SW2]interface g0/0/1
[SW2-GigabitEthernet0/0/1] port link-type trunk
[SW2-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20

2.配置ip

防火墙接口配置：

3.配置dhcp

此初在拓扑FW上进行配置

[USG6000V1]dhcp enable #开启dhcp服务
[USG6000V1]interface GigabitEthernet 1/0/1.1
[USG6000V1-GigabitEthernet1/0/1.1]dhcp select interface #开启dhcp接口模式
[USG6000V1-GigabitEthernet1/0/1.1]dhcp server ip-range 172.16.1.1 172.16.1.254 #可分配地址范围
[USG6000V1-GigabitEthernet1/0/1.1]dhcp server gateway-list 172.16.1.254 #配置网关
[USG6000V1-GigabitEthernet1/0/1.1]dhcp server static-bind ip-address 172.16.1.90 mac-address 5489-9833-7586 #配置IP-MAC绑定
[USG6000V1-GigabitEthernet1/0/1.1]dhcp server dns-list 10.0.0.30 #配置dns
[USG6000V1]interface GigabitEthernet 1/0/1.2
[USG6000V1-GigabitEthernet1/0/1.2]dhcp select interface
[USG6000V1-GigabitEthernet1/0/1.2]dhcp server ip-range 172.16.2.1 172.16.2.254
[USG6000V1-GigabitEthernet1/0/1.2]dhcp server gateway-list 172.16.2.254
[USG6000V1-GigabitEthernet1/0/1.2]dhcp server dns-list 10.0.0.30

需要在web界面配置将172.16.1.100和172.16.2.100配置为保留地址，因为这两个地址已经使用。

4.防火墙安全区域配置

新建安全区域

Trust_A

Trust_B

dmz

untrust

安全区域：

5、创建地址组

DMZ_Server

Trust_A_address

Trust_B_address

6、创建地址信息

OA_Server

Web Server

DNS Server

Client1(高管)

Client2(财务部)

Client3(运维部)

PC1(技术部)

PC2(市场部)

管理员

地址信息创建完成

7.配置管理员

开启GE1/0/1.1接口的Telnet服务

创建管理员角色

创建管理员

开启防火墙的Telnet服务（只能在命令行开启）命令如下:

[FW1]telnet server enable
[FW1]user-interface vty 0 4
[FW1-ui-vty0-4]protocol inbound telnet
[SW2]interface Vlanif 10
[SW2-Vlanif10]ip address 172.16.1.10 24

测试登录