用EVE-NG平台做的思科传统防火墙的基本实验

一、实验设备以及实验拓扑：

二、 实验目的：

了解传统防火墙的部署场景

理解传统防火墙的包过滤策略

了解ASA防火墙的NAT配置

理解传统防火墙状态检测的作用

理解防火墙的路由模式部署场景

三、实验步骤及思路：


1. vpc的配置：

ip192.168.10.1255.255.255.0192.168.10.254 ipdns114.114.114.114

2. 接入层交换机IOL_SW的配置：

vlan10 exit inte0/0 switchportmodeaccess switchportaccessvlan10 exit inte0/1 switchporttrunkencapsulationdot1q switchportmodetrunk

3. 核心/汇聚层交换机vIOS_SW的配置：

vlan10 exit intg0/0 switchporttrunkencapsulationdot1q switchportmodetrunk exit iprouting intvlan10 ipaddress192.168.10.254255.255.255.0 noshut intg0/1 noswitchport noshut ipaddress10.1.1.1255.255.255.252 iproute0.0.0.00.0.0.010.1.1.2

4. 服务器的配置：用路由器vwin 一台开启TCP 23端口和80 端口的服务器

inte0/0 ipadd192.168.2.88255.255.255.0 noshut noiprouting ipdefault-gateway192.168.2.1 ipname-server114.114.114.114 iphttpserver linevty04 nologin transportinputtelnet exit

5. 公网边界区，ASA防火墙配置：
①基本配置，划分三个安全区域：

②防火墙路由配置：（配置静态路由）

③实现内网vpc可以上公网，使用动态NAT及配置：
方法一：用出接口做PAT

ASA防火墙默认不对ICMP做状态检测，需要开启ICMP状态检测，TCP/udp默认做状态检测，配置如下：

policy-mapglobal_policy classinspection_default inspecticmp exit

接下来，测试内网vpc访问外网：

④实现服务器区中服务器IOL_R3可以上公网，以便升级病毒库：

objectnetworkdmzsubnet192.168.2.0255.255.255.0 nat(dmz,outside)dynamicinterface

服务器上网测试：

⑤实现服务器区中服务器R对外提供TCP 80端口WEB服务和TCP23端口 telnet服务，使用静态NAT及配置：
方法一：静态nat 1对1：

objectnetworkdmz1 host192.168.2.88 nat(dmz,outside)static192.168.81.138

防火墙默认，不允许从低级别区域向高级别区域发起连接，则需要手工放通即ACL放通进来的流量（放通outside区域访问dmz区域流量）

access-listwebtelpermittcpanyhost192.168.2.88eq80 access-listwebtelpermittcpanyhost192.168.2.88eq23 access-groupwebtelininterfaceoutside

接下来，在物理主机cmd上telnet 192.168.81.138

浏览器上进192.168.81.138:


至此，实验结束。

审核编辑：汤梓红