防火墙虚拟系统实验

最新推荐文章于 2025-08-06 18:19:09 发布
最新推荐文章于 2025-08-06 18:19:09 发布
阅读量897 收藏 14
点赞数 10
CC 4.0 BY-SA版权
文章标签： 服务器 网络 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_74829085/article/details/146080897

一 拓扑图

二 需求

1、只存在一个公网IP地址，公司内网所有部门都需要借用同一个接口访问外网
2、财务部禁止访问Internet，研发部门只有部分员工可以访问Internet，行政部门全部可以访问互联网
3、为三个部门的虚拟系统分配相同的资源类
三 思路

1、由根系统管理员创建虚拟系统abc并且为其分配资源以及配置管理员
2、根系统管理员为内网用户创建安全策略和NAT策略
3、由abc三个虚拟系统各自完成IP、路由、安全策略配置
四 配置

基础：

[FW]interface GigabitEthernet 1/0/1
[FW-GigabitEthernet1/0/1]ip add 10.3.0.254 24
[FW]interface GigabitEthernet 1/0/2
[FW-GigabitEthernet1/0/2]ip add 10.3.1.254 24
[FW]interface GigabitEthernet 1/0/3
[FW-GigabitEthernet1/0/3]ip add 10.3.2.254 24
[FW]interface GigabitEthernet 1/0/0
[FW-GigabitEthernet1/0/0]ip add 11.1.1.1 24

[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]ip add 11.1.1.2 24
[R1]int l 0
[R1-LoopBack0]ip add 100.1.1.1 24

根系统：

（1）先启动虚拟模式

（2）配置资源

[FW]resource-class r1     -----创建资源类r1
[FW-resource-class-r1]resource-item-limit session reserved-number 500 maximum 1000
[FW-resource-class-r1]resource-item-limit bandwidth 2 outbound   ----设置出方向带宽为2
[FW-resource-class-r1]resource-item-limit policy reserved-number 200   ----设置策略数
[FW-resource-class-r1]resource-item-limit user reserved-number 100    ----限制用户数

[FW]display resource global-resource   ----查看剩余公共资源

[FW]resource-class r2
[FW-resource-class-r2]dis th
resource-class r2
 resource-item-limit session reserved-number 500 maximum 1000
 resource-item-limit bandwidth 2 outbound
 resource-item-limit policy reserved-number 200
 resource-item-limit user reserved-number 100

[FW]resource-class r3
[FW-resource-class-r3]dis th
resource-class r3
 resource-item-limit session reserved-number 500 maximum 1000
 resource-item-limit bandwidth 2 outbound
 resource-item-limit policy reserved-number 200
 resource-item-limit user reserved-number 100

（3）创建虚拟系统：

[FW]vsys name vsysa     -----创建虚拟系统，名称为vsysa
[FW-vsys-vsysa]assign resource-class r1      ----设定使用的资源类
[FW-vsys-vsysa]assign interface GigabitEthernet 1/0/1    -----将接口划入虚拟系统

[FW]vsys name vsysb
[FW-vsys-vsysb]assign resource-class r2
[FW-vsys-vsysb]assign interface GigabitEthernet 1/0/2

[FW]vsys name vsysc
[FW-vsys-vsysc]assign resource-class r3
[FW-vsys-vsysc]assign interface GigabitEthernet 1/0/3

（4）管理员：

[FW]switch vsys vsysa   ---切换vsysa系统中
[FW-vsysa]aaa
[FW-vsysa-aaa]manager-user admin@@vsysa     -----创建vsysa虚拟系统管理员，@@其固定值，前为用户名，后为虚拟系统名称
[FW-vsysa-aaa-manager-user-admin@@vsysa]password    ----配置密码，需要输入两次（先设置后确认），密码不会显示
Enter Password:（admin@123）
Confirm Password:（admin@123）
[FW-vsysa-aaa-manager-user-admin@@vsysa]level 15   ---设定权限
[FW-vsysa-aaa-manager-user-admin@@vsysa]service-type web telnet ssh   ----设定登录服务，一般选择ssh和web即可
[FW-vsysa-aaa-manager-user-admin@@vsysa]quit     ----需要退出一步
[FW-vsysa-aaa]bind manager-user admin@@vsysa role system-admin    ---定义admin@@vsysa用户为系统管理员

（5）划分根系统的安全区域

[FW]firewall zone untrust 
[FW-zone-untrust] add interface GigabitEthernet1/0/0
[FW]firewall zone trust 
[FW-zone-trust] add interface Virtual-if0

（6）配置路由

（7）配置安全策略和nat策略

安全策略：
[FW]security-policy 
[FW-policy-security]rule name to_internet
[FW-policy-security-rule-to_internet]source-zone trust 
[FW-policy-security-rule-to_internet]destination-zone untrust 
[FW-policy-security-rule-to_internet]action permit

nat策略：
[FW]nat-policy
[FW-policy-nat]rule name nat1
[FW-policy-nat-rule-nat1]source-zone trust 
[FW-policy-nat-rule-nat1]egress-interface GigabitEthernet 1/0/0
[FW-policy-nat-rule-nat1]source-address 10.3.0.0 16
[FW-policy-nat-rule-nat1]action source-nat easy-ip 
 

虚拟系统配置：

vsysa：

[FW]switch vsys vsysa      ----从根系统切换至vsysa虚拟系统
[FW-vsysa]interface GigabitEthernet 1/0/1
[FW-vsysa-GigabitEthernet1/0/1]ip add 10.3.0.254 24
[FW-vsysa]interface Virtual-if 1
[FW-vsysa-Virtual-if1]ip add 172.16.1.1 24

安全区域设置：
[FW-vsysa]firewall zone trust 
[FW-vsysa-zone-trust]add int g 1/0/1
[FW-vsysa]firewall zone untrust     
[FW-vsysa-zone-untrust]add int Virtual-if 1

配置路由：
[FW-vsysa]ip route-static 0.0.0.0 0 public 

创建地址组：
[FW-vsysa]ip address-set ip_add01 type object 
[FW-vsysa-object-address-set-ip_add01]add range 10.3.0.1 10.3.0.10

配置安全策略：
security-policy
 rule name to_vsysb
  source-zone trust
  destination-zone untrust
  source-address 10.3.0.0 mask 255.255.255.0
  destination-address 10.3.1.0 mask 255.255.255.0
  action permit
 rule name to_internet
  source-zone trust
  destination-zone untrust
  source-address 10.3.2.0 mask 255.255.255.0
  source-address address-set ip_add01
  action permit
  
[FW-vsysa-policy-security]rule move to_vsysb before to_internet   ----移动规则
vsysb：

[FW]switch vsys vsysb
[FW-vsysb]int g 1/0/2
[FW-vsysb-GigabitEthernet1/0/2]ip add 10.3.1.254 24    
[FW-vsysb]int Virtual-if 2
[FW-vsysb-Virtual-if2]ip add 172.16.2.1 24

安全区域设置：
[FW-vsysb]firewall zone untrust 
[FW-vsysb-zone-untrust]add interface Virtual-if 2
[FW-vsysb]firewall zone trust 
[FW-vsysb-zone-trust]add int g 1/0/2

配置安全策略：
security-policy
 rule name vsysa_to
  source-zone untrust
  destination-zone trust
  source-address 10.3.0.0 mask 255.255.255.0
  destination-address 10.3.1.0 mask 255.255.255.0
  action permit

配置路由：
[FW-vsysb]ip route-static 0.0.0.0 0 public 
vsysc：

[FW]switch vsys vsysc
[FW-vsysc]int g 1/0/3
[FW-vsysc-GigabitEthernet1/0/3]ip add 10.3.2.254 24
[FW-vsysc]int Virtual-if 3
[FW-vsysc-Virtual-if3]ip add 172.16.3.1 24

安全区域设置：
[FW-vsysc]firewall zone untrust     
[FW-vsysc-zone-untrust]add int Virtual-if 3
[FW-vsysc]firewall zone trust 
[FW-vsysc-zone-trust]add int g 1/0/3

配置安全策略：
security-policy
 rule name to_internet
  source-zone trust
  destination-zone untrust
  source-address 10.3.2.0 mask 255.255.255.0
  action permit

配置路由：
[FW-vsysc]ip route-static 0.0.0.0 0 public 
根系统

[FW]ip route-static vpn-instance vsysa 10.3.1.0 24 vpn-instance vsysb     

因为，虚拟系统之间无法感知到其他虚拟系统，只有根系统能够知晓所有的虚拟系统的存在。

五测试

1、研发部访问Internet：PC1的IP先为10.3.0.1，然后将PC1的IP改为10.3.0.11：

2、财务部不能访问Internet；行政部能访问Internet。

3、研发部访问财务部：

防火墙虚拟系统
earthtoearth的博客
06-21 1108
1、正向引流表（目的地址匹配，服务器访问虚拟系统B，节约根系统资源）1、在防火墙上启动虚拟系统，设置相应的接口、路由，实现各系统互联；2、反向引流表（源地址匹配，虚拟系统访问服务器，节省根系统资源）（二）引流表配置（为减少防火墙上的引流表，节约防火墙资源）2、并通过引流表对虚拟系统进行优化，节省根系统资源。（一）实现PC1与服务器，服务器与PC2互通。2、在VRF_A上设置静态路由。（三）实现PC1至PC2互通。3、在根系统上设置静态路由。一、实验思路和网络拓扑。
防火墙综合实验
earthtoearth的博客
08-05 976
1、在交换机1和交换机2之间设立trunk链路trunk12包含g/0/21和g/0/22，设置为trunk接口并允许所有VLAN通过。5、将交换机1和交换机2的g/0/12端口设置为两台防火墙之间的心跳线，将VLAN设置为254，端口类型为access。4、将交换机3的g/0/1、g/0/2、g/0/3口设置为access接口并设置VLAN为10、20、100。2、将交换机1的g/0/23和交换机2的g/0/24设置为trunk接口并允许所有VLAN通过。
防火墙虚拟系统与交换机虚拟系统（防火墙旁挂）
earthtoearth的博客
06-22 1560
3、路由规划：采用OSPF路由，交换机对应不同用户的虚拟系统VRF_A和VRF_B分布对应区域1和区域2，防火墙上的两个虚拟系统VRF_A和VRF_B分布对应区域1和区域2，防火墙上的根系统和路由器接口对应区域0。2、交换机与防火墙之间使用链路聚合，分别设置4个逻辑接口，这四个接口分别两两对应两个防火墙虚拟系统实例VRF_A和VRF_B，其中交换机侧使用VLANIF接口，防火墙侧使用子接口。在虚拟系统VRF_B中与在VRF_A总相同，此处省略............在虚拟系统中设置接口等内容。
防火墙虚拟系统实验操作
2302_81651427的博客
03-12 1073
在最上面选择系统，最左边选择虚拟系统下的子功能资源类，然后点击新建，就可以配置资源类,在按照要求创建资源类2和3，如下两图所示。在最上面选择系统，最左边选择虚拟系统下的子功能虚拟系统，然后点击新建，就可以新建一个虚拟系统，r2，r3。创建虚拟系统管理员，在切换虚拟系统后，点击最上面的系统，在在左边的管理员那，点击新建就可以创建管理员了。在根系统上，为vsysa系统配置静态路由，指向vsysb，算是从虚拟系统到虚拟系统的访问l。创建vsysa虚拟系统管理员，@@为固定，前为用户名，后为虚拟系统名称。
HCIE-Datacom防火墙虚拟系统LAB实验手册
03-12
HCIE-Datacom防火墙虚拟系统LAB实验手册
防火墙虚拟系统综合实验1
earthtoearth的博客
08-13 1146
1、接口地址配置：防火墙接口地址外网为.12，内网虚拟墙侧均为.254，内网PC1和server均为.10，外网PC为.105，如图所示配置相应接口地址及终端地址。在根系统上配置路由使外网能够访问内网服务器端、使内网客户端访问内网服务器端，使内网能够访问外网。在两个虚拟系统设置路由使其能够访问根系统。3、nat server配置。虚拟系统连接服务器端。
华为防火墙虚拟系统+IPsec VPN案例
qq_45024159的博客
11-05 1558
总部：部署了一台防火墙，想要通过一台防火墙即能在保证内网的数据安全的情况下与分部的内部通信，还要求外网的业务也经过防火墙进行转发（通过防火墙虚拟系统+IPsec VPN方式），分部：对安全性没有要求，使得内网设备不仅可以访问总部，还可以访问互联网络。小智公司有上海总部与广州分部两个办公地点。1.总部内网设备与分部可以实现互访。2.总部外网设备可以访问外网服务器。3.分部设备可以访问外网服务器。网络规划：拓扑图已标注。
防火墙虚拟配置
m0_74081079的博客
03-04 155
省略相同配置。
防火墙虚拟系统资源分配配置实例
永远是少年
07-28 3484
今天继续给大家介绍华为USG6000系列防火墙。本文主要使用华为eNSP模拟器，实现了防火墙虚拟系统的资源配置及管理功能。 阅读本文，您需要有一定的防火墙基础知识，如果您对此存在困惑，欢迎查阅我博客的其他文章，相信您一定会有所收获。 文章链接： 防火墙虚拟化技术详解（上） 防火墙虚拟化技术详解（下） 一、实验拓扑及目的 实验拓扑如上所示，现在要求给部门1和部门2分别配置虚拟系统，并命名为VSYSA和VSYSB，并给虚拟系统分配资源并创建管理用户。 二、实验相关配置命令 （一）创建虚拟系统相关命令 在防火墙
华为防火墙虚拟系统实验
Ddfgxfgg的博客
10-26 2732
华为防火墙配置虚拟系统
linux-系统日志查看指令systemctl
guchuanhang的专栏
08-05 442
本文介绍了Linux系统管理中的三个重要工具：systemctl用于管理系统服务，包括启动/停止服务和设置开机自启；journalctl用于查看systemd日志，支持按服务筛选和实时跟踪；以及基本日志查看和端口占用检查方法。文中还讲解了.service文件的存放位置差异，提供了常用命令参考和实用技巧，如查看Nginx进程启动时间、日志关键字搜索等。这些工具和技巧能有效帮助管理员进行日常系统维护和故障排查。
NAT转化
不会写代码的胖子
08-06 101
NAT转化。
宝塔服务器挂载数据盘
ysy1119的博客
08-01 553
打包项目：mvn clean package -DskipTests。测试文件上传：验证文件是否正确存储到 /data/xxx-files。启动应用：java -jar campus-backend.jar。权限正确：目录权限设置正确，应用可以正常读写。自动挂载：重启后自动挂载，无需手动操作。上传到服务器：将jar包上传到服务器。独立存储：文件存储在独立的数据盘上。容量充足：可用空间足够存储大量文件。性能优化：不影响系统盘性能。
C++ - 仿 RabbitMQ 实现消息队列--服务器模块实现
最新发布
2301_80079840的博客
08-06 171
服务器模块我们借助 Muduo 网络库来实现。
Linux-＞进程间通信
shylyly_的博客
08-03 648
Linux->进程间通信的全方位讲解和演示
【紧急预警】NVIDIA Triton推理服务器漏洞链可导致RCE！
athink_cn的博客
08-05 487
NVIDIA 的 Triton 推理服务器中存在一系列严重漏洞，这是一个用于大规模运行 AI 模型的流行开源平台。当这些缺陷链接在一起时，远程、未经身份验证的攻击者可能会完全控制服务器，从而实现远程代码执行 （RCE）。
自己本地搭建的服务器怎么接公网？公网IP直连服务器方法，和只有内网IP直接映射到互联网
csghdn的博客
08-06 477
登录nat123客户端后添加映射配置，结合自己本地业务应用具体场景地址，自定义填写好对应的内网地址（本地应用具体私有IP端口）和公网地址（自己域名或默认分配的域名）。
防火墙虚拟系统互访
04-25
### 防火墙虚拟系统互访配置方法 #### 扩展模式下的间接互访配置 为了实现防火墙虚拟系统间的互访，可以通过设置共享虚拟系统（Shared-vsys）作为路由中转来完成间接互访。在此过程中，需在根系统的系统视图下启用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值