ensp实验防火墙:防火墙添加策略,让pc能够ping通
时间: 2025-06-12 13:54:38 浏览: 17
### ENSP 实验中配置防火墙策略以允许 PC 间 Ping 操作
#### 配置 VLAN 和 IP 地址
为了使不同 VLAN 中的 PC 能够相互通信并执行 ping 测试,首先需要确保各设备位于正确的 VLAN 并拥有合适的 IP 地址设置。
对于 SW1 的 VLAN3 配置如下:
```shell
[SW1]interface Vlanif 3
[SW1-Vlanif3]ip address 192.168.3.1 24
```
接着,在连接至交换机相应端口上的每台 PC 上分配静态 IP 地址。例如,假设两台 PC 分别属于同一子网 `192.168.3.x`[^2]。
#### 定义信任区域与非信任区域
定义不同的安全域有助于更好地管理流量方向以及应用适当的安全措施。通常情况下,“内部网络”会被视为可信区(Trust Zone),而外部互联网或其他不可控资源则被划分为不信任区(Untrust Zone)。
在本案例中,如果希望让处于 Trust 区内的主机能够互相发送 ICMP 请求,则需指定哪些接口归属于这些特定的安全级别:
```shell
[FW1]firewall zone trust
[FW1-zone-trust]add interface GigabitEthernet1/0/0 // 假设此接口连接到内网交换机
```
同样地,针对其他可能存在的 DMZ 或 Untrust 接口也应做相应的设定[^3]。
#### 创建允许 ICMP 协议通过的安全规则
为了让来自某个源地址范围的数据包可以通过防火墙到达目标位置而不受阻拦,必须创建一条明确许可该类行为的安全策略。考虑到实验目的即允许同属一个局域网下的计算机相互响应 echo-request 报文,可以在防火墙上添加如下命令:
```shell
[FW1]policy interzone local trust outbound
[FW1-policy-interzone-local-trust-outbound]permit icmp source any destination any
// 如果仅限于特定 IP 对之间的通讯可改为具体 IP 如下所示:
//[FW1-policy-interzone-local-trust-outbound]permit icmp source 192.168.3.0 mask 255.255.255.0 destination 192.168.3.0 mask 255.255.255.0
```
上述指令表示从本地发起前往 Trust 区向外传输的所有 ICMP 类型数据都将获得授权通行的权利。这一步骤至关重要,因为默认状态下许多企业级防火墙会阻止除 HTTP(S) 外大部分未经特别指明的服务请求,包括简单的 ping 指令[^1]。
完成以上步骤之后,再次尝试由一台 PC 向另一台发出 ping 请求应该可以看到正常的往返时间记录而非超时错误提示。
阅读全文
相关推荐
















