- 拓扑
- 地址表
| Device |
interface |
IP Address |
Subnet mask |
Default Gateway |
| R1 |
F 0/0 |
172.20.1.1 |
/24 |
N/A |
| S0/0/0 |
10.20.1.1 |
/24 |
N/A |
|
| R2 |
S0/0/0 |
10.20.1.2 |
/24 |
N/A |
| S0/0/1 |
10.20.2.2 |
/24 |
N/A |
|
| R3 |
F 0/0 |
172.20.1.1 |
/24 |
N/A |
| S0/0/1 |
10.20.2.1 |
/24 |
N/A |
|
| PC-A |
Fa0 |
172.20.1.2 |
/24 |
172.20.1.1 |
| PC-C |
Fa0 |
172.20.2.2 |
/24 |
172.20.2.1 |
（1）console密码和Vty密码
Router(config)#username zhu1 password zjw1 //console 密码
Router(config)#aaa authentication login default local
Router(config)#lin
Router(config)#line console 0
Router(config-line)#login authentication default
Router(config)#aaa authentication login ZTE local //vty 密码
Router(config)#line vty 0 4
Router(config-line)#login authentication ZTE
Router(config-line)#end
（2）接口配置
与上实验相同，这里省略
（3）静态路由
与上实验相同，这里省略
- 验证基本网络联通性
（1）PC-A ping PC-C
（2）PC-C telnet R2的s0/0/1口
说明：如上，基本网络联通性完好。
- 在R3 创建一个区域防火墙
（1）创建一个内部区域
R3(config)#zone security IN-ZONE
（2）创建一个外部区域
R3(config-sec-zone)#zone security OUT-ZONE
R3(config-sec-zone)#exi
- 定义一个流量级别和访问
（1）创建一个用来定义内部流量的ACL
R3(config)#access-list 101 permit ip 172.20.2.0 0.0.0.255 any
（2）创建一个涉及内部流量ACL的class map
R3(config)#class-map type inspect match-all IN-NET-CLASS-MAP
R3(config-cmap)#match access-group 101
R3(config-cmap)#exi
- 指定防火墙策略
（1）创建一个策略图来确定对匹配的流量
R3(config)#policy-map type inspect IN-2-OUT-PMAP
（2）定义一个检测级别类型和参考策略图。
R3(config-pmap)#class type inspect IN-NET-CLASS-MAP
（3）定义检测策略图
R3(config-pmap-c)# inspect
R3(config-pmap-c)#exi
R3(config-pmap)# exit
- 应用防火墙策略
（1）创建一对区域
R3(config)#zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE
（2）定义策略图来控制两个区域的流量。
R3(config-sec-zone-pair)#service-policy type inspect IN-2-OUT-PMAP
R3(config-sec-zone-pair)# exit
R3(config)#
（3）把端口调用到合适的安全区域。
在端口的全局模式用zone-member security来把F0/1调用到IN-ZONE ，把S0/0/1调用到OUT-ZONE
R3(config)# interface fa0/1
R3(config-if)# zone-member security IN-ZONE
R3(config-if)# exit
R3(config)# interface s0/0/1
R3(config-if)# zone-member security OUT-ZONE
R3(config-if)# exit
- 测试从IN-ZONE到OUT-ZONE的防火墙功能
（1）PC-C ping PC-A服务器
（2）从PC-Ctelnet到R2的s0/0/1口
（3）在R3输show policy-map type inspect zone-pair sessions看完成情况。
结论：如上，内部到外部的防火墙功能完整，内部能够访问外部。
- 第七步 测试外部区域到内部区域的防火墙功能
（1）验证配置ZPF之后外部无法访问内部。
（2）R2 ping PC-C也ping不通
结论：如上，外部区域到内部区域的防火墙功能完整，外部不能访问内部。