配置基於區域策略的防火牆

Addressing Table

地址表

 

Device	Interface	IP Address	Subnet Mask	Default Gateway
R1	Fa0/1	192.134.1.1	255.255.255.0	N/A
	S0/0/0	10.1.1.1	255.255.255.252	N/A
R2	S0/0/0	10.1.1.2	255.255.255.252	N/A
	S0/0/1	10.2.2.2	255.255.255.252	N/A
R3	Fa0/1	192.134.3.1	255.255.255.0	N/A
	S0/0/1	10.2.2.1	255.255.255.252	N/A
PC-A	NIC	192.134.1.3	255.255.255.0	192.134.1.1
PC-C	NIC	192.134.3.3	255.255.255.0	192.134.3.1

驗證基本網絡連通性

PC-A ping通PC-C。

 

 

PC-C登到PC-A的網頁。

 

建立一個內部區域。

R3(config)# zone security IN-ZONE

R3(config-sec-zone）# zone security OUT-ZONE

R3(config-sec-zone)# exit

 

建立一個用來定義內部流量的ACL

R3(config)# access-list 101 permit ip 192.168.3.0 0.0.0.255 any

 

建立一個涉及內部流量ACL的class map

R3(config)# class-map type inspect match-all IN-NET-CLASS-MAP

R3(config-cmap)# match access-group 101

R3(config-cmap)# exit

 

建立一個策略圖

R3(config)# policy-map type inspect IN-2-OUT-PMAP.

 

定義一個檢測級別類型和參考策略圖。

R3(config-pmap)# class type inspect IN-NET-CLASS-MAP

 

定義檢測策略圖

R3(config-pmap-c)# inspect

 

建立一對區域

R3(config)# zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE

 

定義策略圖來控制兩個區域的流量。

R3(config-sec-zone-pair)# service-policy type inspect IN-2-OUT-PMAP

R3(config-sec-zone-pair)# exit R3(config)#

把端口調用到合適的安全區域。

R3(config)# interface fa0/1

R3(config-if)# zone-member security IN-ZONE

R3(config-if)# exit

 

R3(config)# interface s0/0/1

R3(config-if)# zone-member security OUT-ZONE

R3(config-if)# exit

驗證內配置ZPF後內部能訪問外部

 

PC_C ping PC-A服務器

 

從PC-Ctelnet到R2 的s0/0/1口

 

測試外部區域到內部區域的防火牆功能

 

 R2 ping PC-C