防火墙和交换机直连(防火墙连接交换机)


作者：小鱼     日期：2023-08-27     来源：网友投稿

第2层交换机简介:

第二层交换机是指只能执行第二层转发，而不能执行第三层转发的交换机。也就是说只支持第二层功能，不支持路由等第三层功能的交换机。

通常，第2层交换机部署在接入层，不能用作用户的网关。

网络要求:

如下图所示，PC1和PC2位于不同的网段，各个部门都有接入互联网的需求。现在要求用户通过二层交换机和防火墙访问外部网络，要求防火墙作为用户的网关。

配置思路:

1.配置交换机根据接口划分VLAN，实现二层转发。

2.将防火墙配置为用户的网关，通过子接口或VLANIF接口实现跨网段的三层转发。

3.将防火墙配置为DHCP服务器，并将IP地址分配给用户PC。

4.打开防火墙域间安全策略，以便来自不同域的消息可以相互转发。

5.配置防火墙PAT功能，以便内部网用户可以访问外部网络。

操作步骤:

步骤1:配置交换机。

VLAN划分和上下行接口配置

系统

[华为]vlan批次2 3

【华为】接口千兆以太网0/0/2

[华为千兆以太网0/0/2]端口链路式接入

[华为千兆以太网0/0/2]端口默认vlan 2

[华为-千兆以太网0/0/2]退出

【华为】接口千兆以太网0/0/3

[华为千兆以太网0/0/3]端口链路式接入

[华为千兆以太网0/0/3]端口默认vlan 3

[华为-千兆以太网0/0/3]退出

【华为】接口千兆以太网0/0/1

[华为千兆以太网0/0/1]端口链路式中继

[华为千兆以太网0/0/1]端口中继允许通过vlan 2 3

[华为-千兆以太网0/0/1]退出

[华为]退出

救援

步骤2:配置防火墙

配置防火墙有两种方法，一种是配置子接口，另一种是配置VLANIF接口。

配置防火墙通过子接口端接VLAN，实现跨网段的三层转发。

系统

[usg 6000v 1]接口千兆以太网1/0/1.1

[usg 6000v 1-千兆以太网1/0/1.1]vlan类型dot1q 2

[usg 6000v 1-千兆以太网1/0/1.1]ip地址192.168.2.1 24

[usg 6000v 1-千兆以太网1/0/1.1]退出

[usg 6000v 1]接口千兆以太网1/0/1.2

[usg 6000v 1-千兆以太网1/0/1.2]vlan类型dot1q 3

[usg 6000v 1-千兆以太网1/0/1.2]ip地址192.168.3.1 24

[usg 6000v 1-千兆以太网1/0/1.2]退出

[USG6000V1]dhcp启用

[usg 6000v 1]接口千兆以太网1/0/1.1

[usg 6000v 1-gigabit Ethernet 1/0/1.1]DHCP选择接口

[usg 6000v 1-千兆以太网1/0/1.1]dhcp服务器DNS-列表114.114.114.114 223.5.5.5

[usg 6000v 1-千兆以太网1/0/1.1]退出

[usg 6000v 1]接口千兆以太网1/0/1.2

[usg 6000v 1-gigabit Ethernet 1/0/1.2]DHCP选择接口

[usg 6000v 1-千兆以太网1/0/1.2]dhcp服务器DNS-列表114.114.114.114 223.5.5.5

[usg 6000v 1-千兆以太网1/0/1.2]退出

[usg 6000v 1]接口千兆以太网1/0/2

[usg 6000v 1-千兆以太网1/0/2]ip地址200.0.0.2 24

[usg 6000v 1-千兆以太网1/0/2]退出

[USG6000V1]ip路由-静态0 . 0 . 0 . 0 0 . 0 200.0.0.1

[usg 6000v 1]防火墙区域信任

[usg 6000v 1-zone-trust]添加接口GigabitEthernet 1/0/1

[usg 6000v 1-zone-trust]添加接口GigabitEthernet 1/0/1.1

[usg 6000v 1-zone-trust]添加接口GigabitEthernet 1/0/1.2

[usg 6000v 1-zone-trust]退出

[usg 6000v 1]防火墙区域不可信

[usg 6000v 1-zone-untrust]添加接口GigabitEthernet 1/0/2

[usg 6000v 1-zone-untrust]退出

[usg 6000v 1]安全策略

[usg 6000v 1-策略-安全]规则名称策略1

[usg 6000v 1-策略-安全-规则-策略1]目标区域不可信

[usg 6000v 1-策略-安全-规则-策略1]源地址192.168.0.0掩码255.255.0.0

[usg 6000v 1-政策-安全-规则-政策1]行动许可

[usg 6000v 1-策略-安全-规则-策略1]退出

[usg 6000v 1-策略-安全]退出

[USG6000V1]nat地址-组地址组1

[usg 6000v 1-地址组-地址组1]模式pat

[usg 6000v 1-address-group-address group 1]路由启用

第0节200.0.0.2 200.0.0.2

[usg 6000v 1-address-group-address group 1]退出

[USG6000V1] nat策略

[USG6000V1-policy-nat]规则名称policy_nat1

[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]源区域信任

[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]目标区域不可信

[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]源地址192.168.0.0掩码255.255.0.0

[usg 6000v 1-policy-nat-rule-policy _ NAT 1]操作源-NAT地址-组地址组1

[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]退出

[usg 6000v 1-策略-NAT]退出

[usg 6000v 1]退出

步骤3:配置路由器。

系统

sysname互联网

[Internet]接口千兆以太网0/0/1

[互联网]ip地址200.0.0.1 255 . 255 . 255 . 0

[互联网]退出

想了解更多关于防火墙和交换机直连(防火墙连接交换机)的内容，请扫微信
或微信搜索jiemingpan


版权说明：本文版权由作者自行负责，如有侵权请联系本站删除。