一、实验拓扑
二、实验需求
1,DMZ区内的服务器,办公区仅能在办公时间内(9:00-18:00)可以访问,生产区的设备全天可以访问.
2,生产区不允许访问互联网,办公区和游客区允许访问互联网
3,办公区设备10.0.2.10不允许访问DMz区的FTP服务器和HTTP服务器,仅能ping通10.0.3.10
4,办公区分为市场部和研发部,研发部IP地址固定,访问DMz区使用匿名认证,研发部需要用户绑定IP地址,访问DMz区使用免认证;游客区人员不固定,不允许访问DMz区和生产区,统一使用Guest用户登录,密码Admin@123
5,生产区访问DMZ区时,需要进行protal认证,设立生产区用户组织架构,至少包含三个部门,每个部门三个用户,用户统一密码openlab123,首次登录需要修改密码,用户过期时间设定为10天,用户不允许多人使用
6,创建一个自定义管理员,要求不能拥有系统管理的功能
三、实验配置
一、DMZ区内的服务器，办公区仅能在办公时间内(9:00-18:00)可以访问，生产区的设备全天可以访问
1.在Windows系统添加一个环回网卡，步骤如下：
1)右键单机开始，选择设备管理器
2)找到网络适配器，点击左上角操作，点击添加过时硬件
3)连续点下一步，直到有下图画面，找到网络适配器，点击下一步
4)点击Microsoft，再点击Microsoft KM-TEST 环回适配器，最后点击下一步完成添加网卡。
2.在云上添加网卡和UDP，勾上双向通道，添加即可。
3.登录防火墙FW1，默认账号admin，密码Admin@123；修改密码，进去之后去进入G0/0/0接口，输入如下命令，即配置G0/0/0接口的IP为192.168.100.1，使其IP与网卡是一个网段上，并打开所有服务管理。
4.打开自带浏览器，url栏输入192.168.100.1:8443回车，无视风险进入虚拟华为防火墙登录界面，输入之前设置的账号密码登录
5.LSW7操作，对办公区和生产区进行vlan划分，办公区是vlan2，生产区是vlan3，将G0/0/1设置为trunk模式，允许vlan2和vlan3通过，取消vlan1通过。
[LSW7]vlan batch 2 3
[LSW7]int g0/0/2
[LSW7-GigabitEthernet0/0/2]port link-type access
[LSW7-GigabitEthernet0/0/2]port default vlan 3
[LSW7-GigabitEthernet0/0/2]int g0/0/3
[LSW7-GigabitEthernet0/0/3]port link-type access
[LSW7-GigabitEthernet0/0/3]port default vlan 2
进入G0/0/1接口设置trunk接口，设置关闭vlan1
[LSW7]int g0/0/1
[LSW7-GigabitEthernet0/0/1]port link-type trunk
[LSW7-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 3
[LSW7-GigabitEthernet0/0/1]undo port trunk allow-pass vlan 1
6.在FW1web界面：
1)进入g1/0/1和g1/0/2接口中设置移动和电信的分配
(1)g1/0/1为电信
(2)g1/0/2为移动
2).在G0/0/3接口创建两个子接口，给生产区和办公区设置安全区域
1)办公区
办公区可以访问DMZ服务器
2)生产区
生产区可以访问DMZ区的服务器
3)进入DMZ区域设置:
4)端口配置设置如下：
二、生产区不允许访问互联网，办公区和游客区允许访问互联网
1）防火墙FW1端口G1/0/1IP在上面一、中已配置
2）路由器AR1上的配置
[AR1]int g0/0/0
[AR1-GigabitEthernet0/0/0]ip add 12.0.0.2 24
[AR1-GigabitEthernet0/0/0]int g0/0/1
[AR1-GigabitEthernet0/0/1]ip add 21.0.0.2 24
[AR1-GigabitEthernet0/0/1]int g0/0/2
[AR1-GigabitEthernet0/0/2]ip add 23.0.0.1 24
[AR1-GigabitEthernet0/0/2]rip 1
[AR1-rip-1]v 2
[AR1-rip-1]net 12.0.0.0
[AR1-rip-1]net 21.0.0.0
[AR1-rip-1]net 23.0.0.0
3）禁止生产区访问互联网
4）允许办公区上网策略
5）允许游客区上网策略
三、办公区设备10.0.2.10不允许访问DMZ区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10
对10.0.2.10 禁止对DMZ区的http和ftp服务
四、办公区分为市场部和研发部,研发部IP地址固定,访问DMz区使用匿名认证,研发部需要用户绑定IP地址,访问DMz区使用免认证;游客区人员不固定,不允许访问DMz区和生产区,统一使用Guest用户登录,密码Admin@123
（1）创建认证域bg
（2）在bg认证域中建立市场部和研发部
（3）做认证策略，使研发部10.0.1.20使用匿名认证登录DMZ区
研发部IP地址固定，访问DMZ区使用匿名验证，这里研发部IP为10.0.2.20/32
（4）市场部需要用户绑定IP地址，访问DMZ区使用免认证
（5）创建游客（tourist）认证域，建立Guest用户，密码为Admin@123，允许多人同时登陆
（6）写安全策略，使游客区不允许访问DMZ区和生产区
（7） 游客使用Guest用户登录，仅有访问公司门户网站和上网的权限，门户网站地址10.0.3.10：
五、生产区访问DMZ区时,需要进行protal认证,设立生产区用户组织架构,至少包含三个部门,每个部门三个用户,用户统一密码openlab123,首次登录需要修改密码,用户过期时间设定为10天,用户不允许多人使用
（1）创建生产区访问DMZ区认证域
（2）点击sctodmz创建用户组，分别创建维修部、科研部、质检部
（3）新建批量用户，用户名间以英文逗号隔开，密码为openlab123
有效时间为10天，允许多人登录取消，分别每个部门创建3个用户。
（4）找到认证选项，勾选首次登录必须修改密码
六、创建一个自定义管理员,要求不能拥有系统管理的功能
（1）创建一个管理员角色，要求不能拥有系统管理功能
（2）在管理员中添加一个管理员，角色是自定义管理员
