一、前言

今天终于上综合性的项目了,学习完防火墙的nat配置和pat配置后,我们的boss出综合性项目了。废话不多说上图有图有真相、没图不哔哔。


二、实验综合拓扑

防火墙----综合应用_第1张图片
应用拓扑
防火墙----综合应用_第2张图片


三、实验目的和要求

1、要求各个vlan可以互相联通
2、使用VRRP技术实现路由器间的备份冗余
3、在内网防火墙上使用动态PAT访问外网
4、发布公司内部Web服务器供外网的cilent3访问
5、问题:VLAN网关在哪里?ISP路由如何配置?
6、所有数据包的走向


四、实验所需设备和配置

1.设备:

3台client,2台服务器,1台集线器,1台路由器,1台二层交换机,2台三层交换机,网线若干。

2.设备的ip配置:

Client1,vlan1,ip地址192.168.1.1/24,网关:192.168.1.250/24
Client2,vlan2,ip地址192.168.2.1/24,网关:192.168.2.250/24
Client3,无vlan,ip地址192.168.200.1/24,网关:192.168.200.254/24
Server1,vlan100,ip地址192.168.100.1/24,网关:192.168.100.250/24
Server2,vlan100,ip地址192.168.200.2/24,网关:192.168.200.254/24

3.vlan的ip配置

Vlan1:LW1:192.168.1.254/24 LW2:192.168.1.253/24
Vlan2:LW1:192.168.2.254/24 LW2:192.168.2.253/24
Vlan100:LW1:192.168.100.254/24 LW2:192.168.100.253/24
Vlan66:192.168.66.1/24
Vlan88:192.168.88.1/24

4.防火墙接口配置

G0:ip:192.168.66.2/24 ,区域inside1
G1:ip:192.168.88.2/24 ,区域inside2
G2:ip:200.8.8.1/30 ,区域outside

5.vrrp配置

LSW1:

vlan1:虚拟网关ip:192.168.1.250,真实网关ip:192.168.1.254 ,优先级200,端口跟踪g0/0/3、g0/0/2,跟踪端口断开优先级降低:100
vlan2:虚拟网关ip:192.168.2.250,真实网关ip:192.168.2.254 ,优先级200,端口跟踪g0/0/3、g0/0/2,跟踪端口断开优先级降低:100
vlan100:虚拟网关ip:192.168.100.250,真实网关ip:192.168.100.254 ,优先级200,端口跟踪g0/0/3、g0/0/2,跟踪端口断开优先级降低:100

LSW2:

vlan1:虚拟网关ip:192.168.1.250,真实网关ip:192.168.1.253 ,优先级150
vlan2:虚拟网关ip:192.168.2.250,真实网关ip:192.168.2.253 ,优先级150
vlan100:虚拟网关ip:192.168.100.250,真实网关ip:192.168.100.253 ,优先级150

6.ISP路由器配置

g0/0/1:ip:200.8.8.2/30
g0/0/0:ip:192.168.200.254/24


五、涉及到的技术

1.VLAN:指的是虚拟局域网,是一种 2 层技术。可以在交换机上实现广播域的隔离。从而可以减小数据广播风暴对交换网络的影响,降低了网络管理难度,同时可以实现网络规模的灵活扩展。
2.Trunk 链路与 Access 链路:Trunk 链路同一时刻可以支持多VLAN 的数据转发,数据携带 VLAN 标签(native vlan 除外);Access 链路同一时刻只能传输一个 VLAN 的数据,发送和接收的数据,都没有标签;
3.NAT:指的是网络地址转换;作用是实现内网私有 IP 地址与外网公有 IP 地址的转换,从而实现内网与外网的互通,同时还可以隐藏内部网络的结构,增强网络的安全性。
4.VRRP:指的是虚拟网关冗余协议。作用是在不同的网关设备之间形成虚拟网关 IP 地址,从而实现网关设备之间的备份冗余,增强网关的稳定性。
5.ACL:指的是访问控制列表,作用是匹配感兴趣流量,结合工具对流量进行过滤;基本 ACL 和扩展 ACL。区别:基本 ACL 只能匹配 IP 头部中的源 IP 地址;扩展 ACL 可以同时匹配 IP 头部中的源 IP 地址和目标 IP 地址,以及传输层协议的内容,控制流量更加精确。
6.OSPF:指的是开放式最短路径优先协议。作用是在公司网络内部快速的形成一个最短的、无环的、三层转发路径。


六、配置思路以及命令展示

1.LSW3配置:

A、创建vlan2和vlan100,交换机默认是有vlan1的。
B、修改名称为SW3
C、把g0/0/1和g0/0/2设置trunk,把e0/0/3加入vlan1(默认情况下所有接口都属于vlan1)

undo terminal monitor //关闭终端监控
system-view //进入系统模式
[Huawei]sysname SW3 //修改名字为SW3

[SW3]vlan batch 2 100 //创建vlan2 和100
[SW3]port-group group-member g0/0/1 g0/0/2 //把g1和g2口加入组
[SW3-port-group]port link-type trunk  //给组设置trunk模式
[SW3-port-group]port trunk allow-pass vlan all //给组加入所有vlan
[SW3-port-group]quit //退出
验证:[SW3]display vlan //查看vlan

防火墙----综合应用_第3张图片

2.LSW1配置:

A、创建vlan2、vlan100和vlan66,交换机默认是有vlan1的。
B、修改名称为SW1
C、把g0/0/4和g0/0/2设置trunk,把g0/0/3接入模式加入vlan66,g0/0/1接入模式加入vlan100
D、设置vlan1,vlan2,vlan100,vlan66的ip和网关。
E、设置vlan1,vlan2,vlan100的vrrp,优先级为200,虚拟ip都是对应网段的250。
F、设置他们的监视端口,并设置端口断开所降低的优先级:100
G、设置ospf,区域area0,宣告vlan1,vlan2,vlan100,vlan66的网段。

undo terminal monitor //关闭终端监控
system-view  //进入系统模式
[Huawei]sysname SW1 //修改名字为SW1

[SW1]vlan batch 2 100 66 //创建vlan2、100、66
[SW1]port-group group-member g0/0/4 g0/0/2  //把g4和g2口加入组
[SW1-port-group]port link-type trunk //给组设置trunk模式
[SW1-port-group]port trunk allow-pass vlan all //给组加入所有vlan
[SW1-port-group]quit //退出

[SW1]int g0/0/3 //进入接口g3
[SW1-GigabitEthernet0/0/3]port link-type access //设置为接入模式
[SW1-GigabitEthernet0/0/3]port default vlan 66 //加入vlan66
[SW1-GigabitEthernet0/0/3]int g0/0/1  //进入接口g1
[SW1-GigabitEthernet0/0/1]port link-type access  //设置为接入模式
[SW1-GigabitEthernet0/0/1]port default vlan 100 //加入vlan100
[SW1-GigabitEthernet0/0/1]quit //退出

[SW1]int vlan1 //进入vlan1
[SW1-Vlanif1]ip add 192.168.1.254 24 //设置vlan1网关
[SW1-Vlanif1]vrrp vrid 1 virtual-ip 192.168.1.250 //开启vrrp并设置虚拟网关ip
[SW1-Vlanif1]vrrp vrid 1 priority 200 //设置优先级为200
[SW1-Vlanif1]vrrp vrid 1 track interface g0/0/3 reduced 100 //设置端口跟踪g3,如果断开优先级减低100
[SW1-Vlanif1]vrrp vrid 1 track interface g0/0/2 reduced 100 //设置端口跟踪g2,如果断开优先级减低100

[SW1-Vlanif1]int vlan 2 //进入vlan1
[SW1-Vlanif2]ip add 192.168.2.254 24 //设置vlan2网关
[SW1-Vlanif2]vrrp vrid 2 virtual-ip 192.168.2.250 //开启vrrp并设置虚拟网关ip
[SW1-Vlanif2]vrrp vrid 2 priority 200 //设置优先级为200

[SW1-Vlanif2]vrrp vrid 2 track interface g0/0/3 reduced 100 //设置端口跟踪g3,如果断开优先级减低100
[SW1-Vlanif2]vrrp vrid 2 track interface g0/0/2 reduced 100//设置端口跟踪g2,如果断开优先级减低100

[SW1-Vlanif2]int vlan 100 //进入vlan100
[SW1-Vlanif100]ip add 192.168.100.254 24 //设置vlan100网关
[SW1-Vlanif100]vrrp vrid 3 virtual-ip 192.168.100.250  //开启vrrp并设置虚拟网关ip
[SW1-Vlanif100]vrrp vrid 3 priority 200 //设置优先级为200
[SW1-Vlanif100]vrrp vrid 3 track interface g0/0/3 reduced 100 //设置端口跟踪g3,如果断开优先级减低100
[SW1-Vlanif100]vrrp vrid 3 track interface g0/0/2 reduced 100 //设置端口跟踪g2,如果断开优先级减低100

[SW1-Vlanif100]int vlan 66  //进入vlan66 
[SW1-Vlanif66]ip add 192.168.66.1 24  //设置vlan66的ip
[SW1-Vlanif66]quit //退出

[SW1]ospf 1 router-id 1.1.1.1 //设置ospf,路由id为1.1.1.1
[SW1-ospf-1]area 0 //开启0区域并进入
[SW1-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255 //宣告vlan1网段
[SW1-ospf-1-area-0.0.0.0]network 192.168.2.0 0.0.0.255//宣告vlan2网段
[SW1-ospf-1-area-0.0.0.0]network 192.168.100.0 0.0.0.255 //宣告vlan100网段
[SW1-ospf-1-area-0.0.0.0]network 192.168.66.0 0.0.0.255 //宣告vlan66网段
[SW1-ospf-1-area-0.0.0.0]quit //退出
[SW1-ospf-1]quit //退出

验证:[SW1]display current-configuration //查看所有配置

防火墙----综合应用_第4张图片
防火墙----综合应用_第5张图片
防火墙----综合应用_第6张图片
防火墙----综合应用_第7张图片

3.LSW2配置:

A、创建vlan2、vlan100和vlan88,交换机默认是有vlan1的。
B、修改名称为SW2
C、把g0/0/4和g0/0/1设置trunk,把g0/0/3接入模式加入vlan88,g0/0/2接入模式加入vlan2
D、设置vlan1,vlan2,vlan100,vlan88的ip和网关。
E、设置vlan1,vlan2,vlan100的vrrp,优先级为150,虚拟ip都是对应网段的250。
G、设置ospf,区域area0,宣告vlan1,vlan2,vlan100,vlan88的网段。

undo terminal monitor //关闭终端监控
system-view  //进入系统模式
[Huawei]sysname SW2  //修改名字为SW2

[SW2]vlan batch 2 100 88 //创建vlan2、100、66 

[SW2]port-group group-member g0/0/1 g0/0/4 //把g4和g1口加入组
[SW2-port-group]port link-type trunk  //给组设置trunk模式
[SW2-port-group]port trunk allow-pass vlan all //给组加入所有vlan
[SW2-port-group]quit //退出

[SW2]int g0/0/2  //进入接口g2
[SW2-GigabitEthernet0/0/2]port link-type access   //设置为接入模式
[SW2-GigabitEthernet0/0/2]port default vlan 2 //加入vlan2
[SW2-GigabitEthernet0/0/2]int g0/0/3 //进入接口g3
[SW2-GigabitEthernet0/0/3]port link-type access //设置为接入模式 
[SW2-GigabitEthernet0/0/3]port default vlan 88 //加入vlan88
[SW2-GigabitEthernet0/0/3]quit //退出

[SW2]int vlan 1 //进入vlan1
[SW2-Vlanif1]ip add 192.168.1.253 24 //设置vlan1网关
[SW2-Vlanif1]vrrp vrid 1 virtual-ip 192.168.1.250 //开启vrrp并设置虚拟网关ip
[SW2-Vlanif1]vrrp vrid 1 priority 150 //设置优先级为150

[SW2-Vlanif1]int vlan 2 //进入vlan2
[SW2-Vlanif2]ip add 192.168.2.253 24 //设置vlan2网关
[SW2-Vlanif2]vrrp vrid 2 virtual-ip 192.168.2.250 //开启vrrp并设置虚拟网关ip  
[SW2-Vlanif2]vrrp vrid 2 priority 150 //设置优先级为150

[SW2-Vlanif2]int vlan 88 //进入vlan88
[SW2-Vlanif88]ip add 192.168.88.1 24 //设置vlan88网关

[SW2-Vlanif88]int vlan 100  //进入vlan100
[SW2-Vlanif100]ip add 192.168.100.253 24 //设置vlan100网关
[SW2-Vlanif100]vrrp vrid 3 virtual-ip 192.168.100.250 //开启vrrp并设置虚拟网关ip
[SW2-Vlanif100]vrrp vrid 3 priority 150 //设置优先级为150
[SW2-Vlanif100]quit //退出

[SW2]ospf 1 router-id 2.2.2.2 //设置ospf,路由id为2.2.2.2
[SW2-ospf-1]area 0 //开启0区域并进入   
[SW2-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255  //宣告vlan1网段
[SW2-ospf-1-area-0.0.0.0]network 192.168.2.0 0.0.0.255 //宣告vlan2网段
[SW2-ospf-1-area-0.0.0.0]network 192.168.100.0 0.0.0.255 //宣告vlan100网段
[SW2-ospf-1-area-0.0.0.0]network 192.168.88.0 0.0.0.255  //宣告vlan66网段
[SW2-ospf-1-area-0.0.0.0]quit //退出
[SW2-ospf-1]quit //退出

验证:[SW2]display current-configuration  //查看所有配置

防火墙----综合应用_第8张图片
防火墙----综合应用_第9张图片
防火墙----综合应用
防火墙----综合应用_第10张图片

4.验证vrrp

terminal monitor //开启终端监控
terminal debugging //开启终端调试
debugging ip icmp //开启调试ip的icmp
system-view //进入系统模式
[SW1]info-center console channel monitor  //开启主机监控

terminal monitor  //开启终端监控
terminal debugging  //开启终端调试
debugging ip icmp  //开启调试ip的icmp
system-view //进入系统模式
[SW2]info-center console channel monitor  //开启主机监控

防火墙----综合应用_第11张图片
防火墙----综合应用_第12张图片
防火墙----综合应用_第13张图片
防火墙----综合应用_第14张图片

5.ISP路由器设置

A、设置g0/0/1接口的ip为200.8.8.2/30,g0/0/0接口的ip网关为192.168.200.254/24
B、设置缺省路由下一跳为200.8.8.1。

undo terminal monitor //关闭终端监控
system-view //进入系统模式
[Huawei]sysname ISP  //修改名字为ISP

[ISP]int g0/0/0 //进入g0端口
[ISP-GigabitEthernet0/0/0]ip add 192.168.200.254 24 //设置内网网关
[ISP-GigabitEthernet0/0/0]int g0/0/1  //进入g1端口
[ISP-GigabitEthernet0/0/1]ip add 200.8.8.2 255.255.255.252 //设置外网ip
[ISP-GigabitEthernet0/0/1]quit //退出

[ISP]ip route-static 0.0.0.0 0.0.0.0 200.8.8.1 //设置静态路由

验证:[ISP]display current-configuration  //查看所有配置

防火墙----综合应用_第15张图片

6.防火墙asa设置

A、配置端口g0的nameif为inside1,开启端口 ,安全级别为100,ip地址为192.168.66.2/24。
B、配置端口g1的nameif为inside2 ,开启端口,安全级别为99,ip地址为192.168.88.2/24。
C、配置端口g2的nameif为outside ,开启端口,安全级别为0,ip地址为200.8.8.1/30。
D、设置防火墙的ospf,区域为0,宣告网段vlan66,vlan88
E、设置动态pat,让内网的192.168.2.0/24、192.168.1.0/24、192.168.100.0/24网段转换为公网地址119.1.1.1/29
F、设置指向外网的静态路由,加入ospf,进行路由重分发
G、设置静态pat可以让外网访问内网的web服务器
H、因为防火墙默认安全级低的无法访问安全级高的区域,因此需要设置acl让ip通过,来验证内网访问外网回包

ciscoasa> enable  //进入特权模式
Password: ******* //用密码登录
ciscoasa# configure terminal //进入全局配置模式

ciscoasa(config)# int g0 //进入g0端口
ciscoasa(config-if)# no shutdown //开启端口
ciscoasa(config-if)# nameif inside1  //设置内网名称inside1
ciscoasa(config-if)# security-level 100 //安全级别为100
ciscoasa(config-if)# ip add 192.168.66.2  255.255.255.0 //设置端口ip
ciscoasa(config-if)# exit//退出

ciscoasa(config)# int g1 //进入g1端口
ciscoasa(config-if)# no shutdown //开启端口
ciscoasa(config-if)# nameif inside2 //设置内网名称inside2
ciscoasa(config-if)# security-level 99 //安全级别为99
ciscoasa(config-if)# ip add 192.168.88.2 255.255.255.0 //设置端口ip
ciscoasa(config-if)# exit //退出

ciscoasa(config)# int g2  //进入g2端口
ciscoasa(config-if)# no shutdown  //开启端口
ciscoasa(config-if)# nameif outside  //设置外网名称outside
ciscoasa(config-if)# security-level 0 //安全级别为0
ciscoasa(config-if)# ip add 200.8.8.1 255.255.255.252 //设置端口ip
ciscoasa(config-if)# quit //退出

ciscoasa(config)# router ospf 1 //开启ospf
ciscoasa(config-router)# router-id 3.3.3.3 //设置路由id为3.3.3.3
ciscoasa(config-router)# network 192.168.66.0 255.255.255.0 area 0 //宣告vlan66网段,区域为0
ciscoasa(config-router)# network 192.168.88.0 255.255.255.0 area 0  //宣告vlan88网段,区域为0
ciscoasa(config-router)# exit //退出

ciscoasa(config)#route outside 192.168.200.0 255.255.255.0 200.8.8.2 //设置静态路由指向外网的
ciscoasa(config)# router ospf 1 //进入ospf1
ciscoasa(config-router)# redistribute static  //设置路由重分发
ciscoasa(config-router)# quit //退出

ciscoasa(config)# object network in-out   //设置对象网络名称为in-out
ciscoasa(config-network-object)# subnet 192.168.0.0 255.255.0.0 //设置内网要转换的ip
ciscoasa(config-network-object)# nat (inside1,outside) dynamic 119.1.1.1  //设置动态pat,让内网ip动态的转换为119.1.1.1 
ciscoasa(config-network-object)# quit //退出

ciscoasa(config)# access-list 123 extended permit ip any any  //设置acl,主要目的是验证使用,让外网包可以恢复到内网
ciscoasa(config)# access-group 123 in interface outside //应用cal

验证截图:
开启外网fit的功能
防火墙----综合应用_第16张图片
使用client1和client2验证。
防火墙----综合应用_第17张图片
防火墙----综合应用_第18张图片
抓包截图,抓包位置
防火墙----综合应用
抓包结果:
防火墙----综合应用_第19张图片

可见内网ip可以转换为外网119.1.1.1的ip,并且htp有回复。

ciscoasa(config)# object network 456 //设置对象网络名称为456
ciscoasa(config-network-object)# host 119.1.1.2 //设置要转换的外网ip
ciscoasa(config-network-object)# quit //退出
ciscoasa(config)# object network 789  //设置对象网络名称为789
ciscoasa(config-network-object)# host 192.168.100.1  //设置要转换的内网ip
ciscoasa(config-network-object)# nat (inside1,outside) static 456 service tcp 80 80 //使用静态nat,方向inside1到outside,转化为外网456的ip,tcp协议的80端口出项,80端口入项ciscoasa(config-network-object)# quit //退出

验证截图:
开启Server1的web服务。
防火墙----综合应用_第20张图片
防火墙----综合应用_第21张图片
抓包展示:抓包位置
防火墙----综合应用_第22张图片
抓包结果:
防火墙----综合应用
抓包位置:
防火墙----综合应用
抓包结果:
防火墙----综合应用_第23张图片


七、测试中遇到的问题总结

1.测试时候我老是遇到与防火墙直连网段无法连通的情款,也一直没找到原因,重新在虚拟机设置VMnet端口和电脑的网络连接中禁用在开启网络连接,在重启一下就会解决,原因不清楚。
2.遇到路由器有路由表,pc机却无法ping通防火墙端口的情况,而防火墙却可以ping通pc机,一直找不到解决办法,在我从新启动电脑后,吃了个午饭,睡了个午觉,再次测试就好了。
3.前面的问题:VLAN网关在哪里?ISP路由如何配置?
答:vlan网关我设置在两个三层交换机上,并且做了vrrp。ISP路由就设置两个网关ip,和静态路由了。
4.数据包走向现在是走的内网三层交换机,当主路由器路线断掉后会走副三层交换机,但是副三层交换机暂时我没配置,代码原理基本一样。