实验目的：
在Cisco IOS的路由器中,基于区域的防火墙，策略都是在数据从一个区域发到另外一个区域时才生效，在同一个区域内的数据是不会应用任何策略的。而要配置这些策略，方法像使用MQC来配置QOS一样配置防火墙策略，但是两个的配置方法并不完全一致，因为双方的格式会有一些不同。
本实验的目的是要让inside 可以访问outside和dmz, ouside可以访问dmz,dmz那都不能访问。
实验拓扑：
实验说明：
XP 是同过GNS3桥接到VM中的XP ，server 是同过GNS3桥接到VM中的win 2003,DMZ区域是使用一台7200路由器模拟服务器，开启HTTP,TELNET,
本实验使用的IOS是c7200-adventerprisek9-mz.124-22.T.bin
xp和win 2003的配置这里就不给出了下面是R1和R2的配置：(由于配置命令很长希望能耐心看下去)
R1：
1 : !
2 : upgrade fpd auto
3 : version 12.4
4 : service timestamps debug datetime msec
5 : service timestamps log datetime msec
6 : no service password-encryption
7 : !
8 : hostname R1
9 : !
10 : boot-start-marker
11 : boot-end-marker
12 : !
13 : logging message-counter syslog
14 : !
15 : no aaa new-model
16 : ip source-route
17 : ip cef
18 : !
19 : !
20 : !
21 : !
22 : no ip domain lookup
23 : ip domain name lab.local
24 : no ipv6 cef
25 : !
26 : multilink bundle-name authenticated
27 : parameter-map type inspect inside-to-outside
28 : audit-trail on
29 : max-incomplete low 800
30 : max-incomplete high 1000
31 : one-minute low 400
32 : one-minute high 500
33 : udp idle-time 10
34 : tcp idle-time 1800
35 : tcp max-incomplete host 50 block-time 0
36 : sessions maximum 1000
37 : parameter-map type inspect inside-to-dmz
38 : audit-trail on
39 : max-incomplete low 600
40 : max-incomplete high 800
41 : one-minute low 300
42 : one-minute high 400
43 : udp idle-time 10
44 : tcp idle-time 1800
45 : tcp max-incomplete host 30 block-time 0
46 : sessions maximum 300
47 : parameter-map type inspect outside-to-dmz
48 : audit-trail on
49 : max-incomplete low 100
50 : max-incomplete high 200
51 : one-minute low 50
52 : one-minute high 100
53 : udp idle-time 5
54 : tcp idle-time 900
55 : tcp max-incomplete host 20 block-time 1
56 : sessions maximum 150
57 : !
58 : !
59 : voice dsp waitstate 0
60 : !
61 : !
62 : !
63 : !
64 : !
65 : !
66 : !
67 : !
68 : !
69 : !
70 : !
71 : !
72 : !
73 : memory-size iomem 0
74 : archive
75 : log config
76 : hidekeys
77 : !
78 : !
79 : !
80 : !
81 : !
82 : !
83 : class-map type inspect match-any outside-to-dmz
84 : match protocol smtp
85 : match protocol ftp
86 : match protocol http
87 : match protocol https
88 : class-map type inspect match-any inside-to-outside
89 : match protocol tcp
90 : match protocol udp
91 : match protocol http
92 : match protocol https
93 : match protocol ftp
94 : match protocol smtp
95 : match protocol telnet
96 : class-map type inspect match-any inside-to-dmz
97 : match protocol ftp
98 : match protocol smtp
99 : match protocol http
100 : match protocol https
101 : match protocol telnet
102 : match access-group name outside-to-dmz
103 : !
104 : !
105 : policy-map type inspect outside-to-dmz
106 : class type inspect outside-to-dmz
107 : inspect outside-to-dmz
108 : class class-default
109 : drop
110 : policy-map type inspect inside-to-outside
111 : class type inspect inside-to-outside
112 : inspect inside-to-outside
113 : class class-default
114 : drop
115 : policy-map type inspect inside-to-dmz
116 : class type inspect inside-to-dmz
117 : inspect inside-to-dmz
118 : class class-default
119 : drop
120 : !
121 : zone security inside
122 : zone security outside
123 : zone security dmz
124 : zone-pair security inside-to-dmz source inside destination dmz
125 : service-policy type inspect inside-to-dmz
126 : zone-pair security outside-to-dmz source outside destination dmz
127 : service-policy type inspect outside-to-dmz
128 : zone-pair security inside-to-outside source inside destination outside
129 : service-policy type inspect inside-to-outside
130 : !
131 : !
132 : !
133 : !
134 : interface FastEthernet0/0
135 : ip address 192.168.80.1 255.255.255.0
136 : zone-member security inside
137 : duplex auto
138 : speed auto
139 : !
140 : interface FastEthernet0/1
141 : ip address 192.168.20.1 255.255.255.0
142 : zone-member security outside
143 : duplex auto
144 : speed auto
145 : !
146 : interface FastEthernet1/0
147 : ip address 192.168.12.1 255.255.255.0
148 : zone-member security dmz
149 : duplex auto
150 : speed auto
151 : !
152 : interface FastEthernet1/1
153 : no ip address
154 : shutdown
155 : duplex auto
156 : speed auto
157 : !
158 : ip forward-protocol nd
159 : no ip http server
160 : no ip http secure-server
161 : !
162 : !
163 : !
164 : ip access-list extended outside-to-dmz
165 : permit ip any host 192.168.12.2
166 : !
167 : logging alarm informational
168 : !
169 : !
170 : !
171 : !
172 : !
173 : !
174 : !
175 : control-plane
176 : !
177 : !
178 : !
179 : mgcp fax t38 ecm
180 : !
181 : !
182 : !
183 : !
184 : gatekeeper
185 : shutdown
186 : !
187 : !
188 : line con 0
189 : exec-timeout 0 0
190 : privilege level 15
191 : logging synchronous
192 : stopbits 1
193 : line aux 0
194 : exec-timeout 0 0
195 : privilege level 15
196 : logging synchronous
197 : stopbits 1
198 : line vty 0 4
199 : login
200 : !
201 : end
R2：
1 : !
2 : upgrade fpd auto
3 : version 12.4
4 : service timestamps debug datetime msec
5 : service timestamps log datetime msec
6 : no service password-encryption
7 : !
8 : hostname R2
9 : !
10 : boot-start-marker
11 : boot-end-marker
12 : !
13 : logging message-counter syslog
14 : !
15 : no aaa new-model
16 : ip source-route
17 : ip cef
18 : !
19 : !
20 : !
21 : !
22 : no ip domain lookup
23 : ip domain name lab.local
24 : no ipv6 cef
25 : !
26 : multilink bundle-name authenticated
27 : !
28 : !
29 : voice dsp waitstate 0
30 : !
31 : !
32 : !
33 : !
34 : !
35 : !
36 : !
37 : !
38 : !
39 : !
40 : !
41 : !
42 : !
43 : memory-size iomem 0
44 : username root privilege 15 password 0 root
45 : archive
46 : log config
47 : hidekeys
48 : !
49 : !
50 : !
51 : !
52 : !
53 : !
54 : !
55 : !
56 : !
57 : interface FastEthernet0/0
58 : no ip address
59 : duplex half
60 : !
61 : interface FastEthernet1/0
62 : ip address 192.168.12.2 255.255.255.0
63 : duplex auto
64 : speed auto
65 : !
66 : interface FastEthernet1/1
67 : no ip address
68 : shutdown
69 : duplex auto
70 : speed auto
71 : !
72 : ip forward-protocol nd
73 : ip route 0.0.0.0 0.0.0.0 192.168.12.1
74 : ip http server
75 : ip http authentication local
76 : no ip http secure-server
77 : !
78 : !
79 : !
80 : logging alarm informational
81 : !
82 : !
83 : !
84 : !
85 : !
86 : !
87 : !
88 : control-plane
89 : !
90 : !
91 : !
92 : mgcp fax t38 ecm
93 : !
94 : !
95 : !
96 : !
97 : gatekeeper
98 : shutdown
99 : !
100 : !
101 : line con 0
102 : exec-timeout 0 0
103 : privilege level 15
104 : logging synchronous
105 : stopbits 1
106 : line aux 0
107 : exec-timeout 0 0
108 : privilege level 15
109 : logging synchronous
110 : stopbits 1
111 : line vty 0 4
112 : login local
113 : line vty 5 1869
114 : login local
115 : !
116 : end