防御实验：(部分）

步骤一：了解前提：

1.1 题目要求：

需求一：DMZ区存在两台服务器，现在要求生产区的设备仅能在办公时间（9：00 - 18：00）访问，办公区的设备全天都可以访问。

需求二：办公区可以全天访问dmz区

1.2 拓扑搭建，IP地址规划。

步骤二：二层配置

2.1 配置IP地址

首先配置生产区（vlan2）内的设备，例如：PC2

配置办公区（vlan3）内的设备：例如:Clienr2

配置DMZ区内地地址：例如：Server2

2.2 valn配置

<Huawei>sys
[Huawei]vlan batch 2 3
[Huawei]int g 0/0/2
[Huawei-GigabitEthernet0/0/2]port link-type access # 定义接口类型

[Huawei-GigabitEthernet0/0/2]port default vlan 2 # 定义所属valn

[Huawei]int g 0/0/3
[Huawei-GigabitEthernet0/0/3]port link-type access
[Huawei-GigabitEthernet0/0/3]port default vlan 3

[Huawei-GigabitEthernet0/0/3]int g 0/0/1
[Huawei-GigabitEthernet0/0/1]port link-type trunk
[Huawei-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 3 # 放通vlan 2 3 内的流量

[Huawei-GigabitEthernet0/0/1]undo port trunk allow-pass vlan 1 # 出于对网络安全的考虑，拒绝vlan1内的流量通过

步骤三：三层的配置（防火墙配置）

3.1 IP地址配置

Username:admin
Password: # 密码为Admin@123
The password needs to be changed. Change now? [Y/N]: y
Please enter old password:
Please enter new password: # 修改新密码为Admin@321
Please confirm new password:

Info: Your password has been changed. Save the change to survive a reboot.
*************************************************************************
* Copyright (C) 2014-2018 Huawei Technologies Co., Ltd. *
* All rights reserved. *
* Without the owner's prior written consent, *
* no decompiling or reverse-engineering shall be allowed. *
*************************************************************************
<USG6000V1>sys

[USG6000V1]int g 0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip add 192.168.100.1 24 # 修改IP地址

[USG6000V1-GigabitEthernet0/0/0] service-manage all permit # 开启服务