【自学网络安全】：安全策略与用户认证综合实验

实验拓扑图：

在这里插入图片描述
实验任务：
1、DMZ区内的服务器，办公区仅能在办公时间内(9:00-18:00)可以访问，生产区的设备全天可以访问
2、生产区不允许访问互联网，办公区和游客区允许访问互联网
3、办公区设备10.0.2.10不允许访问Dmz区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10
4、办公区分为市场部和研发部，研发部IP地址固定，访问dmz区使用匿名认证，市场部需要用户绑定IP地址，访问dmz区使用免认证;
游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅有访问公司门户网站和上网的权限，
门户网站地址10.0.3.10
5、生产区访问dmz区时，需要进行protal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，
用户同一密码openlab123,首次登录需要修改密码，用户过期时间设定为19天，用户不允许多人使用
6、创建一个自定义管理员，要求不能拥有系统管理的功能

实验步骤如下：

一、DMZ区内的服务器，办公区仅能在办公时间内(9:00-18:00)可以访问，生产区的设备全天可以访问

1、搭建拓扑图
2、在Windows系统添加一个环回网卡，步骤如下：
1）右键单机开始，选择设备管理器
在这里插入图片描述
2）找到网络适配器，点击左上角操作，点击添加过时硬件

3）连续点击下一步，直到有下图画面，找到网络适配器，点击下一步

4）点击Microsoft，再点击Microsoft KM-TEST 环回适配器，最后点击下一步及完成添加网卡。
在这里插入图片描述
3、给网卡配置一个不会使用的IP地址，如：192.168.100.2；在云上添加网卡和UDP，勾上双向通道，添加即可。
4、登录防火墙FW3，默认账号admin，密码Admin@123；修改密码，进去之后去进入G0/0/0接口，输入如下命令，即配置G0/0/0接口的IP为192.168.100.1，使其IP与网卡是一个网段上，并打开所有服务管理。

[USG6000V1-GigabitEthernet0/0/0]service-manage all permit

5、打开自带浏览器，url栏输入192.168.100.1:8443回车，无视风险进入虚拟华为防火墙登录界面，输入之前设置的账号密码登录进去，即如下图：
在这里插入图片描述
6、LSW6操作，对办公区和生产区进行vlan划分，办公区是vlan10，生产区是vlan20，将G0/0/1设置为trunk模式，允许vlan10和vlan20通过，取消vlan1通过。
7、在FW3web界面管理，在G0/0/3接口创建两个子接口，并将其他端口配置设置为如下配置：

在这里插入图片描述
以办公区子接口为例：

8、添加安全策略，使DMZ区内的服务器，办公区仅能在办公时间内(9:00-18:00)可以访问，生产区的设备全天可以访问，细节配置如下图：

9、双击server1
1）开启httpServer
双击Client2或1，访问dmz区的http服务，访问成功即完成第一个任务。
在这里插入图片描述

当两条安全策略都能匹配到流量时，证明安全策略没有问题。
二、生产区不允许访问互联网，办公区和游客区允许访问互联网
1、创建安全策略，配置如下：

创建NAT区，将G0/0/1和G0/0/2接口分入次区。
在这里插入图片描述
2、将办公区和游客区禁止访问NAT区域。

三、办公区设备10.0.1.20不允许访问Dmz区的FTP服务器和HTTP服务器，仅能ping通10.0.3.10
1、先创建一个安全策略，使10.0.1.20不允许DMZ区的相关服务
在这里插入图片描述
2、再创建一个安全策略，使10.0.1.20只能ping通10.0.3.10，再将该安全策略置顶，使其最先匹配。

3、结果展示：
1）10.0.1.20能ping通10.0.3.10

2）10.0.1.20不能访问10.0.3.10的http服务

3）安全策略成功匹配到流量。
在这里插入图片描述

四、办公区分为市场部和研发部，研发部IP地址固定，访问dmz区使用匿名认证，市场部需要用户绑定IP地址，访问dmz区使用免认证;游客区人员不固定，不允许访问DMZ区和生产区，统一使用Guest用户登录，密码Admin@123，游客仅有访问公司门户网站和上网的权限，门户网站地址10.0.3.10
1、创建认证域，bg，在bg认证域中建立市场部和研发部
在这里插入图片描述
2、做认证策略，使研发部10.0.1.20使用匿名认证登录DMZ区；使市场部10.0.1.10使用免认证登录DMZ区；

3、创建YK认证域，建立Guest用户，密码为Admin@123，允许多人同时登陆

4、写安全策略，使游客区不允许访问DMZ区和生产区
在这里插入图片描述
5、创建安全策略，使游客区允许访问外网NAT区

6、创建安全策略，使游客允许访问10.0.3.10的http服务，将次策略移动到YK to DMZ NAT策略之前。

7、检测结果，在游客区添加一个client，访问10.0.3.10的httpserver，结果如下：

在这里插入图片描述
8、查看安全策略，发现策略被成功匹配，如下：

五、生产区访问dmz区时，需要进行protal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户同一密码openlab123,首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用
1、找到认证域，创建sctodmz认证域
在这里插入图片描述
2、点击sctodmz创建用户组，分别创建维护组、研发组、检测组

3、新建批量用户，用户名间以英文逗号隔开，密码为openlab123，有效时间为19号为止，允许多人登录取消，分别每个部门创建3个用户。

4、找到认证策略，勾选首次登录必须修改密码。
在这里插入图片描述
5、所有用户建立完成截图：