一、实验目的
- 理解完整企业网络架构：外网→防火墙→路由器→交换机→终端
- 综合运用防火墙NAT+安全策略、静态路由、DHCP等配置
- 验证内网终端访问外网与内网服务器的端到端连通性
- 掌握企业级网络故障排查思路与验证方法
二、拓扑说明
Internet云在最上方，防火墙FW+路由器R1+交换机SW1在中间层，服务器在右侧，PC+MateBook+MatePad在底部。流量路径：终端→SW1→R1→FW→Internet。
| 设备 | 接口 | IP地址 | 说明 |
|---|---|---|---|
| Internet云 | GE0/0/1 | 公网 | ISP接入 |
| FW（防火墙） | GE1/0/1 | 200.1.1.1/30 | Untrust外网 |
| FW | GE1/0/2 | 10.0.0.1/30 | Trust内网 |
| R1（路由器） | GE0/0/1 | 10.0.0.2/30 | 连接防火墙 |
| R1 | GE0/0/2 | 192.168.1.1/24 | 内网网关 |
| SW1（交换机） | GE0/0/1-5 | — | 接入层 |
| Server | GE0/0/1 | 192.168.1.100/24 | HTTP服务 |
| PC/MateBook/MatePad | eth0 | 192.168.1.10-30/24 | 网关: 192.168.1.1 |
静态路由：R1配置 ip route-static 200.1.1.0 30 10.0.0.1，指向防火墙内网接口。
三、配置步骤
- FW配置安全域：GE1/0/1→Untrust，GE1/0/2→Trust
- FW配置接口IP：GE1/0/1 → 200.1.1.1/30，GE1/0/2 → 10.0.0.1/30
- FW配置安全策略放行Trust→Untrust
- FW配置NAT（easy-ip方式）
- R1配置接口IP：GE0/0/1 → 10.0.0.2/30，GE0/0/2 → 192.168.1.1/24
- R1添加静态路由:
ip route-static 200.1.1.0 30 10.0.0.1 - 交换机SW1启动，连接R1、服务器、PC、MateBook、MatePad
- 服务器配置静态IP 192.168.1.100，启用HTTP服务
- 终端配置IP和网关192.168.1.1
四、验证方法
- PC ping 服务器:
ping 192.168.1.100→ 通 - PC ping 网关:
ping 192.168.1.1→ 通 - PC ping 防火墙内网:
ping 10.0.0.1→ 通 - PC ping 防火墙外网:
ping 200.1.1.1→ 通（经NAT） - PC访问服务器HTTP:
curl http://192.168.1.100→ 通 - 查看防火墙会话表:
display session table - 查看路由表:
display ip routing-table - tracert追踪:
tracert 200.1.1.1，路径应为PC→SW1→R1→FW
五、思考题
- 防火墙在此拓扑中的安全作用是什么？如果移除防火墙会怎样？
- NAT的作用是什么？如果没有NAT，内网能访问外网吗？
- 如果防火墙安全策略不放行，会发生什么？
- 服务器为什么要放在交换机上而不是直接接路由器？
- 完整描述一个HTTP请求从PC到Server的完整路径（经过哪些设备）