一、实验目的
- 理解防火墙的安全域划分与安全策略原理
- 掌握防火墙NAT配置与访问控制规则
- 验证Trust/Untrust区域间的访问控制
- 理解防火墙在企业网络中的安全边界作用
二、拓扑说明
防火墙FW（USG6000）在最左侧，外网接口GE1/0/1连接公网200.1.1.0/30，内网接口GE1/0/2连接路由器R1。R1下接交换机SW1，SW1下接服务器、PC、MateBook、MatePad。
| 设备 | 接口 | IP地址 | 安全域 |
|---|---|---|---|
| FW（防火墙） | GE1/0/1 | 200.1.1.1/30 | Untrust |
| FW | GE1/0/2 | 10.0.0.1/30 | Trust |
| R1（路由器） | GE0/0/1 | 10.0.0.2/30 | — |
| R1 | GE0/0/2 | 192.168.1.1/24 | — |
| Server | GE0/0/1 | 192.168.1.100/24 | Trust |
| PC/MateBook/MatePad | eth0 | 192.168.1.10-30/24 | Trust |
静态路由：R1配置 ip route-static 200.1.1.0 30 10.0.0.1，指向防火墙内网接口。
三、配置步骤
- FW配置外网接口加入Untrust域:
firewall zone untrust→add interface GigabitEthernet1/0/1 - FW配置内网接口加入Trust域:
firewall zone trust→add interface GigabitEthernet1/0/2 - FW配置接口IP: GE1/0/1 → 200.1.1.1/30，GE1/0/2 → 10.0.0.1/30
- FW配置安全策略放行Trust→Untrust:
security-policy→rule name allow_out→source-zone trust→destination-zone untrust→action permit - FW配置NAT:
nat-policy→rule name nat_out→source-zone trust→destination-zone untrust→action source-nat easy-ip - R1配置接口IP和静态路由指向防火墙
- 终端配置IP和网关192.168.1.1
四、验证方法
- PC ping 服务器:
ping 192.168.1.100→ 通（同Trust域） - PC ping 防火墙内网:
ping 10.0.0.1→ 通 - PC访问服务器HTTP:
curl http://192.168.1.100→ 通 - 查看安全策略:
display security-policy rule all - 查看会话表:
display session table，应看到NAT转换记录 - 查看NAT策略:
display nat-policy rule all
五、思考题
- 防火墙的安全域划分有什么意义？Trust和Untrust的区别？
- 如果安全策略不放行Trust→Untrust，内网能访问外网吗？
- NAT与安全策略的执行顺序是什么？先NAT还是先策略匹配？
- 防火墙相比路由器，在网络安全方面有什么优势？