一、实验拓扑

 二、实验需求

 1、需求一

 2、需求二

 3、需求三

4、需求四

防火墙地址组信息

5、需求五

6、需求六

7、需求七

三、实验配置

1、配置valn

[SW2]vlan 10 

[SW2]vlan 20 

[SW2]interface g0/0/2
[SW2-GigabitEthernet0/0/2]port link-type access
[SW2-GigabitEthernet0/0/2]port default vlan 10
[SW2]interface g0/0/3
[SW2-GigabitEthernet0/0/3]port link-type access
[SW2-GigabitEthernet0/0/3]port default vlan 20

[SW2]interface g0/0/1
[SW2-GigabitEthernet0/0/1]   port link-type trunk
[SW2-GigabitEthernet0/0/1]  port trunk allow-pass vlan 10 20

配置ip：

FW设备：

2、配置DHCP

注意：Client1需要dhcp获取到172.16.1.90/24的ip地址，这要使用到ip-MAC绑定。

在FW设备上：

[FW1]dhcp enable           #开启dhcp服务

[FW1]interface GigabitEthernet 1/0/1.1
[FW1-GigabitEthernet1/0/1.1]dhcp select interface           #开启dhcp接口模式
[FW1-GigabitEthernet1/0/1.1]dhcp server ip-range 172.16.1.1 172.16.1.254       #可分配地址范围
[FW1-GigabitEthernet1/0/1.1]dhcp server gateway-list 172.16.1.254              #配置网关
[FW1-GigabitEthernet1/0/1.1]dhcp server static-bind ip-address 172.16.1.90 mac-address 5489-9833-7586             #配置IP-MAC绑定

[FW1-GigabitEthernet1/0/1.1]dhcp server dns-list 10.0.0.30         #配置dns

[FW1]interface GigabitEthernet 1/0/1.2
[FW1-GigabitEthernet1/0/1.2]dhcp select interface  
[FW1-GigabitEthernet1/0/1.2]dhcp server ip-range 172.16.2.1 172.16.2.254  
[FW1-GigabitEthernet1/0/1.2]dhcp server gateway-list 172.16.2.254
[FW1-GigabitEthernet1/0/1.2]dhcp server dns-list 10.0.0.30

web界面DHCP设置：

 查看设备经DHCP分配后的IP地址：

 3、防火墙安全区域配置

 4、防火墙地址组信息

 

5、配置管理员

添加管理角色 

添加管理员

 先开启GE1/0/1.1接口的Telnet服务

 然后开启fw的Telnet服务（只能在命令行开启）：

[FW1]telnet server enable 

[FW1]user-interface vty 0 4
[FW1-ui-vty0-4]protocol inbound telnet 

测试（因为ensp模拟器中Local 区域是默认放行的所以可以直接进行测试）：

给sw2配置仅用于测试的管理员ip

[SW2]interface Vlanif 10

[SW2-Vlanif10]ip address 172.16.1.10 24

最后SW2尝试telnet登录FW：

 输入我们刚才创建用户名和密码，可以看到成功登录；

 6、用户认证配置

认证域：

用户建立：

用户创建完成:

 配置认证策略：

高级管理者认证策略

 运维部认证策略

 技术部认证策略

 财务部认证策略

 市场部认证策略

 认证策略配置完成

 进行测试：（测试前可以先将安全策略改为允许，这样方便测试）

所有策略都命中

7、安全策略配置

 

 

 

 

 

 

 

 

 

 所以的安全策略均配置完成