防火墙和交换机直连(防火墙连接交换机)

[db:作者]

第2层交换机简介:
第二层交换机是指只能执行第二层转发，而不能执行第三层转发的交换机。也就是说只支持第二层功能，不支持路由等第三层功能的交换机。
通常，第2层交换机部署在接入层，不能用作用户的网关。
网络要求:
如下图所示，PC1和PC2位于不同的网段，各个部门都有接入互联网的需求。现在要求用户通过二层交换机和防火墙访问外部网络，要求防火墙作为用户的网关。
配置思路:
1.配置交换机根据接口划分VLAN，实现二层转发。
2.将防火墙配置为用户的网关，通过子接口或VLANIF接口实现跨网段的三层转发。
3.将防火墙配置为DHCP服务器，并将IP地址分配给用户PC。
4.打开防火墙域间安全策略，以便来自不同域的消息可以相互转发。
5.配置防火墙PAT功能，以便内部网用户可以访问外部网络。
操作步骤:
步骤1:配置交换机。
VLAN划分和上下行接口配置
系统
[华为]vlan批次2 3
【华为】接口千兆以太网0/0/2
[华为千兆以太网0/0/2]端口链路式接入
[华为千兆以太网0/0/2]端口默认vlan 2
[华为-千兆以太网0/0/2]退出
【华为】接口千兆以太网0/0/3
[华为千兆以太网0/0/3]端口链路式接入
[华为千兆以太网0/0/3]端口默认vlan 3
[华为-千兆以太网0/0/3]退出
【华为】接口千兆以太网0/0/1
[华为千兆以太网0/0/1]端口链路式中继
[华为千兆以太网0/0/1]端口中继允许通过vlan 2 3
[华为-千兆以太网0/0/1]退出
[华为]退出
救援
步骤2:配置防火墙
配置防火墙有两种方法，一种是配置子接口，另一种是配置VLANIF接口。
配置防火墙通过子接口端接VLAN，实现跨网段的三层转发。
系统
[usg 6000v 1]接口千兆以太网1/0/1.1
[usg 6000v 1-千兆以太网1/0/1.1]vlan类型dot1q 2
[usg 6000v 1-千兆以太网1/0/1.1]ip地址192.168.2.1 24
[usg 6000v 1-千兆以太网1/0/1.1]退出
[usg 6000v 1]接口千兆以太网1/0/1.2
[usg 6000v 1-千兆以太网1/0/1.2]vlan类型dot1q 3
[usg 6000v 1-千兆以太网1/0/1.2]ip地址192.168.3.1 24
[usg 6000v 1-千兆以太网1/0/1.2]退出
[USG6000V1]dhcp启用
[usg 6000v 1]接口千兆以太网1/0/1.1
[usg 6000v 1-gigabit Ethernet 1/0/1.1]DHCP选择接口
[usg 6000v 1-千兆以太网1/0/1.1]dhcp服务器DNS-列表114.114.114.114 223.5.5.5
[usg 6000v 1-千兆以太网1/0/1.1]退出
[usg 6000v 1]接口千兆以太网1/0/1.2
[usg 6000v 1-gigabit Ethernet 1/0/1.2]DHCP选择接口
[usg 6000v 1-千兆以太网1/0/1.2]dhcp服务器DNS-列表114.114.114.114 223.5.5.5
[usg 6000v 1-千兆以太网1/0/1.2]退出
[usg 6000v 1]接口千兆以太网1/0/2
[usg 6000v 1-千兆以太网1/0/2]ip地址200.0.0.2 24
[usg 6000v 1-千兆以太网1/0/2]退出
[USG6000V1]ip路由-静态0 . 0 . 0 . 0 0 . 0 200.0.0.1
[usg 6000v 1]防火墙区域信任
[usg 6000v 1-zone-trust]添加接口GigabitEthernet 1/0/1
[usg 6000v 1-zone-trust]添加接口GigabitEthernet 1/0/1.1
[usg 6000v 1-zone-trust]添加接口GigabitEthernet 1/0/1.2
[usg 6000v 1-zone-trust]退出
[usg 6000v 1]防火墙区域不可信
[usg 6000v 1-zone-untrust]添加接口GigabitEthernet 1/0/2
[usg 6000v 1-zone-untrust]退出
[usg 6000v 1]安全策略
[usg 6000v 1-策略-安全]规则名称策略1
[usg 6000v 1-策略-安全-规则-策略1]目标区域不可信
[usg 6000v 1-策略-安全-规则-策略1]源地址192.168.0.0掩码255.255.0.0
[usg 6000v 1-政策-安全-规则-政策1]行动许可
[usg 6000v 1-策略-安全-规则-策略1]退出
[usg 6000v 1-策略-安全]退出
[USG6000V1]nat地址-组地址组1
[usg 6000v 1-地址组-地址组1]模式pat
[usg 6000v 1-address-group-address group 1]路由启用
第0节200.0.0.2 200.0.0.2
[usg 6000v 1-address-group-address group 1]退出
[USG6000V1] nat策略
[USG6000V1-policy-nat]规则名称policy_nat1
[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]源区域信任
[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]目标区域不可信
[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]源地址192.168.0.0掩码255.255.0.0
[usg 6000v 1-policy-nat-rule-policy _ NAT 1]操作源-NAT地址-组地址组1
[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]退出
[usg 6000v 1-策略-NAT]退出
[usg 6000v 1]退出
步骤3:配置路由器。
系统
sysname互联网
[Internet]接口千兆以太网0/0/1
[互联网]ip地址200.0.0.1 255 . 255 . 255 . 0
[互联网]退出