尧图企业网站定制 尧图 YAOTU WEB
咨询热线 400-888-6688 立即定制
资讯动态

双机热备挂组网实验

发布时间：2026/8/12 15:07:08 来源：尧图企业网站定制
微
一、实验简介本实验模拟企业网络的双防火墙架构通过 USG5500 防火墙实现Trust内网、DMZ隔离区、Untrust外网三个安全区域的隔离与策略控制配合 OSPF 动态路由协议实现全网互通并通过 NAT 实现内网访问外网。核心目标掌握防火墙安全区域的划分与接口绑定掌握防火墙安全策略的配置基于区域地址服务的精细化控制掌握 OSPF 多区域路由的配置掌握 Easy IP NAT 及 NAT Server端口映射的配置理解双防火墙架构下的路由设计与策略协同二、实验拓扑Internet (100.1.1.0/24) │ Outer PC (.1) │ ┌──────────┴──────────┐ │ R1 │ │ (AR2220) │ │ GE0/0/2: .254 │ └─────┬────────┬──────┘ GE0/0/0 | | GE0/0/1 202.1.1.1/30 | | 202.1.2.1/30 | | ┌─────────┴──┐ ┌──┴─────────┐ │ FW1 │ │ FW2 │ │ (USG5500) │ │ (USG5500) │ │ .2 │ │ .2 │ └─┬───┬───┬──┘ └──┬───┬───┬──┘ Trust-1 │ │DMZ│ Trust-2│ │DMZ│ 10.1.1.0 │ │ │ 10.1.3.0│ │ │ │ │ │ │ │ │ ┌──────┴┐ ┌┴───┴───┐ ┌───┴──┐│┌──┴───┐ │ LSW1 │ │Web FTP│ │ LSW3 │││ FTP │ │ S5700 │ │.10 .20│ │ S5700│││ .20 │ └───┬───┘ └───────┘ └───┬──┘│└──────┘ │ DMZ │ │ ┌───┴───┐ 10.1.2.0/24 ┌┴──┴───┐ │ LSW2 │ │ LSW4 │ │ S3700 │ │ S3700 │ └─┬──┬──┘ └─┬──┬──┘ │ │ │ │ OA PC1 PC2 PC3 PC4 .10 .101 .102 .101 .102三、实验规划3.1 设备清单设备型号数量角色R1AR22201ISP 边界路由器FW1USG55001主防火墙Trust-1 DMZFW2USG55001辅防火墙Trust-2 DMZLSW1S57001Trust-1 核心交换机LSW2S37001Trust-1 接入交换机LSW3S57001Trust-2 核心交换机LSW4S37001Trust-2 接入交换机Web ServerServer1DMZ Web 服务器FTP ServerServer1DMZ FTP 服务器OA ServerServer1内网 OA 服务器PC1~PC4PC4内网终端Outer PCPC1外网测试终端合计153.2 IP 地址规划设备接口IP 地址掩码所属区域R1GE0/0/0202.1.1.1/30→ FW1R1GE0/0/1202.1.2.1/30→ FW2R1GE0/0/2100.1.1.254/24UntrustFW1GE1/0/0202.1.1.2/30UntrustFW1GE1/0/110.1.1.254/24Trust-1FW1GE1/0/210.1.2.254/24DMZFW2GE1/0/0202.1.2.2/30UntrustFW2GE1/0/110.1.3.254/24Trust-2FW2GE1/0/210.1.2.253/24DMZWeb ServerEth10.1.2.10/24DMZFTP ServerEth10.1.2.20/24DMZOA ServerEth10.1.1.10/24Trust-1PC1Eth10.1.1.101/24Trust-1PC2Eth10.1.1.102/24Trust-1PC3Eth10.1.3.101/24Trust-2PC4Eth10.1.3.102/24Trust-2Outer PCEth100.1.1.1/24Untrust3.3 安全策略规划优先级策略名源区域目的区域源地址目的地址服务动作1Trust-to-DMZtrustdmzTrust段DMZ段anyPermit2Trust-to-UntrusttrustuntrustTrust段anyanyPermit3DMZ-to-UntrustdmzuntrustDMZ段anyanyPermit4Untrust-to-DMZ-WebuntrustdmzanyWeb ServerTCP/80Permit5Untrust-to-DMZ-FTPuntrustdmzanyFTP ServerTCP/21Permit—defaultanyanyanyanyanyDeny3.4 OSPF 规划OSPF 进程1区域Area 0骨干区域Router IDR11.1.1.1 | FW12.2.2.2 | FW23.3.3.3发布网段所有内网互联及业务网段3.5 NAT 规划NAT 类型Easy IPPAT端口地址转换ACL 2000允许 10.1.1.0/24、10.1.2.0/24、10.1.3.0/24NAT ServerWeb(80→8080)、FTP(21→2121)四、配置方法搭建拓扑→ 在 eNSP 中拖入设备按拓扑图连线启动设备→ 全部启动等待设备初始化完成配置接口 IP→ 按规划表为所有设备接口配置 IP防火墙安全区域→ 将接口加入对应安全区域OSPF 路由→ R1/FW1/FW2 配置 OSPF发布网段安全策略→ FW1/FW2 配置区域间访问策略NAT 配置→ R1 配置 Easy IP NAT ServerPC/Server IP→ 终端设备配置 IP 和网关连通性测试→ ping 测试全网互通截图验证→ 按要求截取关键命令输出五、详细配置5.1 R1 路由器system-view sysname R1 ​ # 接口 IP 配置 interface GigabitEthernet0/0/0 ip address 202.1.1.1 255.255.255.252 description TO-FW1 undo shutdown ​ interface GigabitEthernet0/0/1 ip address 202.1.2.1 255.255.255.252 description TO-FW2 undo shutdown ​ interface GigabitEthernet0/0/2 ip address 100.1.1.254 255.255.255.0 description TO-OUTER undo shutdown ​ # OSPF 路由配置 ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 202.1.1.0 0.0.0.3 network 202.1.2.0 0.0.0.3 ​ # Easy IP NAT acl number 2000 rule 5 permit source 10.1.1.0 0.0.0.255 rule 10 permit source 10.1.2.0 0.0.0.255 rule 15 permit source 10.1.3.0 0.0.0.255 ​ interface GigabitEthernet0/0/2 nat outbound 2000 ​ # NAT Server端口映射 interface GigabitEthernet0/0/2 nat server protocol tcp global 100.1.1.254 8080 inside 10.1.2.10 80 nat server protocol tcp global 100.1.1.254 2121 inside 10.1.2.20 21 ​ return save5.2 FW1 防火墙system-view sysname FW1 ​ # 接口 IP interface GigabitEthernet1/0/0 ip address 202.1.1.2 255.255.255.252 description TO-R1-UNTRUST ​ interface GigabitEthernet1/0/1 ip address 10.1.1.254 255.255.255.0 description TO-TRUST-1 ​ interface GigabitEthernet1/0/2 ip address 10.1.2.254 255.255.255.0 description TO-DMZ ​ # 安全区域 firewall zone trust add interface GigabitEthernet1/0/1 ​ firewall zone untrust add interface GigabitEthernet1/0/0 ​ firewall zone dmz add interface GigabitEthernet1/0/2 ​ # OSPF ospf 1 router-id 2.2.2.2 area 0.0.0.0 network 202.1.1.0 0.0.0.3 network 10.1.1.0 0.0.0.255 network 10.1.2.0 0.0.0.255 ​ # 安全策略 security-policy rule name Trust-to-DMZ source-zone trust destination-zone dmz source-address 10.1.1.0 24 destination-address 10.1.2.0 24 action permit ​ rule name Trust-to-Untrust source-zone trust destination-zone untrust source-address 10.1.1.0 24 action permit ​ rule name DMZ-to-Untrust source-zone dmz destination-zone untrust source-address 10.1.2.0 24 action permit ​ rule name Untrust-to-DMZ-Web source-zone untrust destination-zone dmz destination-address 10.1.2.10 32 service protocol tcp destination-port 80 action permit ​ rule name Untrust-to-DMZ-FTP source-zone untrust destination-zone dmz destination-address 10.1.2.20 32 service protocol tcp destination-port 21 action permit ​ return save5.3 FW2 防火墙system-view sysname FW2 ​ # 接口 IP interface GigabitEthernet1/0/0 ip address 202.1.2.2 255.255.255.252 description TO-R1-UNTRUST ​ interface GigabitEthernet1/0/1 ip address 10.1.3.254 255.255.255.0 description TO-TRUST-2 ​ interface GigabitEthernet1/0/2 ip address 10.1.2.253 255.255.255.0 description TO-DMZ ​ # 安全区域 firewall zone trust add interface GigabitEthernet1/0/1 ​ firewall zone untrust add interface GigabitEthernet1/0/0 ​ firewall zone dmz add interface GigabitEthernet1/0/2 ​ # OSPF ospf 1 router-id 3.3.3.3 area 0.0.0.0 network 202.1.2.0 0.0.0.3 network 10.1.3.0 0.0.0.255 network 10.1.2.0 0.0.0.255 ​ # 安全策略 security-policy rule name Trust-to-DMZ source-zone trust destination-zone dmz source-address 10.1.3.0 24 destination-address 10.1.2.0 24 action permit ​ rule name Trust-to-Untrust source-zone trust destination-zone untrust source-address 10.1.3.0 24 action permit ​ rule name DMZ-to-Untrust source-zone dmz destination-zone untrust source-address 10.1.2.0 24 action permit ​ return save5.4 交换机LSW1~LSW4# LSW1 LSW3 (S5700 核心层) — Trunk 模式透传 system-view sysname LSW1 # LSW3 同理 vlan batch 10 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 1 10 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 1 10 return save ​ # LSW2 LSW4 (S3700 接入层) — 接入端口 Access system-view sysname LSW2 # LSW4 同理 vlan batch 10 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 1 10 interface Ethernet0/0/1 port link-type access port default vlan 1 interface Ethernet0/0/2 port link-type access port default vlan 1 return save5.5 PC 和 Server按 IP 地址规划表逐台配置即可注意网关指向各自防火墙的 Trust 接口 IP。六、验证测试6.1 接口 IP 验证R1 display ip interface brief FW1 display ip interface brief FW2 display ip interface brief预期结果所有接口 UPIP 地址正确。6.2 OSPF 邻居与路由验证R1 display ospf peer # 应看到 FW1、FW2 R1 display ip routing-table # 应有到 10.1.1/2/3.0 的 OSPF 路由 FW1 display ospf peer # 应看到 R1、FW2 FW2 display ospf peer # 应看到 R1、FW1预期结果OSPF 邻居 Full 状态路由表包含全网路由。6.3 连通性测试测试源测试目的预期PC1 (10.1.1.101)Web Server (10.1.2.10)通PC1Outer PC (100.1.1.1)通NATPC3 (10.1.3.101)FTP Server (10.1.2.20)通Outer PCWeb Server (100.1.1.254:8080)通NAT映射6.4 NAT 会话验证R1 display nat session all预期结果可看到源为内网 IP 的 NAT 转换条目。6.5 防火墙会话验证FW1 display firewall session table预期结果可看到 Trust→DMZ、Trust→Untrust 的会话记录。
返回资讯列表 →
RELATED · 相关阅读

延伸阅读

QQ空间记忆抢救计划：GetQzonehistory让你的青春不再消失
2026/8/12 15:07:08

QQ空间记忆抢救计划：GetQzonehistory让你的青春不再消失
Agent系统为了降低Token消耗，如何设计上下文压缩与摘要的触发频率
2026/8/12 15:06:48

Agent系统为了降低Token消耗，如何设计上下文压缩与摘要的触发频率
图论算法实战：深度优先搜索与拓扑排序在回路检测中的应用
2026/8/12 15:06:48

图论算法实战：深度优先搜索与拓扑排序在回路检测中的应用
从LLM到智能体：Function Calling实战指南与Agent构建入门
2026/8/12 16:09:08

从LLM到智能体：Function Calling实战指南与Agent构建入门

1. 项目概述：为什么我们需要 Agent？最近和不少刚接触大模型应用开发的朋友聊天，发现一个挺普遍的现象：大家一上来就直奔“Agent”这个听起来很酷炫的概念，但聊深了才发现，很多人其实没太搞清楚 LLM&#xf…
AI内容检测与优化工具技术解析与应用指南
2026/8/12 16:09:08

AI内容检测与优化工具技术解析与应用指南

1. 项目概述：AI内容检测与优化工具全景解析在内容创作领域，AI生成内容（AIGC）的爆发式增长带来了新的挑战——如何平衡创作效率与内容原创性。根据最新行业调研，超过67%的机构在内容审核环节遭遇AI生成内容识别难题&…
从Claude迁移到Proton Lumo：构建自主可控的本地化AI编程助手
2026/8/12 16:09:08

从Claude迁移到Proton Lumo：构建自主可控的本地化AI编程助手

如果你正在使用 Claude 作为你的 AI 编程助手，最近可能遇到了一个棘手的局面：新用户注册困难，或者组织订阅受限。当屏幕上出现“Unfortunately, Claude is not available to new users right now”或“your organization has disabled Claude…
构建LLM应用主循环：从while True到完整生命周期管理
2026/8/12 16:08:48

构建LLM应用主循环：从while True到完整生命周期管理

1. 项目概述：从“无限循环”到“智能心脏”在任何一个需要持续运行、处理异步事件或管理复杂状态的应用里，你总能找到一个核心的“主循环”。它可能被简单地写成while(true)，也可能被封装在像runLoop这样的高级抽象里。这个循环，就…
Windows 10系统服务优化指南：从原理到实践，提升性能与安全性
2026/8/12 16:08:27

Windows 10系统服务优化指南：从原理到实践，提升性能与安全性

1. 项目概述：为什么你的Windows 10需要“瘦身”与“调校” 如果你感觉自己的Windows 10电脑越用越慢，开机像“拖拉机启动”，后台总有不明所以的进程在占用资源，那么你很可能需要一次系统级的“服务优化”。这不仅仅是关闭几个服务…
CTF_Day2
2026/8/12 16:08:07

CTF_Day2

[极客大挑战 2019]EasySQL这道题是非常基础的sql注入进去之后就是一个登录界面，输入万能钥匙就能实现查到flag1 or 11 # //用户名 1 //密码随意[极客大挑战 2019]LoveSQL这个也是sql注入的一种是命令执行注入用万能钥匙注入后确实可以实现绕过，说明存在注…
如何快速生成中国车牌图片：Python开源工具完整指南
2026/8/11 11:35:25

如何快速生成中国车牌图片：Python开源工具完整指南

如何快速生成中国车牌图片：Python开源工具完整指南 【免费下载链接】chinese_license_plate_generator 中国车牌生成器 项目地址: https://gitcode.com/gh_mirrors/ch/chinese_license_plate_generator 中国车牌生成器是一个基于Python的开源项目&#xff0c…
用transformers库3行代码调用全球最新大模型，不再依赖ChatGPT网页版
2026/8/11 11:35:30

用transformers库3行代码调用全球最新大模型，不再依赖ChatGPT网页版

用transformers库3行代码调用全球最新大模型，不再依赖ChatGPT网页版 过去，想体验全球最新的大语言模型，往往需要等待第三方平台接入，或者守着ChatGPT网页版排队。但现在，借助Hugging Face的transformers库和Hugging F…
Anolis OS A8下LaTeX编译缺失imakeidx的解决方案
2026/8/11 22:47:14

Anolis OS A8下LaTeX编译缺失imakeidx的解决方案

1. 问题背景：Anolis OS A8环境下LaTeX编译缺失imakeidx支持最近在Anolis OS A8（基于龙蜥社区的国产Linux发行版）上使用LaTeX撰写技术文档时，遇到了一个典型问题：当编译包含\usepackage{imakeidx}命令的.tex文件时&…
基于AST的JavaScript反混淆实战：从原理到工具链完整指南
2026/8/12 9:32:56

基于AST的JavaScript反混淆实战：从原理到工具链完整指南

1. 项目概述：为什么我们需要JStillery？如果你曾经尝试分析过一段经过混淆处理的JavaScript代码，比如从某个网页上扒下来的、用于保护核心逻辑的脚本，或者某个恶意软件样本，你大概率会感到头疼。满屏的_0x1a2b3c、\x65\…
CentOS 7.5 最小化安装与生产环境初始化全指南
2026/8/12 9:32:56

CentOS 7.5 最小化安装与生产环境初始化全指南

1. 为什么今天还要折腾CentOS 7.5？如果你点开了这篇文章，心里可能正犯嘀咕：这都什么年代了，CentOS 8都停止维护了，CentOS 7也进入了维护尾声，为什么还要大费周章地写一篇关于CentOS 7.5的安装详解&#xff…
Webpack源码泄露防护：从构建配置到服务器部署的全链路安全实践
2026/8/12 9:33:18

Webpack源码泄露防护：从构建配置到服务器部署的全链路安全实践

1. 项目概述：从一次线上事故说起 那天下午，我正喝着咖啡，突然收到监控告警，提示某个核心前端项目的静态资源加载异常。起初以为是CDN问题，但登录服务器一看，发现 /static/js 目录下多出了几个奇怪的 .ma…
终极ncmdump指南：3分钟实现网易云NCM音乐解密与格式转换
2026/8/12 1:41:52

终极ncmdump指南：3分钟实现网易云NCM音乐解密与格式转换

终极ncmdump指南：3分钟实现网易云NCM音乐解密与格式转换 【免费下载链接】ncmdump 项目地址: https://gitcode.com/gh_mirrors/ncmd/ncmdump 还在为网易云音乐下载的NCM格式文件无法在其他播放器播放而烦恼吗？ncmdump解密工具帮你轻松解决这个困…
AI 智能电动窗帘电机高集成、低功耗 MOSFET 精准选型方案
2026/8/12 1:41:52

AI 智能电动窗帘电机高集成、低功耗 MOSFET 精准选型方案

随着 AIoT 与智能家居深度融合，智能电动窗帘电机对功率 MOSFET 提出新要求：微型化、高效率、逻辑电平驱动及静音运行。微碧半导体（VBsemi）基于先进的 Trench 和 SGT 工艺，为您提供覆盖 H桥驱动、电源管理及电机控制的完…
AI 智能电动窗帘电机智能功率 MOSFET 完整选型方案
2026/8/12 1:41:52

AI 智能电动窗帘电机智能功率 MOSFET 完整选型方案

随着 AI 技术在智能家居中的普及（如语音控制、光线感应、场景联动），电动窗帘电机对功率 MOSFET 提出更高要求：高效率、低噪音、高集成度。微碧半导体（VBsemi）基于 SGT 及 Trench 工艺，为您提供覆…

读完文章，也想定制专属网站？

尧图设计师 24 小时内与您沟通定制方案

免费获取报价 →
↑