CiscoPacketTracer企业网络安全策略的综合设计与实现

Cisco Packet Tracer企业网络安全策略的综合设计与实现

1. 组网策略：
   （1）设计典型的分为内网，DMZ，外网网段的企业网络结构。
   （2）实现基于 VLAN 的内网分割与保护。
   （3）实现基于 NAT 的内网结构隐藏。
   （4）实现 DMZ 区服务对外网可见。
   （5）实现内网、DMZ、外网之间的区域访问策略。
   （6）通过 VPN 实现企业异地内网之间穿透公网的互联。


2. 整体网络拓扑

3. 总部内网规划（192.168.0.0 255.255.0.0）

（1）总被内网之间划分vlan来隔离广播域
配置命令 ：

//在交换机switch0创建vlan

(config)#vlan 10
(config-vlan)#exit
(config)#vlan 20
(config-vlan)#exit


//将vlan应用到端口

(config)#interface fa0/2
(config-if)#switchport access vlan 10
(config-if)#exit
(config)#interface fa0/3
(config-if)#switchport access vlan 20
(config-if)#exit
(config)#interface fa0/1
(config-if)#switchport trunk encapsulation dot1q
(config-if)#switchport mode trunk


//设置三层交换机VLAN间通信并配置vlan的IP地址

//配置一样，举例vlan10来演示
(config)#ip routing
(config)#interface vlan 10
(config-if)#ip address 192.168.10.1 255.255.255.0
(config-if)#no shutdown


//将vlan下主机的网关设置为虚拟接口的IP地址
（2）在边界路由器（Router0）上利用NAT来实现内网隐藏
//使用端口多路复用技术（PAT）

//Router0
#int fa 0/0
#ip nat inside
#int fa 1/0
#ip nat outside
#exit
#access-list 10 permit 192.168.0.0 0.0.255.255
#ip nat pool PAT 200.1.1.3 200.1.1.3 netmask 255.255.255.0
#ip nat inside source list 10 pool PAT overload (无 overload 表示多对多，有 overload 表示多对一)


（3）内部访问控制（限制PC2去访问PC0，即限制VLAN30 去访问 VLAN10）

//在内网三层交换机上配置访问控制列表
#ip access-list extended acl_vlan10_vlan30
#10 deny icmp 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255 echo
#20 permit any any
//将访问控制部署到端口上
#int fa0/2
#ip access-group acl_vlan10_vlan30 out


4.DMZ区网络规划

（1）利用静态NAT路由实现DMZ区隐藏

//在边界路由器Router0上配置，举例显示
#int fa0/1
#ip nat outside
#int fa1/0
#ip nat inside
#exit
#ip nat inside source static 10.10.1.1 202.10.1.2
#end


（2）在边界路由器上实现内网，外网，DMZ区的访问控制
区域访问安全策略：

1). 内网可以访问外网。内网 PC 和服务器可以访问 Internet，如外网中的 Web 和 Email 服务器。
2). 内网可以访问 DMZ。内网 PC 和服务器可以访问 DMZ 区的 Web 和 Email 服务器，也能够对其进行管理
3). 外网不能访问内网。由于内网主机正是企业所要保护的对象，所以不允许外网任何主机访问内网的PC 和服务器。
4). 外网可以访问 DMZ。企业通过 DMZ 中的服务器（如 Web 和 Email 服务器）向外网用户提供服务。
5). DMZ 不能主动发起对内网的连接。为了防止 DMZ 中的服务器被攻陷后，入侵者以其做为跳板攻击内部网络，所以通常情况下不允许 DMZ 区中的主机（如 DMZ 区 Web 服务器）主动发起对内网主机（不论是 PC 还是服务器）的访问。
6). DMZ 不能主动发起对外网的连接。这是为了防止 DMZ 中被植入的恶意代码向外网攻击者主动发起连接，从而增加了 DMZ 区的服务器被外网攻击者攻陷的难度。


配置命令：

将out_acl_1应用在Router0的Fa0/0的端口上
将dmz_acl_1应用在Router0的Fa0/1的端口上

5.总部与分部之间通信（利用vpn来实现两分部通信）
(1)在R1上配置Static p2p GRE over IPSec（同理在R3上配置）


（2）在双方配置动态路由协议EIGRP（展示R1，同理R3）

（3）在架好的隧道上配置IPsec

6.项目总结：本企业网络组合项目综合了VLAN，包过滤，NAT，点对点 IP 隧道，和 IPSec VPN 等主要网络安全措施的知识点，结合路由、ACL等内容控制各个网络之间的访问策略，表面上看起来十分复杂，但其实只要吃透了每个知识点的概念和使用方法，很多问题也就迎刃而解了