某公司防火墙配置-2-创新互联

好的，接着昨天的配置，我们需要发布公司的服务器供internet上的用户访问，拓扑图如下：

由于为了防止病毒***，我们不能放开untrust区域和dmz区域之间的策略：

[SRG]display firewall packet-filter default all

状态为deny。

接下来我们来做一些策略让internet上的用户可以访问服务器上的http、ping通、ftp

首先先创建一个服务集toserver：

[SRG]ip service-set toserver type object

 然后把icmp、www（80）、ftp（21）放入服务集中：

[SRG-object-service-set-toserver]service 0 protocol icmp

[SRG-object-service-set-toserver]service 1 protocol tcp destination-port 80

[SRG-object-service-set-toserver]service 2 protocol tcp destination-port 21

接着我们开启策略：

[SRG]policy interzone untrust dmz inbound

[SRG-policy-interzone-dmz-untrust-inbound]policy 10

[SRG-policy-interzone-dmz-untrust-inbound-10]policy service service-set toserver

[SRG-policy-interzone-dmz-untrust-inbound-10]policy destination 10.1.3.10 0

[SRG-policy-interzone-dmz-untrust-inbound-10]action permit

接着我们配置服务器：

最后我们验证一下：

1、用untrust区域中的client9ping服务器地址：

2、访问服务器的http的功能：

由于ftp有双通道概念，防火墙默认是关闭双通道的所以我们要开启ftp双通道：

[SRG]firewall interzone untrust dmz

[SRG-interzone-dmz-untrust]detect ftp

然后验证ftp：

如果不开启双通道模式是无法访问ftp的，大家可以验证一下。

另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。