实验篇(7.2) 03. 部署物理实验环境（下）❀ 远程访问

　　【简介】考虑到有很多人初次接触FortiGate防火墙硬件，因此在讲解部署物理实验环境的时候，防火墙的初次登录内容介绍的比较多，以致于需要将文章分下、下二篇。下篇我们重点介绍服务器的配置及部署。

防火墙的接口规划

　　在部署服务器之前，我们需要对防火墙的接口如何使用有一定的规划。

　　防火墙的接口分为四类：

　　1、Wan接口，用来连接互联网宽带，宽带的接入方式通常有ADSL拨号、固定IP以及连接路由器等。Wan口是独立接口，一般配置两个，但是也可以使用其它接口代替。FortiGate防火墙支持多条宽带，组建SDWAN链路负载均衡。

　　2、DMZ接口，用来连接服务器，也是独立接口。通常用来接入需要映射到公网上的服务器。由于是独立接口，和内网分开，即使服务器受到攻击，也不会影响内网安全。

　　3、Internal接口，内网接口，用来连接内网中的交换机或电脑。通常机架式防火墙，每个内网接口都是独立口，而桌面式防火墙，内网接口都设置会设置成为交换口，即多个接口共用一个IP，象交换机一样。接口可以灵活转换组合。

　　4、虚拟接口，根据需求不同，防火墙可以创建不同的虚拟接口，例如我们上篇文章建立的无线SSID，就是虚拟口。后面要学习到的SSL和IPsec，也会创建相应的虚拟接口。

　　查看我们作为总部防火墙的FortiWiFi 60E接口，红色框是两个独立的宽带接口，黄色框是一个服务器接口。有人要问了，服务器接口只有一个，如果有多台服务器怎么办？解决办法很简单，如果服务器数量不多，而防火墙的接口又够，可以将多个接口组合成交换DMZ口，如果服务器数量多，则在DMZ口接一个二层交换机。

　　这里的蓝色框，实际上是有两部分组成，一个是内网交换口，一个是无线SSID，也就是说，这里的无线和内网都是同一网段。

　　其它接口都是虚拟接口，我们以后再了解。

IP地址规划

　　除了Wan接口的IP地址由宽带运营商提供之外，DMZ、Internal、无线等接口IP均由我们自己定义。

　　防火墙的默认接口IP：桌面式防火墙内网接口192.168.1.99，DMZ接口为10.10.10.1，机架式防火墙MGMT接口192.168.1.99，内网接口192.168.100.99。

　　在我们真实使用环境中，通常会用到服务器IP、内网IP和无线IP。很多网络管理人员会全部使用一个网段，例如192.168.1.0/24。好处是可以方便简单的互相通信。坏处是一旦中招，全部完蛋。

　　我们推荐服务器IP、内网IP和无线IP分别使用不同的网段。例如服务器IP：10.10.0.0，内网IP：172.16.0.0，无线及其它IP：192.168.0.0。

　　当我们有多个分支的时候，网段的划分就尤其重要。分支互访不能出现相同网段，不然无法正常访问。

　　为了后期完成远程访问实验，我们需要提前规则所有的IP地址网段，这里举个例子，希望大家能举一反三。

IP地址规划示例

　　OldMei集团总部位于深圳，北京、上海、广州各有一家分公司，总部和三家分公司均有业务服务器需要互相访问，办公网络含有线及无线，要求四地互访不出现IP地址冲突。

　　【深圳总部】

服务器IP网段：10.10.10.0/24

内网网段：172.16.10.0/24

无线网段：192.168.10.0/24

　　【北京分公司】

服务器IP网段：10.10.20.0/24

内网网段：172.16.20.0/24

无线网段：192.168.20.0/24

　　【上海分公司】

服务器IP网段：10.10.30.0/24

内网网段：172.16.30.0/24

无线网段：192.168.30.0/24

　　【广州分公司】

服务器IP网段：10.10.40.0/24

内网网段：172.16.40.0/24

无线网段：192.168.40.0/24

　　可能有人会问，深圳总部为什么是从192.168.10.0开始，而不是192.168.1.0开始，因为很多设备的默认IP就是192.168.1.0段，这样可以避免发生冲突。

配置深圳总部防火墙接口IP

根据规划，我们已经确认了深圳总部防火墙的服务器、内网、无线的IP地址网段，下面我们要在防火墙上实现它。

　　首先看DMZ接口，计划这个接口是用来连接服务器，由于默认IP 10.10.10.1和我们的规划相同，就不用再改动了。

　　再看内网和无线，这里已经把两样加在一起，组建了软件交换口，鼠标点击右键，弹出菜单显示【删除】是灰色的，无法操作。

　　为什么会无法删除，是因为接口已经被使用了，移到最右边显示关联项，可以看到数字3，说明这个接口有三个地方使用了。鼠标点击数字【3】。

　　选择对应的关联，点击【删除】，将所有的关联都删除。正常情况删除后页面不再显示，但有的删除页面仍会显示，忽略。

　　再次右键点击弹出菜单，这次删除选择是黑色，可以操作了。注意：如果是通过内网或无线登录防火墙，删除后会退出登录。这里我们是通过Wan口远程登录防火墙，所以不会退出。

　　删除软交换后，内网接口和无线SSID分开，显示内网接口是硬件交换口，多个接口共用一个IP。我们仍然可以继续删除，将每个内网口独立出来。这里选择【编辑】。

　　内网硬交换接口IP设置为规划的172.16.10.1，启用HTTPS协议，方便通过内网登录防火墙，接口成员可以删除，变成独立接口，配置不同网段，给Wan、DMZ或内网使用。也可以启用【DHCP服务器】，给接入的电脑自动分配IP地址、网关和DNS。

　　无线接口从软交换口释放后，IP地址也是没有的，这里选择OldMei-深圳 SSID，点击【编辑】。

　　按照规划，将无线IP设置为192.168.10.1，记得要启用HTTPS，这样无线登录后就可以登录防火墙了。一般无线都是自动获取IP的，这里启用【DHCP服务器】。

　　同样指定DNS服务器。

　　OldMei深圳总部防火墙，服务器IP、有线IP和无线IP都有经过规划然后部署到防火墙上了，一家人整整齐齐。

　　笔记本电脑启用无线，连接 OldMei-深圳。

　　获得了设置的DNS，网关默认是接口IP，也就是192.168.10.1。

　　可以通过无线接口IP登录防火墙。OldMei深圳总部防火墙的接口IP就全部设置好了。

服务器的连接

　　远程访问的最终目标——服务器，相信是很多人头痛的，但是为了各种实验，又不得不接受现实。

　　这里用一台电脑安装了Windows Server 2022，具体安装方法，可以在博客Windows Server分类里找到，这里就不再介绍了。

　　服务器配置IP地址10.10.10.254，网关是防火墙DMZ接口IP 10.10.10.1，服务器不上网，DNS指向自己。将服务器的网卡与防火墙的DMZ口用网线连接。

　　从服务器上Ping防火墙DMZ接口IP，可以Ping通，说明物理连接没有问题。

　　笔记本电脑无线登录OldMei-深圳，登录深圳防火墙，选择菜单【策略&对象】-【防火墙策略】，建立一条从无线访问服务器的策略。

　　输入自定义的策略名称，流入接口选择无线SSID，流出接口选择DMZ，说明是从无线去访问服务的。源地址、目标地址、服务三项都选择ALL，全部开通。以后实验时会讲到这三个的作用的。注意NAT不要启用。

　　在笔记本电脑上Ping防火墙DMZ接口IP，可以Ping通，说明刚才建立的允许访问的策略是生效的，再Ping服务器IP，这次并没有通，难道是哪里做错了？

　　其实这是Windows Server 2022默认是禁Ping的原因。回到服务器，选择【控制面板】-【系统和安全】-【Windows Defender防火墙】，点击【高级设置】。

　　在高级安全Windows Defender防火墙窗口，选择【入站规则】-【文件和打印机共享(回显请求- ICMPv4-In)】，点击最右边的属性。

　　选择常规则下面的【已启用】，点击【确定】。

　　回到笔记本电脑，再次尝试，可以从无线Ping通DMZ接口下的服务器IP了。

服务器的配置

　　虽然可以Ping通服务器的IP，但这是远远不够的，我们需要测试访问服务器的某些端口，例如Web服务的80端口等。但是Web服务配置相对比较复杂，还有一个更好的选择，那就是远程桌面访问，3389端口。

　　点击服务器左下角视窗，弹出菜单选择【控制面板】-【系统安全】-【系统】。

　　选择【高级系统设置】。

　　系统属性界面选择【远程】，点选【允许远程连接到些计算机】。

　　显示远程桌面将启动的提示信息，点击【确定】。

　　还可以选择用户，即哪些用户可以通过远程桌面登录。

　　默认Administrator用户可以通过远程桌面。点击两次【确定】，返回，远程桌面配置完成。

　　笔记本电脑切换到OldMei-深圳无线SSID。

　　由于前面已经建立了无线访问DMZ的策略，所以Ping服务器IP是OK的，服务器已经开放远程桌面，我们用telnet 10.10.10.254 3389来验证一下服务器是否开放了3389这个端口。

　　没有报错，而是出现一个黑色窗口，说明telnet 3389端口是成功能的。

　　笔记本电脑点击左下角视窗图标，选择菜单【Windows附件】下的【远程桌面连接】。

　　输入服务器IP地址，点击【连接】。

　　输入服务器administrator帐号和密码，为了不用每次输入，这里钩选【记住我的凭据】，点击【确定】。

　　出现证书提示，钩选【不再询问我是否连接到此计算机】，点击【是】。

　　成功登录远程桌面。

【总结】

　　这里我们用一台笔记本、一台PC机，一台FortiWiFi 60E防火墙，一台FortiWiFi 60D防火墙，模拟出简单远程访问的整个运行环境。

　　步骤看上去很多很复杂，但是你只要看懂上面的拓扑，就能理解了。

　　后面我们会根据这个环境做各类远程访问实验，感举趣的可以多动动手。

实验篇(7.2) 03. 部署物理实验环境（下）❀ 远程访问相关推荐

《STM32从零开始学习历程》——USART串口通讯实验篇2——指令控制LED灯实验
<STM32从零开始学习历程>@EnzoReventon USART串口通讯实验篇2--指令控制LED灯实验本实验是在<USART串口通讯实验篇1--中断接收与发送>的基础上 ...
用计算机做初中模拟物理实验,利用虚拟实验室提高初中生物理实验的兴趣.docx...
利用虚拟实验室提高初中生物理实验的兴趣摘要:随着科学技术的进步,互联网走进了教育,带来了教学领域的全面变革与飞跃发展.与此同时,学生的学习方式和学习过程也变得多样化.在激发学生的学习兴趣上有一些传统 ...
大学物理实验长度的测量实验报告_(完整精品)大学物理实验报告之长度基本测量...
(完整精品)大学物理实验报告之长度基本测量大学物理实验报告姓名学号学院班级实验日期 2017 年 5 月 23 日实验地点:实验楼 B411室实验名称长度的基本测量组号第组[实验目 ...
大学物理实验试卷1到8_大学物理实验模拟试题123《试题》
大学物理实验模拟试题一.填空题 1. 正常测量的误差按产生的原因和性质可以分为两类,分别是系统误差随机误差. 2. 对于不连续读数的仪器,如数字秒表.分光计等,就以最小分度作为仪器误差. 3. 在实 ...
大学物理实验长度的测量实验报告_(完整精品)大学物理实验报告之长度基本测量.doc...
(完整精品)大学物理实验报告之长度基本测量.doc 大学物理实验报告评分姓名学号评分学院班级实验日期 2017 年5 月23 日实验地点:实验楼B411室实验名称长度的基本测量 ...
大学物理实验试卷1到8_大学物理实验-中国大学mooc-题库零氪
第一章绪论第一章测试题 1.随机误差是重复测量中误差的大小和符号以不可预知的方式变化的误差分量. 2.测量结果的有效数字位数由不确定度决定. 3.测量误差可以用绝对误差和( )两种方法表示. 4 ...
「太阁实验篇」SLA 联动静态路由实验
今天我给大家分享一下思科设备如何使用静态路由结合SLA 来发现网络故障如图, 在这个环境下, 我们从R1 去往R4 有两条路径, 上边路径和下边路径, 我们假设上边路径是最优的, 当上边链路出现故障 ...
iis服务器部署项目,IIS环境下部署项目的详细教程
分享IIS环境下部署项目的详细教程 1.环境部署 1.1安装IIS7 进入控制面板,选择"程序和功能",进入如下页面后找到World Wide Web Services,确保选中 ...
大学物理实验试卷1到8_大学物理实验必考试题一套有答案
本试卷满分 40 分.请将答案全部写在试卷上,第四大题可写在试卷背面. 一.选择题 1 .某物体长度约为 2 厘米,为使测量结果有 5 位有效数字,应选用的测量仪器是 : ...

实验篇(7.2) 03. 部署物理实验环境（下）❀ 远程访问

实验篇(7.2) 03. 部署物理实验环境（下）❀ 远程访问相关推荐

最新文章

热门文章