eNSP 中配置 dmz

### 配置 DMZ 网络 #### 创建安全区域并分配接口 为了实现 DMZ 的功能，在防火墙上创建不同的安全区域是非常重要的。通常情况下，会有一个用于内部网络的信任区（Trust），一个外部连接的非信任区（Untrust），以及介于两者之间的 DMZ 区域。 ```shell firewall zone trust add interface GigabitEthernet1/0/2 //假设这是内网接口 quit firewall zone untrust add interface GigabitEthernet1/0/3 //外网接口 quit firewall zone dmz add interface GigabitEthernet1/0/1 //DMZ 接口 quit ``` #### 设置访问控制策略 定义好各个区域之后，下一步就是设置相应的访问规则来管理不同区域间的通信行为。这里展示的是允许来自 DMZ 对防火墙自身的 ICMP 请求[^1]： ```shell security-policy rule name allow_dmz_to_self_ping source-zone dmz destination-zone local action permit service icmp commit ``` 对于进出 DMZ 流量的安全过滤同样重要，可以根据具体需求调整如下命令中的参数以适应特定环境下的安全策略： ```shell // 允许从 Internet 访问 Web 和 FTP 服务位于 DMZ 中服务器的例子 security-policy rule name web_ftp_access_from_internet source-zone untrust destination-zone dmz action permit service http ftp commit ``` #### 启用 NAT 功能 为了让 DMZ 内的服务能够被公网访问，还需要启用源地址转换 (NAT)，这可以隐藏真实的私有IP地址而只暴露给定的一个公共 IP 地址: ```shell nat address-group public_ip_group index 1 section 0 56.0.0.2 56.0.0.2 // 假设此为已知的公网IP范围之一 interface GigabitEthernet1/0/3 // 外网出口接口 ip nat outside // 标记该接口作为NAT处理后的数据包发送出去的地方 exit interface GigabitEthernet1/0/1 // 进入DMZ所在物理接口配置模式 ip nat inside // 表明这是一个需要做NAT变换的数据流入方向 exit access-list acl_outbound extended permit ip any host 56.0.0.2 log // 定义ACL条目指定哪些流量应该应用PAT route-map pat_map permit 10 // 创建路由映射表项关联上述ACL条件 match ip address acl_outbound // set nat pool public_ip_group // 将匹配到的数据流指向之前建立好的公有IP池资源 exit ip nat inside source route-map pat_map interface GigabitEthernet1/0/3 overload // 应用PAT机制完成最终配置 ``` 通过以上步骤可以在 eNSP 模拟环境中成功搭建起基本的功能性的 DMZ 架构，并确保其内外部通讯遵循预设的安全政策[^2].