步骤 1

为 10.50.0.5/24 或 10.50.0.0/24 创建网络对象。此外，为网关 10.40.0.2/30 创建对象。

1. 选择对象，然后从目录中选择网络。

2. 点击 +，然后填写仓库服务器的对象属性：

   
   

   

   
   

3. 点击确定。

4. 点击 +，然后填入仓库网络的路由器网关的对象属性：

   
   

   

   
   

5. 点击确定。

步骤 2

定义指向“仓库”虚拟路由器中 Gi0/2 接口的“销售”虚拟路由器中的路由泄漏。

1. 选择设备，然后点击路由摘要中的查看配置。

2. 在虚拟路由器列表中，请在“销售”虚拟路由器的操作列中点击查看图标 ()。

3. 在静态路由选项卡上，点击 + 并配置路由：

   • 名称 - 任何名称，例如 Warehouse-server-route。

   • 接口 - 选择 inside-2。您将看到一条警告，指出接口位于不同的路由器中，并且您将创建路由泄漏。这是您需要执行的操作。

   • 协议 - 在本例中，使用 IPv4。您也可以使用 IPv6 地址来实现此示例。

   • 网络 - 选择 Warehouse-Server 对象。

   • 网关 - 将此项目留空。将路由泄漏到另一个虚拟路由器时，您不必选择网关地址。

   对话框应如下所示：

   
   

   

   
   

4. 点击确定。

步骤 3

在“仓库”虚拟路由器中，定义指向仓库路由器 2 网关的路由。

1. 从当前名为“销售”的虚拟路由器下拉列表中，选择“仓库”虚拟路由器以交换路由器。

   
   

   

   
   

2. 在静态路由选项卡上，点击 + 并配置路由：

   • 名称 - 任何名称，例如 Warehouse-route。

   • 接口 - 选择 inside-2。

   • 协议 - 选择 IPv4。

   • 网络 - 选择 Warehouse-Server 对象。

   • 网关 - 选择 Warehouse-gateway 对象。

   对话框应如下所示：

   
   

   

   
   

3. 点击确定。

步骤 4

确保存在允许访问仓库服务器的访问控制规则。

最简单的规则将允许从“销售”虚拟路由器中的源接口到目标 Warehouse-Server 网络对象的“仓库”虚拟路由器中的目标接口的流量。您可以根据需要对流量应用入侵检测。

例如，如果“销售”虚拟路由器中的接口位于“销售区域”安全区中，而“仓库”虚拟路由器中的接口位于“仓库区域”安全区中，则访问控制规则将如下所述：

步骤 1

为虚拟路由器 1 (VR1) 配置内部接口。

1. 点击设备 (Device)，然后点击接口 (Interface) 摘要中的查看所有接口 (View All Interfaces)。

2. 对于将分配给 VR1 的接口，在“操作”(Action) 列中点击编辑图标 ()。

3. 至少配置以下属性：

   • 名称 - 在本例中为 inside。

   • 模式 - 选择路由。

   • 状态 - 启用接口。

   • IPv4 地址 > 类型 - 选择静态。

   • IPv4 地址和子网掩码 - 输入 192.168.1.1/24。

   
   

   

   
   

4. 点击确定 (OK)。

步骤 2

为虚拟路由器 2 (VR2) 配置 inside-2 接口，但不指定 IP 地址。

1. 在“接口列表”(Interfaces listing) 页面上，点击您将分配给 VR2 的接口的“操作”(Action) 列中的编辑图标 。

2. 至少配置以下属性：

   • 名称 - 在本例中为 inside-2。

   • 模式 - 选择路由。

   • 状态 - 启用接口。

   • IPv4 地址 > 类型 - 选择静态。

   • IPv4 地址和子网掩码 - 将这些字段留空。如果您现在尝试配置与内部接口相同的地址，系统将显示一条错误消息，并阻止您创建非功能性配置。无法通过同一路由器中的不同接口路由到同一地址空间。

   
   

   

   
   

3. 点击确定 (OK)。

步骤 3

配置虚拟路由器 VR1，其中包括到外部接口的静态默认路由泄漏。

1. 选择设备 (Device)，然后点击路由 (Routing) 摘要中的查看配置 (View Configuration)。

2. 点击“路由”(Routing) 页面顶部的添加多个虚拟路由器 (Add Multiple Virtual Routers)。

3. 在说明性面板的右下角，点击创建第一个自定义虚拟路由器 (Create First Custom Virtual Router)。

4. 填写虚拟路由器 VR1 的属性。

   • 名称 - 输入 VR1 或您选择的其他名称。

   • 接口 (Interfaces) - 点击 +，选择 inside，然后点击确定 (OK)。

   
   

   

   
   

5. 点击确定 (OK)。

   对话框将关闭，并显示虚拟路由器列表。

6. 在虚拟路由器列表中，请在 VR1 虚拟路由器的操作列中点击查看图标 ()。

7. 在静态路由 (Static Routing) 选项卡上，点击 + 并配置路由：

   • 名称 - 任何名称（例如，default-VR1）。

   • 接口 - 选择 outside。您将看到一条警告，指出接口位于不同的路由器中，并且您将创建路由泄漏。这是您需要执行的操作。

   • 协议 - 在本例中，使用 IPv4。

   • 网络 - 选择 any-ipv4 对象。这将是无法在 VR1 内路由的任何流量的默认路由。

   • 网关 - 将此项目留空。将路由泄漏到另一个虚拟路由器时，您不必选择网关地址。

   对话框应如下所示：

   
   

   

   
   

8. 点击确定 (OK)。

步骤 4

配置虚拟路由器 VR2，其中包括到外部接口的静态默认路由泄漏。

1. 查看 VR1 时，点击后退按钮（）可返回到虚拟路由器列表。

2. 点击列表顶部的 +。

3. 填写虚拟路由器 VR2 的属性。

   • 名称 - 输入 VR2 或您选择的其他名称。

   • 接口 (Interfaces) - 点击 +，选择 inside-2，然后点击确定 (OK)。

   
   

   

   
   

4. 点击确定 (OK)。

   对话框将关闭，并显示虚拟路由器列表。

5. 在虚拟路由器列表中，请在 VR2 虚拟路由器的操作列中点击查看图标 ()。

6. 在静态路由 (Static Routing) 选项卡上，点击 + 并配置路由：

   • 名称 - 任何名称（例如，default-VR2）。

   • 接口 - 选择 outside。您将看到一条警告，指出接口位于不同的路由器中，并且您将创建路由泄漏。这是您需要执行的操作。

   • 协议 - 在本例中，使用 IPv4。

   • 网络 - 选择 any-ipv4 对象。这将是用于无法在 VR2 内路由的任何流量的默认路由。

   • 网关 - 将此项目留空。将路由泄漏到另一个虚拟路由器时，您不必选择网关地址。

   对话框应如下所示：

   
   

   

   
   

7. 点击确定 (OK)。

步骤 5

在全局路由器中创建到外部接口的默认路由。

1. 查看 VR2 时，点击页面顶部的 VR2 名称以打开虚拟路由器列表，然后选择全局路由器。

   
   

   

   
   

2. 在全局路由器的“静态路由”(Static Routing) 选项卡上，点击 + 并配置路由：

   • 名称 - 任何名称（例如，default-ipv4）。

   • 接口 - 选择 outside。

   • 协议 - 在本例中，使用 IPv4。

   • 网络 - 选择 any-ipv4 对象。这将是用于任何 IPv4 流量的默认路由。

   • 网关 (Gateway) - 假设对象尚不存在，点击创建新网络对象 (Create New Network Object)，然后为外部接口上网络链路另一端的网关的 IP 地址（在本例中为 172.16.1.2）定义主机对象。创建对象后，在静态路由的“网关”字段中选择该对象。

     
     

     

     
     

   对话框应如下所示：

   
   

   

   
   

3. 点击确定 (OK)。

步骤 6

返回接口 (Interfaces) 页面，并将 IP 地址添加到 inside-2。

1. 点击设备 (Device)，然后点击接口 (Interface) 摘要中的查看所有接口 (View All Interfaces)。

2. 对于将分配给 VR2 的 inside-2 接口，点击“操作”(Action) 列中的编辑图标 ()。

3. 在 IPv4 地址选项卡上，输入 192.168.1.1/24 作为 IP 地址和子网掩码。

4. 点击确定 (OK)。

   现在将不会出现重复 IP 地址的错误，因为 inside 和 inside-2 接口现在位于不同的虚拟路由器中。

步骤 7

创建 NAT 规则，以将 PAT 内-外流量传输到 10.100.10.1。

1. 选择策略 (Policies)，然后点击 NAT。

2. 如果内-外接口已有名为 InsideOutsideNatRule 的手动 NAT 规则来应用接口 PAT，请点击对应于该规则的编辑 () 图标。否则，点击 + 创建新规则。

   请注意，如果编辑现有规则，现在会出现一条警告，指出源接口和目标接口位于不同的虚拟路由器中，并且您需要定义路由。这是您之前在本程序中执行的操作。

3. 假设要编辑一个现有规则，请点击转换后的数据包 (Translated Packet) > 源地址 (Source Address)中的下拉箭头，然后点击创建新网络 (Create New Network)（假设您没有用于定义 10.100.10.1 的主机对象）。

4. 配置 PAT 地址的主机网络对象。此对象应类似于以下所示：

   
   

   

   
   

5. 选择新对象作为转换后的数据包 > 源地址。NAT 规则应类似于以下内容：

   
   

   

   
   

6. 点击确定 (OK)。

步骤 8

创建 NAT 规则，将从 inside-2 流向外部的流量 PAT 到 10.100.10.2。

此规则与 VR1 的规则完全相同，但以下项除外：

• 名称 - 必须唯一，例如 Inside2OutsideNatRule。

• 原始数据包 > 源接口 - 选择 inside-2。

• 转换后的数据包 > 源地址 - 为 10.100.10.2 创建新的主机网络对象。

此规则应类似于以下内容：

步骤 9

选择策略 > 访问控制，并配置访问控制规则以允许将 inside_zone 和 inside2_zone 中的流量传输到 outside_zone。

最后，您需要配置访问控制策略以允许从 inside 和 inside-2 接口向外部接口传输流量。由于访问控制规则要求使用安全区，因此您需要为每个接口创建区域。或者，可以创建单个区域来同时保存 inside 和 inside-2，但您可能希望在此处或其他策略中创建其他规则，以区分在这些路由器中对流量的处理方式。

假设您创建了以接口命名的区域，则允许所有流量流向互联网的基本规则将如下所示：可以根据需要将入侵策略应用于此规则。可以定义其他规则来阻止不需要的流量，例如，用于实施 URL 过滤操作。