步骤 1

配置要分给“销售”虚拟路由器的设备的内部接口 (Gi0/1)：

1. 依次选择设备 > 设备管理 > 接口。

2. 编辑 Gi0/1 接口：

   • 名称 - 本例中为“VR-Sales”。

   • 选中启用复选框。

   • 在 IPV4 中，对于 IP 类型，请选择使用静态 IP。

   • IP 地址 - 输入 10.30.0.1/24。

3. 点击确定。

4. 点击保存 (Save)。

步骤 2

配置要分配给“仓库”虚拟路由器的设备的内部接口 (Gi0/2)：

1. 依次选择设备 > 设备管理 > 接口。

2. 编辑 Gi0/2 接口：

   • 名称 - 本例中为“VR-Warehouse”。

   • 选中启用复选框。

   • 在 IPV4 中，对于 IP 类型，请选择使用静态 IP。

   • IP 地址 - 将其留空。该系统不允许您使用相同的 IP 地址 (10.30.0.1/24) 配置接口，因为您尚未创建用户定义的虚拟路由器。

3. 点击确定。

4. 点击保存 (Save)。

步骤 3

创建“销售”和“仓库”虚拟路由器并分配其接口：

1. 依次选择 设备 > 设备管理，并且编辑 威胁防御 设备。

2. 依次选择路由 > 管理虚拟路由器。

3. 点击添加虚拟路由器并创建“销售”虚拟路由器。

4. 点击添加虚拟路由器并创建“仓库”虚拟路由器。

5. 从虚拟路由器下拉列表中选择“销售”，然后在虚拟路由器属性中，添加“VR-Sales”作为选定接口并保存。

6. 从虚拟路由器下拉列表中选择“仓库”，然后在虚拟路由器属性中，添加“VR-Warehouse”作为选定接口并保存。

步骤 4

重新访问“VR-Warehouse”接口配置：

1. 依次选择设备 > 设备管理 > 接口。

2. 针对“VR-Warehouse”接口点击编辑。将 IP 地址指定为 10.30.0.1/24。现在，由于接口分别分配给两个不同的虚拟路由器，因此系统允许您使用“VR-Sales”的同一 IP 地址进行配置。

3. 点击确定。

4. 点击保存 (Save)。

步骤 5

为仓库服务器 (10.50.0.0/24) 和仓库网关 (10.40.0.2/30) 创建网络对象：

1. 依次选择对象 > 对象管理。

2. 依次选择添加网络 > 添加对象：

   • 名称 - 本例中为“Warehouse-Server”。

   • 网络 - 点击“网络”并输入 10.50.0.0/24。

3. 点击保存 (Save)。

4. 依次选择添加网络 > 添加对象：

   • 名称 - 本例中为“Warehouse-Gateway”。

   • 网络 - 点击“主机”并输入 10.40.0.2。

5. 点击保存 (Save)。

步骤 6

定义指向“VR-Warehouse”接口的“销售”虚拟路由器中的路由泄漏：

1. 依次选择 设备 > 设备管理，并且编辑 威胁防御 设备。

2. 选择路由。

3. 从下拉列表中选择“销售”虚拟路由器，然后点击静态路由。

4. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 - 选择“VR-Warehouse”。

   • 网络 - 选择 Warehouse-Server 对象。

   • 网关 - 将其留空。将路由泄漏到另一个虚拟路由器时，请勿选择网关。

     

5. 点击确定。

6. 点击保存 (Save)。

步骤 7

在“仓库”虚拟路由器中，定义指向仓库路由器 2 网关的路由：

1. 从下拉列表中选择“仓库”虚拟路由器，然后点击静态路由。

2. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 - 选择“VR-Warehouse”。

   • 网络 - 选择 Warehouse-Server 对象。

   • 网关-选择 Warehouse-Gateway 对象。

     

3. 点击确定。

4. 点击保存 (Save)。

步骤 8

配置允许访问仓库服务器的访问控制规则。要创建访问控制规则，您需要创建安全区域。使用对象 > 对象管理 > 接口。依次选择添加 > 安全区域并为“VR-Sales”和“VR-Warehouse”创建安全区域；对于Warehouse-Server 网络对象，创建 Warehouse-Server 接口组（依次选择添加 > 接口组）。

步骤 9

依次选择策略 > 访问控制并配置访问控制规则，以允许流量从“销售”虚拟路由器中的源接口到流向目的 Warehouse-Server 网络对象的“仓库”虚拟路由器中的目的接口。

例如，如果“销售”虚拟路由器中的接口位于“销售区域”安全区域中，而“仓库”虚拟路由器中的接口位于“仓库区域”安全区域中，则访问控制规则将如下所述：

步骤 1

为 VR1 配置设备的内部接口：

1. 依次选择设备 > 设备管理 > 接口。

2. 编辑您要分配给 VR1 的接口：

   • 名称 (Name) - 在此示例中为 vr1-inside。

   • 选中启用复选框。

   • 在 IPV4 中，对于 IP 类型，请选择使用静态 IP。

   • IP 地址 (IP Address) - 输入 192.168.1.1/24。

3. 点击确定。

4. 点击保存 (Save)。

步骤 2

为 VR2 配置设备的内部接口：

1. 依次选择设备 > 设备管理 > 接口。

2. 编辑您要分配给 VR2 的接口：

   • 名称 (Name) - 在此示例中为 vr2-inside。

   • 选中启用复选框。

   • 在 IPV4 中，对于 IP 类型，请选择使用静态 IP。

   • IP 地址 - 将其留空。该系统不允许您使用相同的 IP 地址配置接口，因为您尚未创建用户定义的虚拟路由器。

3. 点击确定。

4. 点击保存 (Save)。

步骤 3

配置 VR1 和到外部接口的静态默认路由泄漏：

1. 依次选择 设备 > 设备管理，并且编辑 威胁防御 设备。

2. 依次选择路由 > 管理虚拟路由器。点击添加虚拟路由器 (Add Virtual Router)并创建 VR1。

3. 对于 VR1，在虚拟路由器属性 (Virtual Router Properties) 中分配 vr1-inside 并保存。

4. 点击静态路由 (Static Route)。

5. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 (Interface) - 选择全局路由器的外部接口。

   • 网络 (Network) - 选择 any-ipv4 对象。这个网络是无法在 VR1 内路由的任何流量的默认路由。

   • 网关 - 将其留空。将路由泄漏到另一个虚拟路由器时，请勿提供网关。

     

6. 点击确定。

7. 点击保存 (Save)。

步骤 4

配置 VR2 和到外部接口的静态默认路由泄漏：

1. 依次选择 设备 > 设备管理，并且编辑 威胁防御 设备。

2. 依次选择路由 > 管理虚拟路由器。点击添加虚拟路由器 (Add Virtual Router)并创建 VR2。

3. 对于 VR2，在虚拟路由器属性 (Virtual Router Properties) 中分配 vr2-inside 并保存。

4. 点击静态路由 (Static Route)。

5. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 (Interface) - 选择全局路由器的外部接口。

   • 网络 (Network) - 选择 any-ipv4 对象。这个网络是无法在 VR2 内路由的任何流量的默认路由。

   • 网关 - 将其留空。将路由泄漏到另一个虚拟路由器时，请勿选择网关。

     

6. 点击确定。

7. 点击保存 (Save)。

步骤 5

在全局路由器的外部接口上配置 IPv4 静态默认路由，即 172.16.1.2：

1. 依次选择 设备 > 设备管理，并且编辑 威胁防御 设备。

2. 选择路由 (Routing) 并编辑全局路由器属性。

3. 点击静态路由 (Static Route)。

4. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 (Interface) - 选择全局路由器的外部接口。

   • 网络 (Network) - 选择 any-ipv4 对象。这将是用于任何 IPv4 流量的默认路由。

   • 网关 (Gateway) - 如果已创建，请从下拉列表中选择主机名。如果尚未创建对象，请点击添加 (Add)，然后为外部接口上网络链路另一端的网关的 IP 地址（在本例中为 172.16.1.2）定义主机对象。创建对象后，在“网关”(Gateway) 字段中选择该对象。

     

5. 点击确定。

6. 点击保存 (Save)。

步骤 6

重新访问 vr2-inside 接口配置：

1. 依次选择设备 > 设备管理 > 接口。

2. 点击 vr2-inside 接口的编辑 (Edit)。将 IP 地址指定为 192.168.1.1/24。现在，由于接口分别分配给两个不同的虚拟路由器，因此系统允许您使用 vr1-inside 的相同 IP 地址进行配置。

3. 点击确定。

4. 点击保存 (Save)。

步骤 7

创建 NAT 规则，以将 VR1 的 PAT 内-外流量传输到 10.100.10.1。

1. 选择设备 > NAT。

2. 点击新策略 (New Policy) > 威胁防御 NAT (Threat Defense NAT)。

3. 输入 InsideOutsideNATRule 作为 NAT 策略名称，然后选择 威胁防御 设备。单击保存。

4. 在 InsideOutsideNATRule 页面中，点击添加规则 (Add Rule) 并定义以下内容：

   • NAT 规则 (NAT Rule) - 选择“手动 NAT 规则”(Manual NAT Rule)。

   • 类型 (Type) - 选择“动态”(Dynamic)。

   • 插入 (Insert) - 如果存在任何动态 NAT 规则，则选择“上方”(Above)。

   • 点击 Enabled。

   • 在接口对象 (Interface Objects)中，选择 vr1-interface 对象，然后点击添加到源 (Add to Source)（如果对象不可用，请在对象 (Object) > 对象管理 (Object Management) > 接口 (Interface) 中创建一个对象），然后选择外部作为添加到目标 (Add to Destination)。

   • 在转换 (Translation)中，为原始源 (Original Source) 选择 any-ipv4。对于转换的源 (Translated Source)，点击添加 (Add) 并使用 10.100.10.1 来定义主机对象 VR1-PAT-Pool。选择 VR1-PAT-Pool，如下图所示：

     

5. 点击确定。

6. 点击保存 (Save)。

步骤 8

添加 NAT 规则，以将 VR2 的 PAT 内-外流量传输到 10.100.10.2。

1. 选择设备 > NAT。

2. 编辑 InsideOutsideNATRule 以定义 VR2 NAT 规则：

   • NAT 规则 (NAT Rule) - 选择“手动 NAT 规则”(Manual NAT Rule)。

   • 类型 (Type) - 选择“动态”(Dynamic)。

   • 插入 (Insert) - 如果存在任何动态 NAT 规则，则选择“上方”(Above)。

   • 点击 Enabled。

   • 在接口对象 (Interface Objects)中，选择 vr2-interface 对象，然后点击添加到源 (Add to Source)（如果对象不可用，请在对象 (Object) > 对象管理 (Object Management) > 接口 (Interface) 中创建一个对象），然后选择外部作为添加到目标 (Add to Destination)。

   • 在转换 (Translation)中，为原始源 (Original Source) 选择 any-ipv4。对于转换的源 (Translated Source)，点击添加 (Add) 并使用 10.100.10.2 来定义主机对象 VR2-PAT-Pool。选择 VR2-PAT-Pool，如下图所示：

     

3. 点击确定。

4. 点击保存 (Save)。

步骤 9

要配置允许流量从 vr1-inside 和 vr2-inside 接口流向外部接口的访问控制策略，您需要创建安全区域。使用对象 > 对象管理 > 接口。选择添加 (Add) > 安全区域 (Security Zone) 并为 vr1-inside、vr2-inside 和外部接口创建安全区域。

步骤 10

选择策略 (Policies) > 访问控制 (Access Control)，然后配置访问控制规则以允许将 vr1-inside-zone 和 vr2- inside-zone 中的流量传输到 outside-zone。

假设您创建了以接口命名的区域，则允许所有流量流向互联网的基本规则将如下所示：您可以将其他参数应用于此访问控制策略：

步骤 1

配置从全局虚拟路由器到用户自定义 VR1 的路由泄漏。

1. 依次选择 设备 > 设备管理，并且编辑 威胁防御 设备。

2. 点击路由。默认情况下，系统将显示“全局路由属性”(Global routing properties) 页面。

3. 点击静态路由 (Static Route)。

4. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 (Interface) - 选择 VR1 内部接口。

   • 网络 (Network) - 选择 VR1 虚拟路由器网络对象。您可以使用添加对象 (Add Object) 选项创建一个。

   • 网关 - 将其留空。将路由泄漏到另一个虚拟路由器时，请勿选择网关。

     

   此路由泄露允许在 VPN 池中分配 IP 地址的 Secure Client 访问 VR1 虚拟路由器中的 192.168.1.0/24 网络。

5. 点击确定。

步骤 2

配置从 VR1 到全局虚拟路由器的路由泄漏：

1. 依次选择 设备 > 设备管理，并且编辑 威胁防御 设备。

2. 点击路由 (Routing)，然后从下拉列表中选择 VR1。

3. 点击静态路由 (Static Route)。

4. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 (Interface) - 选择全局路由器的外部接口。

   • 网络 (Network) - 选择全局虚拟路由器网络对象。

   • 网关 - 将其留空。将路由泄漏到另一个虚拟路由器时，请勿选择网关。

     

   配置的静态路由允许 192.168.1.0/24 网络 (VR1) 上的终端向在 VPN 池中分配 IP 地址的 Secure Client 发起连接。

5. 点击确定。

步骤 1

配置从全局虚拟路由器到用户自定义 VR1 的路由泄漏：

1. 依次选择设备 > 设备管理，然后编辑 FTD 设备。

2. 点击路由。默认情况下，系统将显示“全局路由属性”(Global routing properties) 页面。

3. 点击静态路由 (Static Route)。

4. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 (Interface) - 选择 VR1 内部接口。

   • 网络 (Network) - 选择 VR1 虚拟路由器网络对象。您可以使用添加对象 (Add Object) 选项创建一个。

   • 网关 - 将其留空。将路由泄漏到另一个虚拟路由器时，请勿选择网关。

     

   此路由泄漏允许受站点间 VPN 的外部（远程）终端保护的终端访问 VR1 虚拟路由器中的 192.168.1.0/24 网络。

5. 点击确定。

步骤 2

配置从 VR1 到全局虚拟路由器的路由泄漏：

1. 依次选择设备 > 设备管理，然后编辑 FTD 设备。

2. 点击路由 (Routing)，然后从下拉列表中选择 VR1。

3. 点击静态路由 (Static Route)。

4. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 (Interface) - 选择全局路由器的外部接口。

   • 网络 (Network) - 选择全局虚拟路由器网络对象。

   • 网关 - 将其留空。将路由泄漏到另一个虚拟路由器时，请勿选择网关。

     

   此静态路由允许 192.168.1.0/24 网络 (VR1) 上的终端发起流经站点间 VPN 隧道的连接。在本示例中，远程终端正在保护 172.16.20.0/24 网络。

5. 点击确定。

步骤 3

将 192.168.1.0/24 网络添加到站点间 VPN 连接配置文件中：

1. 选择设备 (Devices) > VPN > 站点间 (Site To Site)，然后编辑 VPN 拓扑。

2. 在终端 (Endpoints) 中，编辑节点 A 终端。

3. 在编辑终端 (Edit Endpoint) 的受保护网络 (Protected Networks) 字段中，点击添加新网络对象 (Add New Network Object)。

4. 添加网络为 192.168.1.0 的 VR1 网络对象：

   

5. 点击确定 (Ok) 并保存配置。

步骤 1

在集线器上配置动态 VTI 接口。

1. 依次选择 设备 > 设备管理 ，并且编辑威胁防御设备。

2. 选择 添加接口 > 虚拟隧道接口。

3. 选择 动态 作为隧道类型 。

4. 将接口名称指定为 DVTI1，并为动态 VTI 配置所有参数。

5. 点击保存

6. 重复步骤 1a - e，在集线器 DVTI2 上配置第二个动态 VTI。

步骤 2

在分支 1 上配置静态 VTI。

1. 依次选择 设备 > 设备管理 ，并且编辑威胁防御设备。

2. 选择 添加接口 > 虚拟隧道接口。

3. 选择 隧道类型 作为 静态。

4. 将接口名称指定为 SVTI Spoke-1，并为静态 VTI 配置所有参数。

5. 点击保存

6. 重复步骤 2a - e，在分支 2 上配置静态 VTI：SVTI 分支 2。

步骤 3

为中心和 SVTI 1辐射型拓扑配置路由型站点间 VPN。

1. 依次选择 设备 > 站点间 ，然后点击 + 站点间 VPN。

2. 在 拓扑名称 字段中，输入 VPN 拓扑的名称。

3. 选择 基于路由 (VTI) 并选择 中心辐射型 作为网络拓扑。

4. 点击 终端 选项卡。

5. 配置中心和分支（DVTI1 和 SVTI 分支 1）及其路由策略。

6. 如果需要，为 VPN 配置 IKE、 IPsec和 高级 选项。

7. 单击保存。

8. 重复步骤 3a - g，在中心 (DVTI2) 和 SVTI 分支 2 之间配置第二个基于路由的站点间 VPN 拓扑。

步骤 4

配置两个虚拟路由器。

1. 依次选择 设备 > 设备管理 ，并且编辑威胁防御设备。

2. 点击路由。

3. 点击管理虚拟路由器 (Manage Virtual Routers)。

4. 点击 Add Virtual Router。

   将名称指定为 VRF 绿色，并提供虚拟路由器的说明。

5. 重复步骤 4a-d，配置 VRF 红色。

步骤 5

将所有接口分配给虚拟路由器。 

1. 从下拉列表中，选择虚拟路由器。

2. 在 虚拟路由器属性 页面中，选择 可用接口 框下列出的接口。

   将动态 VTI 接口与其他接口一起分配。

3. 点击添加 (Add)。

步骤 6

对 VRF 红色重复步骤 5a-c。

步骤 7

配置虚拟路由器的路由策略。 

1. 从下拉列表中，选择虚拟路由器。

2. 点击 静态路由 或其中一种动态路由协议。

3. 配置路由参数。

4. 单击保存。

步骤 1

创建 NAT 规则以处理从主机 A 到主机 B 的流量。选择设备 (Devices) > NAT。

步骤 2

点击新策略 (New Policy) > 威胁防御 NAT (Threat Defense NAT)。

步骤 3

输入 NAT 策略名称，然后选择 威胁防御 设备。单击保存。

步骤 4

在 NAT 页面中，点击添加规则 (Add Rule) 并定义以下内容：

firepower(config-service-object-group)# show nat detail
Manual NAT Policies (Section 1)
1 (2001) to (3001) source static vrg-inside VRG-MAPPED-HOST destination static VRB-MAPPED-HOST vrb-inside
translate_hits = 0, untranslate_hits = 0
Source - Origin: 10.1.1.1/24, Translated: 20.1.1.1/24
Destination - Origin: 30.1.1.1/24, Translated: 10.1.1.1/24

步骤 5

点击确定。

步骤 6

点击保存 (Save)。

NAT 规则如下所示：

在部署配置时会出现一条警告消息：

步骤 1

选择设备 > 设备管理。编辑所需的设备。

步骤 2

在接口 (Interfaces) 中，选择添加接口 (Add Interfaces) > 网桥组接口 (Bridge Group Interface)。

1. 为 BVI-G 输入下列详细信息：

   • 名称 (Name) - 在此示例中，为 BVI-G。

   • 网桥组 ID (Bridge Group ID) - 在本例中为 1。

   • 可用接口 (Available Interface) - 选择接口。

   • 在 IPV4 中，对于 IP 类型，请选择使用静态 IP。

   • IP 地址 (IP Address) - 输入 10.30.0.1/24。

   

2. 点击确定。

3. 点击保存 (Save)。

1. 为 BVI-B 输入下列详细信息：

   • 名称 (Name) - 在此示例中，为 BVI-B。

   • 网桥组 ID (Bridge Group ID) - 在本例中为 2。

   • 可用接口 (Available Interface) - 选择子接口。

   • 在 IPV4 中，对于 IP 类型，请选择使用静态 IP。

   • IP 地址 (IP Address) - 将此字段留空，因为系统不允许两个接口具有重叠的 IP 地址。您可以重新访问网桥组并在虚拟路由器下对齐后提供相同的 IP 地址。

   

2. 点击确定。

3. 点击保存 (Save)。

步骤 3

创建虚拟路由器，例如 VRG，然后选择 BVI-G 作为其网络：

1. 选择设备 > 设备管理。

2. 编辑设备，然后选择路由 (Routing) > 管理虚拟路由器 (Manage Virtual Routers)。

3. 点击 Add Virtual Router。输入虚拟路由器的名称，然后点击确定 (Ok)。

4. 在虚拟路由属性 (Virtual Routing Properties) 中，选择 BVI-G，然后点击添加 (Add)。

   

5. 单击保存。

步骤 4

创建虚拟路由器，例如 VRB，然后选择 BVI-B 作为其网络：

1. 选择设备 > 设备管理。

2. 编辑设备，然后选择路由 (Routing) > 管理虚拟路由器 (Manage Virtual Routers)。

3. 点击 Add Virtual Router。输入虚拟路由器的名称，然后点击确定 (Ok)。

4. 在虚拟路由属性 (Virtual Routing Properties) 中，选择 BVI-B，然后点击添加 (Add)。

   

5. 单击保存。

步骤 5

重新访问 BVI-B 配置：

1. 依次选择设备 > 设备管理 > 接口。

2. 点击 BVI-B 接口的编辑 (Edit)。将 IP 地址指定为 10.10.10.5/24。现在，由于接口分别分配给两个不同的虚拟路由器，因此系统允许您使用 BVI-G 的同一 IP 地址进行配置。

3. 点击确定。

4. 点击保存 (Save)。

步骤 1

为 VRG 配置设备的内部接口：

1. 依次选择设备 > 设备管理 > 接口。

2. 编辑您要分配给 VRG 的接口：

   • 名称 (Name) - 在此示例中为 VRG-inside。

   • 选中启用复选框。

   • 在 IPV4 中，对于 IP 类型，请选择使用静态 IP。

   • IP 地址 (IP Address) - 输入 192.168.1.1/24。

3. 点击确定。

4. 点击保存 (Save)。

步骤 2

为 VRB 配置设备的内部接口：

1. 依次选择设备 > 设备管理 > 接口。

2. 编辑您要分配给 VRB 的接口：

   • 名称 (Name) - 在此示例中为 VRB-inside。

   • 选中启用复选框。

   • 在 IPV4 中，对于 IP 类型，请选择使用静态 IP。

   • IP 地址 - 将其留空。该系统不允许您使用相同的 IP 地址配置接口，因为您尚未创建用户定义的虚拟路由器。

3. 点击确定。

4. 点击保存 (Save)。

步骤 3

将 VRG 和静态默认路由泄漏配置到全局路由器的内部接口，以便 VRG 用户访问通用服务器 172.16.10.1：

1. 依次选择 设备 > 设备管理，并且编辑 威胁防御 设备。

2. 依次选择路由 > 管理虚拟路由器。点击添加虚拟路由器 (Add Virtual Router)并创建 VRG。

3. 对于 VRG，在虚拟路由器属性 (Virtual Router Properties) 中分配 VRG-inside 并保存。

   

4. 点击静态路由 (Static Route)。

5. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 (Interface) - 选择全局路由器的内部接口。

   • 网络 (Network) - 选择 any-ipv4 对象。

   • 网关 - 将其留空。将路由泄漏到另一个虚拟路由器时，请勿选择网关。

6. 点击确定。

7. 点击保存 (Save)。

步骤 4

将 VRB 和静态默认路由泄漏配置到全局路由器的内部接口，以便 VRB 用户访问共享服务器 172.16.10.x：

1. 依次选择 设备 > 设备管理，并且编辑 威胁防御 设备。

2. 依次选择路由 > 管理虚拟路由器。点击添加虚拟路由器 (Add Virtual Router)并创建 VRB。

3. 对于 VRB，在虚拟路由器属性 (Virtual Router Properties) 中分配 VRB-inside 并保存。

   

4. 点击静态路由 (Static Route)。

5. 点击添加路由。在添加静态路由配置中，指定以下内容：

   • 接口 (Interface) - 选择全局路由器的内部接口。

   • 网络 (Network) - 选择 any-ipv4 对象。

   • 网关 - 将其留空。将路由泄漏到另一个虚拟路由器时，请勿选择网关。

6. 点击确定。

7. 点击保存 (Save)。

步骤 5

重新访问 VRB-inside 接口配置：

1. 依次选择设备 > 设备管理 > 接口。

2. 点击 VRB-inside 接口的编辑 (Edit)。将 IP 地址指定为 192.168.1.1/24。现在，由于接口分别分配给两个不同的虚拟路由器，因此系统允许您使用 VRG-inside 的相同 IP 地址进行配置。

3. 点击确定。

4. 点击保存 (Save)。

步骤 6

为源对象 VRG 和 VRB 添加 NAT 规则。点击设备 (Devices) > NAT。

步骤 7

点击新策略 (New Policy) > 威胁防御 NAT (Threat Defense NAT)。

步骤 8

输入 NAT 策略名称，然后选择 威胁防御 设备。单击保存。

步骤 9

在 NAT 页面中，点击添加规则 (Add Rule) 并为 VRG 定义以下源 NAT：

步骤 10

点击确定。

步骤 11

在 NAT 页面中，点击添加规则 (Add Rule) 并为 VRB 定义以下源 NAT：

步骤 12

单击保存。

NAT 规则如下所示：

步骤 13

在 管理中心 中为每个 VRG 和 VRB 用户添加两个唯一的 AD 服务器 - 选择系统 (System) > 集成 (Integration) > 领域 (Realms)。

步骤 14

点击新建领域 (New Realm) 并填写字段。有关这些字段的详细信息，请参阅领域字段。

步骤 15

要控制来自 VRG 和 VRB 用户的访问，请定义 2 个 Active Directory，请参阅领域目录和同步字段请参阅创建 LDAP 领域或 Active Directory 领域和领域目录

步骤 16

在 管理中心 中添加 ISE - 选择系统 (System) > 集成 (Integration) > 身份源 (Identity Sources)。

步骤 17

点击身份服务引擎 (Identity Services Engine) 并填写字段。有关这些字段的详细信息，请参阅如何为无领域的用户控制配置 ISE/ISE-PIC。

步骤 18

创建身份策略和规则，然后定义访问控制策略，以便控制来自 VRG 和 VRB 的重叠用户的访问。

步骤 1

配置 VR-W 以将其带有路由目标的路由导出至 VR-S：

1. 选择设备 (Devices) > 设备管理 (Device Management)，编辑设备，然后点击路由 (Routing) 选项卡。

2. 在虚拟路由器下拉列表中选择 VR-W。

3. 点击 BGP > IPv4 > 路由导入/导出 (Route Import/Export)。

4. 要将 VR-W 路由泄漏到 VR-S，请使用路由目标标记路由，以便将 VR-W 路由导出到其 BGP 表中，并在它上面标记路由目标。在路由目标导出 (Route Targets Export) 字段中，输入一个值，例如 200:200。点击添加 (Add)：

   

5. 从虚拟路由器下拉列表中选择 VR-S。

6. 点击 BGP > IPv4 > 路由导入/导出 (Route Import/Export)。

7. 要从 VR-W 接收泄漏的路由，请配置“导入路由目标”(Import Route Target)，以便从（对等体或重新分发的）BGP 表导入标记有路由目标的 VR-W 路由。在路由目标导入 (Route Targets Import)字段中，输入您为 VR-W 配置的相同路由目标值 200:200。单击添加。

   

步骤 2

配置 VR-W 以便将其路由导出到全局虚拟路由器：

1. 您需要创建一个允许将 VR-W 路由导出到全局路由表的路由地图。选择对象 (Objects) > 对象管理 (Object Management) > 路由地图 (Route Map)。

2. 点击添加路由地图 (Add Route Map)，为其命名（如 Export-to-Global），然后点击添加 (Add)。

3. 指定序列号 (Sequence Number)（比如 1），然后从重新分配 (Redistribution) 下拉列表选择“运行”(Allow)：

   

4. 单击保存。

   在本例中，所有 VR-W 路由都会被泄漏到全局路由表。因此，没有为路由映射配置匹配条件。

5. 导航到设备的路由 (Routing) 选项卡，然后选择 VR-W。点击 BGP > IPv4 > 路由导入/导出 (Route Import/Export)。

6. 从全局虚拟路由器导出路由地图 (Global Virtual Router Export Route Map) 下拉列表中，选择 Export-to-Global：

   

步骤 3

要仅将 VR-S 的外部 1 路由泄漏到 VR-W，请执行以下操作：

1. 从虚拟路由器下拉列表中选择 VR-S。

2. 点击 BGP > IPv4 > 路由导入/导出 (Route Import/Export)。

3. 要将 VR-S 路由泄漏到 VR-W，请使用路由目标标记路由，以便将 VR-S 路由导出到其 BGP 表中，并在它上面标记路由目标。在路由目标导出 (Route Targets Export) 字段中，输入一个值，例如 100:100。单击添加。

4. 从虚拟路由器下拉列表中，选择 VR-W，然后选择 BGP > IPv4 > 路由导入/导出 (Route Import/Export)。

5. 要从 VR-S 接收泄漏的路由，请配置“导入路由目标”(Import Route Target)，以便从（对等体或重新分发的）BGP 表导入标记有路由目标的 VR-S 路由。在路由目标导入 (Route Targets Import) 字段中，输入 VR-S 路由目标值 100:100。单击添加。

6. 现在，您需要将 VR-S 的外部 1 路由限制为泄漏到 VR-W。选择对象 (Objects) > 对象管理 (Object Management) > 前缀列表 (Prefix List) > IPv4 前缀列表 (IPv4 Prefix List)。

7. 点击添加 IPv4 前缀列表 (Add IPv4 Prefix List)，提供名称（如 VRS-Outside1-Only），然后点击添加 (Add)。

8. 指定序列号 (Sequence Number)（比如 1），然后从重新分配 (Redistribution) 下拉列表选择“运行”(Allow)。

9. 输入 VR-S outside1 接口的 IP 地址（前两个八位组）。

10. 单击保存。

11. 使用带前缀列表的 match 子句来创建路由地图。点击路由地图 (Route Map)。点击添加路由映射 (Add Route Map)，指定名称（如 Import-from-VRS），然后点击添加 (Add)。

12. 指定序列号 (Sequence Number)（比如 1），然后从重新分配 (Redistribution) 下拉列表选择“运行”(Allow)。

13. 在匹配子句 (Match Clause) 选项卡中，点击 IPv4。在地址 (Address) 选项卡下，点击前缀列表 (Prefix List)。

14. 在可用 IPv4 前缀列表 (Available IPv4 Prefix List) 下，选择 VRS-Outside1-Only，然后点击添加 (Add)。

15. 单击保存。

16. 导航到设备的路由 (Routing) 选项卡，然后选择 VR-W。点击 BGP > IPv4 > 路由导入/导出 (Route Import/Export)。

17. 从全局虚拟路由器导入路由地图 (Global Virtual Router Import Route Map) 下拉列表中，选择 Import-from-VRS：

    

步骤 4

配置 VR-S 以便导入全局虚拟路由器的外部路由：

1. 选择对象 (Objects) > 对象管理 (Object Management) > 前缀列表 (Prefix List) > IPv4 前缀列表 (IPv4 Prefix List)。

2. 点击添加 IPv4 前缀列表 (Add IPv4 Prefix List)，提供名称（如 Global-Outside-Only），然后点击添加 (Add)。

3. 指定序列号 (Sequence Number)（比如 1），然后从重新分配 (Redistribution) 下拉列表选择“运行”(Allow)。

4. 输入 Global Outside 接口的 IP 地址（前两个八位组）：

   

5. 单击保存。

6. 点击路由地图 (Route Map)。点击添加路由映射 (Add Route Map)，指定名称（如 Import-from-Global），然后点击添加 (Add)。

7. 指定序列号 (Sequence Number)（比如 1），然后从重新分配 (Redistribution) 下拉列表选择“运行”(Allow)。

8. 在匹配子句 (Match Clause) 选项卡中，点击 IPv4。在地址 (Address) 选项卡下，点击前缀列表 (Prefix List)。

9. 在可用 IPv4 前缀列表 (Available IPv4 Prefix List) 下，选择 Global-Outside-Only，然后点击添加 (Add)。

   

10. 单击保存。

11. 导航到设备的路由 (Routing) 选项卡，然后选择 VR-S。点击 BGP > IPv4 > 路由导入/导出 (Route Import/Export)。

12. 从全局虚拟路由器导入路由地图 (Global Virtual Router Import Route Map) 下拉列表中，选择 Import-from-Global：

    

步骤 5

保存 (Save) 和部署 (Deploy)。