F100-M-G 基本域间策略配置

设备存在两种类型的安全域，分别是：

Local：本地域

Trust：安全域

DMZ：应用域

Untrust：不安全域

Management：管理域

• 缺省安全域：

不需要通过命令zone name 配置就已经存在的安全域，名称为：Local、Trust、DMZ、Untrust 和Management。

 

• 非缺省安全域：

通过命令 zone name 创建的安全域。

设备安全域之间的互访策略存在两种状态，

一种是优先级访问策略状态，

一种是无优先级访问策略状态。

 

(1) 优先级访问策略状态，安全域之间的访问规则如下：

• 在系统视图下，执行 interzone policy default by-priority 命令，系统会工作在优先级访问策略状态。

• 同一安全域之间，默认访问策略为 permit。

• 高优先级安全域到低优先级安全域之间，默认访问策略为 permit。

• 安全域到 Local 域之间，默认访问策略为permit。

• Local 域到安全域之间，默认访问策略为permit。

• 低优先级安全域到高优先级安全域，默认访问策略为 deny，如果要实现互通访问，需要配置域间策略。

 

(2) 无优先级访问策略状态，安全域之间访问规则如下：

• 在系统视图下，执行 undo interzone policy default by-priority 命令，系统会工作在无优先级访问策略状态。

• 无论是缺省安全域，还是非缺省安全域，都没有优先级的概念。下述接口之间的报文要实现互访，必须在安全域间实例上配置安全策略，而且只有匹配放行策略的报文，才允许通过，否则系统默认丢弃这些接口之间发送的报文：

a. 处于非安全域的接口之间

b. 同一个安全域的接口之间

c. 处于不同安全域的接口之间

d. 处于安全域的接口和处于非安全域的接口之间

e. 目的地址或源地址为本机的报文，缺省会被丢弃，若该报文与域间策略匹配，则由域间策略进行安全检查，并根据检查结果放行或丢弃。

 

 

基本域间策略配置举例

3.1 组网需求

如 图1 所示，公司内部网络通过Firewall与Internet互连。要求：

. 正确配置域间策略，允许内部主机Public（IP 地址为10.1.1.12/24）在任何时候访问外部网络；

. 禁止内部其他主机在上班时间（星期一～星期五的 8:00～18:00）访问外部网络。

. 管理主机连接防火墙端口 GigabitEthernet0/0，对设备进行Web 管理。

图1 基本域间策略配置组网图

 

 

 

3.2 配置思路

. 为了使域间策略在规定的时间内生效，要在配置域间策略前按组网要求配置好时间段。

. 为了对网络访问行为进行监控，需开启日志功能。

. 为了对设备进行 Web 管理，需要配置管理口所在安全域到Local 域的域间策略，这里管理口为GigabitEthernet0/0。

 

配置步骤

3.5.1 通过命令行设置管理口，实现对设备的Web管理

# 通过Console 口登录设备。

# 系统默认将管理口加入到Management 域。如果未加入，则需要手动配置。

<Firewall> system-view

[Firewall] zone name management

[Firewall-zone-management] import interface gigabitethernet 0/0

[Firewall-zone-management] quit

 

# 配置管理口GigabitEthernet 0/0 的IP 地址。

[Firewall] interface gigabitethernet 0/0

[Firewall-GigabitEthernet0/0] ip address 192.168.2.1 24

[Firewall-GigabitEthernet0/0] quit

 

# 配置地址对象，管理主机的IP 地址为192.168.2.2。

[Firewall] object network host manage-pc

[Firewall-object-network-manage-pc] host address 192.168.2.2

[Firewall-object-network-manage-pc] quit

 

# 配置Management 域到Local 域之间的域间策略。

[Firewall] interzone source management destination local

[Firewall-interzone-management-local] rule 0 permit

[Firewall-interzone-management-local-rule-0] source-ip manage-pc

[Firewall-interzone-management-local-rule-0] destination-ip any_address

[Firewall-interzone-management-local-rule-0] service http

[Firewall-interzone-management-local-rule-0] rule enable

[Firewall-interzone-management-local-rule-0] quit

# 如果系统无用户名，需要设置相应的用户名，并开启相应服务，用于Web 登录。

 

通过命令行方式配置Firewall

# 配置接口GigabitEthernet0/1 的地址。

<Firewall> system-view

[Firewall] interface gigabitethernet 0/1

[Firewall-GigabitEthernet0/1] ip address 20.1.1.1 24

[Firewall-GigabitEthernet0/1] quit

# 配置接口GigabitEthernet0/2 的地址。

[Firewall] interface gigabitethernet 0/2

[Firewall-GigabitEthernet0/2] ip address 10.1.1.1 24

[Firewall-GigabitEthernet0/2] quit

# 将接口GigabitEthernet0/1 加入Untrust 域。

[Firewall] zone name untrust

[Firewall-zone-untrust] import interface gigabitethernet 0/1

[Firewall-zone-untrust] quit

# 将接口GigabitEthernet0/2 加入Trust 域。

[Firewall] zone name trust

10

[Firewall-zone-trust] import interface gigabitethernet 0/2

[Firewall-zone-trust] quit

# 配置时间段（星期一～星期五的8:00～18:00）。

[Firewall] time-range worktime 08:00 to 18:00 working-day

# 配置主机地址资源对象public。

[Firewall] object network host public

[Firewall-object-network-public] host address 10.1.1.12

[Firewall-object-network-public] quit

# 配置允许主机Public 在任何时候访问外部网络的域间策略规则。

[Firewall] interzone source trust destination untrust

[Firewall-interzone-trust-untrust] rule permit logging

[Firewall-interzone-trust-untrust-rule-0] source-ip public

[Firewall-interzone-trust-untrust-rule-0] destination-ip any_address

[Firewall-interzone-trust-untrust-rule-0] service any_service

[Firewall-interzone-trust-untrust-rule-0] rule enable

[Firewall-interzone-trust-untrust-rule-0] quit

# 配置禁止其他主机在上班时间访问外部网络的域间策略规则。

[Firewall] interzone source trust destination untrust

[Firewall-interzone-trust-untrust] rule 1 deny logging time-range worktime

[Firewall-interzone-trust-untrust-rule-1] source-ip any_address

[Firewall-interzone-trust-untrust-rule-1] destination-ip any_address

[Firewall-interzone-trust-untrust-rule-1] service any_service

[Firewall-interzone-trust-untrust-rule-1] rule enable

[Firewall-interzone-trust-untrust-rule-1] quit

# 配置允许其他主机在非上班时间访问外部网络的域间策略规则。

[Firewall] interzone source trust destination untrust

[Firewall-interzone-trust-untrust] rule 2 permit logging

[Firewall-interzone-trust-untrust-rule-1] source-ip any_address

[Firewall-interzone-trust-untrust-rule-1] destination-ip any_address

[Firewall-interzone-trust-untrust-rule-1] service any_service

[Firewall-interzone-trust-untrust-rule-1] rule enable

[Firewall-interzone-trust-untrust-rule-1] quit

 

 

 

 

 

配置文件

#

time-range worktime 08:00 to 18:00 working-day

#

interface GigabitEthernet0/0

port link-mode route

ip address 192.168.2.1 24

#

interface GigabitEthernet0/1

port link-mode route

ip address 20.1.1.1 24

#

interface GigabitEthernet0/2

port link-mode route

ip address 10.1.1.1 24

#

zone name Management id 0

priority 100

import interface GigabitEthernet0/0

#

zone name Trust id 2

priority 85

import interface GigabitEthernet0/2

zone name Untrust id 4

priority 5

import interface GigabitEthernet0/1

switchto vd Root

object network host manage-pc

host address 192.168.2.2

object network host public

host address 10.1.1.12

interzone source Management destination Local

rule 0 permit

source-ip manage-pc

destination-ip any_address

service http

rule enable

interzone source Trust destination Untrust

rule 0 permit logging

source-ip public

12

destination-ip any_address

service any_service

rule enable

rule 1 deny logging time-range worktime

source-ip any_address

destination-ip any_address

service any_service

rule enable

rule 2 permit logging

source-ip any_address

destination-ip any_address

service any_service

rule enable