H3C SecCenter CSAP-NTA系列 网络全流量威胁分析探针

典型配置案例集

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：5W600-20210427

产品版本：E1260P11

 

目  录

1 简介··· 1

2 配置前提··· 1

3 IPS典型配置举例··· 1

3.1 在安全策略中引用缺省IPS策略配置举例·· 1

3.1.1 组网需求·· 1

3.1.2 配置步骤·· 1

3.1.3 验证配置·· 2

3.2 在安全策略中引用自定义IPS策略配置举例·· 3

3.2.1 组网需求·· 3

3.2.2 配置步骤·· 3

3.2.3 验证配置·· 4

3.3 手动离线升级IPS特征库配置举例·· 4

3.3.1 组网需求·· 4

3.3.2 配置步骤·· 5

3.3.3 验证配置·· 6

3.4 定时自动升级IPS特征库配置举例·· 7

3.4.1 组网需求·· 7

3.4.2 配置步骤·· 7

3.4.3 验证配置·· 8

4 URL过滤典型配置举例··· 8

4.1 在安全策略中引用URL过滤业务配置举例·· 8

4.1.1 组网需求·· 8

4.1.2 配置步骤·· 9

4.1.3 验证配置·· 10

4.2 手动离线升级URL过滤特征库配置举例·· 10

4.2.1 组网需求·· 10

4.2.2 配置步骤·· 11

4.2.3 验证配置·· 12

4.3 定期自动在线升级URL过滤特征库配置举例·· 13

4.3.1 组网需求·· 13

4.3.2 配置步骤·· 13

4.3.3 验证配置·· 14

5 数据过滤典型配置举例··· 14

5.1 在安全策略中引用数据过滤业务配置举例·· 14

5.1.1 组网需求·· 14

5.1.2 配置步骤·· 15

5.1.3 验证配置·· 17

6 文件过滤典型配置举例··· 17

6.1 在安全策略中引用文件过滤业务配置举例·· 17

6.1.1 组网需求·· 17

6.1.2 配置步骤·· 17

6.1.3 验证配置·· 18

7 防病毒典型配置举例··· 19

7.1 在安全策略中引用缺省防病毒策略配置举例·· 19

7.1.1 组网需求·· 19

7.1.2 配置步骤·· 19

7.1.3 验证配置·· 20

7.2 在安全策略中引用自定义防病毒策略配置举例·· 20

7.2.1 组网需求·· 20

7.2.2 配置步骤·· 21

7.2.3 验证配置·· 22

7.3 手动离线升级病毒特征库配置举例·· 22

7.3.1 组网需求·· 22

7.3.2 配置步骤·· 23

7.3.3 验证配置·· 24

7.4 定时自动升级病毒特征库配置举例·· 25

7.4.1 组网需求·· 25

7.4.2 配置步骤·· 25

7.4.3 验证配置·· 26

8 代理策略基础配置举例··· 26

8.1 组网需求·· 26

8.2 配置步骤·· 27

8.3 验证配置·· 29

9 WAF典型配置举例··· 29

9.1 在安全策略中引用缺省WAF策略配置举例·· 29

9.1.1 组网需求·· 29

9.1.2 配置步骤·· 30

9.1.3 验证配置·· 31

9.2 在安全策略中引用自定义WAF策略配置举例·· 31

9.2.1 组网需求·· 31

9.2.2 配置步骤·· 32

9.2.3 验证配置·· 33

9.3 手动离线升级WAF特征库配置举例·· 33

9.3.1 组网需求·· 33

9.3.2 配置步骤·· 33

9.3.3 验证配置·· 35

9.4 定时自动升级WAF特征库配置举例·· 35

9.4.1 组网需求·· 35

9.4.2 配置步骤·· 35

9.4.3 验证配置·· 37

10 APT防御典型配置举例··· 37

10.1 在安全策略中引用APT防御策略配置举例·· 37

10.1.1 组网需求·· 37

10.1.2 配置步骤·· 37

10.1.3 验证配置·· 39

11 IP信誉典型配置举例··· 39

11.1 IP信誉基础配置举例·· 39

11.1.1 组网需求·· 39

11.1.2 配置步骤·· 40

11.1.3 验证配置·· 41

12 域名信誉典型配置举例··· 41

12.1 域名信誉基础配置举例·· 41

12.1.1 组网需求·· 41

12.1.2 配置步骤·· 41

12.1.3 验证配置·· 42

 

1  简介

本文档介绍H3C SecCenter CSAP-NTA-V200、CSAP-NTA-V200网络全流量威胁分析探针常用功能典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解NTA产品相关特性。

3  IPS典型配置举例

3.1  在安全策略中引用缺省IPS策略配置举例

3.1.1  组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现要求使用设备上的缺省IPS策略对用户数据报文进行IPS防御。

图1 在安全策略中引用缺省IPS策略配置组网图

‌

3.1.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置DPI应用profile并激活IPS策略配置

# 创建名为sec的DPI应用profile，在sec中引用名称为default的缺省IPS策略，并指定该IPS策略的模式为protect。

[Device] app-profile sec

[Device-app-profile-sec] ips apply policy default mode protect

[Device-app-profile-sec] quit

# 激活IPS策略配置。

[Device] inspect activate

(5)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行IPS防御。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

3.1.3  验证配置

以上配置生效后，使用缺省IPS策略可以对已知攻击类型的网络攻击进行防御。比如GNU_Bash_Local_Memory_Corruption_Vulnerability(CVE-2014-718)类型的攻击报文经过Device设备时，Device会匹配该报文，并对报文按照匹配成功的IPS特征的动作（reset和logging）进行处理。

3.2  在安全策略中引用自定义IPS策略配置举例

3.2.1  组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有组网需求如下：

·     将编号为2的预定义IPS特征的动作改为丢弃并进行报文捕获和生成日志。

·     禁用编号为4的预定义IPS特征。

·     使编号为6的预定义IPS特征生效。

图2 在安全策略中引用自定义IPS策略配置组网图

‌

3.2.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置IPS策略

# 创建一个名称为ips1的IPS策略，配置IPS策略保护所有对象、启用编号为2的预定义IPS特征，并配置动作为丢弃、捕获报文并记录日志、禁用编号为4的预定义IPS特征、启用编号为6的预定义IPS特征。

[Device] ips policy ips1

[Device-ips-policy-ips1] protect-target all

[Device-ips-policy-ips1] signature override pre-defined 2 enable drop capture logging

[Device-ips-policy-ips1] signature override pre-defined 4 disable

[Device-ips-policy-ips1] signature override pre-defined 6 enable

[Device-ips-policy-ips1] quit

(5)     配置DPI应用profile并激活IPS策略配置

# 创建名为sec的DPI应用profile，在DPI应用profile sec中应用IPS策略ips1，并指定该IPS策略的模式为protect。

[Device] app-profile sec

[Device-app-profile-sec] ips apply policy ips1 mode protect

[Device-app-profile-sec] quit

# 激活IPS策略配置。

[Device] inspect activate

(6)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行IPS检测。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

3.2.3  验证配置

以上配置生效后，在IPS策略ips1中可看到以上有关IPS策略的配置。

3.3  手动离线升级IPS特征库配置举例

3.3.1  组网需求

如下图所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源，以及DMZ安全域的FTP服务器。FTP服务器根目录下保存了最新的IPS特征库文件ips-1.0.8-encrypt.dat，FTP服务器的登录用户名和密码分别为ips和123。现需要手动离线升级IPS特征库，加载最新的IPS特征。

图3 手动离线升级IPS特征库配置组网图

‌

3.3.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

(4)     配置安全策略

¡     配置安全策略规则放行Trust到Untrust安全域的流量，使内网用户可以访问外网资源

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

¡     配置安全策略规则放行Trust到DMZ安全域的流量，使内网用户可以访问DMZ安全域中的服务器

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-11-trust-dmz] source-zone trust

[Device-security-policy-ip-11-trust-dmz] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-11-trust-dmz] destination-zone dmz

[Device-security-policy-ip-11-trust-dmz] action pass

[Device-security-policy-ip-11-trust-dmz] quit

¡     配置安全策略规则放行设备与FTP服务器之间的流量，使设备可以访问FTP服务器，获取特征库文件

[Device] security-policy ip

[Device-security-policy-ip] rule name ftplocalout

[Device-security-policy-ip-12-ftplocalout] source-zone local

[Device-security-policy-ip-12-ftplocalout] destination-zone dmz

[Device-security-policy-ip-12-ftplocalout] destination-ip-subnet 192.168.2.0 24

[Device-security-policy-ip-12-ftplocalout] application ftp

[Device-security-policy-ip-12-ftplocalout] application ftp-data

[Device-security-policy-ip-12-ftplocalout] action pass

[Device-security-policy-ip-12-ftplocalout] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(5)     手动升级IPS特征库

# 采用FTP方式手动离线升级设备上的IPS特征库，且被加载的IPS特征库文件名为ips-1.0.8-encrypt.dat。

[Device] ips signature update ftp://ips:123@192.168.2.4/ips-1.0.8-encrypt.dat

3.3.3  验证配置

IPS特征库升级后，可以通过display ips signature library命令查看当前特征库的版本信息。

3.4  定时自动升级IPS特征库配置举例

3.4.1  组网需求

如下图所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源。现要求每周六上午九点前后半小时内，开始定期自动在线升级设备的IPS特征库。

图4 定时自动升级IPS特征库配置组网图

‌

3.4.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置DNS服务器地址

# 指定DNS服务器的IP地址为10.72.66.36，确保Device可以获取到官网的IP地址，具体配置步骤如下。

[Device] dns server 10.72.66.36

(5)     配置安全策略

¡     配置安全策略规则放行Trust到Untrust安全域的流量，使内网用户可以访问外网资源

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

¡     配置安全策略规则放行Local到Untrust安全域的流量，使设备可以访问官网的特征库服务专区，获取特征库文件

[Device] security-policy ip

[Device-security-policy-ip] rule name downloadlocalout

[Device-security-policy-ip-11-downloadlocalout] source-zone local

[Device-security-policy-ip-11-downloadlocalout] destination-zone untrust

[Device-security-policy-ip-11-downloadlocalout] action pass

[Device-security-policy-ip-11-downloadlocalout] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(6)     配置定期自动在线升级IPS特征库

# 设置定时自动升级IPS特征库计划为：每周六上午9:00:00前后30分钟内开始自动在线升级。

[Device] ips signature auto-update

[Device-ips-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60

[Device-ips-autoupdate] quit

3.4.3  验证配置

设置的定期自动在线升级IPS特征库时间到达后，可以通过display ips signature library命令查看当前特征库的版本信息。

4  URL过滤典型配置举例

4.1  在安全策略中引用URL过滤业务配置举例

4.1.1  组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有组网需求如下：

·     配置URL过滤功能，允许Trust安全域的主机访问Untrust安全域的Web Server上的www.sina.com。

·     配置预定义URL过滤分类Pre-Games的动作为丢弃并生成日志。

·     配置URL过滤策略的缺省动作为丢弃和生成日志。

图5 在安全策略中引用URL过滤业务配置组网图

‌

4.1.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置URL过滤功能

# 创建名为news的自定义URL过滤分类，并在分类中添加主机名www.sina.com。

[Device] url-filter category news severity 2000

[Device-url-filter-category-news] rule 1 host text www.sina.com

[Device-url-filter-category-news] quit

# 创建名为urlnews的URL过滤策略，配置自定义分类news的动作为允许、预定义URL过滤分类Pre-Games的动作为丢弃并生成日志、策略的缺省动作为丢弃和打印日志。

[Device] url-filter policy urlnews

[Device-url-filter-policy-urlnews] category news action permit

[Device-url-filter-policy-urlnews] category Pre-Games action drop logging

[Device-url-filter-policy-urlnews] default-action drop logging

[Device-url-filter-policy-urlnews] quit

(5)     配置DPI应用profile并激活URL过滤策略和规则配置

# 创建名为sec的DPI应用profile，并在DPI应用profile sec中应用URL过滤策略urlnews。

[Device] app-profile sec

[Device-app-profile-sec] url-filter apply policy urlnews

[Device-app-profile-sec] quit

# 激活URL过滤策略和规则配置。

[Device] inspect activate

(6)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行URL过滤检测。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

4.1.3  验证配置

以上配置生效后，Trust安全域的主机A、主机B和主机C都可以访问Untrust安全域的Web Server上的www.sina.com，但是都不能访问游戏类的网页。Trust安全域的主机尝试访问游戏类的URL请求将会被Device阻断并且打印日志。

4.2  手动离线升级URL过滤特征库配置举例

4.2.1  组网需求

如下图所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源，以及DMZ安全域的FTP服务器。FTP服务器根目录下保存了最新的URL过滤特征库文件url-1.0.2-encrypt.dat，FTP服务器的登录用户名和密码分别为url和123。现需要手动离线升级URL过滤特征库，加载最新的URL过滤分类。

图6 手动离线升级URL过滤特征库配置组网图

‌

4.2.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

(4)     配置安全策略

¡     配置安全策略规则放行Trust到Untrust安全域的流量，使内网用户可以访问外网资源

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

¡     配置安全策略规则放行Trust到DMZ安全域的流量，使内网用户可以访问DMZ安全域中的服务器

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-11-trust-dmz] source-zone trust

[Device-security-policy-ip-11-trust-dmz] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-11-trust-dmz] destination-zone dmz

[Device-security-policy-ip-11-trust-dmz] action pass

[Device-security-policy-ip-11-trust-dmz] quit

¡     配置安全策略规则放行设备与FTP服务器之间的流量，使设备可以访问FTP服务器，获取特征库文件

[Device] security-policy ip

[Device-security-policy-ip]rule name downloadlocalout

[Device-security-policy-ip-12-downloadlocalout] source-zone local

[Device-security-policy-ip-12-downloadlocalout] destination-zone dmz

[Device-security-policy-ip-12-downloadlocalout] destination-ip-subnet 192.168.2.0 24

[Device-security-policy-ip-12-downloadlocalout] application ftp

[Device-security-policy-ip-12-downloadlocalout] application ftp-data

[Device-security-policy-ip-12-downloadlocalout] action pass

[Device-security-policy-ip-12-downloadlocalout] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(5)     手动升级URL过滤特征库

# 采用FTP方式手动离线升级设备上的URL过滤特征库，且被加载的URL特征库文件名为url-1.0.2-encrypt.dat。

[Device] url-filter signature update ftp://url:123@192.168.2.4/url-1.0.2-encrypt.dat

4.2.3  验证配置

URL过滤特征库升级后，可以通过display url-filter signature library命令查看当前特征库的版本信息。

4.3  定期自动在线升级URL过滤特征库配置举例

4.3.1  组网需求

如下图所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源。现有组网需求如下：

·     配置每周六上午九点前后半小时内，开始定期自动在线升级设备的URL过滤特征库。

图7 定期自动在线升级URL过滤特征库配置组网图

‌

4.3.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置DNS服务器地址

# 指定DNS服务器的IP地址为10.72.66.36，确保Device可以获取到官网的IP地址，具体配置步骤如下。

[Device] dns server 10.72.66.36

(5)     配置安全策略

¡     配置安全策略规则放行Trust到Untrust安全域的流量，使内网用户可以访问外网资源

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

¡     配置安全策略规则放行Local到Untrust安全域的流量，使设备可以访问官网的特征库服务专区，获取特征库文件

[Device] security-policy ip

[Device-security-policy-ip] rule name downloadlocalout

[Device-security-policy-ip-11-downloadlocalout] source-zone local

[Device-security-policy-ip-11-downloadlocalout] destination-zone untrust

[Device-security-policy-ip-11-downloadlocalout] action pass

[Device-security-policy-ip-11-downloadlocalout] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(6)     配置定期自动在线升级URL过滤特征库

# 设置定期自动在线升级URL过滤特征库计划为：每周六上午9:00:00前后30分钟内开始自动在线升级。

[Device] url-filter signature auto-update

[Device-url-filter-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60

[Device-url-filter-autoupdate] quit

4.3.3  验证配置

设置的定期自动在线升级URL过滤特征库时间到达后，可以通过display url-filter signature library命令查看当前特征库的版本信息。

5  数据过滤典型配置举例

5.1  在安全策略中引用数据过滤业务配置举例

5.1.1  组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有以下组网需求：

·     阻止URI或者Body字段含有“uri”或“abc.*abc”关键字的HTTP报文通过。

·     阻止下载文件内容中含有“www.abcd.com”关键字的FTP报文通过。

·     对以上被阻止的报文生成日志信息。

图8 在安全策略中引用数据过滤业务配置组网图

‌

5.1.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置数据过滤功能

a.     配置关键字组

# 创建关键字组kg1，配置关键字文本uri和正则表示式abc.*abc；

[Device] data-filter keyword-group kg1

[Device-data-filter-kgroup-kg1] pattern 1 text uri

[Device-data-filter-kgroup-kg1] pattern 2 regex abc.*abc

[Device-data-filter-kgroup-kg1] quit

# 按照同样的步骤，创建关键字组kg2，配置匹配关键字文本www.abcd.com。

[Device] data-filter keyword-group kg2

[Device-data-filter-kgroup-kg2] pattern 1 text www.abcd.com

[Device-data-filter-kgroup-kg2] quit

b.     配置数据过滤策略

# 创建数据过滤规则r1，在规则r1中应用关键字组kg1，配置应用类型为HTTP，报文方向为会话的双向，动作为丢弃并输出日志。

[Device] data-filter policy p1

[Device-data-filter-policy-p1] rule r1

[Device-data-filter-policy-p1-rule-r1] keyword-group kg1

[Device-data-filter-policy-p1-rule-r1] application type http

[Device-data-filter-policy-p1-rule-r1] direction both

[Device-data-filter-policy-p1-rule-r1] action drop logging

[Device-data-filter-policy-p1-rule-r1] quit

# 按照同样的步骤，创建数据过滤规则r2，在规则r2中应用关键字组kg2，配置应用类型为FTP，报文方向为会话的下载方向，动作为丢弃并输出日志。

[Device-data-filter-policy-p1] rule r2

[Device-data-filter-policy-p1-rule-r2] keyword-group kg2

[Device-data-filter-policy-p1-rule-r2] application type ftp

[Device-data-filter-policy-p1-rule-r2] direction download

[Device-data-filter-policy-p1-rule-r2] action drop logging

[Device-data-filter-policy-p1-rule-r2] quit

(5)     配置DPI应用profile并激活数据过滤策略和规则配置

# 创建名称为sec的DPI应用profile，在DPI应用sec中应用数据过滤策略p1。

[Device] app-profile sec

[Device-app-profile-sec] data-filter apply policy p1

[Device-app-profile-sec] quit

# 激活数据过滤策略和规则配置。

[Device] inspect activate

(6)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行数据过滤检测。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

5.1.3  验证配置

完成上述配置后，符合上述条件的HTTP报文和FTP报文将被阻断，并输出日志信息。

6  文件过滤典型配置举例

6.1  在安全策略中引用文件过滤业务配置举例

6.1.1  组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有以下组网需求：

·     拒绝扩展名为pptx和dotx的文件通过。

·     对以上被阻止的文件生成日志信息。

图9 在安全策略中引用文件过滤业务配置组网图

‌

6.1.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置文件过滤功能

a.     创建文件类型组fg1，并配置文件过滤特征为pptx和dotx。

[Device] file-filter filetype-group fg1

[Device-file-filter-fgroup-fg1] pattern 1 text pptx

[Device-file-filter-fgroup-fg1] pattern 2 text dotx

[Device-file-filter-fgroup-fg1] quit

b.     创建文件过滤规则r1，引用文件类型组fg1，并配置应用类型为HTTP，报文方向为会话的双向，动作为丢弃并输出日志。

[Device] file-filter policy p1

[Device-file-filter-policy-p1] rule r1

[Device-file-filter-policy-p1-rule-r1] filetype-group fg1

[Device-file-filter-policy-p1-rule-r1] application type http

[Device-file-filter-policy-p1-rule-r1] direction both

[Device-file-filter-policy-p1-rule-r1] action drop logging

[Device-file-filter-policy-p1-rule-r1] quit

(5)     配置DPI应用profile并激活文件过滤策略和规则配置

# 创建名称为sec的DPI应用profile，在sec中引用文件过滤策略p1。

[Device] app-profile sec

[Device-app-profile-sec] file-filter apply policy p1

[Device-app-profile-sec] quit

# 激活文件过滤策略和规则配置。

[Device] inspect activate

(6)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行文件过滤检测。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

6.1.3  验证配置

完成上述配置后，符合上述条件的文件将被丢弃，并输出日志信息。

7  防病毒典型配置举例

7.1  在安全策略中引用缺省防病毒策略配置举例

7.1.1  组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现要求使用设备上的缺省防病毒策略对用户数据报文进行防病毒检测和防御。

图10 在安全策略中引用缺省防病毒策略配置组网图

‌

‌

7.1.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置DPI应用profile并激活防病毒策略配置

# 创建名为sec的DPI应用profile，在DPI应用profile sec中引用缺省防病毒策略default，并指定该防病毒策略的模式为protect。

[Device] app-profile sec

[Device-app-profile-sec] anti-virus apply policy default mode protect

[Device-app-profile-sec] quit

# 激活防病毒策略配置。

[Device] inspect activate

(5)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行防病毒检测。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

7.1.3  验证配置

以上配置生效后，使用缺省防病毒策略可以对已知攻击类型的网络攻击进行防御。

7.2  在安全策略中引用自定义防病毒策略配置举例

7.2.1  组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有组网需求如下：

·     将编号为2的预定义病毒特征设置为病毒例外。

·     将名称为139Email的应用设置为应用例外。

图11 在安全策略中引用自定义防病毒配置组网图

‌

7.2.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置防病毒策略

# 创建一个名称为antivirus1的防病毒策略，将编号为2的预定义病毒特征设置为病毒例外，将名称为139Email的应用设置为应用例外，并设置其动作为告警。

[Device] anti-virus policy antivirus1

[Device-anti-virus-policy-antivirus1] exception signature 2

[Device-anti-virus-policy-antivirus1] exception application 139Email action alert

[Device-anti-virus-policy-antivirus1] quit

(5)     配置DPI应用profile并激活防病毒策略配置

# 创建名为sec的DPI应用profile，在DPI应用profile sec中应用防病毒策略antivirus1，并指定该防病毒策略的模式为protect。

[Device] app-profile sec

[Device-app-profile-sec] anti-virus apply policy antivirus1 mode protect

[Device-app-profile-sec] quit

# 激活防病毒策略配置。

[Device] inspect activate

(6)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行防病毒检测。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

7.2.3  验证配置

以上配置生效后，在防病毒策略antivirus1中可看到以上有关防病毒策略的配置。

7.3  手动离线升级病毒特征库配置举例

7.3.1  组网需求

如下图所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源，以及DMZ安全域的FTP服务器。FTP服务器根目录下保存了最新的病毒特征库文件anti-virus-1.0.8-encrypt.dat，FTP服务器的登录用户名和密码分别为anti-virus和123。现需要手动离线升级病毒特征库，加载最新的病毒特征。

图12 手动离线升级病毒特征库配置组网图

‌

7.3.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

(4)     配置安全策略

¡     配置安全策略规则放行Trust到Untrust安全域的流量，使内网用户可以访问外网资源

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

¡     配置安全策略规则放行Trust到DMZ安全域的流量，使内网用户可以访问DMZ安全域中的服务器

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-11-trust-dmz] source-zone trust

[Device-security-policy-ip-11-trust-dmz] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-11-trust-dmz] destination-zone dmz

[Device-security-policy-ip-11-trust-dmz] action pass

[Device-security-policy-ip-11-trust-dmz] quit

¡     配置安全策略规则放行设备与FTP服务器之间的流量，使设备可以访问FTP服务器，获取特征库文件

[Device] security-policy ip

[Device-security-policy-ip] rule name downloadlocalout

[Device-security-policy-ip-12-downloadlocalout] source-zone local

[Device-security-policy-ip-12-downloadlocalout] destination-zone dmz

[Device-security-policy-ip-12-downloadlocalout] destination-ip-subnet 192.168.2.0 24

[Device-security-policy-ip-12-downloadlocalout] application ftp

[Device-security-policy-ip-12-downloadlocalout] application ftp-data

[Device-security-policy-ip-12-downloadlocalout] action pass

[Device-security-policy-ip-12-downloadlocalout] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(5)     手动升级防病毒特征库

# 采用FTP方式手动离线升级设备上的病毒特征库，被加载的病毒特征库文件名为anti-virus-1.0.8-encrypt.dat。

[Device] anti-virus signature update ftp:// anti-virus:123@192.168.2.4/anti-virus-1.0.8-encrypt.dat

7.3.3  验证配置

病毒特征库升级后，可以通过display anti-virus signature library命令查看当前特征库的版本信息。

7.4  定时自动升级病毒特征库配置举例

7.4.1  组网需求

如下图所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源。现要求每周六上午九点前后半小时内，开始定期自动在线升级设备的病毒特征库。

图13 定时自动升级病毒特征库配置组网图

‌

7.4.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置DNS服务器地址

# 指定DNS服务器的IP地址为10.72.66.36，确保Device可以获取到官网的IP地址，具体配置步骤如下。

[Device] dns server 10.72.66.36

(5)     配置安全策略

¡     配置安全策略规则放行Trust到Untrust安全域的流量，使内网用户可以访问外网资源

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

¡     配置安全策略规则放行Local到Untrust安全域的流量，使设备可以访问官网的特征库服务专区，获取特征库文件

[Device] security-policy ip

[Device-security-policy-ip] rule name downloadlocalout

[Device-security-policy-ip-11-downloadlocalout] source-zone local

[Device-security-policy-ip-11-downloadlocalout] destination-zone untrust

[Device-security-policy-ip-11-downloadlocalout] action pass

[Device-security-policy-ip-11-downloadlocalout] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(6)     配置定期自动在线升级病毒特征库

# 设置定时自动升级病毒特征库计划为：每周六上午9:00:00前后30分钟内，开始自动升级。

[Device] anti-virus signature auto-update

[Device-anti-virus-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60

[Device-anti-virus-autoupdate] quit

7.4.3  验证配置

设置的定期自动在线升级病毒特征库时间到达后，可以通过display anti-virus signature library命令查看当前特征库的版本信息

 

 

8  代理策略基础配置举例

8.1  组网需求

Device作为安全网关部署在内网边界。由于设备无法对HTTPS流量进行深度安全检测，导致部分攻击无法识别。现需要配置SSL解密功能，对HTTPS流量进行SSL解密，再进行DPI业务检测，保护企业内网用户安全。

图14 代理策略基本配置举例组网图

‌

8.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置对象组

# 创建名为obj1的IP地址对象组，并配置其子网地址为192.168.1.0/24。

[Device] object-group ip address obj1

[Device-obj-grp-ip-obj1] network subnet 192.168.1.0 24

[Device-obj-grp-ip-obj1] quit

(5)     导入SSL解密证书

# 导入名为trust.pem的可信SSL解密证书和名为untrust.pem的不可信SSL解密证书，分别用于签发标识为可信和不可信的代理服务器证书。

[Device] app-proxy ssl-decrypt-certificate import trust pem filename trust.pem

[Device] app-proxy ssl-decrypt-certificate import untrust pem filename untrust.pem

(6)     在内网用户浏览器上安装并信任名为trust.pem的可信SSL解密证书（具体配置步骤略）。

(7)     配置代理策略及规则

# 创建名为https的代理策略规则，对所有通过HTTPS协议访问Web服务器的连接进行SSL解密。

[Device] app-proxy-policy

[Device-app-proxy-policy] rule 1 name https

[Device-app-proxy-policy-rule-1-https] source-zone trust

[Device-app-proxy-policy-rule-1-https] destination-zone untrust

[Device-app-proxy-policy-rule-1-https] source-ip object-group obj1

[Device-app-proxy-policy-rule-1-https] service object-group https

[Device-app-proxy-policy-rule-1-https] action ssl-decrypt

[Device-app-proxy-policy-rule-1-https] quit

(8)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行IPS业务检测。具体配置步骤如下（本举例假设设备上已配置了IPS功能，有关IPS功能的详细介绍，请参见“DPI深度安全配置指导”中的“IPS”）。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 按照同样的步骤，配置名称为untrust-trust的安全策略规则，由于使用SSL代理功能时，设备同时作为代理客户端和代理服务器，需要放行外网到内网的流量。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name untrust-trust

[Device-security-policy-ip-11-untrust-trust] source-zone untrust

[Device-security-policy-ip-11-untrust-trust] destination-zone trust

[Device-security-policy-ip-11-untrust-trust] destination-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-11-untrust-trust] action pass

[Device-security-policy-ip-11-untrust-trust] profile sec

[Device-security-policy-ip-11-untrust-trust] quit

# 按照同样的步骤，配置名称为proxyserverlocalin和proxyserverlocalout的安全策略规则，保证设备可作为代理服务器，对客户端向服务器发起的访问流量进行代理。具体配置步骤如下。

[Device-security-policy-ip] rule name proxyserverlocalin

[Device-security-policy-ip-12-proxyserverlocalin] source-zone trust

[Device-security-policy-ip-12-proxyserverlocalin] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-12-proxyserverlocalin] destination-zone local

[Device-security-policy-ip-12-proxyserverlocalin] action pass

[Device-security-policy-ip-12-proxyserverlocalin] quit

[Device-security-policy-ip] rule name proxyserverlocalout

[Device-security-policy-ip-13-proxyserverlocalout] source-zone local

[Device-security-policy-ip-13-proxyserverlocalout] destination-zone trust

[Device-security-policy-ip-13-proxyserverlocalout] destination-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-13-proxyserverlocalout] action pass

[Device-security-policy-ip-13-proxyserverlocalout] quit

# 按照同样的步骤，配置名称为proxyclientlocalin和proxyclientlocalout的安全策略规则，保证设备可作为代理客户端，对服务器发往客户端的流量进行代理。具体配置步骤如下。

[Device-security-policy-ip] rule name proxyclientlocalin

[Device-security-policy-ip-14-proxyclientlocalin] source-zone untrust

[Device-security-policy-ip-14-proxyclientlocalin] destination-zone local

[Device-security-policy-ip-14-proxyclientlocalin] destination-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-14-proxyclientlocalin] action pass

[Device-security-policy-ip-14-proxyclientlocalin] quit

[Device-security-policy-ip] rule name proxyclientlocalout

[Device-security-policy-ip-15-proxyclientlocalout] source-zone local

[Device-security-policy-ip-15-proxyclientlocalout] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-15-proxyclientlocalout] destination-zone untrust

[Device-security-policy-ip-15-proxyclientlocalout] action pass

[Device-security-policy-ip-15-proxyclientlocalout] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

8.3  验证配置

以上配置完成后，设备将对HTTPS流量进行SSL解密，解密后再进行入侵防御业务的检测。

9  WAF典型配置举例

9.1  在安全策略中引用缺省WAF策略配置举例

9.1.1  组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与内部网络和Internet相连。现要求使用设备上的缺省WAF策略对内部网络进行Web攻击防御。

图15 在安全策略中引用缺省WAF策略配置组网图

‌

9.1.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置DPI应用profile并激活WAF策略配置

# 创建名为sec的DPI应用profile，在sec中引用名称为default的缺省WAF策略，并指定该WAF策略的模式为protect。

[Device] app-profile sec

[Device-app-profile-sec] waf apply policy default mode protect

[Device-app-profile-sec] quit

# 激活WAF策略配置。

[Device] inspect activate

(5)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行WAF攻击防御。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

9.1.3  验证配置

以上配置生效后，使用缺省WAF策略可以对已知攻击类型的Web攻击进行防御。比如GNU_Bash_Remote_Code_Execution_Vulnerability(CVE-2014-6271)类型的攻击报文经过Device设备时，Device会匹配该报文，并对报文按照匹配成功的WAF特征的动作（reset和logging）进行处理。

9.2  在安全策略中引用自定义WAF策略配置举例

9.2.1  组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与内部网络和Internet相连。现有组网需求如下：

·     使用设备上的WAF策略对内部网络进行Web攻击防御。

·     将编号为2的预定义WAF特征的动作改为丢弃并生成日志。

图16 在安全策略中引用自定义WAF策略配置组网图

‌

9.2.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置WAF策略

# 创建一个名称为waf1的WAF策略，配置筛选WAF特征的方向属性为客户端，并配置编号为2的预定义WAF特征的状态为开启，动作为丢弃并生成日志信息。

[Device] waf policy waf1

[Device-waf-policy-waf1] object-dir client

[Device-waf-policy-waf1] signature override pre-defined 2 enable drop logging

[Device-waf-policy-waf1] quit

(5)     配置DPI应用profile并激活WAF策略配置

# 创建名为sec的DPI应用profile，在DPI应用profile sec中引用WAF策略waf1，并指定该WAF策略的模式为protect。

[Device] app-profile sec

[Device-app-profile-sec] waf apply policy waf1 mode protect

[Device-app-profile-sec] quit

# 激活WAF策略配置。

[Device] inspect activate

(6)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行WAF攻击防御。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

9.2.3  验证配置

以上配置生效后，将有如下验证结果：

·     使用自定义WAF策略可以对已知类型的Web攻击进行防御。

·     当有报文匹配到编号为2的预定义WAF特征时，设备将丢弃该报文并生成日志信息。

9.3  手动离线升级WAF特征库配置举例

9.3.1  组网需求

如下图所示，位于Trust安全域的内部网络可通过Device访问Untrust安全域的Internet资源，以及DMZ安全域的FTP服务器。FTP服务器根目录下保存了最新的WAF特征库文件waf-1.0.8-encrypt.dat，FTP服务器的登录用户名和密码分别为waf和123。现需要手动离线升级WAF特征库，加载最新的WAF特征。

图17 手动离线升级WAF特征库配置组网图

‌

9.3.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

(4)     配置安全策略

¡     配置安全策略规则放行Trust到Untrust安全域的流量，使内网用户可以访问外网资源

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

¡     配置安全策略规则放行Trust到DMZ安全域的流量，使内网用户可以访问DMZ安全域中的服务器

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-11-trust-dmz] source-zone trust

[Device-security-policy-ip-11-trust-dmz] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-11-trust-dmz] destination-zone dmz

[Device-security-policy-ip-11-trust-dmz] action pass

[Device-security-policy-ip-11-trust-dmz] quit

¡     配置安全策略规则放行设备与FTP服务器之间的流量，使设备可以访问FTP服务器，获取特征库文件

[Device] security-policy ip

[Device-security-policy-ip] rule name downloadlocalout

[Device-security-policy-ip-12-downloadlocalout] source-zone local

[Device-security-policy-ip-12-downloadlocalout] destination-zone dmz

[Device-security-policy-ip-12-downloadlocalout] destination-ip-subnet 192.168.2.0 24

[Device-security-policy-ip-12-downloadlocalout] application ftp

[Device-security-policy-ip-12-downloadlocalout] application ftp-data

[Device-security-policy-ip-12-downloadlocalout] action pass

[Device-security-policy-ip-12-downloadlocalout] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(5)     手动升级WAF特征库

# 采用FTP方式手动离线升级设备上的WAF特征库，且被加载的WAF特征库文件名为waf-1.0.8-encrypt.dat。

[Device] waf signature update ftp://waf:123@192.168.2.4/waf-1.0.8-encrypt.dat

9.3.3  验证配置

WAF特征库升级后，可以通过display waf signature library命令查看当前特征库的版本信息。

9.4  定时自动升级WAF特征库配置举例

9.4.1  组网需求

如下图所示，位于Trust安全域的内部网络可以通过Device访问Untrust安全域的Internet资源。现要求每周六上午九点前后半小时内，开始定期自动在线升级设备的WAF特征库。

图18 定时自动升级WAF特征库配置组网图

‌

9.4.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置DNS服务器地址

# 指定DNS服务器的IP地址为10.72.66.36，确保Device可以获取到官网的IP地址，具体配置步骤如下。

[Device] dns server 10.72.66.36

(5)     配置安全策略

¡     配置安全策略规则放行Trust到Untrust安全域的流量，使内网用户可以访问外网资源

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

¡     配置安全策略规则放行Local到Untrust安全域的流量，使设备可以访问官网的特征库服务专区，获取特征库文件

[Device] security-policy ip

[Device-security-policy-ip] rule name downloadlocalout

[Device-security-policy-ip-11-downloadlocalout] source-zone local

[Device-security-policy-ip-11-downloadlocalout] destination-zone untrust

[Device-security-policy-ip-11-downloadlocalout] action pass

[Device-security-policy-ip-11-downloadlocalout] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(6)     配置定期自动在线升级WAF特征库

# 设置定时自动升级WAF特征库计划为：每周六上午9:00:00前后30分钟内，开始自动升级。

[Device] waf signature auto-update

[Device-waf-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60

[Device-waf-autoupdate] quit

9.4.3  验证配置

设置的定期自动在线升级WAF特征库时间到达后，可以通过display waf signature library命令查看当前特征库的版本信息。

10  APT防御典型配置举例

10.1  在安全策略中引用APT防御策略配置举例

10.1.1  组网需求

Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。企业内网中部署了沙箱，且沙箱与Device路由可达。现需要Device与沙箱联动，保护内网用户免受APT攻击，当沙箱检测到APT攻击时，对攻击流量执行阻断操作。

图19 在安全策略中引用APT防御策略配置组网图

‌

10.1.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

(4)     配置沙箱联动功能

[Device] sandbox

[Device-sandbox] sandbox-address 192.168.2.4

[Device-sandbox] username admin

[Device-sandbox] password simple 123456abc

[Device-sandbox] linkage enable

[Device-sandbox] linkage try

(5)     配置APT防御策略

# 创建一个名称为apt1的APT防御策略，并配置需要送往沙箱检测的应用层协议为HTTP、文件类型为PE、文件传输方向为upload。

[Device] apt policy apt1

[Device-apt-policy-apt1] application type http

[Device-apt-policy-apt1] file-type pe

[Device-apt-policy-apt1] file-direction upload

[Device-apt-policy-apt1] quit

(6)     配置DPI应用profile引用APT防御策略和防病毒策略，具体配置步骤如下（本举例假设设备上已经配置了名称为antivirus1的防病毒策略，策略中将所有传输病毒文件的协议报文的动作设置为阻断，有关防病毒功能的详细介绍，请参见“DPI深度安全配置指导”中的“防病毒”。）

# 创建名为sec的DPI应用profile，并在其中引用名称为apt1的APT防御策略和名称为antivirus1的防病毒策略。

[Device] app-profile sec

[Device-app-profile-sec] apt apply policy apt1

[Device-app-profile-sec] anti-virus apply policy antivirus1 mode protect

[Device-app-profile-sec] quit

(7)     配置安全策略

¡     配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行APT防御

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] profile sec

[Device-security-policy-ip-10-trust-untrust] quit

¡     配置名称为sandboxlocalout的安全策略规则，使设备可将待检测流量上送到沙箱服务器进行检测

[Device-security-policy-ip] rule name sandboxlocalout

[Device-security-policy-ip-11-sandboxlocalout] source-zone local

[Device-security-policy-ip-11-sandboxlocalout] destination-zone dmz

[Device-security-policy-ip-11-sandboxlocalout] destination-ip-subnet 192.168.2.0 24

[Device-security-policy-ip-11-sandboxlocalout] action pass

[Device-security-policy-ip-11-sandboxlocalout] quit

¡     配置名称为sandboxlocalin的安全策略规则，使沙箱服务器可将检测结果下发到设备

[Device-security-policy-ip] rule name sandboxlocalin

[Device-security-policy-ip-12-sandboxlocalin] source-zone dmz

[Device-security-policy-ip-12-sandboxlocalin] destination-zone local

[Device-security-policy-ip-12-sandboxlocalin] source-ip-subnet 192.168.2.0 24

[Device-security-policy-ip-12-sandboxlocalin] action pass

[Device-security-policy-ip-12-sandboxlocalin] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

10.1.3  验证配置

以上配置生效后，Device将与沙箱联动，保护内网用户免受APT攻击。当沙箱检测到APT攻击时，将对后续攻击流量执行阻断操作。

11  IP信誉典型配置举例

11.1  IP信誉基础配置举例

11.1.1  组网需求

如下图所示Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现在需要通过使能IP信誉功能，对所有进出Device的流量进行控制，并需要开启Top统计功能，方便管理员查看攻击统计信息。

图20 IP信誉基础配置组网图

‌

11.1.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(5)     配置IP信誉功能

# 开启IP信誉功能。

[Device] ip-reputation

[Device-ip-reputation] global enable

# 开启Top排名统计功能。

[Device-ip-reputation] top-hit-statistics enable

# 配置IP信誉库中编号为1的攻击分类对应的动作为丢弃和记录日志。

[Device-ip-reputation] attack-category 1 action deny logging enable

[Device-ip-reputation] quit

11.1.3  验证配置

配置完成后，当攻击报文匹配到编号为1的攻击分类时，设备将对报文执行丢弃动作，并会记录IP信誉日志。管理员可到Web界面侧查看IP信誉Top排名统计信息。

12  域名信誉典型配置举例

12.1  域名信誉基础配置举例

12.1.1  组网需求

如下图所示Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现在需要通过使能域名信誉功能，对公司各部门的非法域名请求进行控制。

图21 域名信誉基础配置组网图

‌

12.1.2  配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(3)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(5)     配置域名信誉功能

# 开启域名信誉功能。

[Device] domain-reputation

[Device-domain-reputation] global enable

# 开启Top排名统计功能。

[Device-domain-reputation] top-hit-statistics enable

# 配置域名信誉库中编号为1的攻击分类对应的动作为丢弃和记录日志。

[Device-domain-reputation] attack-category 1 action deny logging enable

12.1.3  验证配置

配置完成后，当攻击报文匹配到编号为1的攻击分类时，设备将对报文执行丢弃动作，并会记录日志。管理员可到Web界面侧查看域名信誉Top排名统计信息。