- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
01-安全域配置
本章节下载： 01-安全域配置 (182.84 KB)
安全域（Security Zone），是一个逻辑概念，用于管理防火墙设备上安全需求相同的多个接口。管理员将安全需求相同的接口进行分类，并划分到不同的安全域，能够实现安全控制策略的统一管理。
传统防火墙的安全控制策略配置通常是基于报文入接口、出接口的，进入和离开接口的流量基于接口上指定方向的策略规则进行过滤。这种基于接口的策略配置方式需要为每一个接口配置安全控制策略，给网络管理员带来配置和维护上的负担。随着防火墙技术的发展，防火墙已经逐渐摆脱了只连接外网和内网的角色，出现了内网/外网/DMZ（Demilitarized Zone，非军事区）的模式，并且向着提供高端口密度服务的方向发展。基于安全域来配置安全控制策略的方式可以解决上述问题。
DMZ这一术语起源于军方，指的是介于严格的军事管制区和松散的公共区域之间的一种有着部分管制的区域。安全域中引用这一术语，指代一个逻辑上和物理上都与内部网络和外部网络分离的区域。通常部署网络时，将那些需要被公共访问的设备（如Web server、FTP server等）放置于此。
一个安全域中，可以包含多个成员。例如，可以将公司防火墙设备上连接到研发部门不同网段的四个接口作为成员加入安全域Zone_RND，连接服务器区的两个接口作为成员加入安全域Zone_DMZ，这样管理员只需要部署这两个域之间的安全控制策略即可，此处的安全控制策略包括包过滤策略、ASPF策略、对象策略、安全策略等。如果后续网络环境发生了变化，则只需要调整相关域内的接口，而域间安全控制策略不需要修改。包过滤策略的相关配置请参考“ACL和QoS配置指导”中的“ACL”。ASPF策略的相关配置请参考“安全配置指导”中的“ASPF”。对象策略的相关配置请参考“安全配置指导”中的“对象策略”。
图1-1 安全域划分示意图
创建安全域后，设备上各接口的报文转发遵循以下规则：
· 一个安全域中的接口与一个不属于任何安全域的接口之间的报文，会被丢弃。
· 属于同一个安全域的各接口之间的报文缺省会被丢弃。
· 安全域之间或相同安全域的报文由安全控制策略进行安全检查，并根据检查结果放行或丢弃。若安全控制策略不存在或不生效，则报文会被丢弃。
· 非安全域的接口之间的报文,默认放行。
· 目的地址或源地址为本机的报文，缺省会被丢弃，若该报文与安全控制策略匹配，则由安全控制策略进行安全检查，并根据检查结果放行或丢弃。
· Management和Local安全域之间的报文，默认放行。
表1-1 安全域配置任务简介
|
配置任务 |
说明 |
详细配置 |
|
创建安全域 |
必选 |
|
|
向安全域中添加成员 |
必选 |
|
|
创建安全域间实例 |
可选 |
在缺省Context下创建的安全域属于缺省Context。如果要配置非缺省Context的安全域，则需要先创建对应的Context，然后再进入该Context的系统视图创建安全域。
当首次执行创建安全域或者安全域间实例的命令时，系统会自动创建以下缺省安全域：Local、Trust、DMZ、Management和Untrust。
缺省的安全域中没有接口，需要手工向其中添加接口，而且，缺省安全域不能被删除。
表1-2 创建安全域
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建安全域，并进入安全域视图 |
security-zone name zone-name |
- |
创建安全域后，需要给安全域添加成员。安全域的成员类型包括：
· 三层接口，包括三层以太网接口、三层以太网子接口和其它三层逻辑接口。配置该成员后，该接口收发的所有报文将由安全域下配置的安全控制策略来处理。
· 二层接口和VLAN。配置该成员后，该接口收发的、携带了指定VLAN Tag的报文，将由安全域下配置的安全控制策略来处理。
· VLAN。配置该成员后，携带了指定VLAN Tag的报文，将由安全域下配置的安全控制策略来处理。
· IPv4子网/IPv6子网。配置该成员后，系统会判断报文的源和目的IPv4/IPv6地址是否属于该子网范围，如果属于，则将交给安全域下配置的安全控制策略来处理。
· 服务链。配置该成员后，携带指定服务链的报文，将会安全域下配置的安全控制策略来处理。
当报文根据不同成员类型，匹配到不同安全域时，匹配优先顺序从高到低依次为服务链->IP子网->接口及VLAN，匹配过程中，当匹配到某一成员类型后，将不再继续往下匹配。
表1-3 向安全域中添加成员
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入安全域视图 |
security-zone name zone-name |
- |
|
向安全域中添加三层接口成员 |
import interface layer3-interface-type layer3-interface-number |
缺省情况下，安全域中不存在任何三层接口成员 可以通过多次执行本命令，向安全域中添加多个三层接口成员 |
|
向安全域中添加二层接口和VLAN成员 |
import interface layer2-interface-type layer2-interface-number vlan vlan-list |
缺省情况下，安全域中不存在任何二层接口和VLAN成员 可以通过多次执行本命令，向安全域中添加多个二层接口和VLAN成员 |
|
向安全域中添加VLAN成员 |
import vlan vlan-list |
缺省情况下，安全域中不存在任何VLAN成员 可以通过多次执行本命令，向安全域中添加多个VLAN成员 |
|
向安全域中添加IPv4子网成员 |
import ip ip-address { mask-length | mask } [ vpn-instance vpn-instance-name ] |
缺省情况下，安全域中不存在任何IPv4子网成员 可以通过多次执行本命令，向安全域中添加多个IPv4子网成员 |
|
向安全域中添加IPv6子网成员 |
import ipv6 ipv6-address prefix-length [ vpn-instance vpn-instance-name ] |
缺省情况下，安全域中不存在任何IPv6子网成员 可以通过多次执行本命令，向安全域中添加多个IPv6子网成员 |
|
向安全域中添加服务链成员 |
import service-chain path path-id [ reversed ] |
缺省情况下，安全域中不存在任何服务链成员，可以通过多次执行命令，向安全域中添加多个服务链成员 需要区分服务链的正向报文与反向报文分别添加安全域 |
安全域间实例用于指定安全控制策略（如包过滤策略、ASPF策略、对象策略、安全策略等）需要检测的业务流的源安全域和目的安全域，它们分别描述了经过网络设备的业务流的首个数据包要进入的安全域和要离开的安全域。在安全域间实例上应用安全控制策略可实现对指定的业务流进行安全控制策略检查。
当报文未匹配对应安全域间实例时，若存在any到any的安全域间实例，则匹配any到any安全域间实例，否则直接丢弃报文。
Management和Local安全域间之间的报文只能匹配Management与Local之间的安全域间实例，不会匹配any到any的安全域间实例。
当安全域间实例上同时应用了对象策略和包过滤策略时，对象策略的优先级高于包过滤策略。
表1-4 创建安全域间实例
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建安全域间实例，并进入安全域间实例视图 |
zone-pair security source { source-zone-name | any } destination { destination-zone-name | any } |
缺省情况下，不存在安全域间实例 |
在完成上述配置后，在任意视图下执行display命令可以显示配置后安全域的相关信息，通过查看显示信息验证配置的效果。
|
操作 |
命令 |
|
显示安全域信息，包括预定义的和自定义的安全域信息 |
display security-zone [ name zone-name ] |
|
显示已创建的所有安全域间实例的信息 |
display zone-pair security |
某公司以Device作为网络边界设备，连接公司内部网络和Internet。公司需要对外提供Web服务和FTP服务。现需要在Device上部署安全域，并基于以下安全需求进行域间安全控制策略的配置。
· 与接口GigabitEthernet1/0/1相连的公司内部网络属于可信任网络，部署在Trust域，可以自由访问服务器和外部网络。
· 与接口GigabitEthernet1/0/3相连的外部网络属于不可信任网络，部署在Untrust域，访问公司内部网络和服务器时，需要受到严格的域间安全控制策略的限制。
· 与接口GigabitEthernet1/0/2相连的Web server、FTP server部署在DMZ域，可以自由访问处于Untrust域的外部网络，但在访问处于Trust域的公司内部网络时，需要受到严格的域间安全控制策略的限制。
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域DMZ中添加接口GigabitEthernet1/0/2。
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/2
[Device-security-zone-DMZ] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/3。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/3
[Device-security-zone-Untrust] quit
# 配置ACL 3500，定义规则：允许IP流量。
[Device] acl advanced 3500
[Device-acl-ipv4-adv-3500] rule permit ip
[Device-acl-ipv4-adv-3500] quit
# 创建ASPF策略1，配置检测应用层协议FTP（FTP仅为示例，若要检测其它应用协议，可根据需要配置）。
[Device] aspf policy 1
[Device-aspf-policy-1] detect ftp
[Device-aspf-policy-1] quit
# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并在该安全域间实例上应用ASPF策略和包过滤策略，可以拒绝Untrust域用户对Trust的访问，但Trust域用户访问Untrust域以及返回的报文可以通过。
[Device] zone-pair security source trust destination untrust
[Device-zone-pair-security-Trust-Untrust] aspf apply policy 1
[Device-zone-pair-security-Trust-Untrust] packet-filter 3500
[Device-zone-pair-security-Trust-Untrust] quit
# 创建源安全域Trust到目的安全域DMZ的安全域间实例，并在该安全域间实例上开启ASPF检测功能，可以拒绝DMZ域用户对Trust的访问，但Trust域用户访问DMZ域以及返回的报文可以通过。
[Device] zone-pair security source trust destination dmz
[Device-zone-pair-security-Trust-DMZ] aspf apply policy 1
[Device-zone-pair-security-Trust-DMZ] packet-filter 3500
[Device-zone-pair-security-Trust-DMZ] quit
以上配置完成后，内网主机可访问外部网络以及DMZ域内的FTP服务器资源。外部网络向内部网络以及DMZ域主动发起的连接请求将被拒绝。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
