- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
01-安全域配置
本章节下载： 01-安全域配置 (253.03 KB)
安全域（Security Zone），是一个逻辑概念，用于管理防火墙设备上安全需求相同的多个接口。管理员将安全需求相同的接口进行分类，并划分到不同的安全域，能够实现安全控制策略的统一管理。
传统防火墙的安全控制策略配置通常是基于报文入接口、出接口的，进入和离开接口的流量基于接口上指定方向的策略规则进行过滤。这种基于接口的策略配置方式需要为每一个接口配置安全控制策略，给网络管理员带来配置和维护上的负担。随着防火墙技术的发展，防火墙已经逐渐摆脱了只连接外网和内网的角色，出现了内网/外网/DMZ（Demilitarized Zone，非军事区）的模式，并且向着提供高端口密度服务的方向发展。基于安全域来配置安全控制策略的方式可以解决上述问题。
DMZ这一术语起源于军方，指的是介于严格的军事管制区和松散的公共区域之间的一种有着部分管制的区域。安全域中引用这一术语，指代一个逻辑上和物理上都与内部网络和外部网络分离的区域。通常部署网络时，将那些需要被公共访问的设备（如Web server、FTP server等）放置于此。
一个安全域中，可以包含多个成员。例如，可以将公司防火墙设备上连接到研发部门不同网段的四个接口作为成员加入安全域Zone_RND，连接服务器区的两个接口作为成员加入安全域Zone_DMZ，这样管理员只需要部署这两个域之间的安全控制策略即可，此处的安全控制策略包括包过滤策略、ASPF策略、对象策略、安全策略等。如果后续网络环境发生了变化，则只需要调整相关域内的接口，而域间安全控制策略不需要修改。包过滤策略的相关配置请参考“ACL和QoS配置指导”中的“ACL”。ASPF策略的相关配置请参考“安全配置指导”中的“ASPF”。对象策略的相关配置请参考“安全配置指导”中的“对象策略”。
图1-1 安全域划分示意图
创建安全域后，设备上各接口的报文转发遵循以下规则：
· 一个安全域中的接口与一个不属于任何安全域的接口之间的报文，会被丢弃。
· 属于同一个安全域的各接口之间的报文缺省会被丢弃。
· 安全域之间的报文由安全控制策略进行安全检查，并根据检查结果放行或丢弃。若安全控制策略不存在或不生效，则报文会被丢弃。
· 非安全域的接口之间的报文被丢弃。
· 目的地址或源地址为本机的报文，缺省会被丢弃，若该报文与安全控制策略匹配，则由安全控制策略进行安全检查，并根据检查结果放行或丢弃。
表1-1 安全域配置任务简介
|
配置任务 |
说明 |
详细配置 |
|
创建安全域 |
必选 |
|
|
向安全域中添加成员 |
必选 |
|
|
创建安全域间实例 |
可选 |
|
|
配置安全域内接口间报文处理的缺省动作 |
可选 |
在缺省Context下创建的安全域属于缺省Context。如果要配置非缺省Context的安全域，则需要先创建对应的Context，然后再进入该Context的系统视图创建安全域。
当首次执行创建安全域或者域间策略的命令时，系统会自动创建以下缺省安全域：Local、Trust、DMZ、Management和Untrust。
缺省安全域不能被删除。
表1-2 创建安全域
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建安全域，并进入安全域视图 |
security-zone name zone-name |
- |
创建安全域后，需要给安全域添加成员。安全域的成员类型包括：
· 三层接口，包括三层以太网接口、三层以太网子接口和其它三层逻辑接口。配置该成员后，该接口收发的所有报文将由安全域下配置的安全策略来处理。
· 二层接口和VLAN。配置该成员后，该接口收发的、携带了指定VLAN Tag的报文，将由安全域下配置的安全控制策略来处理。
在缺省Context下，除Management安全域外，其它安全域中没有接口，需要手工向其中添加接口。
缺省情况下，不同设备Management安全域中的接口不同，具体差异如下。
|
型号 |
接口 |
|
F5010/F5020/F5030/F5030-6GW/F5040/F5060/F5080/F5000-M/F5000-S/F5000-C |
GigabitEthernet1/0/0 |
|
F1005/F1010/F1020/F1030/F1050/F1060/F1070/F1080/F1070-GM |
· F1005/F1010：GigabitEthernet1/0/0和GigabitEthernet1/0/2 · F1020/F1030/F1050/F1060/F1070/F1080/F1070-GM：GigabitEthernet1/0/0 |
|
F1000-AK108/AK109/AK110/AK115/AK120/AK125/AK130/AK135/AK140/AK145/AK150/AK155/AK160/AK165/AK170/AK175/AK180/AK185/AK710/AK711 |
· F1000-AK108/AK109/AK110/AK115/AK120/AK125/AK710：GigabitEthernet1/0/0和GigabitEthernet1/0/2 · F1000-AK130/AK135/AK140/AK145/AK150/AK155/AK160/AK165/AK170/AK175/AK180/AK185/AK711：GigabitEthernet1/0/0 |
|
F1000-GM-AK370/F1000-GM-AK380 |
GigabitEthernet1/0/0 |
|
LSU3FWCEA0/LSUM1FWCEAB0/LSX1FWCEA1 |
GigabitEthernet1/0/1 |
|
LSXM1FWDF1/LSUM1FWDEC0/IM-NGFWX-IV/LSQM1FWDSC0/LSWM1FWD0/LSPM6FWD |
GigabitEthernet1/0/1 |
表1-3 向安全域中添加成员
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入安全域视图 |
security-zone name zone-name |
- |
|
向安全域中添加三层接口成员 |
import interface layer3-interface-type layer3-interface-number |
缺省情况下，安全域中不存在任何三层接口成员 可以通过多次执行本命令，向安全域中添加多个三层接口成员 |
|
向安全域中添加二层接口和VLAN成员 |
import interface layer2-interface-type layer2-interface-number vlan vlan-list |
缺省情况下，安全域中不存在任何二层接口和VLAN成员 可以通过多次执行本命令，向安全域中添加多个二层接口和VLAN成员 |
|
向安全域中添加VLAN成员 |
import vlan vlan-list |
缺省情况下，安全域中不存在任何VLAN成员 可以通过多次执行本命令，向安全域中添加多个VLAN成员 |
|
向安全域中添加IPv4子网成员 |
import ip ip-address { mask-length | mask } [ vpn-instance vpn-instance-name ] |
缺省情况下，安全域中不存在任何IPv4子网成员 可以通过多次执行本命令，向安全域中添加多个IPv4子网成员 |
|
向安全域中添加IPv6子网成员 |
import ipv6 ipv6-address prefix-length [ vpn-instance vpn-instance-name ] |
缺省情况下，安全域中不存在任何IPv6子网成员 可以通过多次执行本命令，向安全域中添加多个IPv6子网成员 |
|
向安全域中添加服务链成员 |
import service-chain path path-id [ reversed ] |
缺省情况下，安全域中不存在任何服务链成员，可以通过多次执行命令，向安全域中添加多个服务链成员 需要区分服务链的正向报文与反向报文分别添加安全域 |
安全域间实例用于指定安全控制策略（如包过滤策略、ASPF策略、对象策略等）需要检测的业务流的源安全域和目的安全域，它们分别描述了经过网络设备的业务流的首个数据包要进入的安全域和要离开的安全域。在安全域间实例上应用安全控制策略可实现对指定的业务流进行安全控制策略检查。
当报文未匹配对应安全域间实例时，若存在any到any的安全域间实例，则匹配any到any安全域间实例，否则直接丢弃报文。
Management和Local安全域间之间的报文只能匹配Management与Local之间的安全域间实例，不会匹配any到any的安全域间实例。
当安全域间实例上同时应用了对象策略和包过滤策略时，对象策略的优先级高于包过滤策略。
表1-4 创建安全域间实例
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建安全域间实例，并进入安全域间实例视图 |
zone-pair security source { source-zone-name | any } destination { destination-zone-name | any } |
缺省情况下，不存在安全域间实例 |
对于同一安全域内接口间的报文，若设备上不存在当前域到当前域的安全域间实例，设备缺省会将其丢弃，可以通过配置安全域内接口间报文处理的缺省动作为permit来允许其通过。
表1-5 配置安全域内接口间报文处理的缺省动作
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
配置同一安全域内接口间报文处理的缺省动作 |
· permit动作 security-zone intra-zone default permit · deny动作 undo security-zone intra-zone default permit |
缺省情况下，同一安全域内报文过滤的缺省动作为deny |
在完成上述配置后，在任意视图下执行display命令可以显示配置后安全域的相关信息，通过查看显示信息验证配置的效果。
|
操作 |
命令 |
|
显示安全域信息，包括预定义的和自定义的安全域信息 |
display security-zone [ name zone-name ] |
|
显示已创建的所有安全域间实例的信息 |
display zone-pair security |
某公司以Device作为网络边界防火墙，连接公司内部网络和Internet。公司需要对外提供Web服务和FTP服务。现需要在防火墙上部署安全域，并基于以下安全需求进行域间安全控制策略的配置。
· 与接口GigabitEthernet1/0/1相连的公司内部网络属于可信任网络，部署在Trust域，可以自由访问服务器和外部网络。
· 与接口GigabitEthernet1/0/3相连的外部网络属于不可信任网络，部署在Untrust域，访问公司内部网络和服务器时，需要受到严格的域间安全控制策略的限制。
· 与接口GigabitEthernet1/0/2相连的Web server、FTP server部署在DMZ域，可以自由访问处于Untrust域的外部网络，但在访问处于Trust域的公司内部网络时，需要受到严格的域间安全控制策略的限制。
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域DMZ中添加接口GigabitEthernet1/0/2。
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/2
[Device-security-zone-DMZ] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/3。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/3
[Device-security-zone-Untrust] quit
# 配置ACL 3500，定义规则：允许IP流量。
[Device] acl advanced 3500
[Device-acl-ipv4-adv-3500] rule permit ip
[Device-acl-ipv4-adv-3500] quit
# 创建ASPF策略1，配置检测应用层协议FTP（FTP仅为示例，若要检测其它应用协议，可根据需要配置）。
[Device] aspf policy 1
[Device-aspf-policy-1] detect ftp
[Device-aspf-policy-1] quit
# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并在该安全域间实例上应用ASPF策略和包过滤策略，可以拒绝Untrust域用户对Trust的访问，但Trust域用户访问Untrust域以及返回的报文可以通过。
[Device] zone-pair security source trust destination untrust
[Device-zone-pair-security-Trust-Untrust] aspf apply policy 1
[Device-zone-pair-security-Trust-Untrust] packet-filter 3500
[Device-zone-pair-security-Trust-Untrust] quit
# 创建源安全域Trust到目的安全域DMZ的安全域间实例，并在该安全域间实例上开启ASPF检测功能，可以拒绝DMZ域用户对Trust的访问，但Trust域用户访问DMZ域以及返回的报文可以通过。
[Device] zone-pair security source trust destination dmz
[Device-zone-pair-security-Trust-DMZ] aspf apply policy 1
[Device-zone-pair-security-Trust-DMZ] packet-filter 3500
[Device-zone-pair-security-Trust-DMZ] quit
以上配置完成后，内网主机可访问外部网络以及DMZ域内的FTP服务器资源。外部网络向内部网络以及DMZ域主动发起的连接请求将被拒绝。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
