目  录

1 安全域

1.1 安全域简介

1.1.1 基本概念

1.1.2 基于安全域的报文处理规则

1.1.3 安全域应用场景

1.2 域间策略概述

1.2.2 域间策略分类

1.2.3 安全策略的优势

1.2.4 配置限制和指导

1.3 安全域配置任务简介

1.4 创建安全域

1.5 向安全域中添加成员

1.6 配置不受控协议

1.7 创建安全域间实例

1.8 配置安全域内接口间报文处理的缺省动作

1.9 在安全域间实例上开启SLB虚服务IP过滤功能

1.10 安全域显示和维护

1.11 安全域典型配置举例

1.11.1 安全域基本组网配置举例

1 安全域

1.1  安全域简介

管理员将安全需求相同的接口进行分类，并划分到不同的安全域（Security Zone），能够实现域间策略的统一管理。

1.1.1  基本概念

安全域特性包括如下基本概念：

·     安全域：是一个逻辑概念，用于管理安全防护设备上安全需求相同的多个接口。

·     缺省安全域：当首次创建安全域或者域间策略时，系统会自动创建以下缺省安全域：Local、Trust、DMZ（Demilitarized Zone，隔离区）、Management和Untrust。缺省安全域不能被删除。

·     DMZ：指代一个逻辑上和物理上都与内部网络和外部网络分离的区域。通常部署网络时，将那些需要被公共访问的设备（如Web server、FTP server等）放置于此。

1.1.2  基于安全域的报文处理规则

创建安全域后，设备上各接口的报文转发遵循以下规则：

·     一个安全域中的接口与一个不属于任何安全域的接口之间的报文，会被丢弃。

·     属于同一个安全域的各接口之间的报文缺省会被丢弃。

·     安全域之间的报文由域间策略进行安全检查，并根据检查结果放行或丢弃。若域间策略不存在或不生效，则报文会被丢弃。

·     非安全域的接口之间的报文被丢弃。

·     目的地址或源地址为本机的报文，缺省会被丢弃，若该报文与域间策略匹配，则由域间策略进行安全检查，并根据检查结果放行或丢弃。

1.1.3  安全域应用场景

传统防火墙的安全控制策略配置通常是基于报文入接口、出接口的，进入和离开接口的流量基于接口上指定方向的策略规则进行过滤。这种基于接口的策略配置方式需要为每一个接口配置安全控制策略，给网络管理员带来配置和维护上的负担。随着防火墙技术的发展，防火墙已经逐渐摆脱了只连接外网和内网的角色，出现了内网/外网/DMZ的模式，并且向着提供高端口密度服务的方向发展。基于安全域来配置安全控制策略的方式可以解决上述问题。

1.2  域间策略概述

如图1-1所示，域间策略是一种基于安全域实现对报文流的检查，并根据检查结果对报文执行相应动作的安全控制策略。一个安全域中，可以包含多个成员。例如，可以将公司安全防护设备上连接到内网的接口作为成员加入安全域Trust，连接Internet的接口作为成员加入安全域Untrust，这样管理员只需要部署这两个安全域之间的域间策略即可。如果后续网络环境发生了变化，则只需要调整相关安全域内的接口，而域间策略不需要修改。

图1-1 安全域划分及其域间策略示意图

1.2.2  域间策略分类

域间策略包括：包过滤、ASPF和安全策略。管理员可以根据不同的应用场景，选择不同的域间策略对报文进行转发控制。其中包过滤、ASPF是基于安全域间实例进行配置，安全策略是基于全局进行配置。

1. 包过滤

包过滤功能是根据报文的五元组（源IP地址、源端口号、目的IP地址、目的端口号、传输层协议）实现对报文在不同安全域之间的转发进行控制。有关包过滤功能的详细介绍，请参见“ACL和QoS配置指导”中的“ACL”。

如图1-2所示，若希望只允许市场部员工可以访问Internet网页，而财务部的员工不可以访问Internet网页，则需要在边界设备的Trust和Untrust安全域之间的两个方向上均应用包过滤策略。策略中需要配置两条规则rule-1和rule-2，保证市场部的员工可以访问Internet网页。默认策略可以禁止财务部员工访问Internet网页。

图1-2 包过滤示意图

2. ASPF

ASPF（Advanced Stateful Packet Filter，高级状态包过滤）可以对已放行报文进行信息记录，使已放行报文的回应报文在应用了包过滤策略的安全域之间可以正常通过。有关ASPF的详细介绍，请参见“安全配置指导”中的“ASPF”。

如图1-3所示，为了保护内部网络，可以在边界设备的Trust到Untrust安全域方向上应用包过滤策略和ASPF策略，只允许市场部的员工访问Internet网页，同时拒绝Untrust网络中的主机访问Trust网络。但是包过滤策略会将用户发起连接后返回的报文过滤掉，导致连接无法正常建立。利用ASPF功能可以解决此问题。默认策略可以禁止财务部员工访问Internet网页。

图1-3 ASPF示意图

3. 安全策略

安全策略基于全局配置和全局生效，不需要被引用。安全策略不仅可以彻底替代包过滤，还可以基于用户和应用对报文进行转发控制，并可以对符合过滤条件的报文进行DPI（Deep Packet Inspection，深度报文检测）检测。有关安全策略的详细介绍，请参见“安全配置指导”中的“安全策略”。

如图1-4所示，在安全策略中配置rule-1和rule-2基于用户和应用实现只允许市场部的员工可以访问Internet网页，但禁止其浏览淘宝网；并对市场部员工访问网页的内容进行深度检测，防止黑客入侵。默认策略可以禁止财务部员工访问Internet网页。

图1-4 安全策略示意图

1.2.3  安全策略的优势

通过1.2.2  域间策略分类中对包过滤、ASPF和安全策略各个功能的简单介绍和对比，可以发现安全策略具有如下优势：

·     不仅可以通过五元组对报文进行控制，还可以基于用户来区分不同部门的员工，使网络管理更加灵活和可视。

·     可以有效区分协议（如HTTP协议）上承载的不同应用（如基于网页的游戏、视频和购物），使网络管理更加精细和准确。

·     可以通过在安全策略中引用DPI业务，实现对报文内容的深度检测，有效阻止病毒和黑客的入侵。

1.2.4  配置限制和指导

当安全策略与包过滤策略同时配置时，因为安全策略对报文的处理在包过滤之前，报文与安全策略规则匹配成功后，不再进行包过滤处理，所以请合理配置安全策略和包过滤策略，否则可能会导致配置的包过滤策略不生效。

1.3  安全域配置任务简介

安全域配置任务如下：

(1)     创建安全域

(2)     向安全域中添加成员

(3)     （可选）配置不受控协议

(4)     创建安全域间实例

(5)     （可选）配置安全域内接口间报文处理的缺省动作

(6)     （可选）在安全域间实例上开启SLB虚服务IP过滤功能

1.4  创建安全域

(1)     进入系统视图。

system-view

(2)     创建安全域，并进入安全域视图。

security-zone name zone-name

缺省情况下，存在安全域Local、Trust、DMZ、Management和Untrust。

1.5  向安全域中添加成员

1. 功能简介

创建安全域后，需要给安全域添加成员。安全域的成员类型包括：

·     三层接口，包括三层以太网接口、三层以太网子接口和其它三层逻辑接口。配置该成员后，该接口收发的所有报文将由安全域下配置的域间策略来处理。

·     二层接口和VLAN。配置该成员后，该接口收发的、携带了指定VLAN Tag的报文，将由安全域下配置的域间策略来处理。

·     VLAN。配置该成员后，携带了指定VLAN Tag的报文，将由安全域下配置的域间策略来处理。此种方式只适用于Bridge转发，有关Bridge转发的详细介绍，请参见“二层技术-以太网交换”中的“Bridge转发”。

·     IPv4子网。配置该成员后，系统会判断报文的源和目的IPv4地址是否属于该子网范围，如果属于，则将交给安全域下配置的域间策略来处理。

·     IPv6子网。配置该成员后，系统会判断报文的源和目的IPv6地址是否属于该子网范围，如果属于，则将交给安全域下配置的域间策略来处理。

当报文根据不同成员类型，匹配到不同安全域时，匹配优先顺序从高到低依次为IP子网->接口及VLAN，匹配过程中，当匹配到某一成员类型后，将不再继续往下匹配。

在缺省Context下，除Management安全域外，其它安全域中没有接口，需要手工向其中添加接口。

缺省情况下，不同设备Management安全域中的接口与设备型号有关，请以设备实际情况为准。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入安全域视图。

security-zone name zone-name

(3)     向安全域中添加成员。请至少选择其中一项进行配置。

¡     向安全域中添加三层接口成员。

import interface layer3-interface-type layer3-interface-number

缺省情况下，安全域中不存在三层接口成员。

可以通过多次执行本命令，向安全域中添加多个三层接口成员。

¡     向安全域中添加二层接口和VLAN成员。

import interface layer2-interface-type layer2-interface-number vlan vlan-list

缺省情况下，安全域中不存在二层接口和VLAN成员。

可以通过多次执行本命令，向安全域中添加多个二层接口和VLAN成员。

¡     向安全域中添加VLAN成员。

import vlan vlan-list

缺省情况下，安全域中不存在VLAN成员。

可以通过多次执行本命令，向安全域中添加多个VLAN成员。

¡     向安全域中添加IPv4子网成员。

import ip ip-address { mask-length | mask } [ vpn-instance vpn-instance-name ]

缺省情况下，安全域中不存在IPv4子网成员。

可以通过多次执行本命令，向安全域中添加多个IPv4子网成员。

¡     向安全域中添加IPv6子网成员。

import ipv6 ipv6-address prefix-length [ vpn-instance vpn-instance-name ]

缺省情况下，安全域中不存在IPv6子网成员。

可以通过多次执行本命令，向安全域中添加多个IPv6子网成员。

1.6  配置不受控协议

1. 功能简介

缺省情况下，设备仅允许Local安全域和Management安全域之间的报文通过，Local安全域和其他安全域之间的报文会被丢弃。若需通过其他安全域成员接口对设备进行管理，可通过配置域间策略放行Local安全域和其他安全域指定协议的报文，也可在对应接口视图下配置本机与其他设备交互的不受控协议。

当设备的某接口配置了允许通过指定协议和其他设备进行交互，则和该接口相连设备交互的指定协议报文将直接放行，不再被安全策略或带宽管理策略控制。

可以通过多次执行本命令，配置多个本机和其他设备交互的不受控协议。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     配置允许和其他设备交互的协议，指定协议的报文不受策略控制。

manage { { http | https | ping | ssh | telnet } { inbound | outbound } | { netconf-http | netconf-https | netconf-ssh | snmp } inbound }

缺省情况下，仅允许和Management安全域接口相连的其他设备进行报文交互。

1.7  创建安全域间实例

1. 功能简介

安全域间实例用于指定域间策略（如包过滤策略、ASPF策略等）需要检测的业务流的源安全域和目的安全域，它们分别描述了经过网络设备的业务流的首个数据包要进入的安全域和要离开的安全域。在安全域间实例上应用域间策略可实现对指定的业务流进行域间策略检查。

有具体安全域的安全域间实例的匹配优先级高于any到any的安全域间实例。

Management和Local安全域间之间的报文缺省被允许。

Management和Local安全域间之间的报文只能匹配Management与Local安全域之间的安全域间实例。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建安全域间实例，并进入安全域间实例视图。

zone-pair security source { source-zone-name | any } destination { destination-zone-name | any }

1.8  配置安全域内接口间报文处理的缺省动作

1. 功能简介

对于同一安全域内接口间的报文，若设备上不存在当前域到当前域的域间策略，则设备缺省会将其丢弃，可以通过配置安全域内接口间报文处理的缺省动作允许或拒绝其通过。

2. 硬件适配关系

本特性的支持情况与设备型号有关，请以设备的实际情况为准。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置同一安全域内接口间报文处理的缺省动作。

¡     配置缺省动作为允许。

security-zone intra-zone default permit

¡     配置缺省动作为拒绝。

undo security-zone intra-zone default permit

缺省情况下，同一安全域内报文过滤的缺省动作为拒绝。

1.9  在安全域间实例上开启SLB虚服务IP过滤功能

1. 功能简介

在SLB（Server Load Balance，服务器负载均衡）与安全域间实例包过滤功能配合使用的场景中，对于外部网络访问内部网络的流量，设备收到报文后，会先进行报文目的地址转换，即将报文中的虚服务IP转换为实服务器IP，再根据包过滤策略对报文进行处理。

缺省情况下，包过滤功能使用实服务器IP进行报文目的地址匹配，当需要通过虚服务IP进行报文目的地址匹配时，则需要开启虚服务IP过滤功能。关于包过滤功能的相关配置，请参考“ACL和QoS配置指导”中的“ACL”。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     在安全域间实例上开启SLB虚服务IP过滤功能。

zone-pair vsip-filter enable

缺省情况下，安全域间实例SLB虚服务地址过滤功能处于关闭状态。

1.10  安全域显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后安全域的相关信息，通过查看显示信息验证配置的效果。

表1-1 安全域显示和维护

1.11  安全域典型配置举例

1.11.1  安全域基本组网配置举例

1. 组网需求

某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。公司只对内部提供Web服务，不对外提供这些服务。现需要在设备上部署安全域，并基于以下安全需求进行域间策略的配置。

·     与接口GigabitEthernet1/0/1相连的公司内部网络属于可信任网络，部署在Trust安全域，可以自由访问Web服务器和外部网络。

·     与接口GigabitEthernet1/0/3相连的外部网络属于不可信任网络，部署在Untrust安全域，不能访问公司内部网络和Web服务器。

·     与接口GigabitEthernet1/0/2相连的Web server、FTP server部署在DMZ安全域，可以被Trust安全域的主机自由访问，但不允许访问处于Trust域的公司内部网络。

2. 组网图

图1-5 安全域基本组网配置组网图

‌

3. 配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 1.1.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/2

[Device-security-zone-DMZ] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/3

[Device-security-zone-Untrust] quit

(3)     配置ACL

# 配置ACL 3001，定义规则：允许内网主机访问Internet。

[Device] acl advanced 3001

[Device-acl-ipv4-adv-3500] rule permit ip source 1.1.1.0 0.0.0.255 destination 3.3.3.0 0.0.0.255

[Device-acl-ipv4-adv-3500] quit

# 配置ACL 3002，定义规则：允许内网主机访问Web server的所有流量。

[Device] acl advanced 3002

[Device-acl-ipv4-adv-3002] rule permit ip source 1.1.1.0 0.0.0.255 destination 2.2.2.0 0.0.0.255

[Device-acl-ipv4-adv-3500] quit

(4)     配置域间策略

# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并在该安全域间实例上应用包过滤，可以拒绝Untrust域用户对Trust的访问，但Trust域用户访问Untrust域以及返回的报文可以通过。

[Device] zone-pair security source trust destination untrust

[Device-zone-pair-security-Trust-Untrust] packet-filter 3001

[Device-zone-pair-security-Trust-Untrust] quit

# 创建源安全域Trust到目的安全域DMZ的安全域间实例，并在该安全域间实例上应用包过滤，可以拒绝DMZ域用户对Trust的访问，但Trust域用户访问DMZ域以及返回的报文可以通过。

[Device] zone-pair security source trust destination dmz

[Device-zone-pair-security-Trust-DMZ] packet-filter 3002

[Device-zone-pair-security-Trust-DMZ] quit

4. 验证配置

以上配置完成后，内网主机可访问外部网络以及DMZ安全域内的Web服务器资源。外部网络向内部网络和DMZ安全域主动发起的连接请求将被拒绝。