- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-安全域配置
本章节下载： 01-安全域配置 (287.58 KB)
管理员将安全需求相同的接口进行分类，并划分到不同的安全域（Security Zone），能够实现域间策略的统一管理。
安全域特性包括如下基本概念：
· 安全域：是一个逻辑概念，用于管理安全防护设备上安全需求相同的多个接口。
· 缺省安全域：当首次创建安全域或者域间策略时，系统会自动创建以下缺省安全域：Local、Trust、DMZ（Demilitarized Zone，隔离区）、Management和Untrust。缺省安全域不能被删除。
· DMZ：指代一个逻辑上和物理上都与内部网络和外部网络分离的区域。通常部署网络时，将那些需要被公共访问的设备（如Web server、FTP server等）放置于此。
创建安全域后，设备上各接口的报文转发遵循以下规则：
· 一个安全域中的接口与一个不属于任何安全域的接口之间的报文，会被丢弃。
· 属于同一个安全域的各接口之间的报文缺省会被丢弃。
· 安全域之间的报文由域间策略进行安全检查，并根据检查结果放行或丢弃。若域间策略不存在或不生效，则报文会被丢弃。
· 非安全域的接口之间的报文被放行。
· 目的地址或源地址为本机的报文，缺省会被丢弃，若该报文与域间策略匹配，则由域间策略进行安全检查，并根据检查结果放行或丢弃。
传统防火墙的安全控制策略配置通常是基于报文入接口、出接口的，进入和离开接口的流量基于接口上指定方向的策略规则进行过滤。这种基于接口的策略配置方式需要为每一个接口配置安全控制策略，给网络管理员带来配置和维护上的负担。随着防火墙技术的发展，防火墙已经逐渐摆脱了只连接外网和内网的角色，出现了内网/外网/DMZ的模式，并且向着提供高端口密度服务的方向发展。基于安全域来配置安全控制策略的方式可以解决上述问题。
如图1-1所示，域间策略是一种基于安全域实现对报文流的检查，并根据检查结果对报文执行相应动作的安全控制策略。一个安全域中，可以包含多个成员。例如，可以将公司安全防护设备上连接到内网的接口作为成员加入安全域Trust，连接Internet的接口作为成员加入安全域Untrust，这样管理员只需要部署这两个安全域之间的域间策略即可。如果后续网络环境发生了变化，则只需要调整相关安全域内的接口，而域间策略不需要修改。
域间策略包括：包过滤、ASPF和对象策略。管理员可以根据不同的应用场景，选择不同的域间策略对报文进行转发控制。包过滤、ASPF和对象策略基于安全域间实例进行配置。
包过滤功能是根据报文的五元组（源IP地址、源端口号、目的IP地址、目的端口号、传输层协议）实现对报文在不同安全域之间的转发进行控制。有关包过滤功能的详细介绍，请参见“ACL和QoS配置指导”中的“ACL”。
如图1-2所示，若希望只允许市场部员工可以访问Internet网页，而财务部的员工不可以访问Internet网页，则需要在边界设备的Trust和Untrust安全域之间的两个方向上均应用包过滤策略。策略中需要配置两条规则rule-1和rule-2，保证市场部的员工可以访问Internet网页。默认策略可以禁止财务部员工访问Internet网页。
ASPF（Advanced Stateful Packet Filter，高级状态包过滤）可以对已放行报文进行信息记录，使已放行报文的回应报文在应用了包过滤策略的安全域之间可以正常通过。有关ASPF的详细介绍，请参见“安全配置指导”中的“ASPF”。
如图1-3所示，为了保护内部网络，可以在边界设备的Trust到Untrust安全域方向上应用包过滤策略和ASPF策略，只允许市场部的员工访问Internet网页，同时拒绝Untrust网络中的主机访问Trust网络。但是包过滤策略会将用户发起连接后返回的报文过滤掉，导致连接无法正常建立。利用ASPF功能可以解决此问题。默认策略可以禁止财务部员工访问Internet网页。
图1-3 ASPF示意图
对象策略基于全局进行配置，基于安全域间实例进行应用。在安全域间实例上应用对象策略可实现对报文的检查，并根据检查结果允许或拒绝其通过。有关对象策略的详细介绍，请参见“安全配置指导”中的“对象策略”。
如图1-4所示，若希望只允许市场部的员工可以访问Internet网页，但禁止其浏览淘宝网，则需要配置图1-4中的对象策略，并将对象策略应用在Trust到Untrust安全域间实例上。默认策略可以禁止财务部员工访问Internet网页。
安全域配置任务如下：
(1) 创建安全域
(2) 向安全域中添加成员
(3) （可选）配置不受控协议
(4) 创建安全域间实例
(5) （可选）配置安全域内接口间报文处理的缺省动作
(6) （可选）在安全域间实例上开启SLB虚服务IP过滤功能
(1) 进入系统视图。
system-view
(2) 创建安全域，并进入安全域视图。
security-zone name zone-name
缺省情况下，存在安全域Local、Trust、DMZ、Management和Untrust。
创建安全域后，需要给安全域添加成员。安全域的成员类型包括：
· 三层接口，包括三层以太网接口、三层以太网子接口和其它三层逻辑接口。配置该成员后，该接口收发的所有报文将由安全域下配置的域间策略来处理。
· 二层接口和VLAN。配置该成员后，该接口收发的、携带了指定VLAN Tag的报文，将由安全域下配置的域间策略来处理。
(1) 进入系统视图。
system-view
(2) 进入安全域视图。
security-zone name zone-name
(3) 向安全域中添加成员。请至少选择其中一项进行配置。
¡ 向安全域中添加三层接口成员。
import interface layer3-interface-type layer3-interface-number
缺省情况下，安全域中不存在三层接口成员。
可以通过多次执行本命令，向安全域中添加多个三层接口成员。
¡ 向安全域中添加二层接口和VLAN成员。
import interface layer2-interface-type layer2-interface-number vlan vlan-list
缺省情况下，安全域中不存在二层接口和VLAN成员。
可以通过多次执行本命令，向安全域中添加多个二层接口和VLAN成员。
缺省情况下，设备仅允许Local安全域和Management安全域之间的报文通过，Local安全域和其他安全域之间的报文会被丢弃。若需通过其他安全域成员接口对设备进行管理，可通过配置域间策略放行Local安全域和其他安全域指定协议的报文，也可在对应接口视图下配置本机与其他设备交互的不受控协议。
当设备的某接口配置了允许通过指定协议和其他设备进行交互，则和该接口相连设备交互的指定协议报文将直接放行，不再被安全策略或带宽管理策略控制。
可以通过多次执行本命令，配置多个本机和其他设备交互的不受控协议。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置允许和其他设备交互的协议，指定协议的报文不受策略控制。
manage { { http | https | ping | ssh | telnet } { inbound | outbound } | { netconf-http | netconf-https | netconf-ssh | snmp } inbound }
缺省情况下，仅允许和Management安全域接口相连的其他设备进行报文交互。
安全域间实例用于指定域间策略（如包过滤策略、ASPF策略、对象策略等）需要检测的业务流的源安全域和目的安全域，它们分别描述了经过网络设备的业务流的首个数据包要进入的安全域和要离开的安全域。在安全域间实例上应用域间策略可实现对指定的业务流进行域间策略检查。
有具体安全域的安全域间实例的匹配优先级高于any到any的安全域间实例。
Management和Local安全域间之间的报文缺省被允许。
Management和Local安全域间之间的报文只能匹配Management与Local安全域之间的安全域间实例。
当安全域间实例上同时应用了对象策略和包过滤策略时，对象策略的优先级高于包过滤策略。
(1) 进入系统视图。
system-view
(2) 创建安全域间实例，并进入安全域间实例视图。
zone-pair security source { source-zone-name | any } destination { destination-zone-name | any }
对于同一安全域内接口间的报文，若设备上不存在当前域到当前域的域间策略，则设备缺省会将其丢弃，可以通过配置安全域内接口间报文处理的缺省动作允许或拒绝其通过。
(1) 进入系统视图。
system-view
(2) 配置同一安全域内接口间报文处理的缺省动作。
¡ 配置缺省动作为允许。
security-zone intra-zone default permit
¡ 配置缺省动作为拒绝。
undo security-zone intra-zone default permit
缺省情况下，同一安全域内报文过滤的缺省动作为允许。
在SLB（Server Load Balance，服务器负载均衡）与安全域间实例包过滤功能配合使用的场景中，对于外部网络访问内部网络的流量，设备收到报文后，会先进行报文目的地址转换，即将报文中的虚服务IP转换为实服务器IP，再根据包过滤策略对报文进行处理。
缺省情况下，包过滤功能使用实服务器IP进行报文目的地址匹配，当需要通过虚服务IP进行报文目的地址匹配时，则需要开启虚服务IP过滤功能。关于包过滤功能的相关配置，请参考“ACL和QoS配置指导”中的“ACL”。
(1) 进入系统视图。
system-view
(2) 在安全域间实例上开启SLB虚服务IP过滤功能。
zone-pair vsip-filter enable
缺省情况下，安全域间实例SLB虚服务地址过滤功能处于关闭状态。
在完成上述配置后，在任意视图下执行display命令可以显示配置后安全域的相关信息，通过查看显示信息验证配置的效果。
|
操作 |
命令 |
|
显示安全域信息，包括预定义的和自定义的安全域信息 |
display security-zone [ name zone-name ] |
|
显示已创建的所有安全域间实例的信息 |
display zone-pair security |
某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。公司只对内网提供Web服务，不对外提供这些服务。现需要在设备上部署安全域，并基于以下安全需求进行域间策略的配置。
· 与接口GigabitEthernet1/0/1相连的公司内部网络属于可信任网络，部署在Trust安全域，可以自由访问Web服务器和外部网络。
· 与接口GigabitEthernet1/0/3相连的外部网络属于不可信任网络，部署在Untrust安全域，不能访问公司内部网络和Web服务器。
· 与接口GigabitEthernet1/0/2相连的Web server部署在DMZ安全域，可以被Trust安全域内的主机自由访问，但不能访问处于Trust安全域的公司内部网络。
(1) 配置接口IP地址、路由保证网络可达，具体配置步骤略。
(2) 将接口加入安全域
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域DMZ中添加接口GigabitEthernet1/0/2。
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/2
[Device-security-zone-DMZ] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/3。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/3
[Device-security-zone-Untrust] quit
(3) 配置ACL
# 配置ACL 3500，定义规则：允许IP流量。
[Device] acl advanced 3500
[Device-acl-ipv4-adv-3500] rule permit ip
[Device-acl-ipv4-adv-3500] quit
(4) 配置域间策略
# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并在该域间实例上应用包过滤策略，可以拒绝Untrust域用户对Trust的访问，但Trust域用户访问Untrust域以及返回的报文可以通过。
[Device] zone-pair security source trust destination untrust
[Device-zone-pair-security-Trust-Untrust] packet-filter 3500
[Device-zone-pair-security-Trust-Untrust] quit
# 创建源安全域Trust到目的安全域DMZ的安全域间实例，并在该域间实例上应用包过滤策略，可以拒绝DMZ域用户对Trust的访问，但Trust域用户访问DMZ域以及返回的报文可以通过。
[Device] zone-pair security source trust destination dmz
[Device-zone-pair-security-Trust-DMZ] packet-filter 3500
[Device-zone-pair-security-Trust-DMZ] quit
以上配置完成后，内网主机可访问外部网络以及DMZ安全域内的Web服务器资源。外部网络向内部网络和DMZ安全域主动发起的连接请求将被拒绝。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
