防火墻安裝調(diào)試方案(編輯修改稿)
2025-05-20 07:12 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 300zoneuntrust] add interface GigabitEthernet 0/0/2[USG5300zoneuntrust] quitDMZ：進(jìn)入GigabitEthernet 0/0/3視圖[USG5300] interface GigabitEthernet 0/0/3配置GigabitEthernet 0/0/3的IP地址。 [USG5300GigabitEthernet0/0/3] ip address [USG5300] firewall zone dmz[USG5300zoneuntrust] add interface GigabitEthernet 0/0/3[USG5300zoneuntrust] quit 防火墻策略本地策略是指與Local安全區(qū)域有關(guān)的域間安全策略，用于控制外界與設(shè)備本身的互訪。域間安全策略就是指不同的區(qū)域之間的安全策略。域內(nèi)安全策略就是指同一個(gè)安全區(qū)域之間的策略，缺省情況下，同一安全區(qū)域內(nèi)的數(shù)據(jù)流都允許通過(guò)，域內(nèi)安全策略沒(méi)有Inbound和Outbound方向的區(qū)分。策略內(nèi)按照policy的順序進(jìn)行匹配，如果policy 0匹配了，就不會(huì)檢測(cè)policy 1了，和policy的ID大小沒(méi)有關(guān)系，誰(shuí)在前就先匹配誰(shuí)。缺省情況下開(kāi)放local域到其他任意安全區(qū)域的缺省包過(guò)濾，方便設(shè)備自身的對(duì)外訪問(wèn)。其他接口都沒(méi)有加安全區(qū)域，并且其他域間的缺省包過(guò)濾關(guān)閉。要想設(shè)備轉(zhuǎn)發(fā)流量必須將接口加入安全區(qū)域，并配置域間安全策略或開(kāi)放缺省包過(guò)濾。安全策略的匹配順序：每條安全策略中包括匹配條件、控制動(dòng)作和UTM等高級(jí)安全策略。匹配條件安全策略可以指定多種匹配條件，報(bào)文必須同時(shí)滿足所有條件才會(huì)匹配上策略。比如如下策略policy 1policy service serviceset dnspolicy destination 0policy source 在這里policy ，可以說(shuō)是目的地址的53號(hào)端口。域間可以應(yīng)用多條安全策略，按照策略列表的順序從上到下匹配。只要匹配到一條策略就不再繼續(xù)匹配剩下的策略。如果安全策略不是以自動(dòng)排序方式配置的，策略的優(yōu)先級(jí)按照配置順序進(jìn)行排列，越先配置的策略，優(yōu)先級(jí)越高，越先匹配報(bào)文。但是也可以手工調(diào)整策略之間的優(yōu)先級(jí)。缺省情況下，安全策略就不是以自動(dòng)排序方式。如果安全策略是以自動(dòng)排序方式配置的，策略的優(yōu)先級(jí)按照策略ID的大小進(jìn)行排列，策略ID越小，優(yōu)先級(jí)越高，越先匹配報(bào)文。此時(shí)，策略之間的優(yōu)先級(jí)關(guān)系不可調(diào)整。policy createmode autosort enable命令用來(lái)開(kāi)啟安全策略自動(dòng)排序功能，默認(rèn)是關(guān)閉的。如果沒(méi)有匹配到安全策略，將按缺省包過(guò)濾的動(dòng)作進(jìn)行處理，所以在配置具體安全策略時(shí)要注意與缺省包過(guò)濾的關(guān)系。例如安全策略中只允許某些報(bào)文通過(guò)但是沒(méi)有關(guān)閉缺省包過(guò)濾，將造成那些沒(méi)有匹配到安全策略的流量也會(huì)通過(guò)，就失去配置安全策略的意義了。同樣，如果安全策略中只配置了需要拒絕的流量，其他流量都是允許通過(guò)的，這時(shí)需要開(kāi)放缺省包過(guò)濾才能實(shí)現(xiàn)需求，否則會(huì)造成所有流量都不能通過(guò)。執(zhí)行命令display this查看當(dāng)前已有的安全策略，策略顯示的順序就是策略的匹配順序，越前邊的優(yōu)先級(jí)越高執(zhí)行命令policy move policyid1 { before | after } policyid2，調(diào)整策略優(yōu)先級(jí)。UTM策略安全策略中除了基本的包過(guò)濾功能，還可以引用IPS、AV、應(yīng)用控制等UTM策略進(jìn)行進(jìn)一步的應(yīng)用層檢測(cè)。但前提是匹配到控制動(dòng)作為permit的流量才能進(jìn)行UTM處理，如果匹配到deny直接丟棄報(bào)文。安全策略的應(yīng)用方向域間的Inbound和Outbound方向上都可以應(yīng)用安全策略，需要根據(jù)會(huì)話的方向合理應(yīng)用。因?yàn)閁SG是基于會(huì)話的安全策略，只對(duì)同一會(huì)話的首包檢測(cè)，后續(xù)包直接按照首包的動(dòng)作進(jìn)行處理。所以對(duì)同一條會(huì)話來(lái)說(shuō)只需要在首包的發(fā)起方向上，也就是訪問(wèn)發(fā)起的方向上應(yīng)用安全策略。如上圖所示，Trust域的PC訪問(wèn)Untrust域的Server，只需要在Trust到Untrust的Outbound方向上應(yīng)用安全策略允許PC訪問(wèn)Server即可，對(duì)于Server回應(yīng)PC的應(yīng)答報(bào)文會(huì)命中首包建立的會(huì)話而允許通過(guò)。 Trust和Untrust域間：允許內(nèi)網(wǎng)用戶訪問(wèn)公網(wǎng)策略一般都是優(yōu)先級(jí)高的在前，優(yōu)先級(jí)低的在后。policy 1：配置Trust和Untrust域間出方向的防火墻策略。 //如果不加policy source就是指any，如果不加policy destination目的地址就是指any。[USG5300] policy interzone trust untrust outbound[USG5300policyinterzonetrustuntrustoutbound] policy 1[USG5300policyinterzonetrustuntrustoutbound1] policy source [US
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1