【文章內(nèi)容簡介】 t policy service serviceset udp policy source 0 policy destination 0 policy 1 action deny policy source 0 policy 5 action permit HUAWEI TECHNOLOGIES CO., LTD. HUAWEI Confidential 策略支持調整功能 ? 策略啟用與禁用 配置策略后默認是啟用的，可以通過下面命令啟用或禁用一條策略 policy policyid { enable | disable }， ? 策略移動 將策略 1移動到策略 2之前或之后，從而調整策略匹配優(yōu)先級 policy move policyid1 [ before | after ] policyid2 ? 策略復制 復制生成一個與指定策略完全相同的新策略。 policy copy policyid [ policynewid ] HUAWEI TECHNOLOGIES CO., LTD. HUAWEI Confidential 策略的查詢 ? V3R1不支持硬件 tcam查詢， ACL及策略查找全部采用軟件查詢。 ? 查詢結構：所有 ACL和 policy的規(guī)則生成一個查詢結構。 ? 修改、添加、刪除規(guī)則，或是修改地址集、服務集都需要重新生成查詢結構。 ? 生成查詢結構有兩種方法： 1，自動生成，配置完畢后 1分鐘會構建生成查詢結構。 2，手動使能生成，執(zhí)行命令 acl accelerate enable會立即構建查詢結構。 注意：在查詢結構生成之前新配置的規(guī)則不能生效。 HUAWEI TECHNOLOGIES CO., LTD. HUAWEI Confidential Page 15 第 1章 策略特性介紹 第 2章 安全策略介紹與配置 第 3章 NAT策略介紹及配置 第 4章 審計策略介紹及配置 第 5章 限流策略介紹及配置 HUAWEI TECHNOLOGIES CO., LTD. HUAWEI Confidential 安全策略介紹 ? 安全策略，即包過濾，作為一種網(wǎng)絡安全保護機制，用于控制在兩個不同安全級別網(wǎng)絡之間數(shù)據(jù)的流入和流出，是防火墻安全功能的重要組成部分。安全策略支持域間和域內(nèi)配置。 ? 為了實現(xiàn)安全策略功能，需要配置一系列的過濾規(guī)則，當報文在兩個安全區(qū)域之間流動時，防火墻的安全策略功能生效 RInter 公司總部 內(nèi)部網(wǎng)絡 未授權用戶 辦事處 HUAWEI TECHNOLOGIES CO., LTD. HUAWEI Confidential 安全策略的配置 ? 安全策略配置方式與老的包過濾不同，但是功能完全相同。 老的包過濾是用 acl來配置的，例如 : Advanced ACL 3322, 2 rules,not binding with vpninstance Acl39。s step is 5 rule 5 permit udp source 0 destination 0 rule 10 deny Firewall interzne trust untrust packetfilter 3322 inbound ? 安全策略配置如下： policy interzone trust untrust inbound policy 0 action permit policy service serviceset udp policy source 0 policy destination 0 policy 1 action deny HUAWEI TECHNOLOGIES CO., LTD. HUAWEI Confidential 安全策略和域間缺省包過濾的關系 防火墻任意兩個安全區(qū)域之間都存在 缺省包過濾 ，也就是說可以用域間默認包過濾就可以實現(xiàn)簡單的訪問控制。如果域間缺省包過濾是打開的，那么可以從配置中看到： firewall packetfilter default permit interzone local trust direction inbound f