12-安全域配置

本章节下载： 12-安全域配置 (195.61 KB)

12-安全域配置

1.3.4 配置安全域内接口间报文处理的缺省动作

1.4 安全域显示和维护

1.5 安全域典型配置举例

1 安全域

1.1 安全域简介

安全域（Security Zone），是一个逻辑概念，用于管理防火墙设备上安全需求相同的多个接口。管理员将安全需求相同的接口进行分类，并划分到不同的安全域，能够实现安全策略的统一管理。

传统防火墙的安全策略配置通常是基于报文入接口、出接口的，进入和离开接口的流量基于接口上指定方向的策略规则进行过滤。这种基于接口的策略配置方式需要为每一个接口配置安全策略，给网络管理员带来配置和维护上的负担。随着防火墙技术的发展，防火墙已经逐渐摆脱了只连接外网和内网的角色，出现了内网/外网/DMZ（Demilitarized Zone，非军事区）的模式，并且向着提供高端口密度服务的方向发展。基于安全域来配置安全策略的方式可以解决上述问题。

DMZ这一术语起源于军方，指的是介于严格的军事管制区和松散的公共区域之间的一种有着部分管制的区域。安全域中引用这一术语，指代一个逻辑上和物理上都与内部网络和外部网络分离的区域。通常部署网络时，将那些需要被公共访问的设备（如Web server、FTP server等）放置于此。

一个安全域中，可以包含多个成员。例如，可以将公司防火墙设备上连接到研发部门不同网段的四个接口作为成员加入安全域Zone_RND，连接服务器区的两个接口作为成员加入安全域Zone_DMZ，这样管理员只需要部署这两个域之间的安全策略即可，此处的安全策略包括包过滤策略、ASPF策略、对象策略等。如果后续网络环境发生了变化，则只需要调整相关域内的接口，而域间安全策略不需要修改。包过滤策略的相关配置请参考“ACL和QoS配置指导”中的“ACL”。ASPF策略的相关配置请参考“安全配置指导”中的“ASPF”。对象策略的相关配置请参考“安全配置指导”中的“对象策略”。

图1-1 安全域划分示意图

创建安全域后，设备上各接口的报文转发遵循以下规则：

· 一个安全域中的接口与一个不属于任何安全域的接口之间的报文，会被丢弃。

· 属于同一个安全域的各接口之间的报文缺省会被放行。

· 安全域之间的报文由域间策略进行安全检查，并根据检查结果放行或丢弃。若域间策略不存在或不生效，则报文会被丢弃。

· 非安全域的接口之间的报文会被放行。

· 目的地址或源地址为本机的报文，缺省会被放行，若该报文与域间策略匹配，则由域间策略进行安全检查，并根据检查结果放行或丢弃。

1.2 安全域配置任务简介

表1-1 安全域配置任务简介

配置任务	说明	详细配置
创建安全域	必选	1.3.1
向安全域中添加成员	必选	1.3.2
创建安全域间实例	可选	1.3.3
配置安全域内接口间报文处理的缺省动作	可选	1.3.4

1.3 配置安全域

1.3.1 创建安全域

当首次执行创建安全域、创建域间策略或者进入安全域的命令时，系统会自动创建4个缺省安全域：Local、Trust、DMZ和Untrust。

缺省的安全域中没有接口，需要手工向其中添加接口，而且，缺省安全域不能被删除。

表1-2 创建安全域

操作	命令	说明
进入系统视图	system-view	-
创建安全域并进入安全域视图	security-zone name zone-name	缺省情况下，设备没有安全域

1.3.2 向安全域中添加成员

创建安全域后，需要给安全域添加成员。安全域的成员类型包括：

三层接口，包括三层以太网接口、三层以太网子接口和其它三层逻辑接口。配置该成员后，该接口收发的所有报文将由安全域下配置的安全策略来处理。

当同一个安全域下配置了不同类型的成员，先匹配哪类成员，由安全策略决定。

表1-3 向安全域中添加成员

操作	命令	说明
进入系统视图	system-view	-
进入安全域视图	security-zone name zone-name	-
向安全域中添加三层接口成员	import interface lay3-interface-type lay3-interface-number	缺省情况下，安全域中不存在任何成员可以通过多次执行本命令，向安全域中添加多个接口

1.3.3 创建安全域间实例

安全域间实例用于指定安全策略（如包过滤策略、ASPF策略、对象策略等）需要检测的业务流的源安全域和目的安全域，它们分别描述了经过网络设备的业务流的首个数据包要进入的安全域和要离开的安全域。在安全域间实例上应用安全策略可实现对指定的业务流进行安全策略检查。

表1-4 创建安全域间实例

操作	命令	说明
进入系统视图	system-view	-
创建安全域间实例并进入安全域间实例视图	zone-pair security source { source-zone-name \| any } destination { destination-zone-name \| any }	缺省情况下，无任何安全域间实例存在

1.3.4 配置安全域内接口间报文处理的缺省动作

对于同一安全域内接口间的报文，若设备上不存在当前域到当前域的域间实例，设备缺省会将其放行，可以通过配置安全域内接口间报文处理的缺省动作为deny来禁止其通过。

表1-5 配置安全域内接口间报文处理的缺省动作

操作	命令	说明
进入系统视图	system-view	-
配置同一安全域内接口间报文处理的缺省动作	· permit动作 security-zone intra-zone default permit · deny动作 undo security-zone intra-zone default permit	缺省情况下，同一安全域内报文过滤的缺省动作为permit

· permit动作

security-zone intra-zone default permit

· deny动作

undo security-zone intra-zone default permit

缺省情况下，同一安全域内报文过滤的缺省动作为permit

1.4 安全域显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后安全域的相关信息，通过查看显示信息验证配置的效果。

表1-6 安全域显示和维护

操作	命令
显示安全域信息，包括预定义的和自定义的安全域信息	display security-zone [ name zone-name ]
显示已创建的所有安全域间实例的信息	display zone-pair security