- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
21-通过安全策略控制和阻断应用流量的典型配置举例
本章节下载： 21-通过安全策略控制和阻断应用流量的典型配置举例 (700.79 KB)
安全策略是根据报文的属性信息对报文进行转发控制和DPI（Deep Packet Inspection，深度报文检测）深度安全检测的防控策略。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解APR（Application Recognition,应用层协议识别）和安全策略特性。
使用安全策略时，需要注意的是：当安全策略与包过滤策略同时配置时，因为安全策略对报文的处理在包过滤之前，报文与安全策略匹配成功后，不再进行包过滤处理，所以请合理配置安全策略和包过滤策略，否则可能会导致配置的包过滤策略不生效。
为了网络更加安全建议采用《基于应用的严谨型安全策略典型配置举例》。
如图-1所示，某公司共包括President、Market和Finance三个部门，各部门之间通过Device实现互连，同时也通过Device作为网关连接Internet，该公司的工作时间为每周工作日的8点到18点。通过配置安全策略，实现如下需求：
· 允许President在任意时间访问所有网络资源，比如Internet、Finance网络和Market网络等。
· 允许Finance部门的员工仅能访问本部门内部网络资源，不能访问其他任何网络资源。
· 允许Market部门的员工仅能在工作时间访问Internet上的部分资源，访问Internet的具体限制如下：
¡ 不能玩游戏、不能访问流媒体类型、P2P类型和网络社区类型的资源，但是允许访问优酷的资源。
¡ 即时通讯类型的资源仅允许使用微信。
¡ 虽然拒绝此部门员工访问网络社区类型的资源，但是又需要允许使用MSN、钉钉和安防论坛资源。
¡ 除了以上几条具体限制需求之外的常用资源都允许访问。
· President区域不允许任何人主动访问，Finance区域和Market区域也不能相互访问。
本举例是在F1080的Release 9323P19版本上进行配置和验证的。
请将应用识别特征库及时升级到最新版本。
为使安全策略中配置的应用可以被识别，必须先放行应用所依赖的基础协议报文。
为使APR模块正常识别报文，必须激活APR模块，可选择如下两种方式之一进行激活：
· 在Web管理界面的安全策略中至少选择一项内容安全。
· 在CLI中，先在系统视图下创建一个空的app-profile，然后再在一个安全策略规则中引用此app-profile。
安全策略配置思路及其数据规划如下表所示：
表-1 安全策略配置思路
|
项目 |
数据 |
说明 |
|
President部门的安全策略 |
· 名称：president_permit · 源安全区域：president · 目的安全区域：untrust;finance;market · 源IP地址：president · 动作：允许 · 记录日志：开启 |
此策略允许President部门的员工自由访问任何网络资源 |
|
Finance部门的安全策略 |
· 名称：finance_permit · 源安全区域：finance · 目的安全区域：finance · 动作：允许 · 记录日志：开启 |
此策略可以实现Finance部门内员工之间的相互访问 |
|
Market部门的安全策略1 |
· 名称：market_permit1 · 源安全区域：market · 目的安全区域：untrust · 源IP地址：market · 应用：微信;MSN;钉钉;安防论坛;优酷 · 时间段：work · 动作：允许 · 记录日志：开启 |
安全策略默认规则可实现禁止Market部门员工使用即时通讯工具。market_deny1策略禁止员工访问网络社区类型和流媒体类型的资源 但是此策略可以允许Market部门员工在上班时间使用微信、MSN、钉钉、优酷和安防论坛网络资源 根据安全策略处理报文的优先级原则，需要将此策略放在market_deny1策略前面，否则网络社区类型（MSN、钉钉、安防论坛、优酷）的应用将会被拒绝。 |
|
Market部门的安全策略2 |
· 名称：market_deny1 · 源安全区域：market · 目的安全区域：untrust · 源IP地址：market · 应用组：游戏组;P2P组；网络社区组；流媒体组 · 时间段：work · 动作：拒绝 · 记录日志：开启 |
此策略可以禁止Market部门员工在上班时间玩游戏、观看视频和逛社区网站等 此策略的应用组过滤条件中包含了游戏组、P2P组、流媒体组和网络社区组应用组，每个应用组中都包含了很多具体的应用 |
|
Market部门的安全策略3 |
· 名称：market_permit2 · 源安全区域：market · 目的安全区域：untrust · 源IP地址：market · 应用组：permit-others · 时间段：work · 动作：允许 · 记录日志：开启 |
此策略允许Market部门员工在上班时间访问一些定义不太准确的资源。 此策略中的应用组permit-others里面，可以加入一些办公类、邮件类、网络协议类等不太容易区分清楚的应用。 若管理员已明确知道需要拒绝某个应用，则可以将此应用从允许通过的应用组中删除。或着新建一条安全策略拒绝此应用流量通过 |
|
放行常用基础协议的安全策略 |
· 名称：market_permit3 · 源安全区域：market · 目的安全区域：untrust · 源IP地址：market · 应用组：protocol-permit · 动作：允许 · IPS策略：default · 记录日志：开启 |
此策略允许常用的基础协议通过，否则APR模块将不能准备地识别应用 常用的基础协议一般包括：TCP、UDP、DNS、HTTP、HTTPS SMTP、IMAP和POP3，将这些协议加入应用组protocol-permit 虽然安全策略market_permit2中允许的应用中可能包含这些基础协议，但是为了避免安全策略market_permit2发生变化后不影响APR对报文的识别，所以建议单独配置一条安全策略放行这些常用的基础协议 此策略引用IPS策略的目的是为了让应用层检测引擎和APR模块启动，以进行应用识别 |
|
安全策略的默默规则 |
安全策略的默认规则可以实现此目的：President区域不允许任何人主动访问，Finance区域和Market区域也不能相互访问。 |
安全策略的默认规则是拒绝所有报文通过 |
根据以上的分析，再结合安全策略越靠前优先级越高的原则，我们合理创建安全策略的先后顺序依次为：president_permit、finance_permit、market_permit1、market_deny1、market_permit2、market_permit3。
1. 配置接口IP地址
# 选择“网络 > 接口 > 接口”，进入接口配置页面。
# 在接口配置页面选择目标接口，单击<编辑>按钮，进入修改接口配置页面。
# 在修改接口配置页面修改接口的IP地址。
# 其他配置项保持默认情况即可。
# 按照以上配置步骤分别将接口GigabitEthernet1/0/2、GigabitEthernet1/0/3和GigabitEthernet1/0/4的IP地址配置为10.0.12.1/24、10.0.11.1/24和10.0.10.1/24。此配置举例假设设备出接口GigabitEthernet1/0/1的IP地址为2.2.2.1。
2. 配置安全域
# 选择“网络 > 安全域”，进入安全域配置页面，依次配置如下内容。
· 进入名为Untrust的安全域，并将接口GigabitEthernet1/0/1加入该安全域中
· 创建名为president的安全域，并将接口GigabitEthernet1/0/2加入该安全域中
· 创建名为finance的安全域，并将接口GigabitEthernet1/0/3加入该安全域中
· 创建名为market的安全域，并将接口GigabitEthernet1/0/4加入该安全域中
3. 配置时间段
创建名为work的时间段，其时间范围为每周工作日的8点到18点。
# 选择“对象 > 对象组 > 时间段”，进入时间段配置页面，配置如下。
· 名称为work
· 周期时间段为每周工作日的8点到18点
4. 配置地址对象组
# 选择“对象> 对象组 > IPv4地址对象组”，进入IPv4地址对象组配置页面，依次创建如下地址对象组：
· president：创建名为president的IPv4地址对象组，并定义其网段地址为10.0.12.0/24
· market：创建名为market的IPv4地址对象组，并定义其网段地址为10.0.10.0/24
5. 配置应用组
创建名为游戏组的应用组，将游戏类别种的所有应用加入此应用组。
# 选择“对象> 应用安全 > 应用识别 > 应用组”，进入应用组配置页面。
# 单击<新建>按钮，配置如下：
图-2 新建应用组
# 将游戏类别中的所有应用全部加入到右侧的已选应用中。
# 单击<确定>按钮，完成此应用组的创建。
按照如上步骤，依次创建如下应用组：
· P2P组：创建名为P2P组的应用组，并将P2P类别中的所有应用加入此应用组
· 流媒体组：创建名为流媒体组的应用组，并将流媒体类别中的所有应用加入此应用组
· 网络社区组：创建名为网络社区组的应用组，并将网络社区类别中的所有应用加入此应用组
· permit-others：创建名为permit-others的应用组，并将除即时通讯、P2P、流媒体、游戏和网络社区类别之外的其他所有类别中的所有应用加入此应用组
· protocol-permit：创建名为protocol-permit的应用组，并将TCP、UDP、DNS、HTTP、HTTPS SMTP、IMAP和POP3协议加入此应用组
6. 创建名为president_permit的安全策略
# 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。
# 单击<新建>按钮，配置如下。
图-3 新建安全策略
# 其他配置项保持默认情况即可。
# 单击<确定>按钮，完成此安全策略的创建。
7. 创建名为finance_permit的安全策略
# 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。
# 单击<新建>按钮，配置如下。
图-4 创建安全策略
# 其他配置项保持默认情况即可。
# 单击<确定>按钮，完成此安全策略的创建。
8. 创建名为market_permit1的安全策略
# 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。
# 单击<新建>按钮，配置如下。
图-5 创建安全策略
# 其他配置项保持默认情况即可。
# 单击<确定>按钮，完成此安全策略的创建。
9. 创建名为market_deny1的安全策略
# 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。
# 单击<新建>按钮，配置如下。
图-6 创建安全策略
# 其他配置项保持默认情况即可。
# 单击<确定>按钮，完成此安全策略的创建。
10. 创建名为market_permit2的安全策略
# 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。
# 单击<新建>按钮，配置如下。
图-7 创建安全策略
# 其他配置项保持默认情况即可。
# 单击<确定>按钮，完成此安全策略的创建。
11. 创建名为market_permit3的安全策略
# 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。
# 单击<新建>按钮，配置如下。
|
|
此策略引用IPS策略的目的是为了让应用层检测引擎和APR模块启动，以进行应用识别。 |
# 其他配置项保持默认情况即可。
# 单击<确定>按钮，完成此安全策略的创建。
12. 激活APR模块，以进行应用识别。
可以使用如下两种方式之一激活APR模块：
· 在Web管理界面的安全策略中至少选择一项内容安全，如图-8所示，引用一个IPS策略。
· 在CLI中，先在系统视图下创建一个空的app-profile，然后再在一个安全策略规则中引用此app-profile。如下所示。
<Device> system-view
[Device] app-profile test
[Device-app-profile-test] quit
[Device] security-policy ip
[Device-security-policy-ip] rule name market_permit3
[Device-security-policy-ip-5-market_permit3] profile test
1. 查看配置
配置完成后，其配置内容如图所示：
图-9 安全策略配置
2. President部门的员工自由可以访问任何网络资源。
3. Finance部门内员工之间可以相互访问。
4. Market部门的员工仅能在工作时间访问Internet上的部分资源，访问Internet的具体限制如下：
¡ 不能玩游戏、不能访问流媒体类型、P2P类型和网络社区类型的资源，但是允许访问优酷的资源。
¡ 即时通讯类型的资源仅允许使用微信。
¡ 虽然拒绝此部门员工访问网络社区类型的资源，但是又需要允许使用MSN、钉钉和安防论坛资源。
¡ 除了以上几条具体限制需求之外的常用资源都允许访问。
5. President区域不允许任何人主动访问，Finance区域和Market区域也不能相互访问。
6. 选择“监控 > 安全日志 > 安全策略日志”，分别查看各个部门的访问流量是否命中正确的安全策略，举例如下。
图-10 拒绝迅雷看看
图-11 允许优酷
图-12 允许微信通过
图-13 拒绝QQ通过
如图-14所示，某公司共包括President、Market和Finance三个部门，各部门之间通过Device实现互连，同时也通过Device作为网关连接Internet，该公司的工作时间为每周工作日的8点到18点。通过配置安全策略，实现如下需求：
· 允许President在任意时间访问所有网络资源，比如Internet、Finance网络和Market网络等。
· 允许Finance部门的员工仅能访问本部门内部网络资源，不能访问其他任何网络资源。
· 允许Market部门的员工在工作时间访问除了视频类、游戏类之外的所有网络资源，非工作时间可以看视频和玩游戏。
本举例是在F1080的Release 9323P19版本上进行配置和验证的。
请将应用识别特征库及时升级到最新版本。
为使安全策略中配置的应用可以被识别，必须先放行应用所依赖的基础协议报文。
为使APR模块正常识别报文，必须激活APR模块，可选择如下两种方式之一进行激活：
· 在Web管理界面的安全策略中至少选择一项内容安全。
· 在CLI中，先在系统视图下创建一个空的app-profile，然后再在一个安全策略规则中引用此app-profile。
安全策略配置思路及其数据规划如下表所示：
表-2 安全策略配置思路
|
项目 |
数据 |
说明 |
|
Finance部门的安全策略 |
· 名称：finance_permit · 源安全区域：finance · 目的安全区域：finance · 动作：允许 · 记录日志：开启 |
此策略可以实现Finance部门内员工之间的相互访问 |
|
Market部门的安全策略2 |
· 名称：market_deny1 · 源安全区域：market · 目的安全区域：untrust · 源IP地址：market · 应用：游戏组;P2P组；流媒体组；网络社区组 · 时间段：work · 动作：拒绝 · 记录日志：开启 |
此策略可以禁止Market部门员工在上班时间玩游戏、观看视频等 此策略的应用过滤条件中包含了游戏组、P2P组、网络社区组和流媒体组应用组，每个应用组中都包含了很多具体的应用 |
|
放行所有报文的安全策略 |
· 名称：permit_all · 动作：允许 · IPS策略：default · 记录日志：开启 |
此策略允许所有报文通过 与以上安全策略匹配失败的报文均会被此安全策略放行。因此该策略也可以实现如下需求： · 允许President在任意时间访问所有网络资源，比如Internet、Finance网络和Market网络等。 · 允许Market部门的员工在工作时间访问除了视频类、游戏类之外的所有网络资源，非工作时间可以看视频和玩游戏。 · 不再需要单独配置放行基础协议的安全策略 此策略引用IPS策略的目的是为了让应用层检测引擎和APR模块启动，以进行应用识别 |
根据以上的分析，再结合安全策略越靠前优先级越高的原则，我们合理创建安全策略的先后顺序依次为：finance_permit、market_deny1、permit_all。
1. 配置接口IP地址
# 选择“网络 > 接口 > 接口”，进入接口配置页面。
# 在接口配置页面选择目标接口，单击<编辑>按钮，进入修改接口配置页面。
# 在修改接口配置页面修改接口的IP地址。
# 其他配置项保持默认情况即可。
# 按照以上配置步骤分别将接口GigabitEthernet1/0/2、GigabitEthernet1/0/3和GigabitEthernet1/0/4的IP地址配置为10.0.12.1/24、10.0.11.1/24和10.0.10.1/24。此配置举例假设设备出接口GigabitEthernet1/0/1的IP地址为2.2.2.1。
2. 配置安全域
# 选择“网络 > 安全域”，进入安全域配置页面，依次配置如下内容。
· 进入名为Untrust的安全域，并将接口GigabitEthernet1/0/1加入该安全域中
· 创建名为president的安全域，并将接口GigabitEthernet1/0/2加入该安全域中
· 创建名为finance的安全域，并将接口GigabitEthernet1/0/3加入该安全域中
· 创建名为market的安全域，并将接口GigabitEthernet1/0/4加入该安全域中
3. 配置时间段
创建名为work的时间段，其时间范围为每周工作日的8点到18点。
# 选择“对象 > 对象组 > 时间段”，进入时间段配置页面，配置如下。
· 名称为work
· 周期时间段为每周工作日的8点到18点
4. 配置地址对象组
# 选择“对象> 对象组 > IPv4地址对象组”，进入IPv4地址对象组配置页面，地址对象组market：
market：创建名为market的IPv4地址对象组，并定义其网段地址为10.0.10.0/24
5. 配置应用组
创建名为游戏组的应用组，将游戏类别种的所有应用加入此应用组。
# 选择“对象> 应用安全 > 应用识别 > 应用组”，进入应用组配置页面。
# 单击<新建>按钮，配置如下：
图-15 新建应用组
# 将游戏类别中的所有应用全部加入到右侧的已选应用中。
# 单击<确定>按钮，完成此应用组的创建。
按照如上步骤，依次创建如下应用组：
· P2P组：创建名为P2P组的应用组，并将P2P类别中的所有应用加入此应用组
· 流媒体组：创建名为流媒体组的应用组，并将流媒体类别中的所有应用加入此应用组
· 网络社区组：创建名为网络社区组的应用组，并将网络社区类别中的所有应用加入此应用组
6. 创建名为finance_permit的安全策略
# 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。
# 单击<新建>按钮，配置如下。
图-16 创建安全策略
# 其他配置项保持默认情况即可。
# 单击<确定>按钮，完成此安全策略的创建。
7. 创建名为market_deny1的安全策略
# 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。
# 单击<新建>按钮，配置如下。
图-17 创建安全策略
# 其他配置项保持默认情况即可。
# 单击<确定>按钮，完成此安全策略的创建。
8. 创建名为permit_all的安全策略
# 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。
# 单击<新建>按钮，配置如下。
|
|
此策略引用IPS策略的目的是为了让应用层检测引擎和APR模块启动，以进行应用识别。 |
# 其他配置项保持默认情况即可。
# 单击<确定>按钮，完成此安全策略的创建。
9. 激活APR模块，以进行应用识别。
可以使用如下两种方式之一激活APR模块：
· 在Web管理界面的安全策略中至少选择一项内容安全，如图-18所示，引用一个IPS策略。
· 在CLI中，先在系统视图下创建一个空的app-profile，然后再在一个安全策略规则中引用此app-profile。如下所示。
<Device> system-view
[Device] app-profile test
[Device-app-profile-test] quit
[Device] security-policy ip
[Device-security-policy-ip] rule name permit_all
[Device-security-policy-ip-2-permit_all] profile test
1. 查看配置
配置完成后，其配置内容如图所示：
图-19 安全策略配置
2. President部门的员工自由可以访问任何网络资源。
3. Finance部门内员工之间可以相互访问。
4. 允许Market部门的员工在工作时间访问除了视频类、游戏类之外的所有网络资源，非工作时间可以看视频和玩游戏。
5. 选择“监控 > 安全日志 > 安全策略日志”，分别查看各个部门的访问流量是否命中正确的安全策略，举例如下。
图-20 拒绝迅雷看看
图-21 允许微信通过
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
