H3C SecPath GAP2000-CN系列安全隔离与信息交换系统典型配置(E6701)-5W100

20-ACL控制配置监控模式举例

1 简介

2 配置前提

3 H3C SecPath GAP2000 ACL控制配置监控模式举例

1 简介

本文档介绍了H3C SecPath GAP2000的ACL控制监控模式举例。

H3C SecPath GAP2000用于隔离网络数据交换。提供HTTP、HTTP PROXY、SMTP、POP3、FTP、ORACLE、SIP、RTSP等应用级检测通道。使用户可以在两边网络隔离的前提下，即底层TCP/IP协议彻底阻断的情况下，实现上述应用的互访。专用于解决医院、工商、税务、金融等行业隔离网络信息交换问题。

2 配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文假设您已了解H3C SecPath GAP2000特性。

3 H3C SecPath GAP2000 ACL控制配置监控模式举例

3.1 组网需求

如3.1 图1所示，客户端代表内网允许访问的终端。服务器属于外网对内开放的服务器。部署网闸后，在监控模式下配置ACL控制策略，使得仅允许内网客户端可以访问到外网的服务器。

图1 H3C SecPath GAP2000 ACL控制配置举例组网图

3.2 配置思路

· 配置网闸监控网卡，本次选择GE0/1

· 网闸内外端配置ACL规则

3.3 使用版本

本举例是在E6701版本上进行配置和验证的。

3.4 配置步骤

3.4.1 通过B/S方式登录网闸内端机

通过网闸内端机MAN管理口登录网闸，打开浏览器输入https://192.168.0.1，（MAN口为内端机专用管理口）

系统管理员默认账号：admin；默认密码：adminh3c

安全管理员默认账号：secrecy；默认密码：secrecyh3c

图2 内端机登录页面

3.4.2 内端机监控网卡配置

点击<网络管理>-<监控模式配置>-<监控网卡选择>，勾选GE0/1为监控网卡。

图3 勾选监控网卡

勾选即保存成功。

3.4.3 通过B/S方式登录网闸外端机

通过网闸外端机MAN管理口登录网闸，打开浏览器输入https://192.168.0.2，（MAN口为外端机专用管理口）

系统管理员默认账号：admin；默认密码：adminh3c

安全管理员默认账号：secrecy；默认密码：secrecyh3c

图4 外端机登录页面

3.4.4 外端机监控网卡配置

点击<网络管理>-<监控模式配置>-<监控网卡选择>，勾选GE0/1为监控网卡。

图5 设置外端系统IP

勾选即保存成功。

监控模式使用的网卡，不会在其他任何业务网卡区显示；

如果在使用监控模式时，有网络风暴风险，请勾选STP功能进行解环。

3.4.5 ACL策略配置

该配置在安全管理员secrecy下操作

注意事项：

（1）手动添加的ACL策略的优先级高于ACL全局策略的优先级

（2）手动添加的多条ACL策略，位置越靠前的优先级越高

（3）在配置ACL控制策略之前，需了解ACL全局控制的解释，解释如下：

关于ACL全局允许的解释

l 未添加策略时默认为全局允许，此时网闸类似于一根网线，直连起了客户端与服务端；

l 点击全局允许，此时添加的ACL策略，只有通道状态为<开启>+<拒绝>的才会被阻断，其余通道均被放行。

关于ACL全局拒绝的解释

l 点击全局拒绝，此时添加的ACL策略，只有通道状态为<开启>+<允许>的才会被放行，其余通道均被阻断。

1. 全局拒绝配置

点击<ACL控制>-<拒绝>，将全局控制设置为拒绝状态（内、外端机均设置全局拒绝）。

图6 全局设置

2. 内端机ACL配置

点击<添加策略>

图7 配置内端机监控模式ACL策略控制

表1 ACL策略控制参数说明

参数	说明
名称	ACL控制策略的名称定义
模式选择	支持监控模式和路由模式两种选择
监控网卡	选择需要使用的网卡
协议类型	支持TCP、UDP、OPC、ICMP四种协议类型
动作	设置策略的动作为允许或者拒绝
客户端地址	策略内控制访问的客户端地址
客户端端口段	策略内控制访问的客户端端口或者端口段
目的地址	策略内控制访问的目的端地址
目的端口段	策略内控制访问的目的端口或者端口段
记录日志	可选是否记录ACL策略命中的日志
策略集	监控模式下ACL策略不支持策略集挂载