- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
16-安全域配置
本章节下载： 16-安全域配置 (161.53 KB)
安全域（Security Zone），是一个逻辑概念，用于管理设备上安全需求相同的多个接口。管理员将安全需求相同的接口进行分类，并划分到不同的安全域，能够实现安全控制策略的统一管理。
传统防火墙的安全控制策略配置通常是基于报文入接口、出接口的，进入和离开接口的流量基于接口上指定方向的策略规则进行过滤。这种基于接口的策略配置方式需要为每一个接口配置安全控制策略，给网络管理员带来配置和维护上的负担。随着防火墙技术的发展，出现了内网/外网/DMZ（Demilitarized Zone，非军事区）的模式，并且向着提供高端口密度服务的方向发展。基于安全域来配置安全控制策略的方式可以解决上述问题。
DMZ这一术语起源于军方，指的是介于严格的军事管制区和松散的公共区域之间的一种有着部分管制的区域。安全域中引用这一术语，指代一个逻辑上和物理上都与内部网络和外部网络分离的区域。通常部署网络时，将那些需要被公共访问的设备（如Web server、FTP server等）放置于此。
一个安全域中，可以包含多个成员。例如，可以将公司入侵防御系统连接到研发部门不同网段的四个接口作为成员加入安全域Zone_RND，连接服务器区的两个接口作为成员加入安全域Zone_DMZ，这样管理员只需要部署这两个域之间的安全控制策略即可，此处的安全控制策略包括ASPF策略、安全策略等。如果后续网络环境发生了变化，则只需要调整相关域内的接口，而域间安全控制策略不需要修改。安全策略的相关配置，请参见“安全配置指导”中的“安全策略”。
图1-1 安全域划分示意图
创建安全域后，设备上各接口的报文转发遵循以下规则：
· 一个安全域中的接口与一个不属于任何安全域的接口之间的报文，会被丢弃。
· 属于同一个安全域的各接口之间的报文缺省会被丢弃。
· 安全域之间的报文由安全控制策略进行安全检查，并根据检查结果放行或丢弃。若安全控制策略不存在或不生效，则报文会被丢弃。
· 非安全域的接口之间的报文被丢弃。
· 目的地址或源地址为本机的报文，缺省会被丢弃，若该报文与安全控制策略匹配，则由安全控制策略进行安全检查，并根据检查结果放行或丢弃。
表1-1 安全域配置任务简介
|
配置任务 |
说明 |
详细配置 |
|
创建安全域 |
必选 |
|
|
向安全域中添加成员 |
必选 |
|
|
创建安全域间实例 |
可选 |
|
|
配置安全域内接口间报文处理的缺省动作 |
可选 |
在缺省Context下创建的安全域属于缺省Context。如果要配置非缺省Context的安全域，则需要先创建对应的Context，然后再进入该Context的系统视图创建安全域。
当首次执行创建安全域或者域间策略的命令时，系统会自动创建以下缺省安全域：Local、Trust、DMZ、Management和Untrust。
缺省安全域不能被删除。
表1-2 创建安全域
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建安全域，并进入安全域视图 |
security-zone name zone-name |
- |
创建安全域后，需要给安全域添加成员。安全域的成员类型包括：
· 三层接口，包括三层以太网接口、三层以太网子接口和其它三层逻辑接口。配置该成员后，该接口收发的所有报文将由对应的的安全控制策略来处理。
· 二层接口和VLAN。配置该成员后，该接口收发的、携带了指定VLAN Tag的报文，将由对应的安全控制策略来处理。
在缺省Context下，除Management安全域外，其它安全域中没有接口，需要手工向其中添加接口。
缺省情况下，不同设备Management安全域中的接口不同，具体差异如下。
|
型号 |
接口 |
|
T5010/T5020 |
GigabitEthernet1/0/0 |
|
T5030/T5060/T5080/T5000-S/T5000-C |
GigabitEthernet1/0/0 |
|
T1020/T1030/T1050/T1060/T1080 |
GigabitEthernet1/0/0 |
|
T1000-AK340/T1000-AK350 |
GigabitEthernet1/0/0 |
|
LSWM1IPSD0/LSQM1IPSDSC0/IM-IPSX-IV |
GigabitEthernet1/0/1 |
表1-3 向安全域中添加成员
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入安全域视图 |
security-zone name zone-name |
- |
|
向安全域中添加三层接口成员 |
import interface layer3-interface-type layer3-interface-number |
缺省情况下，安全域中不存在任何三层接口成员 可以通过多次执行本命令，向安全域中添加多个三层接口成员 |
|
向安全域中添加二层接口和VLAN成员 |
import interface layer2-interface-type layer2-interface-number vlan vlan-list |
缺省情况下，安全域中不存在任何二层接口和VLAN成员 可以通过多次执行本命令，向安全域中添加多个二层接口和VLAN成员 |
|
向安全域中添加IPv4子网成员 |
import ip ip-address { mask-length | mask } [ vpn-instance vpn-instance-name ] |
缺省情况下，安全域中不存在任何IPv4子网成员 可以通过多次执行本命令，向安全域中添加多个IPv4子网成员 |
|
向安全域中添加IPv6子网成员 |
import ipv6 ipv6-address prefix-length [ vpn-instance vpn-instance-name ] |
缺省情况下，安全域中不存在任何IPv6子网成员 可以通过多次执行本命令，向安全域中添加多个IPv6子网成员 |
安全域间实例用于指定安全控制策略（如ASPF策略等）需要检测的业务流的源安全域和目的安全域，它们分别描述了经过网络设备的业务流的首个数据包要进入的安全域和要离开的安全域。在安全域间实例上应用安全控制策略可实现对指定的业务流进行安全控制策略检查。
表1-4 创建安全域间实例
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建安全域间实例，并进入安全域间实例视图 |
zone-pair security source { source-zone-name | any } destination { destination-zone-name | any } |
缺省情况下，不存在安全域间实例 |
对于同一安全域内接口间的报文，若设备上不存在当前域到当前域的安全域间实例，设备缺省会将其丢弃，可以通过配置安全域内接口间报文处理的缺省动作为permit来允许其通过。
表1-5 配置安全域内接口间报文处理的缺省动作
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
配置同一安全域内接口间报文处理的缺省动作 |
· permit动作 security-zone intra-zone default permit · deny动作 undo security-zone intra-zone default permit |
缺省情况下，同一安全域内报文过滤的缺省动作为deny |
在完成上述配置后，在任意视图下执行display命令可以显示配置后安全域的相关信息，通过查看显示信息验证配置的效果。
|
操作 |
命令 |
|
显示安全域信息，包括预定义的和自定义的安全域信息 |
display security-zone [ name zone-name ] |
|
显示已创建的所有安全域间实例的信息 |
display zone-pair security |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
