• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

08-典型配置举例

目录

22-通过安全策略控制和阻断应用流量的典型配置举例

本章节下载 22-通过安全策略控制和阻断应用流量的典型配置举例  (697.32 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Security/00-Public/Configure/Operation_Manual/H3C_WCG(V7)/08/202202/1553534_30005_0.htm

22-通过安全策略控制和阻断应用流量的典型配置举例

基于应用的安全策略典型配置举例

简介

 

本文档介绍基于应用的安全策略功能的典型配置举例。

安全策略是根据报文的属性信息对报文进行转发控制和DPIDeep Packet Inspection,深度报文检测)深度安全检测的防控策略。

配置前提

 

本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解APRApplication Recognition,应用层协议识别)和安全策略特性。

使用限制

 

使用安全策略时,需要注意的是:当安全策略与包过滤策略同时配置时,因为安全策略对报文的处理在包过滤之前,报文与安全策略匹配成功后,不再进行包过滤处理,所以请合理配置安全策略和包过滤策略,否则可能会导致配置的包过滤策略不生效。

为了网络更加安全建议采用《基于应用的严谨型安全策略典型配置举例》。

基于应用的严谨型安全策略典型配置举例

组网需求

-1所示,某公司共包括PresidentMarketFinance三个部门,各部门之间通过Device实现互连,同时也通过Device作为网关连接Internet,该公司的工作时间为每周工作日的8点到18点。通过配置安全策略,实现如下需求:

·     允许President在任意时间访问所有网络资源,比如InternetFinance网络和Market网络等。

·     允许Finance部门的员工仅能访问本部门内部网络资源,不能访问其他任何网络资源。

·     允许Market部门的员工仅能在工作时间访问Internet上的部分资源,访问Internet的具体限制如下:

¡     不能玩游戏、不能访问流媒体类型、P2P类型和网络社区类型的资源,但是允许访问优酷的资源。

¡     即时通讯类型的资源仅允许使用微信。

¡     虽然拒绝此部门员工访问网络社区类型的资源,但是又需要允许使用MSN、钉钉和安防论坛资源。

¡     除了以上几条具体限制需求之外的资源都允许访问。

·     President区域不允许任何人主动访问,Finance区域和Market区域也不能相互访问。

图-1 基于应用的严谨型安全策略典型配置举例

 

配置指导

请将应用识别特征库及时升级到最新版本。

为使安全策略中配置的应用可以被识别,必须先放行应用所依赖的基础协议报文。

配置思路

安全策略配置思路及其数据规划如下表所示:

表-1 安全策略配置思路

项目

数据

说明

President部门的安全策略

·     名称:president_permit

·     源安全区域:president

·     目的安全区域:untrust;finance;market

·     IP/MAC地址president

·     动作:允许

·     记录日志:开启

此策略允许President部门的员工自由访问任何网络资源

此策略和下面的策略引用的都是源IP地址对象组

Finance部门的安全策略

·     名称:finance_permit

·     源安全区域:finance

·     目的安全区域:finance

·     动作:允许

·     记录日志:开启

此策略可以实现Finance部门内员工之间的相互访问

Market部门的安全策略1

·     名称:market_permit1

·     源安全区域:market

·     目的安全区域:untrust

·     IP/MAC地址market

·     应用:微信;MSN;钉钉;安防论坛;优酷

·     时间段:work

·     动作:允许

·     记录日志:开启

安全策略默认规则可实现禁止Market部门员工使用即时通讯工具。market_deny1策略禁止员工访问网络社区类型和流媒体类型的资源

但是此策略可以允许Market部门员工在上班时间使用微信、MSN、钉钉、优酷和安防论坛网络资源

根据安全策略处理报文的优先级原则,需要将此策略放在market_deny1策略前面,否则网络社区类型(MSN、钉钉、安防论坛、优酷)的应用将会被拒绝。

Market部门的安全策略2

·     名称:market_deny1

·     源安全区域:market

·     目的安全区域:untrust

·     IP/MAC地址market

·     应用:游戏组;P2P组;网络社区组;流媒体组

·     时间段:work

·     动作:拒绝

·     记录日志:开启

此策略可以禁止Market部门员工在上班时间玩游戏、观看视频和逛社区网站等

此策略的应用过滤条件中包含了游戏组、P2P组、流媒体组和网络社区组应用组,每个应用组中都包含了很多具体的应用

Market部门的安全策略3

·     名称:market_permit2

·     源安全区域:market

·     目的安全区域:untrust

·     IP/MAC地址market

·     应用:permit-others

·     时间段:work

·     动作:允许

·     记录日志:开启

此策略允许Market部门员工在上班时间访问一些定义不太准确的资源。

此策略中的应用组permit-others里面,可以加入一些办公类、邮件类、网络协议类等不太容易区分清楚的应用。

若管理员已明确知道需要拒绝某个应用,则可以将此应用从允许通过的应用组中删除。或着新建一条安全策略拒绝此应用流量通过

放行常用基础协议的安全策略

·     名称:market_permit3

·     源安全区域:market

·     目的安全区域:untrust

·     IP/MAC地址market

·     应用:protocol-permit

·     动作:允许

·     记录日志:开启

此策略允许常用的基础协议通过,否则APR模块将不能准备地识别应用

常用的基础协议一般包括:TCPUDPDNSHTTPHTTPSSMTPIMAPPOP3,将这些协议加入应用组protocol-permit

虽然安全策略market_permit2中允许的应用中可能包含这些基础协议,但是为了避免安全策略market_permit2发生变化后不影响APR对报文的识别,所以建议单独配置一条安全策略放行这些常用的基础协议

安全策略的默认规则

安全策略的默认规则可以实现此目的:President区域不允许任何人主动访问,Finance区域和Market区域也不能相互访问。

安全策略的默认规则是拒绝所有报文通过

 

根据以上的分析,再结合安全策略越靠前优先级越高的原则,我们合理创建安全策略的先后顺序依次为:president_permitfinance_permitmarket_permit1market_deny1market_permit2market_permit3

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

1.     配置接口IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     选择“IPv4地址”页签,配置IP地址/掩码:2.2.2.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     IP地址/掩码:10.0.12.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.0.11.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/4,配置如下。

·     IP地址/掩码:10.0.10.1/24

·     其他配置项使用缺省值

2.     配置安全域

# 选择“网络 > 安全域”,进入安全域配置页面,依次配置如下内容。

·     进入名为Untrust的安全域,并将接口GigabitEthernet1/0/1加入该安全域中

·     创建名为president的安全域,并将接口GigabitEthernet1/0/2加入该安全域中

·     创建名为finance的安全域,并将接口GigabitEthernet1/0/3加入该安全域中

·     创建名为market的安全域,并将接口GigabitEthernet1/0/4加入该安全域中

3.     配置时间段

创建名为work的时间段,其时间范围为每周工作日的8点到18点。

# 选择“对象 > 对象组 > 时间段”,进入时间段配置页面,配置如下。

·     名称为work

·     周期时间段为每周工作日的8点到18

4.     配置应用组

创建名为游戏组的应用组,将游戏类别种的所有应用加入此应用组。

# 选择“对象> 应用安全 > 应用识别 > 应用组”,进入应用组配置页面。

# 单击<新建>按钮,配置如下:

图-2 新建应用组

 

# 将游戏类别中的所有应用全部加入到右侧的已选应用中。

# 单击<确定>按钮,完成此应用组的创建。

按照如上步骤,依次创建如下应用组:

·     P2P组:创建名为P2P组的应用组,并将P2P类别中的所有应用加入此应用组

·     流媒体组:创建名为流媒体组的应用组,并将流媒体类别中的所有应用加入此应用组

·     网络社区组:创建名为网络社区组的应用组,并将网络社区类别中的所有应用加入此应用组

·     permit-others:创建名permit-others的应用组,并将一些办公类、邮件类、网络协议类等不太容易区分清楚的应用加入此应用组

·     protocol-permit:创建名protocol-permit的应用组,并将常用的基础协议一般包括:TCPUDPDNSHTTPHTTPS SMTPIMAPPOP3等)加入此应用组

5.     创建名为president_permit的安全策略

# 选择“策略 > 安全策略 > 安全策略”,进入安全策略配置页面。

# 单击<新建>按钮,选择新建策略,进入新建安全策略页面,配置如下。

图-3 新建安全策略

 

# 其他配置项保持默认情况即可。

# 单击<确定>按钮,完成此安全策略的创建。

6.     创建名为finance_permit的安全策略

# 选择“策略 > 安全策略 > 安全策略”,进入安全策略配置页面。

# 单击<新建>按钮,选择新建策略,进入新建安全策略页面,配置如下。

图-4 创建安全策略

 

# 其他配置项保持默认情况即可。

# 单击<确定>按钮,完成此安全策略的创建。

7.     创建名为market_permit1的安全策略

# 选择“策略 > 安全策略 > 安全策略”,进入安全策略配置页面。

# 单击<新建>按钮,选择新建策略,进入新建安全策略页面,配置如下。

图-5 创建安全策略

 

# 其他配置项保持默认情况即可。

# 单击<确定>按钮,完成此安全策略的创建。

8.     创建名为market_deny1的安全策略

# 选择“策略 > 安全策略 > 安全策略”,进入安全策略配置页面。

# 单击<新建>按钮,选择新建策略,进入新建安全策略页面,配置如下。

图-6 创建安全策略

 

# 其他配置项保持默认情况即可。

# 单击<确定>按钮,完成此安全策略的创建。

9.     创建名为market_permit2的安全策略

# 选择“策略 > 安全策略 > 安全策略”,进入安全策略配置页面。

# 单击<新建>按钮,选择新建策略,进入新建安全策略页面,配置如下。

图-7 创建安全策略

 

# 其他配置项保持默认情况即可。

# 单击<确定>按钮,完成此安全策略的创建。

10.     创建名为market_permit3的安全策略

# 选择“策略 > 安全策略 > 安全策略”,进入安全策略配置页面。

# 单击<新建>按钮,选择新建策略,进入新建安全策略页面,配置如下。

图-8 创建安全策略

 

# 其他配置项保持默认情况即可。

# 单击<确定>按钮,完成此安全策略的创建。

验证配置

1.     President部门的员工自由可以访问任何网络资源

2.     Finance部门内员工之间可以相互访问。

3.     Market部门的员工仅能在工作时间访问Internet上的部分资源,访问Internet的具体限制如下:

¡     不能玩游戏、不能访问流媒体类型、P2P类型和网络社区类型的资源,但是允许访问优酷的资源。

¡     即时通讯类型的资源仅允许使用微信。

¡     虽然拒绝此部门员工访问网络社区类型的资源,但是又需要允许使用MSN、钉钉和安防论坛资源。

¡     除了以上几条具体限制需求之外的资源都允许访问。

4.     President区域不允许任何人主动访问,Finance区域和Market区域也不能相互访问。

5.     选择“监控 > 安全日志 > 安全策略日志”,分别查看各个部门的访问流量是否命中正确的安全策略,举例如下。

图-9 拒绝迅雷看看

 

图-10 允许优酷

 

图-11 允许微信通过

 

图-12 拒绝QQ通过

 

基于应用的宽松型安全策略典型配置举例

组网需求

图-13所示,某公司共包括PresidentMarketFinance三个部门,各部门之间通过Device实现互连,同时也通过Device作为网关连接Internet,该公司的工作时间为每周工作日的8点到18点。通过配置安全策略,实现如下需求:

·     允许President在任意时间访问所有网络资源,比如InternetFinance网络和Market网络等。

·     允许Finance部门的员工仅能访问本部门内部网络资源,不能访问其他任何网络资源。

·     允许Market部门的员工在工作时间访问除了视频类、游戏类之外的所有网络资源,非工作时间可以看视频和玩游戏。

图-13 基于应用的宽松型安全策略典型配置举例

 

配置指导

请将应用识别特征库及时升级到最新版本。

为使安全策略中配置的应用可以被识别,必须先放行应用所依赖的基础协议报文。

配置思路

安全策略配置思路及其数据规划如下表所示:

表-2 安全策略配置思路

项目

数据

说明

Finance部门的安全策略

·     名称:finance_permit

·     源安全区域:finance

·     目的安全区域:finance

·     动作:允许

·     记录日志:开启

此策略可以实现Finance部门内员工之间的相互访问

Market部门的安全策略

·     名称:market_deny1

·     源安全区域:market

·     目的安全区域:untrust

·     IP/MAC地址market

·     应用:游戏组;P2P组;流媒体组;网络社区组

·     时间段:work

·     动作:拒绝

·     记录日志:开启

此策略可以禁止Market部门员工在上班时间玩游戏、观看视频等

此策略的应用过滤条件中包含了游戏组、P2P组、网络社区组和流媒体组应用组,每个应用组中都包含了很多具体的应用

放行PresidentMarket部门的安全策略

·     名称:president_market_permit

·     源安全区域:presidentmarket

·     动作:允许

·     记录日志:开启

此策略也可以实现如下需求:

·     允许President在任意时间访问所有网络资源,比如InternetFinance网络和Market网络等。

·     允许Market部门的员工在工作时间访问除了视频类、游戏类之外的所有网络资源,非工作时间可以看视频和玩游戏。

 

根据以上的分析,再结合安全策略越靠前优先级越高的原则,我们合理创建安全策略的先后顺序依次为:finance_permitmarket_deny1president_market_permit

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

1.     配置接口IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     选择“IPv4地址”页签,配置IP地址/掩码:2.2.2.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     IP地址/掩码:10.0.12.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.0.11.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/4,配置如下。

·     IP地址/掩码:10.0.10.1/24

·     其他配置项使用缺省值

2.     配置安全域

# 选择“网络 > 安全域”,进入安全域配置页面,依次配置如下内容。

·     进入名为Untrust的安全域,并将接口GigabitEthernet1/0/1加入该安全域中

·     创建名为president的安全域,并将接口GigabitEthernet1/0/2加入该安全域中

·     创建名为finance的安全域,并将接口GigabitEthernet1/0/3加入该安全域中

·     创建名为market的安全域,并将接口GigabitEthernet1/0/4加入该安全域中

3.     配置时间段

创建名为work的时间段,其时间范围为每周工作日的8点到18点。

# 选择“对象 > 对象组 > 时间段”,进入时间段配置页面,配置如下。

·     名称为work

·     周期时间段为每周工作日的8点到18

4.     配置应用组

创建名为游戏组的应用组,将游戏类别种的所有应用加入此应用组。

# 选择“对象> 应用安全 > 应用识别 > 应用组”,进入应用组配置页面。

# 单击<新建>按钮,配置如下:

图-14 新建应用组

 

# 将游戏类别中的所有应用全部加入到右侧的已选应用中。

# 单击<确定>按钮,完成此应用组的创建。

按照如上步骤,依次创建如下应用组:

·     P2P组:创建名为P2P组的应用组,并将P2P类别中的所有应用加入此应用组

·     流媒体组:创建名为流媒体组的应用组,并将流媒体类别中的所有应用加入此应用组

·     网络社区组:创建名为网络社区组的应用组,并将网络社区类别中的所有应用加入此应用组

5.     创建名为finance_permit的安全策略

# 选择“策略 > 安全策略 > 安全策略”,进入安全策略配置页面。

# 单击<新建>按钮,选择新建策略,进入新建安全策略页面,配置如下。

图-15 创建安全策略

 

# 其他配置项保持默认情况即可。

# 单击<确定>按钮,完成此安全策略的创建。

6.     创建名为market_deny1的安全策略

# 选择“策略 > 安全策略 > 安全策略”,进入安全策略配置页面。

# 单击<新建>按钮,选择新建策略,进入新建安全策略页面,配置如下。

图-16 创建安全策略

 

# 其他配置项保持默认情况即可。

# 单击<确定>按钮,完成此安全策略的创建。

7.     创建名为president_market_permit的安全策略

# 选择“策略 > 安全策略 > 安全策略”,进入安全策略配置页面。

# 单击<新建>按钮,选择新建策略,进入新建安全策略页面,配置如下。

图-17 创建安全策略

 

# 其他配置项保持默认情况即可。

# 单击<确定>按钮,完成此安全策略的创建。

验证配置

1.     President部门的员工自由可以访问任何网络资源

2.     Finance部门内员工之间可以相互访问。

3.     允许Market部门的员工在工作时间访问除了视频类、游戏类之外的所有网络资源,非工作时间可以看视频和玩游戏。

4.     选择“监控 > 安全日志 > 安全策略日志”,分别查看各个部门的访问流量是否命中正确的安全策略,举例如下。

图-18 拒绝迅雷看看

 

图-19 允许微信通过

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们