H3C SecCloud OMP安全云管理平台典型配置(E1206)-5W101

01-标准型防火墙典型配置

H3C SecCloud OMP安全云管理平台

标准型防火墙典型配置

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

1 简介

本文档介绍安全云管理平台标准型防火墙服务（后文简称“FW”）的典型配置，标准型防火墙的主要功能是可以创建基于地址对象、服务对象的安全规则，对计算机网络中的访问进行控制。

FW服务主要分为以下三种类型：

· 硬件FW

硬件FW指系统管理员在FW安全资源池添加、防火墙类型选择标准型/标准型和增强型且“支持虚拟化”选项为“否”的实例，也称硬件独享，对应FW服务的相关配置将直接下发到此实例上。此时这个实例将不再作为计算资源提供FW服务的创建。用户若想登录FW服务的设备，请联系系统管理员获取账号，为该标准型防火墙服务所属资源的账号密码。

· Context FW

Context FW指对共享的FW物理设备通过虚拟化技术划分出的一台FW逻辑设备，也称硬件共享。FW物理设备为系统管理员在FW资源池添加、防火墙类型选择标准型/标准型和增强型且“支持虚拟化”选项为“是”的实例（如果该设备支持安全引擎组，需要选择支持，并且选择一个安全引擎组）。用户若想登录FW服务的设备，请联系系统管理员获取账号，为该标准型防火墙服务所属资源的账号密码。

· vFW

这里的vFW指的是系统管理员在FW安全资源池配置的虚拟资源（CAS）上自动创建的虚拟机。用户若想登录vFW服务的设备，默认账号为admin/admin。在VFW的创建会消耗License Server上一定的通用授权数量。

2 配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解FW基本功能、安全域、安全策略等特性。

3 使用限制

· 对于资源池中是否支持虚拟化、是否支持安全引擎组的配置需要严格结合设备实际情况。

· 硬件FW支持创建的Context数量需要考虑设备本身的限制，要结合设备型号和设备上已经存在的Context数量。

· 如果要创建Context类型的标准型防火墙服务，则共享的物理口不能为“M-GE”类型的。

· 如果要创建VFW服务则需要保证授权服务器信息已经配置且授权服务器是有对应的License。

4 基于物理FW设备创建独享型服务典型配置

4.1 组网需求

某租户需要通过FW服务控制两子网下的主机间的访问，让192.168.1.0/24子网下的主机能访问192.168.2.0/24子网下的主机，网络中已存在物理FW设备。

图1 标准型防火墙服务组网图

4.2 配置思路

· 创建硬件FW资源池实例

· 创建FW服务

· 配置地址对象

· 配置规则

4.3 使用版本

本举例是在H3C SecCloud E1206版本的安全云管理平台上进行配置和验证的。

4.4 配置注意事项

· 在开始配置操作前，请确保设备上无和当前组网需求冲突的配置内容，和管理网络可达，否则本举例中的相关配置不会生效。

· 因安全云在纳管物理设备时会下发初始化配置，确保物理设备在纳管前除基本配置外不允许有多余配置，基本配置包括：用户及密码、管理口IP，与云平台网络互通的路由、基础的NETCOF协议开启等。

· 基于物理FW设备创建服务前，需保证网络环境中已部署了物理FW设备，且与安全云管理网络可达，即配置完备的管理网及到管理网的路由，并在FW上开启NETCOF协议，能互相Ping通管理网络，该项的配置是为了保证添加标准型防火墙资源池时，输入URL、管理员用户名、密码能正确的读取到接口等参数，成功添加资源；并且后续的创建标准型防火墙、在标准型防火墙服务上对规则的创建等也依赖于该配置。

4.5 配置步骤

4.5.1 创建硬件FW资源池实例

1.添加硬件FW资源

(1) 使用系统管理员账号登录系统。

(2) 选择“资源管理 > 安全资源池 > 防火墙资源池”，进入防火墙资源池页面。如图3所示

(3) 单击<新建>按钮，进入新建防火墙资源池实例页面。

(4) 按照如下内容完成参数配置，其他参数保持缺省配置即可。

· 资源名称：配置为FW-1。

· 型号：本例为H3C SecPath F5030，请以设备实际情况为准。

· URL：本例为http://180.8.1.20，该参数为标准型防火墙的管理网IP，请以添加的标准型防火墙设备的管理IP实际情况为准。

· 管理员用户名：本例为admin，请以设备上已添加用户的实际情况为准。

· 密码：本例为seccloud123，请以设备上已添加用户的密码的实际情况为准。

· 防火墙类型：本例为标准型，该参数为标准型则表示该资源池只能用于创建标准型防火墙、该参数为标准型和增强型则表示可以用于创建两种类型的防火墙。请以具体实际情况为准

· 支持虚拟化：默认不选为否。

· 上行口名称：本例为GigabitEthernet1/0/2，是该组网中使用的上行口，请以实际组网和设备接口使用情况为准选择对应的接口名称。

· 上行口所在域：本例为DMZ，实际情况以设备上的配置为准。

· SSH端口号：本例为22，以设备实际情况为准。

图2 配置FW资源池实例

(5) 单击<确定>按钮，完成创建FW资源池实例。

2.配置资源优先级

添加成功硬件FW资源后，资源状态为未分配，单击资源分配优先级<修改>按钮，设置资源池资源优先，单击<保存>按钮，完成配置。

图3 设置资源分配优先级

4.5.2 创建FW服务

(1) 使用组织管理员或系统管理员账号登录系统。

(2) 选择“安全市场”，进入安全服务市场页面。

(3) 在安全服务分类下找到标准型防火墙，单击<立即开通>按钮，进入标准型防火墙服务订购页面。

(4) 按照如下内容完成参数配置，其他参数保持缺省配置即可。

· 选择用户：指定该服务的所有者，本例为admin。

· 名称：配置为testFW。

· 规格：选择“3000”。规格是在添加资源池时根据选定的型号来标明的该标准型防火墙所具有的能力总值，当基于该硬件资源创建标准型防火墙时选择规格并成功创建服务后，会从能力总值中扣除掉已选择的规格值，当点击资源名称可查看资源详情操作，在详情中可资源概况，资源概况记录了当前资源的总带宽与已分配带宽数值。

· 开通时长（天）：选择30。开通时长是开通服务的时间长度，单位为天。

图4 新建标准型防火墙服务

(5) 单击<下一步>按钮，提交创建FW订单申请。

(6) 使用系统管理员账号登录系统

(7) 选择“运营管理 > 审核订单”，进入审核订单页面。

图5 审核订单页面

(8) 单击未审核订单操作栏<同意>按钮，提交订单审批意见，完成创建FW服务。

4.5.3 配置规则

1.创建地址对象

(1) 使用系统管理员账号登录系统。

(2) 选择“资源管理 > 地址对象管理”，进入地址对象配置页面，可配置的地址对象类型有三种：主机地址、范围地址、网络地址。

(3) 单击<网络地址>，单击<新建>按钮，弹出新建框，在用户列表中选择用户，输入地址对象名称，再输入CIRD的网络地址和掩码（掩码格式为数字类型），并支持配置网络地址内的排除地址。根据配置组网，按照如下内容配置网络地址参数。

· 选择用户：本例为admin, 请以FW服务实际情况为准。

· 地址对象名称：本例为testFW_Address_Source，请以FW服务实际情况为准。

· CIRD：本例为192.168.1.0/24，请以实际情况为准。

· 排除地址：未配置，请以实际情况为准。

图6 新建网络地址

(4) 单击<确定>按钮，完成配置。

(5) 按照同样步骤新建地址对象名称为“testFW_Address_Destination”，CIRD为192.168.2.0/24，不配置排除地址。

2.创建服务对象

(1) 使用系统管理员账号登录系统。

(2) 选择“资源管理 > 服务对象管理”，进入服务对象配置页面。

(3) 配置服务对象，其中TCP类型可三选一，端口号的取值范围为：1-65535，可配置端口段，当不选时默认端口为80，即80-80。

图7 新建服务对象

(4) 单击<确定>按钮，完成配置。

3.创建规则

(1) 在标准型防火墙的实例页面找到已创建的标准型防火墙服务“testFW”，可看到服务状态为“正常”，在操作栏中单击<配置规则>按钮，可跳转到规则的列表页面。

(2) 单击<新建>按钮，弹出规则的创建界面，按照如下内容配置网络地址参数。

· 规则名称：本例为testRule, 请以业务实际情况为准。

· 源地址对象名称：选择该租户下已创建的地址对象，本例为testFW_Address_Source，请以业务实际情况为准。

· 源地址对象名称：选择该租户下已创建的地址对象，本例为testFW_Address_ Destination，请以业务实际情况为准。

· 服务对象：选择该租户下已创建的地址对象，本例不选择，请以实际情况为准。

· 动作：选择“允许”，可使源地址是192.168.1.0子网访问目的地址192.168.2.0子网下的报文通行。

(3) 单击<确定>按钮，完成配置。

4.6 验证配置

在192.168.1.0子网下主机可以Ping通192.168.2.0子网下的主机。

5 基于物理FW设备创建共享型服务典型配置

5.1 组网需求

某租户需要通过FW服务控制两子网下的主机间的访问，让192.168.1.0/24子网下的主机能访问192.168.2.0/24子网下的主机，网络中已存在物理FW设备。

图8 标准型防火墙服务组网图

5.2 配置思路

· 创建硬件FW资源池实例

· 创建FW服务

· 配置地址对象

· 配置规则

5.3 使用版本

本举例是在H3C SecCloud E1206版本的安全云管理平台上进行配置和验证的。

5.4 配置注意事项

· 在开始配置操作前，请确保设备上无和当前组网需求冲突的配置内容，和管理网络可达，且有初始化的用于下发的NETCONF配置项，否则本举例中的相关配置不会生效。

· 因安全云在纳管物理设备时会下发初始化配置，确保物理设备在纳管前不允许有多余配置，并且该类型是需要在硬件FW上创建Context，所以请确保添加进资源池的设备是支持创建Context，是否支持安全引擎组配置，并需要提前了解目前该设备可支持创建Context的数量。

· 基于物理FW设备创建服务前，需保证网络环境中已部署了物理FW设备，且与安全云网络可达。

5.5 配置步骤