- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-安全域配置
本章节下载： 01-安全域配置 (278.44 KB)
目 录
管理员将安全需求相同的接口进行分类，并划分到不同的安全域（Security Zone），能够实现域间策略的统一管理。
安全域特性包括如下基本概念：
· 安全域：是一个逻辑概念，用于管理安全防护设备上安全需求相同的多个接口。
· 缺省安全域：当首次创建安全域或者域间策略时，系统会自动创建以下缺省安全域：Local、Trust、DMZ（Demilitarized Zone，隔离区）、Management和Untrust。缺省安全域不能被删除。
· DMZ：指代一个逻辑上和物理上都与内部网络和外部网络分离的区域。通常部署网络时，将那些需要被公共访问的设备（如Web server、FTP server等）放置于此。
创建安全域后，设备上各接口的报文转发遵循以下规则：
· 一个安全域中的接口与一个不属于任何安全域的接口之间的报文，会被丢弃。
· 属于同一个安全域的各接口之间的报文缺省会被丢弃。
· 安全域之间的报文由域间策略进行安全检查，并根据检查结果放行或丢弃。若域间策略不存在或不生效，则报文会被丢弃。
· 非安全域的接口之间的报文被丢弃。
· 目的地址或源地址为本机的报文，缺省会被丢弃，若该报文与域间策略匹配，则由域间策略进行安全检查，并根据检查结果放行或丢弃。
传统防火墙的安全控制策略配置通常是基于报文入接口、出接口的，进入和离开接口的流量基于接口上指定方向的策略规则进行过滤。这种基于接口的策略配置方式需要为每一个接口配置安全控制策略，给网络管理员带来配置和维护上的负担。随着防火墙技术的发展，防火墙已经逐渐摆脱了只连接外网和内网的角色，出现了内网/外网/DMZ的模式，并且向着提供高端口密度服务的方向发展。基于安全域来配置安全控制策略的方式可以解决上述问题。
如图1-1所示，域间策略是一种基于安全域实现对报文流的检查，并根据检查结果对报文执行相应动作的安全控制策略。一个安全域中，可以包含多个成员。例如，可以将公司安全防护设备上连接到内网的接口作为成员加入安全域Trust，连接Internet的接口作为成员加入安全域Untrust，这样管理员只需要部署这两个安全域之间的域间策略即可。如果后续网络环境发生了变化，则只需要调整相关安全域内的接口，而域间策略不需要修改。
域间策略包括：包过滤、ASPF和安全策略。管理员可以根据不同的应用场景，选择不同的域间策略对报文进行转发控制。其中包过滤、ASPF是基于安全域间实例进行配置，安全策略是基于全局进行配置。
包过滤功能是根据报文的五元组（源IP地址、源端口号、目的IP地址、目的端口号、传输层协议）实现对报文在不同安全域之间的转发进行控制。有关包过滤功能的详细介绍，请参见“ACL和QoS配置指导”中的“ACL”。
如图1-2所示，若希望只允许市场部员工可以访问Internet网页，而财务部的员工不可以访问Internet网页，则需要在边界设备的Trust和Untrust安全域之间的两个方向上均应用包过滤策略。策略中需要配置两条规则rule-1和rule-2，保证市场部的员工可以访问Internet网页。默认策略可以禁止财务部员工访问Internet网页。
ASPF（Advanced Stateful Packet Filter，高级状态包过滤）可以对已放行报文进行信息记录，使已放行报文的回应报文在应用了包过滤策略的安全域之间可以正常通过。有关ASPF的详细介绍，请参见“安全配置指导”中的“ASPF”。
如图1-3所示，为了保护内部网络，可以在边界设备的Trust到Untrust安全域方向上应用包过滤策略和ASPF策略，只允许市场部的员工访问Internet网页，同时拒绝Untrust网络中的主机访问Trust网络。但是包过滤策略会将用户发起连接后返回的报文过滤掉，导致连接无法正常建立。利用ASPF功能可以解决此问题。默认策略可以禁止财务部员工访问Internet网页。
图1-3 ASPF示意图
安全策略基于全局配置和全局生效，不需要被引用。安全策略不仅可以彻底替代包过滤，还可以基于用户和应用对报文进行转发控制，并可以对符合过滤条件的报文进行DPI（Deep Packet Inspection，深度报文检测）检测。有关安全策略的详细介绍，请参见“安全配置指导”中的“安全策略”。
如图1-4所示，在安全策略中配置rule-1和rule-2基于用户和应用实现只允许市场部的员工可以访问Internet网页，但禁止其浏览淘宝网；并对市场部员工访问网页的内容进行深度检测，防止黑客入侵。默认策略可以禁止财务部员工访问Internet网页。
通过域间策略分类中对包过滤、ASPF和安全策略各个功能的简单介绍和对比，可以发现安全策略具有如下优势：
· 不仅可以通过五元组对报文进行控制，还可以基于用户来区分不同部门的员工，使网络管理更加灵活和可视。
· 可以有效区分协议（如HTTP协议）上承载的不同应用（如基于网页的游戏、视频和购物），使网络管理更加精细和准确。
· 可以通过在安全策略中引用DPI业务，实现对报文内容的深度检测，有效阻止病毒和黑客的入侵。
当安全策略与包过滤策略同时配置时，因为安全策略对报文的处理在包过滤之前，报文与安全策略规则匹配成功后，不再进行包过滤处理，所以请合理配置安全策略和包过滤策略，否则可能会导致配置的包过滤策略不生效。
安全域配置任务如下：
(1) 创建安全域
(2) 向安全域中添加成员
(3) （可选）配置不受控协议
(4) （可选）配置不同安全域接口间报文处理的缺省动作
(5) （可选）开启安全域缺省动作记录日志功能
(1) 进入系统视图。
system-view
(2) 创建安全域，并进入安全域视图。
security-zone name zone-name
缺省情况下，存在安全域Local、Trust、DMZ、Management和Untrust。
创建安全域后，需要给安全域添加成员。安全域的成员类型包括：
· 三层接口，包括三层以太网接口、三层以太网子接口和其它三层逻辑接口。配置该成员后，该接口收发的所有报文将由安全域下配置的域间策略来处理。
· 二层接口和VLAN。配置该成员后，该接口收发的、携带了指定VLAN Tag的报文，将由安全域下配置的域间策略来处理。
· VLAN。配置该成员后，携带了指定VLAN Tag的报文，将由安全域下配置的域间策略来处理。此种方式只适用于Bridge转发，有关Bridge转发的详细介绍，请参见“二层技术-以太网交换”中的“Bridge转发”。
· IPv4子网。配置该成员后，系统会判断报文的源和目的IPv4地址是否属于该子网范围，如果属于，则将交给安全域下配置的域间策略来处理。
· IPv6子网。配置该成员后，系统会判断报文的源和目的IPv6地址是否属于该子网范围，如果属于，则将交给安全域下配置的域间策略来处理。
· 服务链。配置该成员后，携带指定服务链的报文，将会安全域下配置的域间策略来处理。
当报文根据不同成员类型，匹配到不同安全域时，匹配优先顺序从高到低依次为服务链->IP子网->接口及VLAN，匹配过程中，当匹配到某一成员类型后，将不再继续往下匹配。
(1) 进入系统视图。
system-view
(2) 进入安全域视图。
security-zone name zone-name
(3) 向安全域中添加成员。请至少选择其中一项进行配置。
¡ 向安全域中添加三层接口成员。
import interface layer3-interface-type layer3-interface-number
缺省情况下，安全域中不存在三层接口成员。
可以通过多次执行本命令，向安全域中添加多个三层接口成员。
¡ 向安全域中添加二层接口和VLAN成员。
import interface layer2-interface-type layer2-interface-number vlan vlan-list
缺省情况下，安全域中不存在二层接口和VLAN成员。
可以通过多次执行本命令，向安全域中添加多个二层接口和VLAN成员。
¡ 向安全域中添加VLAN成员。
import vlan vlan-list
缺省情况下，安全域中不存在VLAN成员。
可以通过多次执行本命令，向安全域中添加多个VLAN成员。
¡ 向安全域中添加IPv4子网成员。
import ip ip-address { mask-length | mask } [ vpn-instance vpn-instance-name ]
缺省情况下，安全域中不存在IPv4子网成员。
可以通过多次执行本命令，向安全域中添加多个IPv4子网成员。
¡ 向安全域中添加IPv6子网成员。
import ipv6 ipv6-address prefix-length [ vpn-instance vpn-instance-name ]
缺省情况下，安全域中不存在IPv6子网成员。
可以通过多次执行本命令，向安全域中添加多个IPv6子网成员。
¡ 向安全域中添加服务链成员。
import service-chain path path-id [ reversed ]
缺省情况下，安全域中不存在服务链成员。
可以通过多次执行命令，向安全域中添加多个服务链成员。需要区分服务链的正向报文与反向报文分别添加安全域。
缺省情况下，设备仅允许Local安全域和Management安全域之间的报文通过，Local安全域和其他安全域之间的报文会被丢弃。若需通过其他安全域成员接口对设备进行管理，可通过配置域间策略放行Local安全域和其他安全域指定协议的报文，也可在对应接口视图下配置本机与其他设备交互的不受控协议。
当设备的某接口配置了允许通过指定协议和其他设备进行交互，则和该接口相连设备交互的指定协议报文将直接放行，不再被安全策略或带宽管理策略控制。
可以通过多次执行本命令，配置多个本机和其他设备交互的不受控协议。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置允许和其他设备交互的协议，指定协议的报文不受策略控制。
manage { { http | https | ping | ssh | telnet } { inbound | outbound } | { netconf-http | netconf-https | netconf-ssh | snmp } inbound }
缺省情况下，仅允许和Management安全域接口相连的其他设备进行报文交互。
对于不同安全域接口间的报文，若设备上不存在当前域到目的域的域间策略，则设备缺省会将其丢弃，可以通过配置不同安全域接口间报文处理的缺省动作允许或拒绝其通过。
(1) 进入系统视图。
system-view
(2) 配置不同安全域接口间报文处理的缺省动作。
¡ 配置缺省动作为允许。
security-zone inter-zone default permit
¡ 配置缺省动作为拒绝。
undo security-zone inter-zone default permit
缺省情况下，不同安全域接口间报文处理的缺省动作为拒绝。
对于收到的报文，若设备上不存在匹配的域间策略，则执行安全域缺省动作，安全域缺省动作请参考“安全域配置指导”中的“基于安全域的报文处理规则”。
安全域缺省动作处理报文默认不会记录日志，如需要记录安全域缺省动作处理报文的日志，可以开启安全域缺省动作记录日志的功能。
(1) 进入系统视图。
system-view
(2) 开启安全域缺省动作记录日志功能。
security-zone default-policy logging enable
缺省情况下，安全域缺省动作记录日志的功能处于关闭状态。
在完成上述配置后，在任意视图下执行display命令可以显示配置后安全域的相关信息，通过查看显示信息验证配置的效果。
表1-1 安全域显示和维护
|
操作 |
命令 |
|
显示安全域信息，包括预定义的和自定义的安全域信息 |
display security-zone [ name zone-name ] |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
