H3C SecPath GAP2000-CN[E][AK82X0]系列安全隔离与信息交换系统典型配置(E6702)-5W101

19-ACL控制挂载策略（OPC）举例

1 简介

2 配置前提

3 H3C SecPath GAP2000 ACL控制挂载策略（OPC）举例

3.4.1 先决条件：（路由模式使用不同网段地址）

1 简介

本文档介绍了H3C SecPath GAP2000在路由模式下，ACL访问控制功能关联OPC应用层策略的配置举例。

2 配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置是否存在透明映射，即监听IP和目标IP完全一致的通道，其监听IP必然产生路由冲突。相关通道需要删除，并清除其监听IP才可进行路由模式配置。

本文假设您已了解H3C SecPath GAP2000特性。

3 H3C SecPath GAP2000 ACL控制挂载策略（OPC）举例

3.1 组网需求

如图1所示，终端代表内网允许访问的终端。采集服务器属于外网对内开放的服务器。部署网闸后，在路由模式下配置ACL控制规则，使得仅允许内网终端可以访问到外网的采集服务器。

图1 H3C SecPath GAP2000 ACL控制配置举例组网图

3.2 配置思路

· 网闸内外端配置IP地址

· 网闸内外端配置路由

· 网闸内外端配置OPC规则

· 网闸内外端配置ACL挂载OPC通道

· OPC采集服务端及OPC终端配置

3.3 使用版本

本举例是在H3C i-Ware Software, Version 3.1, ESS 6702P02版本上进行配置和验证的。

3.4 环境配置

3.4.1 先决条件：（路由模式使用不同网段地址）

终端

网闸

采集服务器

192.168.30.86

内端GE0/3

192.168.30.1

外端GE0/3

192.168.40.1

192.168.40.85

网关

192.168.30.1

目的子网：

192.168.40.0

子网掩码：

255.255.255.0

网卡名称：Tun

目的子网：

192.168.30.0

子网掩码：

255.255.255.0

网卡名称：Tun

网关

192.168.40.1

3.5 配置步骤

3.5.1 通过B/S方式登录网闸内端

通过网闸内端MAN管理口登录网闸，打开浏览器输入https://192.168.0.1，（MAN口为内端专用管理口）

系统管理员默认账号：admin；默认密码：adminh3c

安全管理员默认账号：secrecy；默认密码：secrecyh3c

图2 内端登录页面

3.5.2 内端网络配置

点击<网络管理>-<IP地址管理>，GE0/3网卡上配置IP地址192.168.30.1，作为客户端192.168.30.86/32的网关地址。

图3 设置内端系统IP

设置完后点“保存”退出。

图4 添加、保存内端IP设置

点击“网络管理”>“路由配置”设置内端的路由，如下图。

图5 路由管理

点击<网络管理>-<路由配置>，内端添加目的子网为服务器所在网络的路由，其中网卡选为Tun口。

图6 添加、保存内端路由

3.5.3 通过B/S方式登录网闸外端

通过网闸外端MAN管理口登录网闸，打开浏览器输入https://192.168.0.2，（MAN口为外端专用管理口）

系统管理员默认账号：admin；默认密码：adminh3c

安全管理员默认账号：secrecy；默认密码：secrecyh3c

图7 外端登录页面

3.5.4 外端网络配置

点击<网络管理><IP地址管理>，外端GE0/3网卡上配置IP地址192.168.40.1，作为服务器192.168.40.85/32的网关地址。

图8 设置外端系统IP

设置完后点“保存”退出。

图9 添加、保存外端IP设置

点击“网络管理”>“路由配置”设置外端的路由，如下图。

图10 路由管理

外端添加目的子网为客户端所在网络的路由，其中网卡选为Tun口。

图11 添加、保存外端路由

3.5.5 OPC策略配置

该配置在安全管理员secrecy下操作

依次点击<策略管理>-<OPC>-<选择控制点增加>-<新建策略集>

图12 策略添加

图13

输入名称，选择过滤类型为白名单，点击保存，自动返回<策略列表>

图14 添加OPC控制点增加策略

选择新建好的策略集，点击新建策略

图15 新建策略

图16 设置节点TAG

此处填写节点TAG。节点TAG包括“节点路径.节点名”

图17 保存策略

3.5.6 ACL控制挂载策略配置

该配置在安全管理员secrecy下操作

1. 全局拒绝配置

点击<ACL控制>-<拒绝>，将全局控制设置为拒绝状态（内、外端均设置全局拒绝）。

图18 全局设置

2. 内端ACL配置

点击“+”<添加规则>

图19 添加策略

图20 配置内端路由模式ACL规则控制

表1 ACL规则控制参数说明

参数	说明
名称	ACL控制规则的名称定义
模式选择	支持监控模式和路由模式两种选择
监控网卡	选择需要使用的网卡
协议类型	路由模式支持：TCP、UDP、HTTP、POP3、SMTP、OPC、ICMP、IMAP
动作	设置规则的动作为允许或者拒绝
地址输入方式切换	地址对象：地址对象管理添加的客户端地址集地址：直接在下方输入客户端IP和掩码
客户端地址	规则内控制访问的客户端地址
客户端端口段	规则内控制访问的客户端端口或者端口段
目的地址	规则内控制访问的目的端地址
目的端口段	规则内控制访问的目的端口或者端口段
记录日志	可选是否记录ACL规则命中的日志
策略集	路由模式下支持OPC、HTTP、邮件协议（POP3、SMTP、IMAP）应用策略