本举例是在M9000-AI-E8的R9071版本上进行配置和验证的。
如下图所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。公司只对内部提供Web服务，不对外提供这些服务。现需要在设备上部署安全域，并基于以下安全需求进行域间策略的配置。
与接口GigabitEthernet1/0/1相连的公司内部网络属于可信任网络，部署在Trust安全域，可以自由访问Web服务器和外部网络。
与接口GigabitEthernet1/0/3相连的外部网络属于不可信任网络，部署在Untrust安全域，不能访问公司内部网络和Web服务器。
与接口GigabitEthernet1/0/2相连的Web server、FTP server部署在DMZ安全域，可以被Trust安全域的主机自由访问，但不允许访问处于Trust域的公司内部网络。
图-1 安全域基本组网配置组网图
配置接口IP地址
# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 1.1.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
请参考以上步骤配置其他接口的IP地址，具体配置步骤略。
配置接口加入安全域。
# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/2
[Device-security-zone-DMZ] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/3
[Device-security-zone-Untrust] quit
配置ACL
# 配置ACL 3001，定义规则：允许内网主机访问Internet。
[Device] acl advanced 3001
[Device-acl-ipv4-adv-3500] rule permit ip source 1.1.1.0 0.0.0.255 destination 3.3.3.0 0.0.0.255
[Device-acl-ipv4-adv-3500] quit
# 配置ACL 3002，定义规则：允许内网主机访问Web server的所有流量。
[Device] acl advanced 3002
[Device-acl-ipv4-adv-3002] rule permit ip source 1.1.1.0 0.0.0.255 destination 2.2.2.0 0.0.0.255
[Device-acl-ipv4-adv-3500] quit
配置域间策略
# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并在该安全域间实例上应用包过滤，可以拒绝Untrust域用户对Trust的访问，但Trust域用户访问Untrust域以及返回的报文可以通过。
[Device] zone-pair security source trust destination untrust
[Device-zone-pair-security-Trust-Untrust] packet-filter 3001
[Device-zone-pair-security-Trust-Untrust] quit
# 创建源安全域Trust到目的安全域DMZ的安全域间实例，并在该安全域间实例上应用包过滤，可以拒绝DMZ域用户对Trust的访问，但Trust域用户访问DMZ域以及返回的报文可以通过。
[Device] zone-pair security source trust destination dmz
[Device-zone-pair-security-Trust-DMZ] packet-filter 3002
[Device-zone-pair-security-Trust-DMZ] quit
以上配置完成后，内网主机可访问外部网络以及DMZ安全域内的Web服务器资源。外部网络向内部网络和DMZ安全域主动发起的连接请求将被拒绝。
#
interface GigabitEthernet1/0/1
ip address 1.1.1.1 255.255.255.0
#
interface GigabitEthernet1/0/2
ip address 2.2.2.1 255.255.255.0
#
interface GigabitEthernet1/0/3
ip address 3.3.3.1 255.255.255.0
#
security-zone name Trust
import interface GigabitEthernet1/0/1
#
security-zone name DMZ
import interface GigabitEthernet1/0/2
#
security-zone name Untrust
import interface GigabitEthernet1/0/3
#
acl advanced 3001
rule 0 permit ip source 1.1.1.0 0.0.0.255 destination 3.3.3.0 0.0.0.255
#
acl advanced 3002
rule 0 permit ip source 1.1.1.0 0.0.0.255 destination 2.2.2.0 0.0.0.255
#
zone-pair security source Trust destination Untrust
packet-filter 3001
#
zone-pair security source Trust destination DMZ
packet-filter 3002