CLI方式：域名信誉功能典型配置

使用版本

本举例是在T5030的R9900版本版本上进行配置和验证的。

组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现在需要通过使能域名信誉功能，对公司各部门的非法域名请求进行控制。

图-1 域名信誉基础配置组网图

注意事项

域名信誉业务会占用较多的系统资源，仅建议内存在2GB以上的设备启用，其他设备请谨慎启用。

配置步骤

1. 配置接口IP地址

   # 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

   <Device> system-view

   [Device] interface gigabitethernet 1/0/1

   [Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

   [Device-GigabitEthernet1/0/1] quit

   请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

2. 配置静态路由

   本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

   # 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

   [Device] ip route-static 5.5.5.0 24 2.2.2.2

3. 配置接口加入安全域

   # 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

   [Device] security-zone name trust

   [Device-security-zone-Trust] import interface gigabitethernet 1/0/1

   [Device-security-zone-Trust] quit

   [Device] security-zone name untrust

   [Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

   [Device-security-zone-Untrust] quit

4. 配置安全策略

   # 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网。具体配置步骤如下。

   [Device] security-policy ip

   [Device-security-policy-ip] rule name trust-untrust

   [Device-security-policy-ip-10-trust-untrust] source-zone trust

   [Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

   [Device-security-policy-ip-10-trust-untrust] destination-zone untrust

   [Device-security-policy-ip-10-trust-untrust] action pass

   [Device-security-policy-ip-10-trust-untrust] quit

   # 激活安全策略配置。

   [Device-security-policy-ip] accelerate enhanced enable

   [Device-security-policy-ip] quit

5. 配置域名信誉功能

   # 开启域名信誉功能。

   [Device] domain-reputation

   [Device-domain-reputation] global enable

   # 开启Top排名统计功能。

   [Device-domain-reputation] top-hit-statistics enable

   # 配置域名信誉库中编号为1的攻击分类对应的动作为丢弃和记录日志。

   [Device-domain-reputation] attack-category 1 action deny logging enable

   [Device-domain-reputation] quit

验证配置

配置完成后，当攻击报文匹配到编号为1的攻击分类时，设备将对报文执行丢弃动作，并会记录日志。管理员可到Web界面侧查看域名信誉Top排名统计信息。

配置文件

Device

#

interface GigabitEthernet1/0/1

ip address 192.168.1.1 255.255.255.0

#

interface GigabitEthernet1/0/2

ip address 2.2.2.1 255.255.255.0

#

security-zone name Trust

import interface GigabitEthernet1/0/1

#

security-zone name Untrust

import interface GigabitEthernet1/0/2

#

ip route-static 5.5.5.0 24 2.2.2.2

#

security-policy ip

rule 0 name trust-untrust

action pass

source-zone trust

destination-zone untrust

source-ip-subnet 192.168.1.0 255.255.255.0

#

domain-reputation

global enable

top-hit-statistics enable

#