防火墙域间访问控制策略
- 0关注
- 0收藏，592浏览
问题描述：
如何创建对应的域间访问策略
security-policy和zone-pair都敲不进去
组网及组网描述：
如何创建对应的域间访问策略
security-policy和zone-pair都敲不进去
- 2025-02-25提问
- 举报
-
(0)
最佳答案
这什么设备，版本发一下，感觉命令不太对啊
.27 安全策略配置举例
1.27.1 基于IP地址的安全策略配置举例
1. 组网需求
· 某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。
· 通过配置安全策略规则，允许总裁办在任意时间、财务部在工作时间通过HTTP协议访问财务数据库服务器的Web服务，禁止其它部门在任何时间、财务部在非工作时间通过HTTP协议访问该服务器的Web服务。
2. 组网图
图1-6 基于IP地址的安全策略配置组网图
3. 配置步骤
(1) 配置接口IP地址
# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.0.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
请参考以上步骤配置其他接口的IP地址，具体配置步骤略。
(2) 配置接口加入安全域
# 请根据组网图中规划的信息，创建安全域，并将接口加入对应的安全域，具体配置步骤如下。
[Device] security-zone name database
[Device-security-zone-database] import interface gigabitethernet 1/0/1
[Device-security-zone-database] quit
[Device] security-zone name president
[Device-security-zone-president] import interface gigabitethernet 1/0/2
[Device-security-zone-president] quit
[Device] security-zone name finance
[Device-security-zone-finance] import interface gigabitethernet 1/0/3
[Device-security-zone-finance] quit
[Device] security-zone name market
[Device-security-zone-market] import interface gigabitethernet 1/0/4
[Device-security-zone-market] quit
(3) 配置时间段
# 创建名为work的时间段，其时间范围为每周工作日的8点到18点，具体配置步骤如下。
[Device] time-range work 08:00 to 18:00 working-day
(4) 配置安全策略
# 配置名称为president-database的安全策略规则，允许总裁办在任意时间通过HTTP协议访问财务数据库服务器，具体配置步骤如下。
[Device] security-policy ip
[Device-security-policy-ip] rule name president-database
[Device-security-policy-ip-0-president-database] source-zone president
[Device-security-policy-ip-0-president-database] destination-zone database
[Device-security-policy-ip-0-president-database] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-0-president-database] destination-ip-subnet 192.168.0.0 24
[Device-security-policy-ip-0-president-database] service http
[Device-security-policy-ip-0-president-database] action pass
[Device-security-policy-ip-0-president-database] quit
# 配置名称为finance-database的安全策略规则，只允许财务部在工作时间通过HTTP协议访问财务数据库服务器，具体配置步骤如下。
[Device-security-policy-ip] rule name finance-database
[Device-security-policy-ip-1-finance-database] source-zone finance
[Device-security-policy-ip-1-finance-database] destination-zone database
[Device-security-policy-ip-1-finance-database] source-ip-subnet 192.168.2.0 24
[Device-security-policy-ip-1-finance-database] destination-ip-subnet 192.168.0.0 24
[Device-security-policy-ip-1-finance-database] service-port tcp destination eq 80
[Device-security-policy-ip-1-finance-database] action pass
[Device-security-policy-ip-1-finance-database] time-range work
[Device-security-policy-ip-1-finance-database] quit
# 配置名称为market-database的安全策略规则，禁止市场部在任何时间通过HTTP协议访问财务数据库服务器，具体配置步骤如下。
[Device-security-policy-ip] rule name market-database
[Device-security-policy-ip-2-market-database] source-zone market
[Device-security-policy-ip-2-market-database] destination-zone database
[Device-security-policy-ip-2-market-database] source-ip-subnet 192.168.3.0 24
[Device-security-policy-ip-2-market-database] destination-ip-subnet 192.168.0.0 24
[Device-security-policy-ip-2-market-database] service http
[Device-security-policy-ip-2-market-database] action drop
[Device-security-policy-ip-2-market-database] quit
# 激活安全策略规则的加速功能，具体配置步骤如下。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
4. 验证配置
配置完成后，总裁办可以在任意时间访问财务数据库服务器的Web服务，财务部仅可以在工作时间访问财务数据库服务器的Web服务，其他部门任何时间均不可以访问财务数据库服务器的Web服务。
- 2025-02-25回答
- 评论(0)
- 举报
-
(0)
基本域间策略配置举例
3.1 组网需求
如 图1 所示，公司内部网络通过Firewall与Internet互连。要求：
. 正确配置域间策略，允许内部主机Public（IP 地址为10.1.1.12/24）在任何时候访问外部网络；
. 禁止内部其他主机在上班时间（星期一～星期五的 8:00～18:00）访问外部网络。
. 管理主机连接防火墙端口 GigabitEthernet0/0，对设备进行Web 管理。
图1 基本域间策略配置组网图
3.2 配置思路
. 为了使域间策略在规定的时间内生效，要在配置域间策略前按组网要求配置好时间段。
. 为了对网络访问行为进行监控，需开启日志功能。
. 为了对设备进行 Web 管理，需要配置管理口所在安全域到Local 域的域间策略，这里管理口为GigabitEthernet0/0。
配置步骤
3.5.1 通过命令行设置管理口，实现对设备的Web管理
# 通过Console 口登录设备。
# 系统默认将管理口加入到Management 域。如果未加入，则需要手动配置。
<Firewall> system-view
[Firewall] zone name management
[Firewall-zone-management] import interface gigabitethernet 0/0
[Firewall-zone-management] quit
# 配置管理口GigabitEthernet 0/0 的IP 地址。
[Firewall] interface gigabitethernet 0/0
[Firewall-GigabitEthernet0/0] ip address 192.168.2.1 24
[Firewall-GigabitEthernet0/0] quit
# 配置地址对象，管理主机的IP 地址为192.168.2.2。
[Firewall] object network host manage-pc
[Firewall-object-network-manage-pc] host address 192.168.2.2
[Firewall-object-network-manage-pc] quit
# 配置Management 域到Local 域之间的域间策略。
[Firewall] interzone source management destination local
[Firewall-interzone-management-local] rule 0 permit
[Firewall-interzone-management-local-rule-0] source-ip manage-pc
[Firewall-interzone-management-local-rule-0] destination-ip any_address
[Firewall-interzone-management-local-rule-0] service http
[Firewall-interzone-management-local-rule-0] rule enable
[Firewall-interzone-management-local-rule-0] quit
# 如果系统无用户名，需要设置相应的用户名，并开启相应服务，用于Web 登录。
通过命令行方式配置Firewall
# 配置接口GigabitEthernet0/1 的地址。
<Firewall> system-view
[Firewall] interface gigabitethernet 0/1
[Firewall-GigabitEthernet0/1] ip address 20.1.1.1 24
[Firewall-GigabitEthernet0/1] quit
# 配置接口GigabitEthernet0/2 的地址。
[Firewall] interface gigabitethernet 0/2
[Firewall-GigabitEthernet0/2] ip address 10.1.1.1 24
[Firewall-GigabitEthernet0/2] quit
# 将接口GigabitEthernet0/1 加入Untrust 域。
[Firewall] zone name untrust
[Firewall-zone-untrust] import interface gigabitethernet 0/1
[Firewall-zone-untrust] quit
# 将接口GigabitEthernet0/2 加入Trust 域。
[Firewall] zone name trust
10
[Firewall-zone-trust] import interface gigabitethernet 0/2
[Firewall-zone-trust] quit
# 配置时间段（星期一～星期五的8:00～18:00）。
[Firewall] time-range worktime 08:00 to 18:00 working-day
# 配置主机地址资源对象public。
[Firewall] object network host public
[Firewall-object-network-public] host address 10.1.1.12
[Firewall-object-network-public] quit
# 配置允许主机Public 在任何时候访问外部网络的域间策略规则。
[Firewall] interzone source trust destination untrust
[Firewall-interzone-trust-untrust] rule permit logging
[Firewall-interzone-trust-untrust-rule-0] source-ip public
[Firewall-interzone-trust-untrust-rule-0] destination-ip any_address
[Firewall-interzone-trust-untrust-rule-0] service any_service
[Firewall-interzone-trust-untrust-rule-0] rule enable
[Firewall-interzone-trust-untrust-rule-0] quit
# 配置禁止其他主机在上班时间访问外部网络的域间策略规则。
[Firewall] interzone source trust destination untrust
[Firewall-interzone-trust-untrust] rule 1 deny logging time-range worktime
[Firewall-interzone-trust-untrust-rule-1] source-ip any_address
[Firewall-interzone-trust-untrust-rule-1] destination-ip any_address
[Firewall-interzone-trust-untrust-rule-1] service any_service
[Firewall-interzone-trust-untrust-rule-1] rule enable
[Firewall-interzone-trust-untrust-rule-1] quit
# 配置允许其他主机在非上班时间访问外部网络的域间策略规则。
[Firewall] interzone source trust destination untrust
[Firewall-interzone-trust-untrust] rule 2 permit logging
[Firewall-interzone-trust-untrust-rule-1] source-ip any_address
[Firewall-interzone-trust-untrust-rule-1] destination-ip any_address
[Firewall-interzone-trust-untrust-rule-1] service any_service
[Firewall-interzone-trust-untrust-rule-1] rule enable
[Firewall-interzone-trust-untrust-rule-1] quit
- 2025-02-25回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论