使用版本

本举例是在F1090的R8660P33版本上进行配置和验证的。

图-1 基于地区的安全策略配置组网图

‌

配置步骤

1. 配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 123.50.11.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

2. 配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达Internet的下一跳IP地址为123.50.12.254，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 0.0.0.0 0 123.50.12.254

3. 配置接口加入安全域

# 请根据组网图中规划的信息，创建安全域，并将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-trust] import interface gigabitethernet 1/0/1

[Device-security-zone-trust] quit

[Device] security-zone name untrust

[Device-security-zone-untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-untrust] quit

4. 配置安全策略

# 配置名称为untrust-trust的安全策略规则，允许位于上海、杭州的分部员工访问服务器，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name untrust-trust

[Device-security-policy-ip-0-untrust-trust] source-zone untrust

[Device-security-policy-ip-0-untrust-trust] destination-zone trust

[Device-security-policy-ip-0-untrust-trust] source-location shanghai

[Device-security-policy-ip-0-untrust-trust] source-location hangzhou

[Device-security-policy-ip-0-untrust-trust] destination-ip-host 123.50.11.5

[Device-security-policy-ip-0-untrust-trust] action pass

[Device-security-policy-ip-0-untrust-trust] quit

# 激活安全策略规则的加速功能，具体配置步骤如下。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit