f100-c-a3怎么设置白名单

1.25.6  地址对象组白名单配置举例

1. 组网需求

网络管理员需要将外部网络中的一组网段地址为5.5.5.0/24的用户报文在Device上永远放行。

2. 组网图

图1-15 地址组白名单配置组网图

‌

3. 配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.0.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     将接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

(3)     配置安全策略

# 配置名称为trust-untrust的安全策略，保证Trust安全域内的主机可以访问Internet，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-1-trust-untrust] source-zone trust

[Device-security-policy-ip-1-trust-untrust] destination-zone untrust

[Device-security-policy-ip-1-trust-untrust] source-ip-subnet 192.168.0.0 16

[Device-security-policy-ip-1-trust-untrust] action pass

[Device-security-policy-ip-1-trust-untrust] quit

# 配置名称为untrust-dmz的安全策略，保证Internet中的主机可以访问Server，具体配置步骤如下。

[Device-security-policy-ip] rule name untrust-dmz

[Device-security-policy-ip-2-untrust-dmz] source-zone untrust

[Device-security-policy-ip-2-untrust-dmz] destination-zone dmz

[Device-security-policy-ip-2-untrust-dmz] destination-ip-host 10.1.1.2

[Device-security-policy-ip-2-untrust-dmz] action pass

[Device-security-policy-ip-2-untrust-dmz] quit

[Device-security-policy-ip] quit

(4)     配置地址对象组白名单功能

# 创建地址对象组obj1，并将5.5.5.0/24加入地址对象组。

[Device] object-group ip address obj1

[Device-obj-grp-ip-obj1] network subnet 5.5.5.0 24

[Device-obj-grp-ip-obj1] quit

# 通过引用地址对象组obj1配置白名单。

[Device] whitelist object-group obj1

# 开启全局白名单过滤功能。

[Device] whitelist global enable

4. 验证配置

完成以上配置后，Device对来自网段地址为5.5.5.0/24的用户报文一律进行放行处理，除非管理员认为这组用户不再为信任网段，通过undo whitelist object-group将其从白名单中删除。