问
H3C SecPath F100-C-A1 如何给局域网电脑配置病毒防护功能
5天前提问
- 0关注
- 0收藏，102浏览
zhiliao_Gixe
八段
1. 确认防火墙工作模式：若当前为二层透明模式（不影响IP获取），可直接配置病毒防护；若为三层模式，需调整为透明模式（关键命令：system-view，firewall mode transparent）。
2. 配置病毒防护策略：
开启病毒防护功能：system-view，anti-virus enable。
配置病毒防护策略：anti-virus policy 1，rule 1 permit（或根据需求限制流量），action block（拦截病毒流量）。
应用策略到接口：interface GigabitEthernet 1/0/1（内网接口），anti-virus policy 1 inbound（或outbound，根据流量方向）。
3. 升级病毒库：通过官网下载最新病毒库，上传至防火墙并激活（命令：anti-virus update manual，或配置自动更新）。
4. 验证配置：查看病毒防护状态（display anti-virus status），检查内网设备IP获取是否正常（二层模式下不影响DHCP）。
注意：F100-C-A1需确保系统版本支持病毒防护功能，建议先升级到最新稳定版本。
2. 配置病毒防护策略：
开启病毒防护功能：system-view，anti-virus enable。
配置病毒防护策略：anti-virus policy 1，rule 1 permit（或根据需求限制流量），action block（拦截病毒流量）。
应用策略到接口：interface GigabitEthernet 1/0/1（内网接口），anti-virus policy 1 inbound（或outbound，根据流量方向）。
3. 升级病毒库：通过官网下载最新病毒库，上传至防火墙并激活（命令：anti-virus update manual，或配置自动更新）。
4. 验证配置：查看病毒防护状态（display anti-virus status），检查内网设备IP获取是否正常（二层模式下不影响DHCP）。
注意：F100-C-A1需确保系统版本支持病毒防护功能，建议先升级到最新稳定版本。
F100-C-A1 二层透明模式仅开启病毒防护方案（不干扰内网 DHCP 分配 IP）
一、核心结论
- 完全满足需求：F100-C-A1 支持透明二层模式（充当二层交换机），仅启用 AV 病毒查杀功能，不会修改内网 IP 规划、不会干扰原有 DHCP 服务器分配地址；
- 关键前提：安全策略必须放行 DHCP 广播报文（UDP 67/68），病毒功能仅过滤 HTTP/FTP/SMTP/POP3 流量，不阻断内网 DHCP 交互；
- 二层透明模式下设备仅做流量安检，内网终端、交换机、原有 DHCP 服务器三层 IP、网关完全无需改动。
二、完整配置分步（Console 命令行，先切换二层模式）
步骤 1：切换防火墙为透明二层模式（核心，实现交换机功能）
bash
运行
system-view
# 切换为透明模式，执行后需要重启设备生效
firewall mode transparent
# 确认切换，输入Y
Y
# 保存配置后重启
save force
reboot
重启后设备所有物理接口默认可工作在二层桥接模式，不产生三层路由，不干预内网 IP 分配。
步骤 2：二层桥接 + 安全域划分（上下行接口加入桥组）
假设：GE1/0/1 上联核心交换机（DHCP 服务器所在内网侧），GE1/0/2 下联接入交换机（终端电脑侧）
bash
运行
system-view
# 创建二层桥组，所有内网流量透传
bridge-group 1
port GigabitEthernet 1/0/1
port GigabitEthernet 1/0/2
# 配置管理IP（仅用于登录设备，不影响业务网段）
interface Vlan-interface 1
ip address 192.168.1.254 255.255.255.0
# 接口改为二层桥模式
interface GigabitEthernet 1/0/1
port link-mode bridge
interface GigabitEthernet 1/0/2
port link-mode bridge
# 划分安全域（trust内网双向流量）
security-zone name Trust
import interface GigabitEthernet 1/0/1 vlan all
import interface GigabitEthernet 1/0/2 vlan all
步骤 3：开启病毒防护引擎（仅启用 AV 病毒库，其他应用控制可关闭）
bash
运行
# 全局开启防病毒功能
anti-virus enable
# 仅对文件传输协议启用病毒扫描（HTTP/FTP/邮件）
anti-virus protocol http enable
anti-virus protocol ftp enable
anti-virus protocol smtp enable
anti-virus protocol pop3 enable
# 开启病毒日志，方便事后查询查杀记录
anti-virus logging enable
# 配置病毒库自动在线升级（设备需要能访问互联网）
anti-virus signature auto-update
# 放行设备自身访问外网更新病毒库的流量
security-policy ip
rule name FW-UPDATE
source-zone local
destination-zone trust
action pass
步骤 4：安全策略（关键，放行 DHCP，仅拦截病毒流量）
规则逻辑：内网双向流量全部允许，仅病毒流量由 AV 引擎拦截，放行 DHCP UDP 67/68 报文
bash
运行
security-policy ip
# 1. 放行内网双向所有基础流量（DHCP、ARP、ICMP、单播业务）
rule name INTRA-LAN-PASS
source-zone trust
destination-zone trust
service udp
service tcp
service icmp
action pass
# 2. 单独放行DHCP广播报文（彻底避免终端拿不到IP）
rule name DHCP-ALLOW
source-zone trust
destination-zone trust
service udp destination-port eq bootps bootpc
action pass
# 3. 开启这条规则的病毒深度检测（所有匹配流量执行AV查杀）
anti-virus apply
anti-virus apply绑定到内网放行规则，所有内网上下行文件流量会自动匹配病毒库，发现病毒直接丢弃并生成日志。
三、为什么不会影响局域网 DHCP 获取 IP？
- 二层透明转发：设备不充当三层网关，原有 DHCP 服务器、终端网段、网关完全不变；
- 策略放行 DHCP 端口：显式允许 UDP 67/68 广播报文，终端 DHCP Discover/Offer 报文无拦截；
- 病毒引擎仅检测文件传输流量：DHCP 广播报文不属于 HTTP/FTP/ 邮件，不会送入 AV 病毒检测流程，无过滤动作；
- 无 NAT、无路由转换，内网二层广播域完整透传，ARP、DHCP 广播不受防火墙干预。
四、配套验证 & 排查命令
1、查看病毒查杀统计（有匹配 / 拦截计数）
bash
运行
# 查看全局病毒拦截统计
display anti-virus statistics
# 查看病毒实时日志
display logbuffer | include "病毒"
2、验证二层转发、DHCP 放行
bash
运行
# 查看桥组成员，确认上下行接口已加入二层转发
display bridge-group 1
# 查看安全策略匹配计数，确认DHCP规则有流量
display security-policy ip statistics
# 测试病毒库升级连通性
ping dns.h3c.com
五、高频故障规避
- 切换透明模式后必须重启设备，否则二层转发不生效；
- 安全策略必须配置
anti-virus apply，否则不会执行病毒扫描； - 内网存在多 VLAN 场景：物理接口配置 Trunk，
port trunk permit vlan all，安全域导入对应 VLAN； - 病毒库升级失败：添加 local 到 trust 的放行规则，保证防火墙能访问互联网更新特征库。
极简总结
- 采用firewall mode transparent二层透明模式，设备等效二层交换机，不改动原有内网 IP/DHCP 架构；
- 全局开启
anti-virus enable，在内网放行安全策略绑定anti-virus apply实现全流量病毒过滤； - 显式放行 UDP 67/68 DHCP 端口，终端可正常从原有 DHCP 服务器获取 IP 地址；
- 通过
display anti-virus statistics查看病毒拦截匹配次数与查杀日志。
暂无评论
可以实现。在二层透明模式下开启病毒防护是防火墙的典型应用场景，不会影响你现有网络中的DHCP分配。
操作的核心是：将防火墙的上下行端口划入不同的安全域（如 Trust 和 Untrust），然后在安全策略中调用防病毒配置文件。
⚠️ 操作前须知
License授权：防病毒功能需要安装 License 才能使用。License过期后，功能无法升级特征库，但可以使用设备中已有的特征库继续工作。
二层模式特性：防火墙在二层模式下不参与IP路由，因此不会干扰你现有网络的DHCP服务。
📝 配置步骤
请在防火墙的 Web 管理界面中按顺序操作：
将接口加入安全域（配置透明模式）
导航至 “网络” > “接口”。
将连接外网（如运营商） 的接口（如
GigabitEthernet1/0/1）加入Untrust安全域。将连接内网（你的局域网） 的接口（如
GigabitEthernet1/0/2）加入Trust安全域。确保这两个接口不配置IP地址，或配置为二层模式。
配置防病毒配置文件
导航至 “对象” > “应用安全” > “防病毒” > “配置文件”。
点击 “新建”，创建一个配置文件（例如命名为
antivirus）。在配置文件中，选择对检测到的病毒采取的动作，一般建议选择 “保护（protect）”，表示直接阻断并告警。
在安全策略中引用防病毒配置文件
导航至 “策略” > “安全策略”。
新建一条安全策略，规则如下：
源安全域：
Trust（内网）目的安全域：
Untrust（外网）动作：
允许内容安全：在“防病毒”配置项中，引用上一步创建的配置文件（如
antivirus）。
（可选）如果还需要防护从外网到内网的流量，可以再创建一条方向相反的安全策略。
升级病毒库（关键步骤）
导航至 “系统” > “升级中心” > “特征库升级”。
开启 “防病毒特征库定时升级” 功能，或点击 “立即升级” 手动更新到最新版本。
✅ 验证与注意事项
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论