问

H3C F100-C-G 防火墙想实现untrust到trust的固定端口连接

域间策略/安全域

2020-12-10提问

1关注
1收藏，4927浏览

zhiliao_fmJHW5

zhiliao_fmJHW5 零段

粉丝：0人关注：0人

问题描述：

H3C F100-C-G 防火墙想实现untrust到trust的固定端口连接

1、trust区域的设备不能访问untrust设备

2、untrust设备只能访问trust区域的二台固定IP地址，且端口号是2404的设备。

其他所有连接均不被允许。

麻烦问一下如何设置，谢谢！

组网及组网描述：

最佳答案

JamesV123

JamesV123 六段

粉丝：7人关注：28人

安全策略本身就是有方向性的，按照如下链接配置即可

https://www.h3c.com/cn/d_202009/1337345_30005_0.htm

2 个回答

按时间按赞数

已采纳

小白白

小白白四段

粉丝：6人关注：0人

你好

1.trust区域不能访问untrust区域，默认就是deny，可以不用管。

2.安全策略脚本如下（这是v7版本，你这个F100也是v7的）

object-group service 1 #定义服务组

service tcp destination eq 2404 #定义你的端口是tcp还是udp
service udp destination eq 2404

#配置安全策略

security-policy ip
rule 0 name per_untrust_trust
description trust
source-zone untrust
destination-ip xx.xx.xx.xx(ip1)

destination-ip xx.xx.xx.xx(ip2)

service 1 #只允许访问指定的端口

action pass

回复小白白:

好使了，原因是由于接口管理里，工作模式选的是：三层模式，且：无IP配置

zhiliao_fmJHW5 发表时间：2020-12-11 更多>>

我先弄了个不限IP的，是使用web方式配置的，没有串口，所以没法用命令来配置。现在还没通，麻烦帮忙看一下，差在哪，谢谢！ # version 5.20, Release 5142P02 # sysname H3C # clock timezone Beijing add 08:00:00 # undo voice vlan mac-address 00e0-bb00-0000 # interzone policy default by-priority # domain default enable system # port-security enable # undo alg dns undo alg rtsp undo alg h323 undo alg sip undo alg sqlnet undo alg pptp undo alg ils undo alg nbt undo alg msn undo alg qq undo alg tftp undo alg sccp undo alg gtp # session synchronization enable # password-recovery enable # vlan 1 # domain system access-limit disable state active idle-cut disable self-service-url disable # pki domain default crl check disable # user-group system group-attribute allow-guest # local-user admin password cipher $c$3$K4GrCvDX/fDNlQqddRB+4LynWbBc0v5S authorization-attribute level 3 service-type telnet service-type web # cwmp undo cwmp enable # interface NULL0 # interface GigabitEthernet0/0 port link-mode route ip address 192.168.0.1 255.255.255.0 # interface GigabitEthernet0/1 port link-mode route # interface GigabitEthernet0/2 port link-mode route # interface GigabitEthernet0/3 port link-mode route # interface GigabitEthernet0/4 port link-mode route # vd Root id 1 # zone name Management id 0 priority 100 import interface GigabitEthernet0/0 zone name Local id 1 priority 100 zone name Trust id 2 priority 85 import interface GigabitEthernet0/2 zone name DMZ id 3 priority 50 zone name Untrust id 4 priority 5 import interface GigabitEthernet0/1 switchto vd Root object service permit2404 service tcp destination-port 2404 zone name Management id 0 ip virtual-reassembly zone name Local id 1 ip virtual-reassembly zone name Trust id 2 ip virtual-reassembly zone name DMZ id 3 ip virtual-reassembly zone name Untrust id 4 ip virtual-reassembly interzone source Untrust destination Trust rule 0 permit comment 1 source-ip any_address destination-ip any_address service permit2404 rule enable # load xml-configuration # load tr069-configuration # user-interface con 0 user-interface vty 0 4 authentication-mode scheme # return