3  H3C SecPath GAP2000基本功能配置举例

3.1  组网需求

如图1所示，NETA、HOSTB、NETC代表外网允许访问的终端。ServerA和ServerB属于内网对外开放服务器。部署网闸后，配置2条应用通道，使得仅允许外网NETA、HOSTB、NETC可以访问到内网的这两台FTP服务器。

图1 H3C SecPath GAP2000基本功能配置举例组网图

3.2  配置思路

·     首先统计过网闸的应用有哪些，在此测试环境中仅FTP应用

·     调查这些应用分别部署在哪些服务器上，在此环境上FTP服务部署在内网ServerA和ServerB上

·     将所有需要被访问服务器的IP以及服务端口PORT统计全，设计服务映射列表。 申请内外端需要的IP地址。在此测试环境中网闸外端分配2个IP分别为内网2台服务器做映射。

3.3  使用版本

本举例是在E6006P03版本上进行配置和验证的。

3.4  配置步骤

3.4.1  通过B/S方式登录网闸

通过网闸MAN管理口登录网闸，打开浏览器输入https://192.168.0.1，（MAN口为专用管理口，其它网口不允许管理配置网闸）

系统管理员默认账号：admin；默认密码：adminh3c

图2 登录界面

3.4.2  网络配置

点击“网络管理”→“网卡绑定”，选择内端机的SLOT0/1和SLOT0/2。

图3 网卡绑定

点“+”后会弹出工作模式和连接状态监测方式选项框，如下图：

图4 添加网卡绑定

表1 工作模式

表2 连接状态检测方式表

配置工作模式、连接状态监测方式完成后，点击“保存”后完成网卡绑定。

图5 完成网卡绑定

点击“网络管理”→“IP地址管理”→“内端机”，选中新增的绑定网卡，设置网闸内端系统的IP。

图6 设置网闸内端系统的IP

点击“+”，设置完后点“保存”退出。

图7 新建IP

图8 配置IP和掩码

点击“网络管理”>“IP地址管理”>“外端机”，选中SLOT0/0，点击“+”设置网闸外端系统的IP。

图9 设置外端系统IP

设置完后点“保存”退出。

图10 添加、保存外端IP设置

如果需要配置多个IP，可以继续添加，如下图：

图11 添加子IP

点击“网络管理”>“路由配置”设置内、外端机的路由，如下图。

图12 路由管理

点击“新增路由”按钮添加路由。注意“端机口”参数，由于网闸是多机体系，请注意所添加的路由是在哪一端系统上的。设置完毕后点“保存”退出。

图13 添加、保存内端路由

图14 设置外端路由

3.4.3  通道设置

针对需要开放的服务，配置网闸通道，点击“通道管理”，如下图：

图15 通道管理

点击“添加通道”

图16 添加通道

图17 设置ServerA通道参数1

图18 设置ServerA通道参数2

该通道的作用是，内网服务器Server A 192.168.10.30，其21端口的FTP服务映射到网闸外端172.16.1.11的21端口上。当外网的用户访问ftp://172.16.1.11时，网闸会将请求摆渡到内网。随后以192.168.1.10这个连接IP作为源地址，192.168.10.30作为目标地址重新封装数据包，发送给Server A。

图19 设置ServerB通道参数1

图20 设置ServerB通道参数2

如果不需要挂载策略，直接点击保存并启用即可，或保存后手动启用，如下图：

图21 启用通道

注意：

·     网闸默认不主动释放连接，若有业务存在客户端不释放连接的情况，需根据业务情况配置通道空闲超时时间，在连接无数据传输时，网闸主动释放连接。否则会导致连接不释放占用系统并发连接，影响业务使用。

3.4.4  策略设置

每条端口类型的通道都可以对访问源IP进行限制。或者根据所选通道类型对相应内容进行过滤。这些都需要通过配置策略和挂载策略来实现。

点击“策略管理”→“客户端地址”配置源地址限制，如下图：

图22 策略-客户端地址

点击“策略管理”中的“新增”添加策略集，如下图：

图23 新增策略集

策略集有两种过滤类型，分别是“白名单”和“黑名单”，设置完后点“保存”退出。

图24 配置、保存策略集

每个策略集可以容纳多条策略，点击策略中的“新增”，设置具体策略，如下图：

图25 新增策略

图26 保存策略

按照测试环境要求，创建了一个“客户端地址”白名单策略集，其中包含网段172.16.1.0/24、188.33.0.0/24，以及终端172.16.11.250/32，如下图：

图27 策略集-允许访问源1

将策略集挂载到通道上。停用通道后，编辑通道，如下图：

图28 策略集挂载通道

选择需要挂载的策略集，在此测试环境中，仅“允许访问源1”中的三条策略对象访问此通道，即通过网闸访问内网Server A的FTP服务，Server B的FTP通道配置类似。保存后启用通道。

3.5  验证配置

通过Host A、Net B、Net C分别访问ftp://172.16.1.11和ftp://172.16.1.12。

图29 访问ftp://172.16.1.11

图30 172.16.1.11界面

图31 访问ftp://172.16.1.12

图32 172.16.1.12界面

应用都能正常访问。

通过其它访问源访问ftp://172.16.1.11和ftp://172.16.1.12。

图33 其它访问源访问ftp://172.16.1.11

图34 其它访问源访问ftp://172.16.1.12

通过其它访问源，应用都无法正常访问。