问题描述：
防火墙两个域之间分别写了策略互相放通，最底层是一条any策略
删除any策略后就登录不上了
查看会话无回包，debugging security-policy 和debugging aspf packet 查看都是The packet is permitted
这种情况可能是哪里有问题？怎么看？望告知，谢谢！
组网及组网描述：
- 2021-12-16提问
- 举报
-
(0)
最佳答案
应该还是策略配的有问题，把策略配置粘上来看一下
- 2021-12-16回答
- 评论(10)
- 举报
-
(1)
# security-zone name Local # security-zone name Trust # security-zone name DMZ # security-zone name Untrust # security-zone name X_SC import interface Reth2 import interface Route-Aggregation3 import interface Route-Aggregation4 # security-zone name X_YC import interface Reth1 import interface Route-Aggregation1 import interface Route-Aggregation2 #
# security-policy ip rule 0 name Mad_Bfd action pass counting enable source-zone local destination-zone trust source-ip Mad_Bfd destination-ip Mad_Bfd rule 1 name X-S_to_X_YG/SC action pass source-zone X_YG destination-zone X_SC source-ip SNA_C_NX destination-ip DXY_SC-G service ping service ssh service TCP-443 service TCP-830 service icmp-traceroute service snmp-trap service snmp-request rule 2 name X_YG/SC_to_X-SNA_C action pass source-zone X_SC destination-zone X_YG source-ip X_SC-G destination-ip SNA_C_NX service ping service ssh service TCP-830 service TCP-6633 service icmp-traceroute rule 3 name Local_to_Any action pass source-zone Local destination-zone X_SC destination-zone X_YG destination-zone DWHJ service ssh service ping service ntp rule 6 name DX_YGL/SC_TO_Local action pass source-zone X_SC source-zone X_YG destination-zone Local service TCP-22 service ping rule 4 name X_SC_to_Local action pass source-zone X_SC source-zone X_YG destination-zone Local service ssh service ping service http service https service ntp service TCP-22 rule 5 name X_YG-to-DWHJ action pass counting enable source-zone X_YG destination-zone DWHJ source-ip-host 22.243.238.6 source-ip-host 22.243.238.15 source-ip-host 22.243.238.70 source-ip-host 22.243.238.71 destination-ip-subnet 22.249.116.0 255.255.254.0 destination-ip-subnet 22.249.120.0 255.255.252.0 rule 20 name any action pass
X_SC和X_YG
看看是不是加了地址组导致没匹配上，这样看看不清，有没有web界面的截图，好看一点
使用命令行，不好意思了
命令行截图也行啊
看debug命中了rule 6
rule 6只放通了两个安全域到local的22端口和ping
应该没问题吧 object-group service TCP-22 description TCP-22 0 service tcp destination eq 22
安全策略基于IP地址的典型配置举例
1. 组网需求
· 某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。
· 通过配置安全策略规则，允许总裁办在任意时间、财务部在工作时间通过HTTP协议访问财务数据库服务器的Web服务，禁止其它部门在任何时间、财务部在非工作时间通过HTTP协议访问该服务器的Web服务。
2. 组网图
图1-3 安全策略基于IP地址的典型配置组网图
3. 配置步骤
(1) 配置时间段
# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。
<Device> system-view
[Device] time-range work 08:00 to 18:00 working-day
(2) 配置安全域
# 创建名为database的安全域，并将接口GigabitEthernet1/0/1加入该安全域中。
[Device] security-zone name database
[Device-security-zone-database] import interface gigabitethernet 1/0/1
[Device-security-zone-database] quit
# 创建名为president的安全域，并将接口GigabitEthernet1/0/2加入该安全域中。
[Device] security-zone name president
[Device-security-zone-president] import interface gigabitethernet 1/0/2
[Device-security-zone-president] quit
# 创建名为finance的安全域，并将接口GigabitEthernet1/0/3加入该安全域中。
[Device] security-zone name finance
[Device-security-zone-finance] import interface gigabitethernet 1/0/3
[Device-security-zone-finance] quit
# 创建名为market的安全域，并将接口GigabitEthernet1/0/4加入该安全域中。
[Device] security-zone name market
[Device-security-zone-market] import interface gigabitethernet 1/0/4
[Device-security-zone-market] quit
(3) 配置对象
# 创建名为database的IP地址对象组，并定义其子网地址为192.168.0.0/24。
[Device] object-group ip address database
[Device-obj-grp-ip-database] network subnet 192.168.0.0 24
[Device-obj-grp-ip-database] quit
# 创建名为president的IP地址对象组，并定义其子网地址为192.168.1.0/24。
[Device] object-group ip address president
[Device-obj-grp-ip-president] network subnet 192.168.1.0 24
[Device-obj-grp-ip-president] quit
# 创建名为finance的IP地址对象组，并定义其子网地址为192.168.2.0/24。
[Device] object-group ip address finance
[Device-obj-grp-ip-finance] network subnet 192.168.2.0 24
[Device-obj-grp-ip-finance] quit
# 创建名为market的IP地址对象组，并定义其子网地址为192.168.3.0/24。
[Device] object-group ip address market
[Device-obj-grp-ip-market] network subnet 192.168.3.0 24
[Device-obj-grp-ip-market] quit
# 创建名为web的服务对象组，并定义其支持的服务为HTTP。
[Device] object-group service web
[Device-obj-grp-service-web] service 6 destination eq 80
[Device-obj-grp-service-web] quit
(4) 配置安全策略及规则
# 进入IPv4安全策略视图。
[Device] security-policy ip
[Device-security-policy-ip]
# 制订允许总裁办在任意时间通过HTTP协议访问财务数据库服务器的安全策略规则，其规则名称为president-database。
[Device-security-policy-ip] rule 0 name president-database
[Device-security-policy-ip-0-president-database] source-zone president
[Device-security-policy-ip-0-president-database] destination-zone database
[Device-security-policy-ip-0-president-database] source-ip president
[Device-security-policy-ip-0-president-database] destination-ip database
[Device-security-policy-ip-0-president-database] service web
[Device-security-policy-ip-0-president-database] action pass
[Device-security-policy-ip-0-president-database] quit
# 制订只允许财务部在工作时间通过HTTP协议访问财务数据库服务器的安全策略规则，其规则名称为finance-database。
[Device-security-policy-ip] rule 1 name finance-database
[Device-security-policy-ip-1-finance-database] source-zone finance
[Device-security-policy-ip-1-finance-database] destination-zone database
[Device-security-policy-ip-1-finance-database] source-ip finance
[Device-security-policy-ip-1-finance-database] destination-ip database
[Device-security-policy-ip-1-finance-database] service web
[Device-security-policy-ip-1-finance-database] action pass
[Device-security-policy-ip-1-finance-database] time-range work
[Device-security-policy-ip-1-finance-database] quit
# 制订禁止市场部在任何时间通过HTTP协议访问财务数据库服务器的安全策略规则，其规则名称为market-database。
[Device-security-policy-ip] rule 2 name market-database
[Device-security-policy-ip-2-market-database] source-zone market
[Device-security-policy-ip-2-market-database] destination-zone database
[Device-security-policy-ip-2-market-database] source-ip market
[Device-security-policy-ip-2-market-database] destination-ip database
[Device-security-policy-ip-2-market-database] service web
[Device-security-policy-ip-2-market-database] action drop
[Device-security-policy-ip-2-market-database] quit
# 激活安全策略规则的加速功能。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
4. 验证配置
配置完成后，总裁办可以在任意时间访问财务数据库服务器的Web服务，财务部仅可以在工作时间访问财务数据库服务器的Web服务，其他部门任何时间均不可以访问财务数据库服务器的Web服务。
- 2021-12-16回答
- 评论(0)
- 举报
-
(1)
看看是不是运行了什么路由协议，any一删除路由协议就异常了，导致路由没有报文根本上不了墙。如果是多通道的，得检查是不是控制通道防火墙没有识别出相关协议，比如FTP协议不用21端口做控制通道，那么防火墙无法识别，数据通道就无法建立的。得开port-mapping 或者再用策略放数据通道。
- 2021-12-16回答
- 评论(0)
- 举报
-
(1)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明