H3C MSG360-20

10.1  配置任务导引

10.1.1  配置不同VLAN之间不能互访

当网络管理员需要禁止不同部门（VLAN）之间互访时，可以通过配置防火墙功能来实现。配置步骤如下：

10.2  防火墙

10.2.1  简介

防火墙功能是通过一系列的安全规则匹配网络中的报文，并执行相应的动作，从而达到阻断非法报文传输、正常转发合法报文的目的，为用户的网络提供一道安全屏障。

10.2.2  注意事项

·     当报文匹配到一个防火墙安全规则后，则不会继续向下匹配，所以请合理安排安全规则的优先级，避免报文匹配错误的规则而导致执行相反动作。

·     当缺省过滤规则设置为允许时，用户不需要配置任何安全规则，接入当前设备的所有终端都可以相互访问，且可以访问外网。

·     当缺省过滤规则设置为允许时，如果用户需要限制指定终端的访问特定外网的权限，可根据需求配置指定的VLAN接口与WAN接口之间的安全规则；如果用户需要限制指定终端访问其它VLAN下终端的权限，可根据需求配置指定的VLAN接口到VLAN接口的安全规则。

·     当缺省过滤规则设置为禁止时，如果用户未配置任何安全规则，所有终端不能访问外网，不同VLAN下的终端不能相互访问。

·     当缺省过滤规则设置为禁止时，如果用户需要允许指定终端可以访问特定外网，则需要根据需求配置指定VLAN接口与WAN接口之间的安全规则，且必须配置双向规则，即出站方向和入站方向各一条。如果用户需要让指定终端能够访问其它VLAN下的终端，则需要配置指定本端VLAN接口与对端VLAN接口之间的安全规则，且必须配置双向规则。

10.2.3  配置准备

·     请提前完成外网配置页面的相关配置，才可创建防火墙安全规则。

·     若需指定防火墙安全规则的生效时间和生效地址，请提前在时间组页面和地址组页面创建相应的时间组。

10.2.4  配置步骤

(1)     单击导航树中[网络安全/防火墙]菜单项，进入防火墙配置页面。

(2)     勾选“开启防火墙”选项，进入防火墙配置页面。

(3)     在“缺省过滤规则”配置项处，选择对未匹配任何安全规则报文的处理方式。若选择“允许”，则允许该报文通过防火墙；若选择“禁止”，则禁止该报文通过防火墙。点击“应用”按钮完成配置。

(4)     点击<添加>按钮，弹出创建安全规则对话框。

(5)     在“接口”配置项处，选择应用的接口，该规则将对指定接口接收到的报文进行匹配。

(6)     在“方向”配置项处，显示安全规则的方向，包括入站方向和出站方向。当“接口”配置项处选择为WAN接口时，安全规则的方向为入站方向，即控制从公网侧进入设备的流量；当“接口”配置项处选择为VLAN接口时，安全规则的方向为出站方向，即控制从内网侧进入设备的流量。

(7)     在“协议”配置项处，选择该规则所匹配报文的协议类型。若需匹配某传输层协议的报文，则选择“TCP”或“UDP”；若需匹配Ping、Tracert等ICMP协议报文，则选择“ICMP”；若需匹配所有协议报文，则选择“所有协议”。

(8)     在“源地址分组”配置项处，选择该规则所匹配的源地址分组。如需新增地址分组，可通过点击右侧“新增地址组”按钮创建新的地址组。

(9)     在“目的地址分组”配置项处，选择该规则所匹配的目的地址分组。如需新增地址分组，可通过点击右侧“新增地址组”按钮创建新的地址组。

(10)     在“目的端口范围”配置项处，配置该规则所匹配报文的目的端口号范围。

(11)     在“规则生效时间”配置项处，选择该规则生效时间对应的时间组。

(12)     在“动作”配置项处，选择该规则所匹配报文的执行动作。

¡     允许：允许报文通过防火墙。

¡     拒绝：禁止报文通过防火墙。

(13)     在“优先级”配置项处，选择该规则的优先级类型。

¡     自动：系统自动为该规则分配优先级，即根据规则的配置顺序以5为步长进行依次分配。

¡     自定义：用户自定义规则的优先级，数值越小则优先级越高。

(14)     在“描述”配置项处，配置该安全规则的描述信息。

(15)     点击<确定>按钮，完成创建安全规则。