Web方式：基于IP地址的安全策略典型配置

使用版本

本举例是在F5000-AI-55-G的E9900版本上进行配置和验证的。

组网需求

如下图所示，某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。通过配置安全策略，实现如下需求：

• 允许总裁办在任意时间、财务部在工作时间通过HTTP协议访问财务数据库服务器的Web服务。

• 禁止其它部门在任何时间、财务部在非工作时间通过HTTP协议访问财务数据库服务器的Web服务。

图-1 基础安全策略典型配置组网图

配置步骤

1. 配置安全域

   # 选择“网络 > 安全域”，进入安全域配置页面，依次配置如下内容。

   • 创建名为database的安全域，并将接口GigabitEthernet1/0/1加入该安全域中

   • 创建名为president的安全域，并将接口GigabitEthernet1/0/2加入该安全域中

   • 创建名为finance的安全域，并将接口GigabitEthernet1/0/3加入该安全域中

   • 创建名为market的安全域，并将接口GigabitEthernet1/0/4加入该安全域中

2. 配置接口IP地址

   # 选择“网络 > 接口与VRF > 接口”，进入接口配置页面。

   # 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。

   • 选择“IPv4地址”页签，配置IP地址/掩码：192.168.0.1/24

   • 其他配置项使用缺省值

   # 单击<确定>按钮，完成接口IP地址的配置。

   # 按照同样的步骤配置接口GE1/0/2，配置如下。

   • IP地址/掩码：192.168.1.1/24

   • 其他配置项使用缺省值

   # 按照同样的步骤配置接口GE1/0/3，配置如下。

   • IP地址/掩码：192.168.2.1/24

   • 其他配置项使用缺省值

   # 按照同样的步骤配置接口GE1/0/4，配置如下。

   • IP地址/掩码：192.168.3.1/24

   • 其他配置项使用缺省值

3. 配置时间段

   # 创建名为work的时间段，其时间范围为每周工作日的8点到18点。

   # 选择“对象 > 对象组 > 时间段”，进入时间段配置页面，配置如下。

   • 名称为work

   • 周期时间段为每周工作日的8点到18点

4. 创建源安全域president到目的安全域database的安全策略，允许总裁办在任意时间通过HTTP协议访问财务数据库服务器

   # 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。

   # 单击<新建>按钮，进入新建安全策略页面，配置如下。

   图-2 配置安全策略

   

   # 其他配置项保持默认情况即可。

   # 单击<确定>按钮，完成安全策略president-database的配置。

5. 创建源安全域finance到目的安全域database的安全策略，只允许财务部在工作时间通过HTTP协议访问财务数据库服务器

   # 选择“策略 > 安全策略 > 安全策略”，进入安全策略配置页面。

   # 单击<新建>按钮，进入新建安全策略页面，配置如下。

   图-3 配置安全策略

   

   # 其他配置项保持默认情况即可。

   # 单击<确定>按钮，完成安全策略finance-database的配置。

6. 创建源安全域market到目的安全域database的安全策略，禁止市场部在任何时间通过HTTP协议访问财务数据库服务器

   # 选择“策略 > 安全策略 > 安全策略”，选择新建策略，进入新建安全策略页面，进入安全策略配置页面。

   # 单击<新建>按钮，配置如下。

   图-4 配置安全策略

   

   # 其他配置项保持默认情况即可。

   # 单击<确定>按钮，完成安全策略market-database的配置。

验证配置

配置完成后，总裁办可以在任意时间访问财务数据库服务器的Web服务，财务部仅可以在工作时间访问财务数据库服务器的Web服务，其他部门任何时间均不可以访问财务数据库服务器的Web服务。

CLI方式：基于IP地址的安全策略典型配置

使用版本

本举例是在F5000-AI-55-G的E9900版本上进行配置和验证的。

组网需求

• 如下图所示，某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。

• 通过配置安全策略规则，允许总裁办在任意时间、财务部在工作时间通过HTTP协议访问财务数据库服务器的Web服务，禁止其它部门在任何时间、财务部在非工作时间通过HTTP协议访问该服务器的Web服务。

图-1 基于IP地址的安全策略配置组网图

配置步骤

1. 配置接口IP地址

   # 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

   <Device> system-view

   [Device] interface gigabitethernet 1/0/1

   [Device-GigabitEthernet1/0/1] ip address 192.168.0.1 255.255.255.0

   [Device-GigabitEthernet1/0/1] quit

   请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

2. 配置接口加入安全域

   # 请根据组网图中规划的信息，创建安全域，并将接口加入对应的安全域，具体配置步骤如下。

   [Device] security-zone name database

   [Device-security-zone-database] import interface gigabitethernet 1/0/1

   [Device-security-zone-database] quit

   [Device] security-zone name president

   [Device-security-zone-president] import interface gigabitethernet 1/0/2

   [Device-security-zone-president] quit

   [Device] security-zone name finance

   [Device-security-zone-finance] import interface gigabitethernet 1/0/3

   [Device-security-zone-finance] quit

   [Device] security-zone name market

   [Device-security-zone-market] import interface gigabitethernet 1/0/4

   [Device-security-zone-market] quit

3. 配置时间段

   # 创建名为work的时间段，其时间范围为每周工作日的8点到18点，具体配置步骤如下。

   [Device] time-range work 08:00 to 18:00 working-day

4. 配置安全策略

   # 配置名称为president-database的安全策略规则，允许总裁办在任意时间通过HTTP协议访问财务数据库服务器，具体配置步骤如下。

   [Device] security-policy ip

   [Device-security-policy-ip] rule name president-database

   [Device-security-policy-ip-0-president-database] source-zone president

   [Device-security-policy-ip-0-president-database] destination-zone database

   [Device-security-policy-ip-0-president-database] source-ip-subnet 192.168.1.0 24

   [Device-security-policy-ip-0-president-database] destination-ip-subnet 192.168.0.0 24

   [Device-security-policy-ip-0-president-database] service http

   [Device-security-policy-ip-0-president-database] action pass

   [Device-security-policy-ip-0-president-database] quit

   # 配置名称为finance-database的安全策略规则，只允许财务部在工作时间通过HTTP协议访问财务数据库服务器，具体配置步骤如下。

   [Device-security-policy-ip] rule name finance-database

   [Device-security-policy-ip-1-finance-database] source-zone finance

   [Device-security-policy-ip-1-finance-database] destination-zone database

   [Device-security-policy-ip-1-finance-database] source-ip-subnet 192.168.2.0 24

   [Device-security-policy-ip-1-finance-database] destination-ip-subnet 192.168.0.0 24

   [Device-security-policy-ip-1-finance-database] service-port tcp destination eq 80

   [Device-security-policy-ip-1-finance-database] action pass

   [Device-security-policy-ip-1-finance-database] time-range work

   [Device-security-policy-ip-1-finance-database] quit

   # 配置名称为market-database的安全策略规则，禁止市场部在任何时间通过HTTP协议访问财务数据库服务器，具体配置步骤如下。

   [Device-security-policy-ip] rule name market-database

   [Device-security-policy-ip-2-market-database] source-zone market

   [Device-security-policy-ip-2-market-database] destination-zone database

   [Device-security-policy-ip-2-market-database] source-ip-subnet 192.168.3.0 24

   [Device-security-policy-ip-2-market-database] destination-ip-subnet 192.168.0.0 24

   [Device-security-policy-ip-2-market-database] service http

   [Device-security-policy-ip-2-market-database] action drop

   [Device-security-policy-ip-2-market-database] quit

   # 激活安全策略规则的加速功能，具体配置步骤如下。

   [Device-security-policy-ip] accelerate enhanced enable

   [Device-security-policy-ip] quit

验证配置