问
F5010防火墙如何禁止所有境外ip访问
1天前提问
- 0关注
- 0收藏，73浏览
zhiliao_Gixe
四段
### 答案：
H3C F5010（V7版本）自带**IP地理位置库**，也支持ISP地址库，无需自行维护全量境外地址段，操作步骤如下（重要操作前先执行save force备份配置）：
1. 升级最新地理位置库：
从H3C官网下载对应版本的IP地区库文件（.ian格式），上传设备后执行导入命令：
``
import ip-region database flash:/xxx.ian
`
导入后执行display ip-region confirm确认生效，display ip-region available可查看支持的地区列表。
2. 配置拦截策略（需放在公网放行类策略前）：
`
security-policy ip
rule name deny_overseas
source-zone untrust
destination-zone trust dmz //所有内部业务域都需加入
source-region not china
action deny
``
3. 特殊需求：如有指定境外IP需要放通，在该deny规则前新增更高优先级的放行规则即可。
4. 注意事项：需定期在官网更新IP地理位置库，保证拦截准确性。
H3C F5010（V7版本）自带**IP地理位置库**，也支持ISP地址库，无需自行维护全量境外地址段，操作步骤如下（重要操作前先执行save force备份配置）：
1. 升级最新地理位置库：
从H3C官网下载对应版本的IP地区库文件（.ian格式），上传设备后执行导入命令：
``
import ip-region database flash:/xxx.ian
`
导入后执行display ip-region confirm确认生效，display ip-region available可查看支持的地区列表。
2. 配置拦截策略（需放在公网放行类策略前）：
`
security-policy ip
rule name deny_overseas
source-zone untrust
destination-zone trust dmz //所有内部业务域都需加入
source-region not china
action deny
``
3. 特殊需求：如有指定境外IP需要放通，在该deny规则前新增更高优先级的放行规则即可。
4. 注意事项：需定期在官网更新IP地理位置库，保证拦截准确性。
H3C F5010 防火墙没有像友商那样内置 "境外 IP" 一键库，但有ISP 地址库（国内三大运营商 + 教育网），可通过 **"放行国内 IP → 拒绝其余所有"实现禁止境外 IP 访问 **，效果完全等同且更严谨。
一、核心原理（关键）
- H3C 内置 ISP 库：预载 ChinaTelecom/ChinaUnicom/ChinaMobile/ChinaEducation 国内 IP 段。
- 实现逻辑：先放行全部国内 ISP → 最后拒绝所有其他 IP（即境外）。
- 方向：Trust → Untrust（内网访问互联网）。
二、Web 界面配置（推荐）
1. 确认 ISP 地址库（已内置）
- 路径：网络 → 路由管理 → ISP 路由
- 查看：确认存在 ChinaTelecom、ChinaUnicom、ChinaMobile、ChinaEducation。
2. 新建安全策略（放行国内）
- 路径：策略 → 安全策略 → 安全策略 → <新建>
- 名称：
Permit_China_IP - 源安全域：
Trust - 目的安全域：
Untrust - 目的 IP：
- 类型：ISP 地址组
- 勾选：
ChinaTelecom、ChinaUnicom、ChinaMobile、ChinaEducation
- 服务：
IP - 动作：
允许 - 优先级：10（确保靠前）
- 名称：
3. 新建策略（拒绝境外）
- 再点 <新建>
- 名称：
Deny_Foreign_IP - 源安全域：
Trust - 目的安全域：
Untrust - 目的 IP：
any（所有） - 服务：
IP - 动作：
拒绝 - 优先级：1000（确保靠后）
- 名称：
4. 启用并保存
- 确保两条策略已启用
- 点击 <保存配置>
三、命令行配置（CLI）
bash
运行
system-view
# 1. 放行国内ISP流量
security-policy ip
rule 10 name Permit_China_IP
source-zone trust
destination-zone untrust
destination-isp ChinaTelecom ChinaUnicom ChinaMobile ChinaEducation
action pass
# 2. 拒绝所有境外（非国内）
rule 1000 name Deny_Foreign_IP
source-zone trust
destination-zone untrust
destination-ip any
action deny
quit
save force
四、你的问题精准答复
- H3C F5010 有 ISP 地址库吗？✅ 有。内置 中国电信、联通、移动、教育网 4 大国内 ISP 地址库。无境外 IP 库。
- 如何禁止所有境外 IP？✅ 用 "放行国内 → 拒绝其他"。
- 放行：Trust→Untrust，目的 IP = 全部国内 ISP
- 拒绝：Trust→Untrust，目的 IP=any
- 顺序：放行在前，拒绝在后
- 是否比黑名单更优？✅ 是。
- 黑名单：需维护海量境外段，易漏、易过期
- ISP 白名单：只放行国内，其余全拒，自动更新、不漏、简洁
五、进阶与注意
- 服务器区（DMZ）：若对外提供服务，需单独放通目的 IP = 服务器公网 IP的策略。
- 日志：在拒绝策略中开启日志，便于审计境外访问。
- ISP 库更新：定期升级设备固件或通过 H3C 官网下载最新ISP 地址库文件导入。
从哪个版本开始有H3C 内置 ISP 库，我现在的版本9660P54没有。
zhiliao_6K16YN
发表时间：1天前
更多>>
从哪个版本开始有H3C 内置 ISP 库，我现在的版本9660P54没有。
zhiliao_6K16YN
发表时间：1天前
H3C F5010防火墙是支持类似功能的。它的方案不是叫“ISP地址库”，而是内置了一套更强大的IP地理位置库（IP Region Database）。这个库可以直接识别IP地址所属的国家或地区，从而实现“一键屏蔽”境外IP的效果。
📝 配置步骤
以下是具体的配置步骤：
1. 升级地理位置库
这是最关键的一步，需要确保设备上的IP地址库是最新的。
下载文件：从H3C官网的“软件下载”页面，找到你F5010防火墙对应版本的“IP地区库文件”（文件扩展名为
.ian）。上传文件：通过FTP、TFTP等方式，将下载好的
.ian文件上传到防火墙的flash:根目录下。导入生效：登录防火墙命令行，执行以下命令导入库，并确认其生效：
[Sysname] import ip-region database flash:/<你下载的文件名>.ian<Sysname> system-view
[Sysname] display ip-region confirm
[Sysname] display ip-region available
2. 配置安全策略
在安全策略中，创建一条规则来拒绝所有源地址区域（source-zone）不是中国的流量。
[Sysname] security-policy ip
[Sysname-security-policy-ip-1-deny_overseas] source-zone untrust
[Sysname-security-policy-ip-1-deny_overseas] destination-zone trust
[Sysname-security-policy-ip-1-deny_overseas] source-region not china
[Sysname-security-policy-ip-1-deny_overseas] action deny
[Sysname-security-policy-ip-1-deny_overseas] quit
注意：
source-region not china 这条命令是关键，它精确地匹配了所有非中国地区的IP。配置时请将trust等内部业务域都加入destination-zone。策略的匹配顺序是按名称或编号从上到下的，为了让这条“拒绝”规则生效，需要把它放在所有“放行”类策略的前面。3. 配置例外放行
如果需要让特定的境外IP能够访问，只需在上述“拒绝”规则之前，插入一条优先级更高的规则来放行即可。例如：
[Sysname-security-policy-ip] rule name permit_important_overseas
[Sysname-security-policy-ip-2-permit_important_overseas] destination-zone trust
[Sysname-security-policy-ip-2-permit_important_overseas] source-ip <具体放行的境外IP>
[Sysname-security-policy-ip-2-permit_important_overseas] action pass
⚠️ 重要提示
定期更新：IP地址归属信息是动态变化的，为了确保拦截的准确性，务必定期（如每季度）从官网下载并更新IP地理位置库。
策略优先级：安全策略的执行顺序很重要。请务必确保你的“拒绝境外IP”规则位于所有通用的“放行”规则之上，否则可能无法生效。
版本支持：地理位置库（
source-location）功能对软件版本有要求。粗略判断，版本号格式为RaabbPcc时，bb大于等于71即支持。最稳妥的方法是登录设备，在Probe视图下执行display system internal version查看内部版本号，判断是否为B64D071及以上分支。
目前看是版本不支持，我找找有没有最新的版本
zhiliao_6K16YN
发表时间：1天前
更多>>
目前看是版本不支持，我找找有没有最新的版本
zhiliao_6K16YN
发表时间：1天前
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明