设置境外访问

在透明模式下实现“境外访问”，从技术上讲，核心思路不是“开启”某种功能，而是通过策略来 “允许”或“拒绝” 特定来源的访问。由于你的防火墙是透明模式，它不改变网络拓扑，因此配置会相对简单。

🧱 第一步：确认透明模式的基础配置

在配置访问策略前，需要确保防火墙的透明模式已正确配置。透明模式下，防火墙相当于一根具备安全功能的“网线”。根据你的组网（光猫-防火墙-路由器），透明模式的基本配置思路如下。

1. 配置接口为二层模式：将连接光猫和企业路由器的物理接口（如GigabitEthernet1/0/1和GigabitEthernet1/0/2）的工作模式设置为二层桥接（bridge）。

   text

   [H3C] interface GigabitEthernet 1/0/1 [H3C-GigabitEthernet1/0/1] port link-mode bridge

2. 将接口加入安全域：为接口划分安全域是配置安全策略的基础。通常，连接外网（光猫侧）的接口划入Untrust域，连接内网（路由器侧）的接口划入Trust域。

   text

   [H3C] security-zone name Untrust [H3C-security-zone-Untrust] import interface GigabitEthernet 1/0/1 [H3C] security-zone name Trust [H3C-security-zone-Trust] import interface GigabitEthernet 1/0/2

3. 放通基础安全策略：这是最关键的一步。你需要创建一条从Trust到Untrust的安全策略，允许内网流量向外访问。

   text

   [H3C] object-policy ip Trust-Untrust [H3C-object-policy-ip-Trust-Untrust] rule pass [H3C] zone-pair security source Trust destination Untrust [H3C-zone-pair-security-Trust-Untrust] object-policy apply ip Trust-Untrust

完成以上配置后，基础网络应该就通了。此时，防火墙不执行NAT，也不改变IP包，所有访问控制都通过安全策略来实现。

🌍 第二步：配置“境外访问”策略

“设置境外访问”通常有两种需求，需要根据你的目标来选择配置：

场景一：允许境外特定IP访问内部服务器

如果你的目标是允许某个特定的境外公网IP地址访问内网服务器，配置最为简单。原理是配置一条反向的安全策略，放通从Untrust（外网）到Trust（内网）的特定流量。

1. 定义IP地址对象：创建一个地址对象组，将允许访问的境外公网IP地址加入其中。

2. 配置安全策略：在之前创建的 zone-pair security source Untrust destination Trust 下，添加一条规则，允许源地址为该IP对象组、目的地址为内网服务器IP的流量通过。

场景二：禁止或允许所有境外IP访问（基于国家/地区）

这是更常见的需求，比如“只允许国内IP访问”或“禁止所有境外IP访问”。H3C防火墙通常不支持内置的“国家IP库”，因此需要借助外部IP地址库。

1. 获取IP地址库：从可靠的第三方来源下载“中国IP地址段”或“境外IP地址段”列表。

2. 导入并创建地址对象组：将下载的IP地址段，通过Web界面或命令行导入并创建为一个地址对象组（例如名为 China_IP 或 Oversea_IP）。

3. 配置安全策略：

   • 只允许国内IP访问：在 Untrust 到 Trust 的方向上，创建一条规则，允许源地址为 China_IP 的流量通过；然后再创建一条规则，拒绝所有其他源地址的流量。

   • 禁止所有境外IP访问：在 Untrust 到 Trust 的方向上，直接创建一条规则，拒绝源地址为 Oversea_IP 的流量通过。