防火墙 三层策略配置

先搞清楚最基本的ip路由、现有策略情况和设备型号等信息吧

如果ip路由可达，则防火墙放通策略即可。否则检查下流量走向和目标主机情况哦

旁挂 做IDS是吧？ 

配置防火墙策略的核心逻辑是：在保证网络可达的前提下，创建一条精确的安全策略，允许特定的数据流通过防火墙。

针对你“从 172.23.1.245 采集数据”的需求，以下是标准的配置流程，主要基于H3C Comware V7平台，其他品牌（如华为、Cisco）逻辑类似，只是命令略有不同。

📝 配置步骤

1. 前提条件：确保网络可达

这是最关键的一步，如果路由不通，任何策略都无效。

• 检查接口与IP：确认连接采集设备和目标服务器的防火墙接口已配置正确的IP地址，并且状态为 Up。

• 检查路由：在防火墙上检查路由表，确保存在去往 172.23.1.245 的路由，且下一跳正确。

  bash

  display ip routing-table

2. 定义网络对象（推荐）

为便于管理和阅读，建议先定义IP地址对象组。

3. 配置安全策略（核心步骤）

这是放行流量最关键的一步。

4. （可选）配置策略路由

如果你的网络环境复杂，需要强制数据流走特定出口，则需要配置策略路由。

• 匹配流量：通过ACL匹配从采集设备来的数据。

  bash

  acl advanced 3000 rule 10 permit ip source 10.1.1.10 0 destination 172.23.1.245 0

• 应用策略：创建策略路由并指定下一跳。

  bash

  policy-based-route pbr-collector permit node 10 if-match acl 3000 apply next-hop 192.168.1.1 # 替换为实际的下一跳地址[reference:17]

• 调用策略：在流量的入接口上应用该策略。

  bash

  interface GigabitEthernet1/0/1 ip policy-based-route pbr-collector

📋 核心配置参数一览

# H3C 防火墙 (V7) 三层安全策略，采集对端设备数据（对端 IP：172.23.1.245）

>
> 场景：防火墙主动采集对端设备数据（日志、监控、SNMP 等）；或者对端主动上报数据给防火墙。**V7 使用`security‑policy ip`安全策略，不再使用老的 zone‑pair 域间包过滤**H3C。

## 必须配置的核心参数

1. **接口 IP + 安全域**：物理接口配置三层 IP，接口加入对应的安全域（源域、目的域）；防火墙本机自身属于`Local`域（访问防火墙本机采集进程，目的域必须写 Local）。
2. **源安全域 source‑zone**：报文进入防火墙的安全域。
3. **目的安全域 destination‑zone**：报文离开防火墙 / 访问防火墙本机的安全域；**访问防火墙本机采集服务，目的‑zone 写 Local**。
4. **源 IP / 目的 IP**：五元组地址匹配；对端设备：`172.23.1.245`。
5. **service 服务**：采集用协议，SNMP/ Syslog/SSH/ICMP 等；不知道协议先填`any`做测试。
6. **action pass**：动作放行；默认动作为丢弃。
7. 配套：路由、必要时开启 logging 日志便于排错。

>
> ⚠️重点区分两种方向

- 方向 A：**防火墙主动去采集对端设备**：防火墙本机发起报文，源域 Local，目的域为对端所属安全域，目的 IP=172.23.1.245。
- 方向 B：**对端 172.23.1.245 主动上报数据给防火墙本机**：源域是对端接入域，目的域 Local，源 IP=172.23.1.245。

## 示例配置

### 场景 A：防火墙本机主动采集 172.23.1.245（比如 SNMP、SSH 采集）

```
system‑view
#进入IPv4安全策略视图
security‑policy ip

#规则：防火墙本机（Local域）访问对端172.23.1.245
rule name collect_to_peer
source‑zone local
destination‑zone untrust #改成对端设备接口实际所属安全域
destination‑ip‑subnet 172.23.1.245 255.255.255.255
service any #业务确定后改为snmp/ssh等具体服务
action pass
logging enable #打开日志，便于排错
quit
```

### 场景 B：对端 172.23.1.245 主动上报数据给防火墙本机（syslog 上报日志等）

```
security‑policy ip
rule name peer_report_to_fw
source‑zone untrust #对端接入的安全域
destination‑zone local
source‑ip‑subnet 172.23.1.245 255.255.255.255
service any
action pass
logging enable
quit
```

## 前置配套配置（很容易漏）

1. **接口配置 IP，加入安全域**

```
interface GigabitEthernet1/0/1
ip address 172.23.1.10 255.255.255.0
port‑security‑zone untrust #接口加入对应安全域
quit
```

2. **路由保证互通**

```
#确保防火墙上存在去往172.23.1.245路由；或者静态路由
ip route‑static 172.23.1.245 255.255.255.255 下一跳IP
```

## 排错查看命令

```
#查看安全策略规则
display security‑policy ip rule

#查看策略命中计数，看规则是否匹配到流量
display security‑policy ip statistics

#看安全策略日志（开启logging后）
display logbuffer
```

## 简短总结

1. 访问**防火墙本机采集进程**，目的安全域写`local`，这是高频踩坑点；
2. 两个流量方向要分开：防火墙主动采集、对端主动上报，源 / 目的域是相反；
3. 除策略外，接口 IP、接口加入安全域、路由三者缺一不可；
4. 测试阶段 service 填 any，业务调通后改为实际采集协议，收紧安全规则。