外网防火墙需要新增策略

您好，参考

1、先配置服务对象组

服务对象组名称：禁止高危端口，源端口1-65534，目的端口为135，139，445等高危端口

2、配置安全策略

新建一条any to any的安全策略，服务对象组为：禁止高危端口，动作选拒绝，将这条策略放到最前面即可

正常加策略就可以的 

为外网防火墙封堵高危端口，是提升安全性的关键操作。最直接的方法是在防火墙上配置安全策略，明确拒绝（Deny） 来自外网（Untrust区域）访问内网（Trust区域）高危端口的流量。

 需要封堵的常见高危端口

以下是攻击者经常利用的端口，建议优先封堵：

• 135, 137, 138, 139：用于文件和打印共享，常被勒索病毒利用。

• 445：永恒之蓝等勒索病毒的主要传播途径。

• 1433, 1434：SQL Server数据库服务端口。

• 3306：MySQL数据库服务端口。

• 3389：Windows远程桌面服务端口，暴力破解的高发目标。

通过命令行配置

如果你习惯使用命令行，可以参考以下步骤。

1. 进入系统视图：

   text

   <H3C> system-view

2. 创建高级ACL：

   text

   [H3C] acl advanced 3100

   请确保ACL编号（如3000-3999）未被占用。

3. 添加拒绝规则：
   根据需求添加规则。例如，拒绝外部访问TCP 445和UDP 137端口。

   text

   [H3C-acl-ipv4-adv-3100] rule 0 deny tcp destination-port eq 445 [H3C-acl-ipv4-adv-3100] rule 5 deny udp destination-port eq 137 [H3C-acl-ipv4-adv-3100] quit

4. 将ACL应用到接口：
   将ACL应用到外网接口的入方向（inbound）。

   text

   [H3C] interface GigabitEthernet 1/0/1 [H3C-GigabitEthernet1/0/1] packet-filter 3100 inbound [H3C-GigabitEthernet1/0/1] quit

5. 保存配置：

   text

   [H3C] save force

 验证配置

配置完成后，可以通过以下方式验证：

• 检查策略命中次数：在Web界面或使用 display security-policy rule 命令查看策略的命中计数。

• 外部端口扫描：从外网对防火墙公网IP进行端口扫描，确认高危端口状态为Filtered或Closed。