防火墙策略问题IP

安全策略实现

写个禁止的策略，里面匹配安全域和禁止的IP地址，将策略上移到最前

方法一：通过“黑名单”配置（最快捷）

1. 登录防火墙Web管理页面。
2. 依次进入“数据中心” > “系统监控” > “黑名单记录”（或在“策略” > “黑名单”中查找）。
3. 点击“新建”，勾选“启用”，输入您需要封禁的IP地址。
4. 根据需要设置老化时间（到期自动解封），如果不设置则为永久封禁。

方法二：通过“安全策略”配置（最精细）

1. 进入“策略” > “安全策略”。
2. 点击“新建”，配置拒绝该IP进入（入站）的策略：
   • 名称：自定义（如 Block_IP_In）
   • 源安全域：选择外网所在的 Untrust 域
   • 目的安全域：选择内网所在的 Trust 域
   • 源IPv4地址：选择要封禁的IP
   • 动作：选择“拒绝（Deny）”
3. 再次新建，配置拒绝该IP外出（出站）的策略：
   • 名称：自定义（如 Block_IP_Out）
   • 源安全域：选择内网所在的 Trust 域
   • 目的安全域：选择外网所在的 Untrust 域
   • 目的IPv4地址：选择要封禁的IP
   • 动作：选择“拒绝（Deny）”

方案一：安全‑policy ip 域间策略（生产环境优先，可记日志、可审计命中数）

原理：配置两条高优先级 deny 规则： ①此 IP 作为源，去往任意目的全部拒绝； ②任意源，访问此 IP 作为目的全部拒绝； 规则 ID 要写小，放在所有放行策略最前面。

命令行配置

Web 界面操作（专家模式）

1. 对象→地址→IPv4 地址对象，新建对象block‑ip，填写单个 IP 10.1.1.100/32
2. 策略→安全策略，新建两条策略，优先级调到最前面
   • 规则 A：源 IP=block‑ip，目的任意，源域 any，目的域 any，服务 any，动作拒绝，开启日志、计数
   • 规则 B：目的 IP=block‑ip，源任意，源域 any，目的域 any，服务 any，动作拒绝，开启日志、计数

验证命中统计

方案二：IP 黑名单（快速阻断，适合临时拉黑）

注意：V7 黑名单分源黑名单、目的黑名单，想要双向阻断，两条都要加；黑名单优先级高于安全策略；默认永久生效，需要手动删除才解除H3C。

命令行：

Web 路径：策略‑主动防护‑黑名单，分别新建源黑名单、目的黑名单，全局开启黑名单功能。

查看黑名单：display blacklist ip 解除拉黑：

两种方案对比

表格

⚠️重要坑点：

1. IP 黑名单无法阻断访问防火墙设备本身的报文；如果要禁止该 IPSSH/Web 登录防火墙，必须使用安全策略或者本地管理 ACL。
2. 安全策略 rule 编号一定要小，放在所有放行策略最前面，否则被放行规则优先匹配，deny 不生效。
3. 做完配置之后，reset session table source‑ip x.x.x.x清空旧会话，否则已经建立的老会话不会立刻断开。