【网络设备】H3C FW V7：安全域与域间策略

1 几个概念

1. 安全域
   逻辑概念，用于管理安全防护设备上安全需求相同的多个接口。
2. 默认安全域
   首次创建安全域、域间策略时，系统默认创建Local、Trust、DMZ、Management、Untrust、WAN和LAN。

   默认安全域不能被删除

3. 域间策略
   基于安全域，实现对报文流的检查。根据检查结果，对报文执行相应安全控制动作。
4. 安全域间实例
   指定域间策略 需要检测业务流的 源安全域和目的安全域。

2 安全域

2.1 安全域内的默认规则

设备上各接口报文转发，遵循的规则：

• 安全域中与非安全域接口之间的报文：
  默认被丢弃。
• 同一安全域接口之间的报文：
  默认被丢弃。
• 安全域接口之间的报文：
  根据域间策略，放行或丢弃。

  若域间策略不存在或不生效，则报文被丢弃。

• 非安全域的接口之间的报文:
  默认被丢弃。
• 目的地址或源地址为本机的报文：
  默认被丢弃。
  如果该报文与域间策略匹配，则由域间策略进行安全检查，并根据检查结果放行或丢弃。

2.2 安全域间实例

安全域间实例上应用域间策略，对指定的业务流进行域间策略检查。

2.2.1 匹配优先级关系

有具体安全域的安全域间实例 > any到any的安全域间实例。

2.2.2 默认规则

• Management和Local安全域间之间的报文默认被允许。
• Management和Local安全域间之间的报文只能匹配Management与Local安全域之间的安全域间实例

2.3 配置命令

2.3.1 创建安全域、添加域内成员

sys	
security-zone name XXX
	import  interface G1/0/XX		 //添加三层接口成员
	import interface G1/0/XX vlan YY //添加二层接口和VLAN成员
	import vlan YY					 //添加VLAN成员
	import ip ip-address { mask-length | mask } [ vpn-instance vpn-instance-name ] //添加IPv4子网成员
	import ipv6 ipv6-address prefix-length [ vpn-instance vpn-instance-name ]		 //添加IPv6子网成员
	import service-chain path path-id [ reversed ]		//添加服务链成员

2.3.2 设备管理：和Local域间，协议报文交互不受限

默认情况下，设备仅允许Local安全域和Management安全域之间的报文通信，进行设备管理。
若需通过其他安全域成员接口对设备进行管理，可通过配置域间策略放行Local安全域和其他安全域指定协议的报文。

sys
interface G1/0/XX
//允许和其他设备交互的协议，指定协议的报文不受策略控制。
manage { { http | https | ping | ssh | telnet } { inbound | outbound } | { netconf-http | netconf-https | netconf-ssh | snmp } inbound }

2.3.3 创建安全域间实例

sys
zone-pair security source { 安全域1 | any } destination { 安全域2 | any }

2.3.4 安全域内接口间报文处理的默认动作

对于同一安全域内接口间的报文，若设备上不存在当前域到当前域的域间策略，则设备默认会将其丢弃。

	sys
	security-zone intra-zone default permit // 同一安全域内接口间报文默认为允许。

Trust域到Trust域之间访问受限

3 域间策略

3.1 域间策略

1. 包过滤：
   根据报文的五元组（源IP地址、源端口号、目的IP地址、目的端口号、传输层协议）实现对报文在不同安全域之间的转发进行控制。
2. ASPF：（Advanced Stateful Packet Filter，高级状态包过滤）
   可以对已放行报文进行信息记录，使已放行报文的回应报文在应用了包过滤策略的安全域之间可以正常通过。
3. 安全策略：
   安全策略基于全局配置和全局生效，不需要被引用。
   安全策略不仅可以彻底替代包过滤，还可以基于用户和应用对报文进行转发控制，并可以对符合过滤条件的报文进行DPI（Deep Packet Inspection，深度报文检测）检测。

3.2 策略优先级

当安全策略与包过滤策略同时配置时，对报文的处理安全策略在包过滤之前。
报文与安全策略规则匹配成功后，不再进行包过滤处理。