H3C 关于安全域的一个理解

一、最近在弄H3C防火墙的时候对域理解不够导致配置的网络不通，现在总算理解了一些，就是H3C的安全域它是一个区域，比如trust安全域和unTrust是两个阵营，相互之间是不通的，需要做域间的安全策略才能通行，而在防火墙上每一个接口都要加入安全域，同在一个安全域内就相当于同一vlan，比如 interface Vlan-interface 2和interface GigabitEthernet1/0/1同在trust内，那么他们之间是可以直接通信的，而如果interface Vlan-interface 2在trust内，而interface GigabitEthernet1/0/1在untrust，那么它们俩个接口不能直接通信，需要做域间策略，有点像vlan之间的通信

二、关于ping不了防火墙，在安全域上要做策略：

[FW2]object-policy ip manage //创建对象策略

[FW2-object-policy-ip-manage]rule pass

[FW2]zone-pair security source trust destination local //域间应用

[FW2-zone-pair-security-Trust-Local]object-policy apply ip manage //调用策略应用管理

[FW2]zone-pair security source local destination trust //域间应用

[FW2-zone-pair-security-Trust-Local]object-policy apply ip manage //调用策略应用管理

[FW2-zone-pair-security-Trust-Local]quit
其中安全域就是比如 interface Vlan-interface 2和interface GigabitEthernet1/0/1，而local就是本机，从防火墙ping别的机器就是local到别的域