华为防火墙USG6309E开局基础配置之安全策略

华为USG6309E防火墙，在上篇已经介绍了基本的网络配置。本篇简单介绍防火墙的安全策略的配置，没有具体内容的配置，只有简单的演示，并且，因为诸多限制，不能贴图演示，只能靠文字描述。配置安全策略，采用web配置的方法。
在本文只介绍简单的安全策略的配置，即，对指定了源地址，源端口，目的地址，目的端口，以及具体的服务，具体的数据发送终端的报文，进行允许通过，或者禁止通过，以及别的安全策略的操作。

一、https登录防火墙

即网页登录，在这里需要注意的是，用的是网页登录的方法，并且使用https的协议登录。
默认的用户名“admin”，密码为"admin@huawei.com"

二、配置过程

配置防火墙策略的大致流程为：

1. 配置需要用到的地址，地址组。
2. 配置可能会用到的服务，服务组。
3. 配置具体的安全策略。

（一）新建地址

在这一步，就是预先准备好将可能会用到的地址，组成一个地址段，贴上一个标签，方便以后使用的时候，直接勾选相应的标签，而不需要每次都重复设置该地址段。

1. 登录页面以后，“对象” —> “地址” —> “地址” —> “新建”。会弹出一个名为“新建地址”的框。
2. 框内包含几个内容需要填写。
   “名称”：即要给这个地址段打上的标签，取一个直观又好听的名字吧；
   “描述”：方便以后的辨认，自行解释；
   “所属地址组”：即将这个地址段可以划入某个地址组中，以后可以在某些场合一次勾选，组合使用，这个可不填；
   “IP地址/范围或MAC地址”：这个是核心，就是你想用组合一起使用地址网段。
3. 点击“确认”则生成一条。以此类推。

（二）新建服务及服务组

在这一步中，就是预先准备好可能会用到的一些服务，主要是跟数据报文的目的地址，源地址，目的端口，源端口等相关的内容。原先就有一些默认既有的，常用的服务，也可以自行新建。

1. 登录页面以后。“对象” —> “服务” —> “服务” —> “新建”。会弹出一个名为“新建自定义服务”的框。
2. 框内主要包含几个内容。
   “名称”：一样，一个标签名而已，取一个直观好听的名字吧；
   “描述”：为了方便辨认而做的解释补充；
   “会话超时时间”：设计到该服务的数据流量，如果指定时间内无回应，则退出，可不填写；
   “协议列表”：这是重头戏，点击“新建”，会让你勾选报文协议，如UDP和TCP协议，以及相应的源端口和目的端口。一般在这里填写的，就是目的端口，如果有需要，则填写源端口，一般比如预防蠕虫病毒之类的，关闭445端口等等，则就是填写目的端口为445。
3. 点击“确认”，则新生成一条。以此类推。
4. 在服务列表显示的界面，右上角有一个勾选“只显示自定义服务”，则可以将原有的服务不显示。
5. 下面就是新建一个服务组，方便将服务组合使用。“对象” —> “服务” —> “服务组” —> “新建”。会弹出一个名为“新建服务组”的框。
6. 具体内容为：
   “名称”：一样，一个标签名而已，取一个直观好听的名字吧；
   “描述”：为了方便辨认而做的解释补充；
   “引用服务或服务组”：从左边的“可选”中勾选相应的服务，点击“>”按钮，进入“已选”。
7. 点击“确认”，则新生成一条服务组。

（三）新建安全策略

在上面两步的准备工作完成以后，就可以开始新建安全策略。

1. 登录页面以后。“策略” —> “安全策略” —> “安全策略” —> “新建安全策略”。会弹出一个名为“新建安全策略”的框。
2. 具体内容包含：
   “名称”：一样，一个标签名而已，取一个直观好听的名字吧；
   “描述”：为了方便辨认而做的解释补充；
   “策略组”：即将可能会一起用到的策略，放到一个组中，方便组合使用。策略组可以事先新建好，也可以在此新建；
   “源安全区域”：这个非常关键，一般在“trust”和“untrust”中选择，因为防火墙主要是防护外部对自己的侵害，因此一般认为，源则是局外，认为是untrust，目的则认为是局内，为trust；
   “目的安全区域”：同上所述；
   “源地址/地区”：这里就是勾选源地址的网段，显示的是事先新建的地址网段的名称，勾选需要的即可，可多选；
   “目的地址/地区”：同上所述；
   “VLAN ID”：可以不填写。
   “用户”：选择“any”，或者根据实际需求填写；
   “接入方式”：选择“any”，或者根据实际需求填写；
   “终端设备：选择“any”，或者根据实际需求填写；
   “服务”：这一部分，显示的就是事先新建的各种服务的名称，勾选需要的即可，可多选；
   “应用”：选择“any”，或者根据实际需求填写；
   “URL分类”：选择“any”，或者根据实际需求填写；
   “时间段”：选择“any”，或者根据实际需求填写；
   “动作”：这个很重要，就是决定了你这条策略事允许，还是禁止的策略。
   后面的不一一赘述，可根据需求自行选择。
3. 点击“确认”则可生成，生成以后，自动生效，如不希望生效，则可以勾选掉“启用”按钮，则不生效。
   至此，则安全策略生成完毕，另外，注意一点，策略是从上到下依次匹配，上面的条件没匹配上会依次向下查询直到最后一条的default。

三、策略生效的条件

（一）什么是安全区域

首先，得分清楚三个区域。
trust区域，该区域内网络的受信任程度高，通常用来定义局内的安全区域。
DMZ区域，该区域内网络的受信任程度中等，通常用来定义局内服务器所在的网络。
untrust区域，该区域代表的是不受信任的网络，通常用来定义外部网络，等不安全的网络。
防火墙的作用，主要是隔绝外部网络对本地网络的侵害，因此，认为外部网络是不可信的，是untrust，内部网络，局域网是可信的，是trust。
上述的受信任程度，他是有量化标准的，有具体的数值。另外，安全区域是可以自己新建的，自行命名，只要将其受信任程度具体设置一个量化数值即可。

（二）何时生效

1. 同区域默认放行，如果需要控制，需要将default策略中的命中同域流量开关关闭
2. 从一个区域到另一个受信任程度不同的区域，则数据报文会被安全策略过滤。

（三）如何配置

在另一篇讲述网络配置的文章中，已经介绍过，在防火墙中，需要将任何的使用到的端口，包括各种物理端口，以及vlanif等虚拟端口，都划分到具体的安全区域中。在CLI中，使用“firewall zone trust”或者“firewall zone untrust”，来进入相应的视图，然后“display this”，进行查看，该安全区域下包含哪些端口。在网页中，可直接进入安全区域的相关页面查看。
另外，loopback等端口，默认为local安全区域。local为受信任程度最高的等级。

四、结语

本文只是简单的，通过文字介绍了配置过程，仅供参考，可供借鉴，包括天融信等防火墙的安全策略，也是如此。