HCIA-USG Security Policy

2022.2.14 我们应该清醒的是，遗憾和失败才是人生常态。努力没用，没用也努力，喜欢没用，没用也喜欢。这也是最伟大的英雄主义吧！！！

---

安全策略配置建议

在业务调试过程中，如何精确指定匹配条件是配置安全策略的难点。匹配条件设置的过于宽 泛，会带来安全风险；匹配条件设置的过于严格，可能会导致报文无法命中策略，影响业务 正常运行。通用的配置思路如下：

1.配置缺省安全策略的动作为允许通过，对业务进行调试，保证业务正常运行。

2.查看会话表，以会话表中记录的信息为匹配条件配置安全策略。

3.恢复缺省安全策略的配置，再次对业务进行调试，验证安全策略的正确性。

缺省安全策略的动作配置为permit后，防火墙允许所有报文通过，可能会带来安全风险，因 此调测完毕后，务必将缺省安全策略动作恢复为deny。

---

[USG6000V2]ip address-set deny8888 type object//配置名称为deny8888的地址集
[USG6000V2-object-address-set-deny8888]dis this
2022-02-14 20:28:44.810
#
ip address-set deny8888 type object
 address 0 10.1.1.2 mask 32
 address 1 10.2.1.2 mask 32
#
return

---

[USG6000V2]ip service-set server-deny type object/