01. 禁止指定的 IP 上网 ❀ 飞塔 (Fortinet5.4) 防火墙

         【简介】在一个员工比较多的环境里，互联网访问需要做某些限制，最常用的限制就是哪些人员可以上互联网，哪些人员不能上互联网，我们可以通过电脑的IP地址，在防火墙上设置策略，允许或禁止某些IP地址上网。

---

  默认禁止策略

        防火墙通常都有一条默认策略，作用是禁止所有访问。

        ① 选择菜单【策略&对象】-【IPv4策略】，可以看到最下方会有一条策略叫〖隐式拒绝〗，这个策略的作用是禁止各接口之间的访问。这条策略不能被修改和删除。

  建立允许上网策略

        大多数的情况下还会有一条默认的Internal接口访问Wan1接口的上网策略，如果没有这条上网策略，我们就需要手动建立这条策略。

        ① 选择菜单【策略&对象】-【IPv4策略】，点击【新建】。

        ② 这是一条允许internal1接口通过wan1接口上网的策略，我们会习惯性的把源地址设为ALL，允许所有IP地址上网，这是不严谨的。

        ③ 可以建立多条策略，允许不同的接口上网，这里可以看到，用两条策略，分别允许internal1 和internal2接口通过wan1接口上网。

  接口编组

        如果内网接口很多，都要建立相同的策略，在5.4版本以前，是可以在一条策略里选择多个接口的，但是在5.4版本中，一条策略只能选择一个接口。这种情况下，将相同类的接口组合在一起，就很有必要了。

        ① 选择菜单【网络】-【接口】，点击【新建】。右边的向下箭头，弹出子菜单中选择【所属区域】。

        ② 输入自定义名称，然后选择可用的接口。这里把所有需要上网的接口建成一个区域。

        ③ 用同样的方法，我们将不需要上网的接口也组成一个区域。

        ④ 再次建立上网策略时，我们可以在流入接口选择新建的区域，这样只要一条策略，就可以让多个接口上网了。

        ⑤ 如果我们不想让指定的接口上网，只要在动作那里选择【DENY】就可以了。

        ⑥ 这样我们只用两条策略，就把所有接口都确定了上网和不上网了。

          【提示】 由于上网接口全部组成区域后，如果再需要对每个接口做细致操作就很难实现了，因此不推荐这种方式，但如果只要配置上网就行，这种方法还是很有效的。禁止接口上网可以使用这种方法。

  地址与地址组

        前面我们用策略指定了单个接口上网，源地址选的是ALL，合格的安全管理员，是不会用ALL的，他应该指定这个接口下的具体IP地址。

        ① 我们可以预先定义好地址及地址组，这样在策略里只直引用就可以了。选择菜单【策略&对象】-【地址】，点击【新建】右边向下箭头，弹出子菜单中选择【地址】。

        ② 最常用的地址对象是指定网段。

        ③ 也有指定单个IP地址的。

        ④ 也可以指定某个IP范围。

        ⑤ 当地址比较多的时候，也可以建地址组，选择菜单【策略&对象】-【地址】，点击【新建】右边向下箭头，弹出子菜单中选择【地址组】。

        ⑥ 可以将多个地址对象加入到指定组中，这样在策略里引用的时候就简单多了。

  限制指定IP上网

        建立好地址与地址组后，就可以在策略里进行配置了。

        ① 在策略里可以直接选择地址对象，对应地址对象的的就是它们的地址了。如果地址有变更，只要在地址对象里进行修改就可以了，策略都不用改。

        ② 除了可以直接选择地址对象以外，还可以选择地址组，这样可以一次将多个IP地址应用于策略上。当需要禁止上网时，动作就要选择【DENY】。

        ③ 在同一组接口到接口的策略中，策略的执行是有先后顺序的，最上面的策略优先运行，最下面的策略最后运行。习惯中把有DENY的策略放在最上面，首先就禁止运行，ALL到ALL的策略放在最下面，这样优先执行指定了IP地址的策略。鼠标按住策略最左边的数字，可以拖动修改策略的顺序。