防火墙区域以及安全策略配置（命令行版）

# 防火墙区域以及安全策略配置（命令行版）

## 安全域

默认安全域一般有：
- Local：防火墙本身接口默认都属于Local区域
- Trust：一般是内网区域接口，包含二层接口，三层接口，VLAN接口等
- Untrust：一般是外网区域接口，如拨号口，公网地址接口
- Management：MGT管理接口默认属于这个区域，因此接上网线接可以连接防火墙配置
- DMZ：企业有划分对外Web服务器和邮件服务器等时候可以划分到DMZ单独做策略。
也可以自定义新的安全区域进行配置。

## 安全策略
就是基于不同安全域之间的流量策略，比如内网访问互联网一般流向是Trust->Untrust。

## H3C 防火墙安全域与策略配置

```shell
# 安全区域配置
security-zone name Trust          # 进入安全域配置或者新建安全域
undo security-zone name Test      # 删除安全域前面加undo即可
# 将端口添加到安全域
security-zone name Trust                    # 进入安全域
import interface GigabitEthernet 1/0/0      # import添加端口
undo import interface GigabitEthernet 1/0/0 # 删除安全域端口前面加undo
```

## 配置策略
```shell
# 策略配置
security-policy ip
# 具体策略配置，没一条rule就是一条策略配置，可以指定源区域，目的区域，ip，应用，时间段等
 rule 1 name Trust-local       # 1 是序号，Trust-local是策略名称
  action pass                  # 动作是允许pass或者拒绝p
  counting enable              # 开启统计
  source-zone Trust            # 源区域
  destination-zone Local       # 目的区域，可以写多个
# 创建源ip项目组
object-group ip address test
 0 network host address 192.168.1.2
# 在策略调用
 rule 3 name Trust-Untrust
  action pass
  source-zone Trust
  destination-zone Untrust
  source-ip test               # 只允许源地址为192.168.1.2访问Untrust区域
```