- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
10-WAF配置
本章節下載： 10-WAF配置 (331.34 KB)
WAF（Web application firewall，Web應用防火牆）是一種通過執行一係列針對HTTP/HTTPS請求的防護策略，對Web應用層攻擊進行阻斷的安全防護功能。WAF對來自Web應用程序客戶端的請求進行內容檢測和驗證，確保其安全性與合法性，對非法的請求予以實時阻斷，從而對內網的Web服務器進行有效防護。
設備基於WAF策略對攻擊報文進行處理。WAF策略中定義了匹配報文的WAF特征和處理報文的WAF動作。
WAF特征用來描述網絡中的Web應用層攻擊行為的特征，設備通過將報文與WAF特征進行比較來檢測和防禦攻擊。WAF特征包含多種屬性，例如攻擊分類、動作、保護對象、嚴重級別和方向。這些屬性可作為過濾條件來篩選WAF特征。
目前，設備僅支持預定義WAF特征。預定義特征由係統中的WAF特征庫自動生成，設備不支持對預定義WAF特征的內容進行修改和刪除。
WAF動作是指設備對匹配上WAF特征的報文做出的處理。WAF處理動作包括如下幾種類型：
· 重置：通過發送TCP的reset報文斷開TCP連接。
· 重定向：把符合特征的報文重定向到指定的Web頁麵上。
· 源阻斷：阻斷符合特征的報文，並會將該報文的源IP地址加入IP黑名單。如果設備上同時開啟了IP黑名單過濾功能（由blacklist global enable開啟），則一定時間內（由block-period命令指定）來自此IP地址的所有報文將被直接丟棄；否則，此IP黑名單不生效。有關IP黑名單過濾功能的詳細介紹請參見“安全配置指導”中的“攻擊檢測與防範”，有關block-period命令的詳細介紹請參見“DPI深度安全”中的“應用層檢測引擎”。
· 丟棄：丟棄符合特征的報文。
· 放行：允許符合特征的報文通過。
· 捕獲：捕獲符合特征的報文。
· 生成日誌：對符合特征的報文生成日誌信息。
WAF處理流程如圖1-1所示：
圖1-1 WAF數據處理流程圖
WAF功能是通過在DPI應用profile中引用WAF策略，並在安全策略或對象策略中引用DPI應用profile來實現的，WAF處理的具體實現流程如下：
(1) 設備識別應用層報文協議並提取報文特征。
(2) 設備將提取的報文特征與WAF特征進行匹配，並進行如下處理：
¡ 如果報文未與任何WAF特征匹配成功，則設備對報文執行允許動作。
¡ 如果報文隻與一個WAF特征匹配成功，則根據此特征中指定的動作進行處理。
¡ 如果報文同時與多個WAF特征匹配成功，則根據這些動作中優先級最高的動作進行處理。動作優先級從高到低的順序為：重置 > 重定向 > 丟棄 > 允許。但是，對於源阻斷、生成日誌和捕獲三個動作隻要匹配成功的特征中存在就會執行。
WAF特征庫是用來對經過設備的應用層流量進行Web攻擊檢測和防禦的資源庫。隨著網絡攻擊不斷的變化和發展，需要及時升級設備中的WAF特征庫，同時設備也支持WAF特征庫回滾功能。
WAF特征庫的升級包括如下幾種方式：
· 定期自動在線升級：設備根據管理員設置的時間定期自動更新本地的WAF特征庫。
· 立即自動在線升級：管理員手工觸發設備立即更新本地的WAF特征庫。
· 手動離線升級：當設備無法自動獲取WAF特征庫時，需要管理員先手動獲取最新的WAF特征庫，再更新設備本地的WAF特征庫。
如果管理員發現設備當前WAF特征庫對報文進行檢測和防禦Web攻擊時，誤報率較高或出現異常情況，則可以將其進行回滾到出廠版本和上一版本。
本特性的支持情況與設備型號有關，請以設備的實際情況為準。
|
型號 |
說明 |
|
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5040、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-C、F5000-S、F5000-M、F5000-A |
支持 |
|
F1000-AI-20、F1000-AI-30、F1000-AI-50、F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90 |
支持 |
|
F1003-L、F1005-L、F1010-L |
不支持 |
|
F1005、F1010 |
不支持 |
|
F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090、F1000-V70、F1000-V90 |
支持 |
|
F1000-AK1010、F1000-AK1020、F1000-AK1030 |
不支持 |
|
F1000-AK1110、F1000-AK1120、F1000-AK1130、F1000-AK1140 |
不支持 |
|
F1000-AK1212、F1000-AK1222、F1000-AK1232、F1000-AK1312、F1000-AK1322、F1000-AK1332 |
支持 |
|
F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1514、F1000-AK1524、F1000-AK1534、F1000-AK1614 |
支持 |
|
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK710 |
不支持 |
|
F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK711 |
支持 |
|
LSU3FWCEA0、LSUM1FWCEAB0、LSX1FWCEA1 |
支持 |
|
LSXM1FWDF1、LSUM1FWDEC0、IM-NGFWX-IV、LSQM1FWDSC0、LSWM1FWD0、LSPM6FWD、LSQM2FWDSC0 |
支持 |
|
vFW1000、vFW2000 |
支持 |
WAF功能需要購買並正確安裝License才能使用。License過期後，WAF功能可以采用設備中已有的WAF特征庫正常工作，但無法升級到官方網站在過期時間後發布的新版本的特征庫。關於License的詳細介紹請參見“基礎配置指導”中的“License管理”。
WAF配置任務如下：
(1) 創建WAF策略
(2) 配置篩選WAF特征的屬性
(3) 配置WAF動作
(4) 配置WAF引用的應用層檢測引擎動作參數profile
(6) （可選）激活WAF策略配置
(9) 配置WAF特征庫升級和回滾
缺省情況下，WAF策略將使用當前設備上所有處於生效狀態的WAF特征與報文進行匹配，並對匹配成功的報文執行WAF特征屬性中的動作。管理員可根據實際需求，在新建的WAF策略中，將WAF特征的屬性作為過濾條件，篩選出需要與報文進行匹配的WAF特征，並配置WAF特征動作。
(1) 進入係統視圖。
system-view
(2) 創建WAF策略，並進入WAF策略視圖。
waf policy policy-name
缺省情況下，存在一個缺省WAF策略，名稱為default，且不能被修改或刪除。
在WAF策略中，可以定義不同類型的屬性作為WAF特征的過濾條件。如果某個屬性中配置了多個參數，則WAF特征至少需要匹配上其中一個參數，才表示匹配上該屬性。
(1) 進入係統視圖。
system-view
(2) 進入WAF策略視圖。
waf policy policy-name
(3) 配置篩選WAF特征的屬性。
¡ 配置篩選WAF特征的保護對象屬性。
protected-target { target [ sub-target subtarget ]| all }
缺省情況下，WAF策略匹配所有保護對象的特征。
¡ 配置篩選WAF特征的攻擊分類屬性。
attack-category { category [ sub-category subcategory ] | all }
缺省情況下，WAF策略匹配所有攻擊分類的特征。
¡ 配置篩選WAF特征的動作屬性。
action { block-source | drop | permit | reset } *
缺省情況下，WAF策略匹配所有動作的特征。
¡ 配置篩選WAF特征的方向屬性。
object-dir { client | server } *
缺省情況下，WAF策略匹配所有方向的特征。
¡ 配置篩選WAF特征的嚴重級別屬性。
severity-level { critical | high | low | medium } *
缺省情況下，WAF策略匹配所有嚴重級別的特征。
缺省情況下，新建WAF策略執行特征屬性中的動作。管理員也可以根據實際網絡需求，為WAF策略中所有特征配置統一的動作，或者為指定的特征配置動作。
設備對以上動作執行的優先級為：WAF策略中為指定特征配置的動作 > WAF策略為所有特征配置的統一動作 > WAF特征自身屬性的動作。
若動作配置為logging，生成的日誌信息不會輸出到控製台和監視終端。此時如需獲取該日誌，可通過執行display logbuffer命令進行查看。有關display logbuffer命令的詳細介紹，請參見“網絡管理和監控命令參考”中的“信息中心”。
(1) 進入係統視圖。
system-view
(2) 進入WAF策略視圖。
waf policy policy-name
(3) 配置WAF策略中所有特征的統一動作。
signature override all { { block-source | drop | permit | redirect | reset } | capture | logging } *
缺省情況下，WAF策略執行特征屬性中的動作。
(4) （可選）修改WAF策略中指定特征的動作和生效狀態。
signature override pre-defined signature-id { disable | enable } [ { block-source | drop | permit | redirect | reset } | capture | logging ] *
缺省情況下，預定義WAF特征使用係統預定義的狀態和動作。
每類WAF動作的具體執行參數由應用層檢測引擎動作參數profile來定義，該profile的具體配置請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
如果WAF引用的應用層檢測引擎動作參數profile不存在或沒有引用，則使用係統各類動作參數的缺省值。
(1) 進入係統視圖。
system-view
(2) 配置WAF引用的應用層檢測引擎動作參數profile。
waf { block-source | capture | logging | redirect } parameter-profile parameter-name
缺省情況下，WAF未引用應用層檢測引擎動作參數profile。
DPI應用profile是一個安全業務的配置模板，為實現WAF功能，必須在DPI應用profile中引用指定的WAF策略。
一個DPI應用profile中隻能引用一個WAF策略，如果重複配置，則新的配置會覆蓋已有配置。
(1) 進入係統視圖。
system-view
(2) 進入DPI應用profile視圖。
app-profile profile-name
關於該命令的詳細介紹請參見“DPI深度安全命令參考”中的“應用層檢測引擎”。
(3) 在DPI應用profile中引用WAF策略。
waf apply policy policy-name mode { protect | alert }
缺省情況下，DPI應用profile中未引用WAF策略。
缺省情況下，當WAF策略發生變更時（即被創建、修改和刪除），係統將會檢測在20秒的間隔時間內是否再次發生了配置變更，並根據判斷結果執行如下操作：
· 如果間隔時間內未發生任何配置變更，則係統將在下一個間隔時間結束時執行一次激活操作，使這些策略的配置生效。
· 如果間隔時間內再次發生了配置變更，則係統將繼續按照間隔時間周期性地檢測是否發生配置變更。
如果用戶希望對變更的配置立即進行激活，可執行inspect activate命令手工激活，使配置立即生效。
配置此功能會暫時中斷所有DPI業務的處理，為避免重複配置此功能對DPI業務造成影響，請完成部署DPI各業務模塊的策略後統一配置此功能。
有關此功能的詳細介紹請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
(1) 進入係統視圖。
system-view
(2) 激活WAF策略配置。
inspect activate
缺省情況下，WAF策略被創建、修改和刪除後，係統會自動激活配置使其生效。
(1) 進入係統視圖。
system-view
(2) 進入安全策略視圖。
security-policy { ip | ipv6 }
(3) 進入安全策略規則視圖。
rule { rule-id | name name } *
(4) 配置安全策略規則的動作為允許。
action pass
缺省情況下，安全策略規則動作是丟棄。
(5) 配置安全策略規則引用DPI應用profile。
profile app-profile-name
缺省情況下，安全策略規則中未引用DPI應用profile。
(1) 進入係統視圖。
system-view
(2) 進入對象策略視圖。
object-policy { ip | ipv6 } object-policy-name
(3) 在對象策略規則中引用DPI應用profile。
rule [ rule-id ] inspect app-profile-name
缺省情況下，在對象策略規則中未引用DPI應用profile。
(4) 退回係統視圖。
quit
(5) 創建安全域間實例，並進入安全域間實例視圖。
zone-pair security source source-zone-name destination destination-zone-name
有關安全域間實例的詳細介紹請參見“安全配置指導”中的“安全域”。
(6) 應用對象策略。
object-policy apply { ip | ipv6 } object-policy-name
缺省情況下，安全域間實例內不應用對象策略。
· 請勿刪除設備存儲介質根目錄下的/dpi/文件夾，否則設備升級或回滾特征庫會失敗。
· 當係統內存使用狀態處於告警門限狀態時，請勿進行特征庫升級或回滾，否則易造成設備特征庫升級或回滾失敗，進而影響WAF業務的正常運行。有關內存告警門限狀態的詳細介紹請參見“基礎配置指導”中的“設備管理”。
· 自動在線升級（包括定期自動在線升級和立即自動在線升級）WAF特征庫時，需要確保設備能通過靜態或動態域名解析方式獲得官方網站的IP地址，並與之路由可達，否則設備升級WAF特征庫會失敗。有關域名解析功能的配置請參見“三層技術-IP業務配置指導”中的“域名解析”。
· 同一時刻隻能對一個特征庫進行升級，如果當前已有其他特征庫正在升級，請稍後再試。
如果設備可以訪問官方網站上的特征庫服務專區，可以采用定期自動在線升級方式來對設備上的WAF特征庫進行升級。
(1) 進入係統視圖。
system-view
(2) 開啟定期自動在線升級WAF特征庫功能，並進入自動在線升級配置視圖。
waf signature auto-update
缺省情況下，定期自動在線升級WAF特征庫功能處於關閉狀態。
(3) 配置定期自動在線升級WAF特征庫的時間。
update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes
缺省情況下，設備在每天01:00:00至03:00:00之間自動升級WAF特征庫。
(4) （可選）開啟WAF特征文件自動覆蓋功能。
override-current
缺省情況下，設備定期自動在線升級WAF特征庫時會將當前的特征庫文件備份為上一版本。
當管理員發現官方網站上的特征庫服務專區中的WAF特征庫有更新時，可以選擇立即自動在線升級方式來及時升級WAF特征庫版本。
(1) 進入係統視圖。
system-view
(2) 立即自動在線升級WAF特征庫。
waf signature auto-update-now
如果設備不能訪問官方網站上的特征庫服務專區，管理員可以采用如下幾種方式手動離線升級WAF特征庫版本。
· 本地升級：使用本地保存的特征庫文件升級係統上的WAF特征庫版本。
· FTP/TFTP升級：通過FTP或TFTP方式下載遠程服務器上保存的特征庫文件，並升級係統上的WAF特征庫版本。
使用本地升級方式離線升級特征庫版本時，特征庫文件隻能存儲在當前主用設備上，否則設備升級特征庫會失敗。
(1) 進入係統視圖。
system-view
(2) 手動離線升級WAF特征庫。
waf signature update [ override-current ] file-path
WAF特征庫版本每次回滾前，設備都會備份當前版本。多次回滾上一版本的操作將會在當前版本和上一版本之間反複切換。例如當前WAF特征庫版本是V2，上一版本是V1，第一次執行回滾到上一版本的操作後，特征庫替換成V1版本，再執行回滾上一版本的操作則特征庫重新變為V2版本。
(1) 進入係統視圖。
system-view
(2) 回滾WAF特征庫。
waf signature rollback { factory | last }
完成上述配置後，在任意視圖下執行display命令可以顯示配置後WAF的運行情況，通過查看顯示信息驗證配置的效果。
表1-1 WAF顯示和維護
|
操作 |
命令 |
|
顯示WAF策略信息 |
display waf policy policy-name |
|
顯示WAF特征庫版本信息 |
display waf signature library |
|
顯示WAF特征屬性列表 |
display waf signature [ pre-defined ] [ direction { any | to-client | to-server } ] [ category category-name | fidelity { high | low | medium } | severity { critical | high | low | medium } ] * |
|
顯示WAF預定義特征的詳細信息 |
display waf signature pre-defined signature-id |
如圖1-2所示，Device分別通過Trust安全域和Untrust安全域與內部網絡和Internet相連。現要求使用設備上的缺省WAF策略對內部網絡進行Web攻擊防禦。
圖1-2 在安全策略中引用缺省WAF策略配置組網圖
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(4) 配置DPI應用profile並激活WAF策略配置
# 創建名為sec的DPI應用profile，在sec中引用名稱為default的缺省WAF策略，並指定該WAF策略的模式為protect。
[Device] app-profile sec
[Device-app-profile-sec] waf apply policy default mode protect
[Device-app-profile-sec] quit
# 激活WAF策略配置。
[Device] inspect activate
(5) 配置安全策略
# 配置名稱為trust-untrust的安全策略規則，使內網用戶可以訪問外網，並對交互報文進行WAF攻擊防禦。具體配置步驟如下。
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] profile sec
[Device-security-policy-ip-10-trust-untrust] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
以上配置生效後，使用缺省WAF策略可以對已知攻擊類型的Web攻擊進行防禦。比如GNU_Bash_Remote_Code_Execution_Vulnerability(CVE-2014-6271)類型的攻擊報文經過Device設備時，Device會匹配該報文，並對報文按照匹配成功的WAF特征的動作（reset和logging）進行處理。
如圖1-3所示，Device分別通過Trust安全域和Untrust安全域與內部網絡和Internet相連。現有組網需求如下：
· 使用設備上的WAF策略對內部網絡進行Web攻擊防禦。
· 將編號為2的預定義WAF特征的動作改為丟棄並生成日誌。
圖1-3 在安全策略中引用自定義WAF策略配置組網圖
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(4) 配置WAF策略
# 創建一個名稱為waf1的WAF策略，配置篩選WAF特征的方向屬性為客戶端，並配置編號為2的預定義WAF特征的狀態為開啟，動作為丟棄並生成日誌信息。
[Device] waf policy waf1
[Device-waf-policy-waf1] object-dir client
[Device-waf-policy-waf1] signature override pre-defined 2 enable drop logging
[Device-waf-policy-waf1] quit
(5) 配置DPI應用profile並激活WAF策略配置
# 創建名為sec的DPI應用profile，在DPI應用profile sec中引用WAF策略waf1，並指定該WAF策略的模式為protect。
[Device] app-profile sec
[Device-app-profile-sec] waf apply policy waf1 mode protect
[Device-app-profile-sec] quit
# 激活WAF策略配置。
[Device] inspect activate
(6) 配置安全策略
# 配置名稱為trust-untrust的安全策略規則，使內網用戶可以訪問外網，並對交互報文進行WAF攻擊防禦。具體配置步驟如下。
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] profile sec
[Device-security-policy-ip-10-trust-untrust] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
以上配置生效後，將有如下驗證結果：
· 使用自定義WAF策略可以對已知類型的Web攻擊進行防禦。
· 當有報文匹配到編號為2的預定義WAF特征時，設備將丟棄該報文並生成日誌信息。
如圖1-4所示，位於Trust安全域的內部網絡可通過Device訪問Untrust安全域的Internet資源，以及DMZ安全域的FTP服務器。FTP服務器根目錄下保存了最新的WAF特征庫文件waf-1.0.8-encrypt.dat，FTP服務器的登錄用戶名和密碼分別為waf和123。現需要手動離線升級WAF特征庫，加載最新的WAF特征。
圖1-4 手動離線升級WAF特征庫配置組網圖
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3
[Device-security-zone-DMZ] quit
(4) 配置安全策略
¡ 配置安全策略規則放行Trust到Untrust安全域的流量，使內網用戶可以訪問外網資源
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] quit
¡ 配置安全策略規則放行Trust到DMZ安全域的流量，使內網用戶可以訪問DMZ安全域中的服務器
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-dmz
[Device-security-policy-ip-11-trust-dmz] source-zone trust
[Device-security-policy-ip-11-trust-dmz] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-11-trust-dmz] destination-zone dmz
[Device-security-policy-ip-11-trust-dmz] action pass
[Device-security-policy-ip-11-trust-dmz] quit
¡ 配置安全策略規則放行設備與FTP服務器之間的流量，使設備可以訪問FTP服務器，獲取特征庫文件
[Device] security-policy ip
[Device-security-policy-ip] rule name downloadlocalout
[Device-security-policy-ip-12-downloadlocalout] source-zone local
[Device-security-policy-ip-12-downloadlocalout] destination-zone dmz
[Device-security-policy-ip-12-downloadlocalout] destination-ip-subnet 192.168.2.0 24
[Device-security-policy-ip-12-downloadlocalout] application ftp
[Device-security-policy-ip-12-downloadlocalout] application ftp-data
[Device-security-policy-ip-12-downloadlocalout] action pass
[Device-security-policy-ip-12-downloadlocalout] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
(5) 手動升級WAF特征庫
# 采用FTP方式手動離線升級設備上的WAF特征庫，且被加載的WAF特征庫文件名為waf-1.0.8-encrypt.dat。
[Device] waf signature update ftp://waf:[email protected]/waf-1.0.8-encrypt.dat
WAF特征庫升級後，可以通過display waf signature library命令查看當前特征庫的版本信息。
如圖1-5所示，位於Trust安全域的內部網絡可以通過Device訪問Untrust安全域的Internet資源。現要求每周六上午九點前後半小時內，開始定期自動在線升級設備的WAF特征庫。
圖1-5 定時自動升級WAF特征庫配置組網圖
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(4) 配置DNS服務器地址
# 指定DNS服務器的IP地址為10.72.66.36，確保Device可以獲取到官網的IP地址，具體配置步驟如下。
[Device] dns server 10.72.66.36
(5) 配置安全策略
¡ 配置安全策略規則放行Trust到Untrust安全域的流量，使內網用戶可以訪問外網資源
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] quit
¡ 配置安全策略規則放行Local到Untrust安全域的流量，使設備可以訪問官網的特征庫服務專區，獲取特征庫文件
[Device] security-policy ip
[Device-security-policy-ip] rule name downloadlocalout
[Device-security-policy-ip-11-downloadlocalout] source-zone local
[Device-security-policy-ip-11-downloadlocalout] destination-zone untrust
[Device-security-policy-ip-11-downloadlocalout] action pass
[Device-security-policy-ip-11-downloadlocalout] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
(6) 配置定期自動在線升級WAF特征庫
# 設置定時自動升級WAF特征庫計劃為：每周六上午9:00:00前後30分鍾內，開始自動升級。
[Device] waf signature auto-update
[Device-waf-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60
[Device-waf-autoupdate] quit
設置的定期自動在線升級WAF特征庫時間到達後，可以通過display waf signature library命令查看當前特征庫的版本信息。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
