F1000-C8330的防火牆

如下圖所示，網絡管理員通過流量分析發現外部網絡中存在來自網段5.5.5.0/24的一組攻擊者，需要將這組攻擊者的報文在Device上永遠過濾掉。

圖-1 地址對象組黑名單配置組網圖

‌

配置步驟

1. 配置接口IP地址

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.0.0

[Device-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址，具體配置步驟略。

2. 將接口加入安全域

# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

3. 配置安全策略

# 配置名稱為trust-untrust的安全策略，保證Trust安全域內的主機可以訪問Internet，具體配置步驟如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-1-trust-untrust] source-zone trust

[Device-security-policy-ip-1-trust-untrust] destination-zone untrust

[Device-security-policy-ip-1-trust-untrust] source-ip-subnet 192.168.0.0 16

[Device-security-policy-ip-1-trust-untrust] action pass

[Device-security-policy-ip-1-trust-untrust] quit

# 配置名稱為untrust-dmz的安全策略，保證Internet中的主機可以訪問Server，具體配置步驟如下。

[Device-security-policy-ip] rule name untrust-dmz

[Device-security-policy-ip-2-untrust-dmz] source-zone untrust

[Device-security-policy-ip-2-untrust-dmz] destination-zone dmz

[Device-security-policy-ip-2-untrust-dmz] destination-ip-host 10.1.1.2

[Device-security-policy-ip-2-untrust-dmz] action pass

[Device-security-policy-ip-2-untrust-dmz] quit

[Device-security-policy-ip] quit

4. 配置地址對象組黑名單功能

# 創建地址對象組obj1，並將5.5.5.0/24加入地址對象組。

[Device] object-group ip address obj1

[Device-obj-grp-ip-obj1] network subnet 5.5.5.0 24

[Device-obj-grp-ip-obj1] quit

# 通過引用地址對象組obj1配置黑名單。

[Device] blacklist object-group obj1

# 開啟全局黑名單過濾功能。

[Device] blacklist global enable

驗證配置

完成以上配置後，Device對來自網段5.5.5.0/24的攻擊者的報文一律進行丟棄處理，除非管理員認為網段5.5.5.0/24不再是攻擊者，通過undo blacklist object-group將其從黑名單中刪除。