問

防火牆

域間策略/安全域

2020-06-03提問

0關注
1收藏，2583瀏覽

zhiliao_yyb

zhiliao_yyb 二段

粉絲：1人關注：1人

問題描述：

防火牆上創建安全策略的時候怎麼禁止訪問固定端口？

創建了對象組：

object-group service ip_duankou

0 service tcp destination eq 135

10 service tcp destination eq 137

60 service tcp destination range 22 23

安全策略下麵引用了該對象組為什麼不起作用？還是能夠訪問這些端口，是不是策略寫的有問題。請大神賜教。

security-policy ip

rule 6 name GuideSecPolicy

source-zone Trust

destination-zone Untrust

destination-zone DMZ

destination-zone Local

destination-ip ip_1

destination-ip ip-1

service ip_duankou

最佳答案

吉奧盆得二次原

吉奧盆得二次原五段

粉絲：1人關注：1人

1：該條規則有沒有設置丟棄動作
在安全策略規則6視圖內action drop
2：將這條rule 6規則移動到對應源目相同的安全策略之前，優先去匹配rule6
3：還有一種方法，在外網接口配置nat outbound acl ID來限製端口做NAT轉發

例

防火牆透明模式的做不了nat outbound

zhiliao_yyb 發表時間：2020-06-04 更多>>

好吧，這樣能實現嗎？謝謝

zhiliao_yyb 發表時間：2020-06-04

防火牆透明模式的做不了nat outbound

zhiliao_yyb 發表時間：2020-06-04

4 個回答

按時間按讚數

知不知道知1了

知不知道知1了六段

粉絲：4人關注：1人

看上去沒有問題

張兵

張兵四段

粉絲：0人關注：0人

如果不行寫acl來限製一樣的；

華三的現在不讓用ACL

zhiliao_yyb 發表時間：2020-06-04 更多>>

華三的現在不讓用ACL

zhiliao_yyb 發表時間：2020-06-04

吉奧盆得二次原

吉奧盆得二次原五段

粉絲：1人關注：1人

acl advanced 3001

rule 10 deny tcp source-port eq 445 counting

rule 13 deny udp source-port eq netbios-ns counting

rule 14 deny tcp source-port eq 137 counting

rule 15 deny udp source-port eq 445 counting

rule 20 deny tcp destination-port eq 445 counting

rule 23 deny udp destination-port eq netbios-ns counting

rule 24 deny tcp destination-port eq 137 counting

rule 25 deny udp destination-port eq 445 counting

rule 30 deny tcp source-port eq 139 counting

rule 33 deny udp source-port eq 136 counting

rule 34 deny tcp source-port eq 136 counting

rule 35 deny udp source-port eq netbios-ssn counting

rule 40 deny tcp destination-port eq 135 counting

rule 43 deny udp destination-port eq 136 counting

rule 44 deny tcp destination-port eq 136 counting

rule 45 deny udp destination-port eq 135 counting

rule 100 permit ip

可以將該ACL應用在外網接口NAT Outbound 3001，具體ACL列表號根據實際情

zhiliao_mYW0r

zhiliao_mYW0r 二段

粉絲：0人關注：0人

#
object-group service Deny_Port
0 service tcp destination eq 135
10 service tcp destination range 137 139
20 service tcp destination eq 445
30 service udp destination eq 135
40 service udp destination range 137 139
50 service udp destination eq 445
60 service udp destination eq 3389
70 service tcp destination eq 3389
#

security-policy ip
rule 100 name Deny_Port

action drop

logging enable
counting enable
service Deny_Port

編輯答案

分享擴散:

➤

網站相關: 關於我們; 服務條款; 隱私政策; 幫助中心; 經驗與權限; 積分規則

聯係我們: 聯係我們; 建議反饋

常用鏈接: 標杆的神器下載

關注我們: H3C官網; BOB登陆服務公眾號; 安仔遠程運維服務; BOB登陆商城

內容許可: 除特別說明外，用戶內容均可采用知識共享署名-相同方式共享3.0中國大陸許可協議進行許可

本圖標版權歸BOB登陆集團所有，僅限本社區使用，切勿用做商業目的，違者必究

浙ICP備09064986號-1 浙公網安備 33010802004416號

✖

親~登錄後才可以操作哦!

確定

✖

親~檢測到您登陸的賬號未在http://hclhub.h3c.com進行注冊

注冊後可訪問此模塊

跳轉hclhub

✖

你的郵箱還未認證，請認證郵箱或綁定手機後進行當前操作

✖

舉報

侵犯我的權益 >

對根叔社區有害的內容 >

辱罵、歧視、挑釁等（不友善）

侵犯我的權益

泄露了我的隱私 >

侵犯了我企業的權益 >

抄襲了我的內容 >

誹謗我 >

辱罵、歧視、挑釁等（不友善）

騷擾我

泄露了我的隱私

您好，當您發現根叔知了上有泄漏您隱私的內容時，您可以向根叔知了進行舉報。請您把以下內容通過郵件發送到pub.zhiliao@h3c.com 郵箱，我們會盡快處理。

1. 您認為哪些內容泄露了您的隱私？（請在郵件中列出您舉報的內容、鏈接地址，並給出簡短的說明）
2. 您是誰？（身份證明材料，可以是身份證或護照等證件）

侵犯了我企業的權益

您好，當您發現根叔知了上有關於您企業的造謠與誹謗、商業侵權等內容時，您可以向根叔知了進行舉報。請您把以下內容通過郵件發送到 pub.zhiliao@h3c.com 郵箱，我們會在審核後盡快給您答複。

1. 您舉報的內容是什麼？（請在郵件中列出您舉報的內容和鏈接地址）
2. 您是誰？（身份證明材料，可以是身份證或護照等證件）
3. 是哪家企業？（營業執照，單位登記證明等證件）
4. 您與該企業的關係是？（您是企業法人或被授權人，需提供企業委托授權書）

我們認為知名企業應該坦然接受公眾討論，對於答案中不準確的部分，我們歡迎您以正式或非正式身份在根叔知了上進行澄清。

抄襲了我的內容

原文鏈接或出處

誹謗我

您好，當您發現根叔知了上有誹謗您的內容時，您可以向根叔知了進行舉報。請您把以下內容通過郵件發送到pub.zhiliao@h3c.com 郵箱，我們會盡快處理。

1. 您舉報的內容以及侵犯了您什麼權益？（請在郵件中列出您舉報的內容、鏈接地址，並給出簡短的說明）
2. 您是誰？（身份證明材料，可以是身份證或護照等證件）

我們認為知名企業應該坦然接受公眾討論，對於答案中不準確的部分，我們歡迎您以正式或非正式身份在根叔知了上進行澄清。

對根叔社區有害的內容

垃圾廣告信息

色情、暴力、血腥等違反法律法規的內容

政治敏感

不規範轉載 >

辱罵、歧視、挑釁等（不友善）

騷擾我

誘導投票

不規範轉載

舉報說明

產品線		搜索取消
案例類型
發布者
是否解決
是否官方
時間
搜索引擎
匹配模式	默認策略匹配全詞匹配整句

防火牆

問題描述：

編輯答案

提出建議