防火墙安全策略配置——安全域与放行规则

防火墙是网络安全的第一道闸门。与交换机/路由器"默认转发"不同，防火墙默认拒绝所有流量，只有明确配置的安全策略才放行。本文以 USG6000 为例，讲清安全域、安全策略，完成一次典型的"内网访问外网 + 外网访问 DMZ 服务器"实验。

一、核心概念

1.1 安全域（Security Zone）

防火墙按信任等级将网络划分为不同安全域，默认四个：

安全域	信任级	典型用途
Trust	高（85）	内网（员工办公区）
Untrust	低（5）	外网（互联网）
DMZ	中（50）	隔离区（对外服务器）
Local	最高（100）	防火墙自身

1.2 安全策略（Security Policy）

安全策略定义"哪些流量允许通过"。匹配条件：源域→目的域、源/目的IP、服务端口。流量按策略顺序匹配，命中即执行（permit/deny），未命中默认拒绝。

防火墙思维：先想清楚"谁需要访问谁、用什么协议"，再写策略。最小权限原则——只放行必要的。

二、实验拓扑

Trust(内网)          Untrust(外网)
  PC ──────┐        ┌──── Internet
            │  FW   │
  Server ──┘──┬────┘
              DMZ
         Web服务器(对外发布)

FW 接口:
  GE0/0/1 → Trust  (192.168.10.1/24)
  GE0/0/2 → DMZ    (192.168.20.1/24)
  GE0/0/3 → Untrust (200.1.1.1/24)

需求:
  ① Trust → Untrust: 允许内网PC访问互联网(HTTP/HTTPS/DNS)
  ② Untrust → DMZ: 允许外网访问DMZ的Web服务器(HTTP)
  ③ Trust → DMZ: 允许内网管理DMZ服务器

三、配置步骤

3.1 接口加入安全域

[FW] firewall zone trust
[FW-zone-trust] add interface GigabitEthernet 0/0/1
[FW] firewall zone dmz
[FW-zone-dmz] add interface GigabitEthernet 0/0/2
[FW] firewall zone untrust
[FW-zone-untrust] add interface GigabitEthernet 0/0/3

3.2 配置安全策略

# 策略1: 内网访问互联网
[FW] security-policy
[FW-policy-security] rule name trust_to_untrust
[FW-policy-security-rule-trust_to_untrust] source-zone trust
[FW-policy-security-rule-trust_to_untrust] destination-zone untrust
[FW-policy-security-rule-trust_to_untrust] service http https dns
[FW-policy-security-rule-trust_to_untrust] action permit

# 策略2: 外网访问DMZ Web服务器
[FW-policy-security] rule name untrust_to_dmz_web
[FW-policy-security-rule-untrust_to_dmz_web] source-zone untrust
[FW-policy-security-rule-untrust_to_dmz_web] destination-zone dmz
[FW-policy-security-rule-untrust_to_dmz_web] destination-address 192.168.20.10 32
[FW-policy-security-rule-untrust_to_dmz_web] service http
[FW-policy-security-rule-untrust_to_dmz_web] action permit

# 策略3: 内网管理DMZ
[FW-policy-security] rule name trust_to_dmz
[FW-policy-security-rule-trust_to_dmz] source-zone trust
[FW-policy-security-rule-trust_to_dmz] destination-zone dmz
[FW-policy-security-rule-trust_to_dmz] action permit

3.3 配置 NAT（内网上网）

# 内网PC访问互联网需做源NAT
[FW] nat-policy
[FW-policy-nat] rule name trust_to_internet
[FW-policy-nat-rule-trust_to_internet] source-zone trust
[FW-policy-nat-rule-trust_to_internet] destination-zone untrust
[FW-policy-nat-rule-trust_to_internet] action source-nat easy-ip

💡

安全策略 vs NAT：安全策略决定"能不能通"，NAT决定"地址怎么转换"。内网上网两者都要配——策略放行 + NAT转换源IP。

四、验证

# 查看安全策略
[FW] display security-policy rule all
Rule Name          From    To      Service   Action
trust_to_untrust   trust   untrust http...   permit
untrust_to_dmz_web untrust dmz     http      permit
trust_to_dmz       trust   dmz     any       permit

# 查看会话表（流量通过后）
[FW] display firewall session table
  http  VPN:public --> public  192.168.10.10:2048-->200.1.1.2:80
  ✅ 内网PC访问外网Web的会话已建立

五、排错思路

流量不通？ 先查会话表 display firewall session table，无会话说明策略未放行或路由不通。
策略没命中？ 检查源/目的域、IP、服务是否匹配。用 display security-policy hit-cnt 看命中计数。
能通但访问慢？ 可能只放了 HTTP 没放 DNS，域名解析失败。确保 DNS 端口（UDP 53）放行。
DMZ 服务器访问不了？ 检查是否缺 NAT（DNAT/服务器映射），外网访问内网服务器需目的NAT。

⚠️

常见误区：初学者常忘记配 NAT，只配了安全策略。内网私网IP无法在公网路由，必须做源NAT才能上网。

六、用 NetLab 动手练习

打开 NetLab → 实验样例 → 选择"防火墙安全策略实验"
拓扑：USG6000 防火墙 + PC + Server + 外网模拟
按本文配置安全域、安全策略、NAT
用 PC 访问外网验证 Trust→Untrust 策略
模拟外网访问 DMZ 验证 Untrust→DMZ 策略

七、小结

防火墙默认拒绝，安全策略显式放行——与路由器默认转发相反
安全域按信任分级（Trust/DMZ/Untrust），策略按"源域→目的域"匹配
内网上网需"安全策略放行 + 源NAT"两步
最小权限原则：只放行必要的服务端口

下一篇我们做企业综合组网实战，把 VLAN + 路由 + 防火墙串联起来。