网络安全与管理最新章节_李敏著

项目3
配置访问控制功能

党的二十大报告提出：“加快建设制造强国、质量强国、航天强国、交通强国、网络强国、数字中国。”网络强国建设承载着以习近平同志为核心的党中央的深切关怀和殷切期望。习近平总书记强调，要站在实现“两个一百年”奋斗目标和中华民族伟大复兴中国梦的高度，加快推进网络强国建设，向着网络基础设施基本普及、自主创新能力显著增强、数字经济全面发展、网络安全保障有力、网络攻防实力均衡的方向不断前进。

学习目标

【 知识目标 】

（1）了解UTM的基本访问配置方法；

（2）了解UTM的访问控制策略实现方式。

【 技能目标 】

（1）能够对UTM进行安全策略的配置；

（2）能够对UTM进行安全策略组的配置。

【 素质目标 】

（1）培养中华民族共同体意识；

（2）培养网络安全意识；

（3）培养科技强国的责任感和使命感。

安全策略典型配置举例演示视频

禁用控制端口

硬件防火墙配置

项目描述

网络安全管理员小王经常会针对防火墙进行访问控制的配置。一种情况是针对内部网络访问互联网Internet的基于时间段的访问控制，如图3.1所示。另一种情况是内部网络中的PC机对数据中心的服务器Server的访问控制，如图3.2所示。

项目组网图

图3.1

图3.2

任务1基于时间段的访问控制

一、任务导入

如图3.1所示，内部网络通过PC与Internet互联。内部网络属于Trust安全域，外部网络属于Untrust安全域。要求正确配置访问控制策略，允许内部主机Public（IP地址为10.1.1.12 /24）在任何时候访问外部网络；禁止内部其他主机在上班时间（周一至周五的8:00—18:00）访问外部网络。

本任务通过H3C SecPath F1060防火墙实现。

二、必备知识

1.安全策略

安全策略通过指定源/目的安全域、源IP / MAC地址、目的IP地址、服务、应用、终端、用户和时间段等过滤条件匹配出特定的报文，并根据预先设定的策略动作对此报文进行处理；若报文未匹配上任何策略，则丢弃。当安全策略中未配置过滤条件时，则该策略将匹配所有报文。

2.安全策略规则

安全策略中可同时配置多种过滤条件，具体包括源安全域、目的安全域、源IP / MAC地址、目的IP地址、用户、应用、终端、服务和时间段等。一条策略匹配成功的条件是：策略中已配置的所有过滤条件必须均匹配成功。

一类过滤条件中可以配置多个匹配项，比如一类过滤条件中可以指定多个目的安全域。一类过滤条件被匹配成功的条件是：过滤条件的任何一个匹配项被匹配成功。

3.时间段资源

时间段资源用来定义时间段信息，并可以被ACL（Access Control List，访问控制列表）、安全策略等模块引用，以设置该访问控制列表中的某条规则在指定时间段定义的范围内有效。

时间段可分为以下两种类型：

·周期时间段：以一周为周期（如每周一的8:00—12:00）循环生效的时间段。

·绝对时间段：在指定时间范围内（如2023年1月1日8:00—2023年1月3日8:00）生效的时间段。

三、任务实施

1.基本配置

（1）配置接口GE1 /0 /1、GE1 /0 /2地址。在上方导航栏选择“网络”，单击左侧导航栏“接口”，再次选择“接口”，如图3.3所示。

图3.3

（2）单击GE1 /0 /2栏中的按钮，进入“接口编辑”界面。单击“ipv4”，输入IP地址。按照图3.4所示设置接口GE1 /0 /2，单击“确定”返回“接口管理”界面（图3.5）。

图3.4

2.配置管理

接口GE1 /0 /2加入Trust区域。

单击左侧导航栏“接口→安全域”，呈现如图3.6所示的界面。

图3.5

图3.6

单击Trust栏中的按钮，进入“修改安全域”界面。按照如图3.7所示将接口GE1 /0 /2加入Trust域，单击“确定”按钮完成配置。

3.配置时间段

配置上班时间段（周一至周五的8:00—18:00）。

在导航栏中单击“对象→对象组→时间段”，单击“新建”按钮，进行如图3.8所示的配置。

输入名称“worktime”；选中“周期时间段→新建”，设置开始时间为“8:00”；设置结束时间为“18:00”；勾选“周一”“周二”“周三”“周四”“周五”，单击“确定”按钮完成操作。

4.配置地址对象

配置IP地址资源public。

图3.7

图3.8

在导航栏中选择“对象”，左侧导航栏选择“对象组→ipv4对象组”，单击“新建”按钮进行如图3.9所示的配置。

图3.9

单击“添加”按钮，输入对象组名称“public”，“对象”选择“主机IP地址”，输入IP地址“10.1.1.12”，单击“添加”按钮将其添加到IP地址列表框中。单击“确定”按钮完成操作。

5.配置安全策略

1）配置允许主机Public在任何时候访问外部网络的域间策略规则

在上方导航栏中单击“策略”，在左侧导航栏选择“安全策略→安全策略”，单击“新建”按钮，进行如图3.10、图3.11所示的配置。

图3.10

将源域设置为“Trust”，目的域设置为“Untrust”，源IP地址选择“public”，操作动作选择“允许”，勾选“开启Syslog日志功能”，勾选“启用规则”，单击“确定”按钮完成操作。

2）配置禁止其他主机在上班时间访问外部网络的安全策略规则

完成上述配置后，页面自动跳转至“新建安全策略规则”的配置页面，源域和目的域保持之前的选择不变，进行如图3.12、图3.13所示的配置。

图3.11

图3.12

图3.13

过滤动作选“Deny”，时间段选“worktime”，勾选“开启Syslog日志功能”，勾选“启用规则”复选框，单击“确定”按钮完成操作。

6.验证结果

1）内部主机Public在上班时间访问外部网络

内部主机Public在上班时间访问外部网络，允许访问。在上方导航栏中选择“策略”，左侧导航栏选择“监控→安全日志→安全策略日志”，可以看到安全策略日志，动作为允许，如图3.14所示。

图3.14

2）其他内部主机在上班时间访问外部网络

其他内部主机，如IP地址为10.1.1.13 /24的主机，在上班时间访问外部网络时，访问被拒绝。在上方导航栏中选择“策略”，左侧导航栏选择“安全策略→安全策略”，可以看到安全策略日志，动作为拒绝，如图3.15所示。

图3.15

四、任务小结

本任务完成了某个时间段内部网络主机对外部网络的访问控制。验证结果证明配置过程正确有效。