- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
37-服務器外聯防護典型配置舉例
本章節下載： 37-服務器外聯防護典型配置舉例 (370.26 KB)
服務器外聯防護典型配置舉例
本文檔介紹服務器外聯防護典型配置舉例。
本文檔不嚴格與具體軟、硬件版本對應，如果使用過程中與產品實際情況有差異，請以設備實際情況為準。
本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。
本文檔假設您已了解服務器外聯防護特性。
如圖-1所示，某公司數據中心的服務器通過Device與Internet連接。通過配置服務器外聯防護策略可以有效識別服務器的主動外聯行為，並對此外聯行為進行告警。
本舉例是在F1060的F9345版本上進行配置和驗證的。
1. 配置接口的IP地址
# 選擇“網絡 > 接口 > 接口”，進入接口配置頁麵。
# 單擊接口GE1/0/1右側的<編輯>按鈕，配置如下。
· 安全域：DMZ
· 選擇“IPv4地址”頁簽，配置IP地址/掩碼：2.2.1.1/24
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成接口IP地址和安全域的配置。
# 按照同樣的步驟配置接口GE1/0/2，配置如下。
· 加入到安全域：Untrust
· IP地址/掩碼：2.2.2.1/24
· 其他配置項使用缺省值
2. 配置路由
本舉例僅以靜態路由為例，若實際組網中需采用動態路由，請配置對應的動態路由協議。
# 選擇“網絡 > 路由 > 靜態路由 > IPv4靜態路由”，單擊<新建>按鈕，進入新建IPv4靜態路由頁麵。
# 新建IPv4靜態路由，並進行如下配置：
· 目的IP地址：2.2.3.0
· 掩碼長度：24
· 下一跳IP地址：2.2.2.2（出接口對端IP地址）
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成靜態路由的配置。
3. 配置安全策略
# 選擇“策略 > 安全策略> 安全策略”，單擊<新建>按鈕，選擇新建策略，進入新建安全策略頁麵。
# 新建安全策略，並進行如下配置：
· 名稱：test-a
· 源安全域：DMZ
· 目的安全域：Untrust
· 類型：IPv4
· 動作：允許
· 源IPv4地址：2.2.1.0/24
· 其他配置項使用缺省值
# 單擊<確定>按鈕，完成安全策略的配置。
4. 配置對象組
# 選擇“對象 > 對象組 > IPv4地址對象組”，進入IPv4地址對象組配置頁麵。
# 單擊<新建>按鈕，進入新建IPv4地址對象組頁麵，進行如下配置：
· 對象組名稱為abc
· 描述信息為2.2.1.0/24
圖-2 新建IPv4地址對象組頁麵
# 單擊<添加>按鈕，進入添加對象頁麵，進行如下配置：
· 對象為網段
· 網段地址為2.2.1.0/24
圖-3 添加對象頁麵
# 單擊<確定>按鈕，完成對象的添加。
# 在新建IPv4地址對象組頁麵，單擊<確定>按鈕，完成IPv4地址對象組的創建。
5. 開啟服務器外聯學習功能
# 選擇“策略 > 服務器外聯防護 > 服務器外聯學習”，進入服務器外聯學習頁麵，進行如下配置：
· 服務器地址為abc
· 學習時長為二十四小時
圖-4 開啟服務器外聯學習功能
# 單擊<應用>按鈕，完成服務器外聯學習功能的開啟。
6. 配置服務器外聯防護策略
# 選擇“策略 > 服務器外聯防護 > 防護策略”。
# 單擊<新建>按鈕，進入新建防護策略頁麵，進行如下配置：
· 名稱為policy1
· 服務器地址為2.2.1.2
· 啟用策略
· 開啟記錄日誌告警功能
圖-5 新建防護策略
# 單擊<新建>按鈕，進入新建合法外聯規則頁麵，進行如下配置：
· 外聯地址為2.2.3.2
· TCP協議端口號為80,443
圖-6 新建合法外聯規則
# 單擊<確定>按鈕，完成合法外聯規則的添加。
# 在新建防護策略頁麵，單擊<確定>按鈕，完成防護策略的創建。配置完成後如下圖所示：
圖-7 顯示防護策略配置
1. 查看Device的係統日誌
# 選擇“監控 > 設備日誌 > 係統日誌”，進入係統日誌列表頁麵，查詢到服務器主動外聯產生的日誌信息如下圖所示。
圖-8 查看係統日誌
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
