H3C防火墙配置入门 安全策略怎么设计
防火墙是网络工程师最早上手的安全设备，但很多人只会"照着模板敲命令"，不知道策略为什么要这么配。这篇文章从零开始，把H3C防火墙的配置流程和安全策略的设计思路捋一遍，看完你就能独立规划一个出口防火墙了。
先说两个基础概念。
第一个是安全域。H3C防火墙不直接拿"接口"做过滤，而是把接口划分到不同的安全域，然后在域和域之间做策略。最常见的划分是Trust（内网可信区域）、Untrust（外网不可信区域）、DMZ（对外服务的隔离区）。接口加入哪个域，代表这个区域的可信程度，默认情况下，防火墙对域间流量是拒绝的，只有配了策略才放行。记住这个"默认拒绝"，是理解防火墙的钥匙。
第二个是安全策略。策略的本质是五个要素：源地址、目的地址、服务（端口）、动作（允许/拒绝）、时间（可选）。凡是符合这些条件的流量，执行对应动作。比如"允许内网192.168.1.0/24访问外网服务器的80端口"，翻译成策略就是源192.168.1.0/24、目的任意、服务HTTP、动作允许。
配置流程走一遍。假设一台H3C防火墙，内网口G1/0/1接办公网，外网口G1/0/2接运营商，要放内网出去上网。
第一步，把接口划进安全域：
[H3C] firewall zone trust
[H3C-zone-trust] import interface GigabitEthernet1/0/1
[H3C] firewall zone untrust
[H3C-zone-untrust] import interface GigabitEthernet1/0/2
第二步，配安全策略，允许内网访问外网：
[H3C] security-policy ip
[H3C-security-policy-ip] rule name permit-internet
[H3C-security-policy-ip-rule] source-zone trust
[H3C-security-policy-ip-rule] destination-zone untrust
[H3C-security-policy-ip-rule] source-address 192.168.1.0 24
[H3C-security-policy-ip-rule] action pass
第三步，配NAT，让内网地址转换成公网地址出去：
[H3C] nat address-group 1
[H3C-nat-address-group-1] address 100.64.1.1 100.64.1.10
[H3C] interface GigabitEthernet1/0/2
[H3C-GigabitEthernet1/0/2] nat outbound 3000 address-group 1
基本的三步走下来，内网就能上网了。记住一条经验：策略配了不通，先查两件事——接口的域划没划对，NAT生效没生效，绝大多数"配了不生效"都是这两个原因。
下面重点说说安全策略怎么设计，这才是体现水平的环节。几条原则：
一是默认拒绝，最小开放。防火墙默认拒绝对外，只对业务真正需要的端口开白名单。很多企业图省事，出口直接"内网到外网全部放行"，等于把防火墙用成了路由器，内网一台机器中了勒索病毒，整个内网都可能被带出去。宁可在策略表里多写几条，也别图省事全放开。
二是按业务梳理策略。别按"感觉"开端口，先梳理清楚：每个业务系统需要访问哪些服务器、哪些端口、哪些人能用。梳理完再落策略，每条策略都能对应一个业务需求，将来审计、排障、清理都方便。
三是分区精细化。接口多了以后，别一个Trust域包打天下。服务器区、办公区、无线区、视频监控区，该分域就分域，域间各自策略，把爆炸半径控制在最小。
四是日志和审计要开。重要策略配上日志记录，出问题能追溯。等保测评时，防火墙的日志审计能力也是检查项。
五是策略要定期清理。时间久了策略表会堆满僵尸规则，又乱又影响性能，半年清理一次，删掉没用的规则。
如果想把防火墙和安全体系学得更深，新华三有对应的认证路线：H3CNE-Security（考试代码GB0-510）是入门，讲中小企业安全网络的构建，防火墙配置就是核心内容；往上是H3CSE-Security，分网络方向（GB0-530）和内容安全方向（GB0-551）；再到H3CIE-Security（GB0-560），就是安全专家的级别了。想系统学，可以找授权培训中心，比如润天教育，H3C钻石级授权培训中心和五星级考试中心，安全课程有真机实验环境，防火墙策略、NAT这些都能亲手配一遍，比看文档强得多。
最后总结：防火墙配置不难，难的是策略设计思路。记住"默认拒绝、最小开放、按业务梳理、定期清理"，你的防火墙才真正开始起作用。
