外网防火墙需要新增策略

# H3C 防火墙：外网未置顶高危端口策略问题

## 问题说明

外网防火墙，**高危端口阻断策略没有置顶**；防火墙策略表是**从上往下顺序匹配，匹配即停止**。
如果放通外网访问内网的通用放通策略排在高危端口阻断策略前面，流量命中放通策略，高危端口阻断规则就完全不会执行，高危端口暴露在公网，存在被扫描、爆破入侵风险。

>
> 高危端口举例：22、3389、3306、1433、21、445、135、139 等。

## 正确操作步骤（F1000‑AK/F5000 系列 V7 版本）

### 1、梳理高危端口清单

需要阻断公网主动访问的端口：

- Windows 远程：**3389、445、135、139**
- 数据库：**3306(Mysql)、1433(SQLServer)、5432(Postgres)**
- 管理服务：**22(SSH)、23(Telnet)、21(FTP)**

### 2、新建高危端口阻断策略

1. 策略→安全策略→新建策略
2. **源安全域：Untrust（外网）**
3. **目的安全域：Trust/DMZ（内网、DMZ 区）**
4. 目的端口：把上面高危端口批量填入
5. 动作：**拒绝**
6. 关键：**把这条策略移动到安全策略列表最顶部（置顶）**

>
> 必须置顶！要在所有允许外网访问内网 / DMZ 的策略之前。

### 3、策略顺序逻辑

✅正确顺序：

1. 置顶：Untrust→Trust/DMZ，拒绝高危端口
2. 业务放通策略（允许外网访问业务需要的端口）
3. 其他策略

❌错误顺序：业务放通策略在上，高危阻断策略在下。流量先匹配放通，阻断规则失效。

### 4、配置注意事项

1. 如果部分业务确实需要公网访问 3389/22 等管理端口：**不要全局放开高危端口**，建议限制源 IP，只允许指定公网 IP 访问，拒绝其余所有外网 IP。
2. 测试验证：使用公网机器 telnet/nmap 测试对应端口，确认端口无法连通。
3. 同时检查是否存在 NAT 映射：如果有目的 NAT 把高危端口映射到内网，即使安全策略拒绝，也要同步清理不需要的目的 NAT 配置。**NAT 和安全策略要配合检查**。
4. 开启日志：阻断策略开启日志，后续可以看日志确认是否有外网扫描行为。

## CLI 参考（V7 命令行）

```
security-policy
rule name Block_HighRisk_Port
source-zone untrust
destination-zone trust dmz
destination-port eq 22 23 21 3389 445 135 139 3306 1433
action deny
logging enable
# 将规则移动到第一条
rule move Block_HighRisk_Port top
```

## 风险点提醒

1. 策略不置顶等于策略不生效，是配置高频踩坑点。
2. 只配置安全策略拒绝，但还保留目的 NAT 映射，数据包依然会被 NAT 转换，只是被安全策略拒绝，建议无用的高危端口目的 NAT 直接删除。
3. 如果有 VPN 接入，注意区分 VPN 流量，上面这条策略源域是 untrust，不会影响 VPN（VPN 流量源域一般是 VPN 域）。