F100防火墙安全策略配置问题

可以不限制安全域  就限制源目网段的互访就好

可以的，加上明细网段和端口号就更好了

• 上联口（接路由器）：二层模式，加入untrust安全域，trunk 透传全部业务 VLAN
• 下联口（接核心交换机）：二层模式，加入trust安全域，trunk 透传全部业务 VLAN

所有内网 VLAN 标签完整透传，VLANIF 仅用于防火墙自身管理，不做用户网关。

重点提醒：同一安全域内部流量（trust→trust）默认是阻断，内网跨 VLAN 互访流量穿过防火墙时，入域 trust、出域仍然是 trust，必须专门放行 trust‑to‑trust 策略，否则内网之间互访不通（打印机、内网服务器访问全部阻断）H3C。

业务需求清单

1. 内网访问互联网
2. 内网访问内网（办公访问打印机）
3. 内网访问专用服务器网段
4. 互联网访问服务器映射的服务（NAT 在路由器上，防火墙只做透传 + 安全策略过滤）

地址对象提前定义（Web/CLI 都建议先建对象）

• obj_inner_all：全部内网网段（办公、打印机、服务器专用网段）
• obj_print：打印机网段
• obj_biz_server：专用业务服务器网段
• obj_internet：公网地址段

安全策略顺序（从上往下匹配，严格顺序）

安全策略默认最后一条是全拒绝，没有匹配到全部丢弃。

规则 1：trust‑to‑trust，放行内网全部互访流量（关键，解决内网打印机、内网服务器互访）

内网跨 VLAN 三层网关在路由器，报文会经过防火墙：入接口 trust，出接口 trust。

⚠️不加这条：内网之间所有互访全部不通，很多透明模式踩坑点就在这里。

规则 2：trust‑to‑untrust，内网访问互联网

内网源 IP，去往公网，放行。

规则 3：untrust‑to‑trust，互联网访问服务器映射服务

注意：NAT server 配置在上游路由器，防火墙透明只过滤报文；公网报文从 untrust 进入，目的 IP 是服务器真实内网 IP（路由器已经完成目的 NAT 转换）。

规则 4（可选加固）：untrust‑to‑trust，拒绝公网访问内网非服务器地址

放在规则 3 后面，防止互联网访问办公、打印机网段。

针对 “untrust 域出现内网 IP” 的解释与加固

现象：抓包看 untrust 域接口收到内网源 IP 报文，属于正常现象。内网访问内网的流量，路径：核心‑> 防火墙下联 trust‑> 防火墙上联 untrust‑> 路由器（做三层网关转发）‑> 回包再原路回来，所以内网 IP 报文会出现在 untrust 接口，不是接口接了内网设备，是流量转发路径导致。

加固方法：

1. 不要试图把内网网段全部划进 untrust 域，域划分保持：下联核心 = trust；上联路由器 = untrust，不要修改域成员。
2. 策略不要写untrust‑to‑untrust放行内网，不需要；内网互访全部由trust‑to‑trust处理。
3. 不要配置 untrust 到 trust 的 any‑any 放行，最小权限，仅放行公网需要访问的服务器业务端口，其余公网访问内网全部拒绝。

额外必做配置

1. 防火墙管理：新建 VLANIF 接口（管理 VLAN），配置管理 IP，放通 local 域与 trust/untrust 之间策略，保证可以 web/ssh 登录防火墙。
2. ASPF 会话开启：在 zone‑pair trust‑untrust 下开启 aspf，处理 TCP 会话回包；透明模式建议开启，保证外网访问服务器的返回报文正常放行。

3. 业务测试顺序： ①内网访问打印机（验证 trust‑trust） ②内网访问互联网（trust‑untrust） ③内网访问业务服务器网段（trust‑trust） ④公网测试访问映射业务端口（untrust‑trust）

常见踩坑点总结

1. ❌不配置 trust‑to‑trust 策略：内网打印机、内网服务器之间完全无法互通，很多人误以为透明模式不需要域间策略。
2. ❌因为 untrust 看到内网 IP，错误修改安全域，把业务 VLAN 加到 untrust 域，造成策略逻辑混乱。
3. ❌untrust‑to‑trust 配置 any‑any 全部放行，公网可以直接访问所有内网终端，存在高危风险。
4. ❌NAT 配置在路由器，防火墙透明模式，公网进来报文目的 IP 已经是服务器真实内网 IP，策略目的地址填写服务器真实内网 IP，不要填写公网映射 IP。