文档首页/ 华为乾坤/ 安全云服务/ 典型配置案例/ 企业边界天关旁挂策略路由直路（三层)/ 配置天关（USG6502E-C/USG6503E-C）
更新时间：2024-09-03 GMT+08:00
查看PDF
分享

配置天关（USG6502E-C/USG6503E-C）

操作步骤

  1. 配置接口对。
    1. 选择“网络 > 接口”。
    2. 单击上行接口GE0/0/21对应的，按照下图所示配置接口。

    3. 单击下行接口GE0/0/20对应的，按照下图所示配置接口。

    4. 选择“系统 > 高可靠性 > Link-Group”。
    5. 配置Link-Group，添加GE0/0/21、GE0/0/20。

  2. 配置路由。
    1. 选择“网络 > 路由 > 静态路由”。
    2. 配置数据流量出场景的静态路由。

    3. 配置数据流量入场景的静态路由。

      目的地址/掩码需要覆盖租户内网资产IP地址所在网段，如果涉及多个网段，则需要配置多条入场景的静态路由。本示例以配置区域1网段静态路由为例。

  3. 选择“系统 > 配置 > 时钟配置”，检查设备系统时间是否与当前时间一致，如果不一致，请调整设备系统时间，以保证云端能够精确掌握威胁事件的发生时间。

  4. 配置业务参数（边界防护与响应服务）。
    1. 加载License。

      如果设备为V600R007C20SPC500之前的版本，需要执行本步骤。

      1. 选择“系统 > License管理”，“License激活方式”设置为“本地手动激活”。
      2. 单击“浏览”，选择本地PC中的License文件，并单击“激活”。
    2. 选择“策略 > 安全策略 > 安全策略”，检查default策略的动作是否为“允许”，如果不是，单击策略名称default进入修改安全策略界面，将动作修改为“允许”。
    3. 确认安全策略已成功下发。

      设备上线后，云端会部署套餐，需要2分钟左右，部署成功后安全策略会自动下发。

      安全策略下发后，如图1所示。共有5条安全策略，其中default安全策略被自动修改为禁止。
      图1 安全策略
    4. 选择“系统 > 升级中心”，检查 “入侵防御特征库”和“反病毒特征库”是否在线升级成功，升级需要10分钟左右，请耐心等待。如果不成功，请单击“立即升级”。

    5. 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。

  5. 配置业务参数（漏洞扫描服务）。
    1. 选择“策略 > 安全策略 > 安全策略”，单击“新建安全策略”，根据上行口和资产所在安全区域（trust/untrust）的不同情况，配置不同的安全策略。
      表1 上行口在untrust域，资产在trust域场景

      安全策略名称

      源安全区域

      目的安全区域

      源地址

      目的地址

      服务

      动作

      ipsec-tunnel

      local

      untrust

      any

      any

      udp: 隧道协商

      允许

      vss

      untrust

      trust

      any

      any

      any: 漏洞扫描

      允许
      表2 上行口在untrust域，资产在untrust域场景

      安全策略名称

      源安全区域

      目的安全区域

      源地址

      目的地址

      服务

      动作

      ipsec-tunnel

      local

      untrust

      any

      any

      udp: 隧道协商

      允许
      表3 上行口在trust域，资产在trust域场景

      安全策略名称

      源安全区域

      目的安全区域

      源地址

      目的地址

      服务

      动作

      ipsec-tunnel

      local

      trust

      any

      any

      udp: 隧道协商

      允许
      表4 上行口在trust域，资产在untrust域场景

      安全策略名称

      源安全区域

      目的安全区域

      源地址

      目的地址

      服务

      动作

      ipsec-tunnel

      local

      trust

      any

      any

      udp: 隧道协商

      允许

      vss

      trust

      untrust

      any

      any

      any: 漏洞扫描

      允许
    2. 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。
      图2 保存配置

  6. 配置业务参数（云日志审计服务）。
    1. 选择“策略 > 安全策略 > 安全策略”，单击“新建安全策略”，根据上行口和资产所在安全区域（trust/untrust）的不同情况，配置不同的安全策略。
      表5 上行口在untrust域，资产在trust域场景

      安全策略名称

      源安全区域

      目的安全区域

      源地址

      目的地址

      服务

      动作

      logAudit-asset-local

      trust

      local

      any

      any

      udp: 资产上报日志到天关/防火墙

      允许

      logAudit-local-cloud

      local

      untrust

      any

      any

      tcp: 日志上报到云端

      允许
      表6 上行口在untrust域，资产在trust域场景

      安全策略名称

      源安全区域

      目的安全区域

      源地址

      目的地址

      服务

      动作

      logAudit-asset-local

      untrust

      local

      any

      any

      udp: 资产上报日志到天关/防火墙

      允许

      logAudit-local-cloud

      local

      untrust

      any

      any

      tcp: 日志上报到云端

      允许
      表7 上行口在untrust域，资产在trust域场景

      安全策略名称

      源安全区域

      目的安全区域

      源地址

      目的地址

      服务

      动作

      logAudit-asset-local

      trust

      local

      any

      any

      udp: 资产上报日志到天关/防火墙

      允许

      logAudit-local-cloud

      local

      trust

      any

      any

      tcp: 日志上报到云端

      允许
      表8 上行口在untrust域，资产在trust域场景

      安全策略名称

      源安全区域

      目的安全区域

      源地址

      目的地址

      服务

      动作

      logAudit-asset-local

      untrust

      local

      any

      any

      udp: 资产上报日志到天关/防火墙

      允许

      logAudit-local-cloud

      local

      trust

      any

      any

      tcp: 日志上报到云端

      允许
    2. 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。
      图3 保存配置

相关文档