配置天关（USG6502E-C/USG6503E-C）

1. 选择“网络 > 接口”。
2. 单击GE0/0/20对应的，按照下图所示配置接口。

   

3. 单击GE0/0/21对应的，按照下图所示配置接口。

   

4. 选择“网络 > 接口对”。
5. 单击“新建”，按照下图所示配置接口对，并单击“确定”。

   

GE0/0/3默认为二层接口，请按照如下方式配置成三层接口。

1. 选择“网络 > 接口”。
2. 单击GE0/0/3对应的，按照如下参数配置接口。

   安全区域	untrust
   模式	路由
   IP地址（IPv4）	192.168.55.1/24

3. 配置云管理接口的静态路由。
   1. 选择“网络 > 路由 > 静态路由”。
   2. 单击“静态路由列表”区域下的“新建”，添加静态路由。下一跳配置为网关地址。

      

已购买漏洞扫描服务或云日志审计服务时需要执行本步骤。

1. 加载License。
   

   如果设备为V600R007C20SPC500之前的版本，需要执行本步骤。

   1. 选择“系统 > License管理”，“License激活方式”设置为“本地手动激活”。
   2. 单击“浏览”，选择本地PC中的License文件，并单击“激活”。
2. 选择“策略 > 安全策略 > 安全策略”，检查default策略的动作是否为“允许”，如果不是，单击策略名称default进入修改安全策略界面，将动作修改为“允许”。
3. 确认安全策略已成功下发。

   设备上线后，云端会部署套餐，需要2分钟左右，部署成功后安全策略会自动下发。

   安全策略下发后，如图1所示。共有5条安全策略，其中default安全策略被自动修改为禁止。

   

   • 如果设备上只有“default”和“rule_iss_dns”安全策略，或只有“default”安全策略时，由云端自动下发安全策略。
   • 如果设备上存在其他安全策略时，云端不会自动下发安全策略，此时请参见《FAQ》中“如何配置边界防护与响应服务需要的安全策略（USG6000E-C天关、USG6000E防火墙）”章节自行完成配置。
   图1 安全策略
   
4. 选择“系统 > 升级中心”，检查 “入侵防御特征库”和“反病毒特征库”是否在线升级成功，升级需要10分钟左右，请耐心等待。如果不成功，请单击“立即升级”。

   

5. 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。

   

1. 选择“策略 > 安全策略 > 安全策略”，单击“新建安全策略”，根据上行口和资产所在安全区域（trust/untrust）的不同情况，配置不同的安全策略。

   表1 上行口在untrust域，资产在trust域场景

   安全策略名称	源安全区域	目的安全区域	源地址	目的地址	服务	动作
   ipsec-tunnel	local	untrust	any	any	udp: 隧道协商	允许
   vss	untrust	trust	any	any	any: 漏洞扫描	允许

   表2 上行口在untrust域，资产在untrust域场景

   安全策略名称	源安全区域	目的安全区域	源地址	目的地址	服务	动作
   ipsec-tunnel	local	untrust	any	any	udp: 隧道协商	允许

   表3 上行口在trust域，资产在trust域场景

   安全策略名称	源安全区域	目的安全区域	源地址	目的地址	服务	动作
   ipsec-tunnel	local	trust	any	any	udp: 隧道协商	允许

   表4 上行口在trust域，资产在untrust域场景

   安全策略名称	源安全区域	目的安全区域	源地址	目的地址	服务	动作
   ipsec-tunnel	local	trust	any	any	udp: 隧道协商	允许
   vss	trust	untrust	any	any	any: 漏洞扫描	允许

2. 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。
   图2 保存配置

   

1. 选择“策略 > 安全策略 > 安全策略”，单击“新建安全策略”，根据上行口和资产所在安全区域（trust/untrust）的不同情况，配置不同的安全策略。

   表5 上行口在untrust域，资产在trust域场景

   安全策略名称	源安全区域	目的安全区域	源地址	目的地址	服务	动作
   logAudit-asset-local	trust	local	any	any	udp: 资产上报日志到天关/防火墙	允许
   logAudit-local-cloud	local	untrust	any	any	tcp: 日志上报到云端	允许

   表6 上行口在untrust域，资产在trust域场景

   安全策略名称	源安全区域	目的安全区域	源地址	目的地址	服务	动作
   logAudit-asset-local	untrust	local	any	any	udp: 资产上报日志到天关/防火墙	允许
   logAudit-local-cloud	local	untrust	any	any	tcp: 日志上报到云端	允许

   表7 上行口在untrust域，资产在trust域场景

   安全策略名称	源安全区域	目的安全区域	源地址	目的地址	服务	动作
   logAudit-asset-local	trust	local	any	any	udp: 资产上报日志到天关/防火墙	允许
   logAudit-local-cloud	local	trust	any	any	tcp: 日志上报到云端	允许

   表8 上行口在untrust域，资产在trust域场景

   安全策略名称	源安全区域	目的安全区域	源地址	目的地址	服务	动作
   logAudit-asset-local	untrust	local	any	any	udp: 资产上报日志到天关/防火墙	允许
   logAudit-local-cloud	local	trust	any	any	tcp: 日志上报到云端	允许

2. 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。
   图3 保存配置

   

1. 选择“网络 > 接口”。
2. 单击GE0/0/20对应，按照下图所示配置接口。

   

3. 将GE0/0/20的安全区域设置为“trust”。

   

1. 加载License。
   

   如果设备为V600R007C20SPC500之前的版本，需要执行本步骤。

   1. 选择“系统 > License管理”，“License激活方式”设置为“本地手动激活”。
   2. 单击“浏览”，选择本地PC中的License文件，并单击“激活”。
2. 选择“策略 > 安全策略 > 安全策略”，检查default策略的动作是否为“允许”，如果不是，单击策略名称default进入修改安全策略界面，将动作修改为“允许”。
3. 配置安全策略。

   天关2上需要配置名称为“local-cloud”、“rule_iss_dns”和“trust-trust”的安全策略。

   1. 配置名称为“local-cloud”、“rule_iss_dns”的安全策略。

      设备上线后，云端会部署套餐，需要2分钟左右，部署成功后安全策略会自动下发。

      安全策略下发后，如图4所示。共有5条安全策略，其中default安全策略建议改回禁止，默认安全需要。

      

      • 如果设备上只有“default”和“rule_iss_dns”安全策略，或只有“default”安全策略时，由云端自动下发安全策略。
      • 如果设备上存在其他安全策略时，云端不会自动下发安全策略，此时请参考《FAQ》中“如何配置边界防护与响应服务需要的安全策略（USG6000E-C天关、USG6000E防火墙）”章节自行完成配置。
      图4 安全策略
      
   2. 配置名称为“trust-trust”的安全策略。
      1. 选择“策略 > 安全策略 > 安全策略”，单击“新建安全策略”。
      2. 配置名称为“trust-trust”的安全策略，源安全区域为trust，目的安全区域为trust，反病毒采用新建的AV_default，入侵防御采用新建的IPS_default，动作为“允许”。

         

4. 选择“系统 > 升级中心”，检查 “入侵防御特征库”和“反病毒特征库”是否在线升级成功，升级需要10分钟左右，请耐心等待。如果不成功，请单击“立即升级”。

   

5. 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。