更新时间：2024-09-03 GMT+08:00
配置天关（USG6502E-C/USG6503E-C）
- 在管理PC上配置网口的IP地址为192.168.0.2（可以是192.168.0.2～192.168.0.254中的任何一个），子网掩码为255.255.255.0，然后打开Web浏览器访问设备的标准界面https://192.168.0.1:8443/。
- 配置云端管理接口。
- 配置漏洞扫描和云日志审计接口。
- 选择。
- 单击“VLAN”对应的
，配置其IP地址为192.168.56.10/24，其他保持默认。请保证上报日志的资产与此IP地址路由可达。 - 配置漏洞扫描和云日志审计接口的备份路由。
- 选择“网络 > 路由 > 静态路由”。
- 单击“静态路由列表”区域下的“新建”，添加静态路由。下一跳配置为网关地址。请保证优先级数值高于配置云端管理接口的静态路由中设置的优先级数值，确保上报的日志优先通过云端管理通道到达云端。
- 配置业务接口。
- 选择“网络 > 接口”。
- 单击GE0/0/20，按如下参数配置，单击“确定”。
安全区域
trust
模式
接口对
- 参考上述步骤按如下参数配置GE0/0/21接口。
安全区域
untrust
模式
接口对
- 单击GE0/0/22，按如下参数配置，单击“确定”。
安全区域
trust
模式
接口对
- 参考上述步骤按如下参数配置GE0/0/23接口。
安全区域
untrust
模式
接口对
- 配置业务接口对。
- 选择“网络 > 接口”。
- 单击“新建”，按如下参数创建接口对，单击“确定”。
名称
interface_bypass1
工作模式
不同口进出
成员
接口一
GE0/0/20
接口二
GE0/0/21
允许的VLAN
1-4094
接口对状态同步
不开启
- 参考上述步骤按如下参数再次创建interface_bypass2接口对。
名称
interface_bypass2
工作模式
不同口进出
成员
接口一
GE0/0/22
接口二
GE0/0/23
允许的VLAN
1-4094
接口对状态同步
不开启
- 创建Link-Group1、Link-Group2，分别添加bypass接口对。
- 创建Link-Group-Monitor，并添加Link-Group1、Link-Group2。
- 选择，检查设备系统时间是否与当前时间一致，如果不一致，请调整设备系统时间，以保证云端能够精确掌握威胁事件的发生时间。
- 配置业务参数（边界防护与响应服务）。
- 加载License。
如果设备为V600R007C20SPC500之前的版本，需要执行本步骤。
- 选择，“License激活方式”设置为“本地手动激活”。
- 单击“浏览”，选择本地PC中的License文件，并单击“激活”。
- 选择，检查default策略的动作是否为“允许”，如果不是，单击策略名称default进入修改安全策略界面，将动作修改为“允许”。
- 确认安全策略已成功下发。
设备上线后，云端会部署套餐，需要2分钟左右，部署成功后安全策略会自动下发。
安全策略下发后，如图1所示。共有5条安全策略，其中default安全策略被自动修改为禁止。
- 如果设备上只有“default”和“rule_iss_dns”安全策略，或只有“default”安全策略时，由云端自动下发安全策略。
- 如果设备上存在其他安全策略时，云端不会自动下发安全策略，此时请参见《FAQ》中“如何配置边界防护与响应服务需要的安全策略（USG6000E-C天关、USG6000E防火墙）”章节自行完成配置。
- 选择，检查 “入侵防御特征库”和“反病毒特征库”是否在线升级成功，升级需要10分钟左右，请耐心等待。如果不成功，请单击“立即升级”。
- 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。
- 加载License。
- 配置业务参数（漏洞扫描服务）。
- 选择，单击“新建安全策略”，根据上行口和资产所在安全区域（trust/untrust）的不同情况，配置不同的安全策略。
表1 上行口在untrust域，资产在trust域场景 安全策略名称
源安全区域
目的安全区域
源地址
目的地址
服务
动作
ipsec-tunnel
local
untrust
any
any
udp: 隧道协商
允许
vss
untrust
trust
any
any
any: 漏洞扫描
允许
表2 上行口在untrust域，资产在untrust域场景 安全策略名称
源安全区域
目的安全区域
源地址
目的地址
服务
动作
ipsec-tunnel
local
untrust
any
any
udp: 隧道协商
允许
表3 上行口在trust域，资产在trust域场景 安全策略名称
源安全区域
目的安全区域
源地址
目的地址
服务
动作
ipsec-tunnel
local
trust
any
any
udp: 隧道协商
允许
表4 上行口在trust域，资产在untrust域场景 安全策略名称
源安全区域
目的安全区域
源地址
目的地址
服务
动作
ipsec-tunnel
local
trust
any
any
udp: 隧道协商
允许
vss
trust
untrust
any
any
any: 漏洞扫描
允许
- 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。
图2 保存配置
- 选择，单击“新建安全策略”，根据上行口和资产所在安全区域（trust/untrust）的不同情况，配置不同的安全策略。
- 配置业务参数（云日志审计服务）。
- 选择，单击“新建安全策略”，根据不同服务配置不同的安全策略。
表5 安全策略 服务类型
安全策略名称
源安全区域
目的安全区域
源地址
目的地址
服务
动作
云日志审计服务
untrust-local
untrust
local
any
any
udp：资产上传日志到防火墙。
允许
local-untrust
local
untrust
any
any
any
允许
- 单击右上角“保存”，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。
图3 保存配置
- 选择，单击“新建安全策略”，根据不同服务配置不同的安全策略。
