交换机镜像流量谁来盯？华为防火墙旁路检测内容安全这样挂

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

不少中小企业后来才想到要上网关处做病毒和入侵检测，但串接一台设备进出口链路，万一设备出问题，整个上网就断了，改动拓扑的风险谁也担不起。华为防火墙提供了一种旁路检测的玩法：设备不串在链路里，交换机把流量镜像一份送给防火墙，防火墙只看不拦路，对镜像流量做内容安全检测；发现命中阻断动作的签名流量时，通过发送干扰报文（Reset 报文）来掐断连接。检测挂了也不影响正常转发，特别适合先试水内容安全的企业。

下面按官方案例展开配置过程。企业内网通过路由器 Router 连接到 Internet，DeviceA 作为旁路检测设备，检测接口 GE0/0/1 设置为二层接口与交换机相连，交换机通过镜像将流量上送到 DeviceA 检测。

第一步，配置接口和安全区域，完成网络基本参数配置。注意：对于带 VLAN Tag 的流量，除了要在二层接口执行命令行 port trunk allow-pass vlan，还需要在设备上创建对应的 VLAN。

<HUAWEI> system-view 
[HUAWEI] sysname DeviceA
[DeviceA] vlan 10
[DeviceA-vlan10] quit
[DeviceA] interface ge0/0/1                                                         
[DeviceA-GE0/0/1] portswitch                                                                                              
[DeviceA-GE0/0/1] port link-type trunk                                                                               
[DeviceA-GE0/0/1] port trunk allow-pass vlan 10                                                                                
[DeviceA-GE0/0/1] detect-mode tap                                                                                                      
[DeviceA-GE0/0/1] quit                                                         
[DeviceA] firewall zone untrust                                                                                                   
[DeviceA-zone-untrust] add interface ge0/0/1                                   
[DeviceA-zone-untrust] quit  

这里的关键是 detect-mode tap，把接口置为旁路检测模式。

第二步，配置旁路检测时的安全策略，引用反病毒和入侵防御的缺省配置文件对镜像流量做检测。

[DeviceA] security-policy                                                        
[DeviceA-policy-security] rule name policy_sec_bypass_detection                          
[DeviceA-policy-security-rule-policy_sec_bypass_detection] source-zone untrust      
[DeviceA-policy-security-rule-policy_sec_bypass_detection] destination-zone untrust
[DeviceA-policy-security-rule-policy_sec_bypass_detection] action permit 
[DeviceA-policy-security-rule-policy_sec_bypass_detection] profile av default    
[DeviceA-policy-security-rule-policy_sec_bypass_detection] profile ips default                      
[DeviceA-policy-security-rule-policy_sec_bypass_detection] policy logging        

几点官方说明值得记住：本例的内容安全检测选择了反病毒和入侵防御与僵尸网络监测的缺省配置文件，你可以根据实际需求配置和选择其他多种安全配置文件；DeviceA 只有一个接口接收镜像流量，可以将接口加入任何安全区域，把安全策略的源和目的安全区域都配成 untrust 即可。

对于命中动作为阻断的签名的流量，DeviceA 通过发送干扰报文（Reset 报文）来阻断流量。缺省情况下，干扰报文从接收镜像报文的接口发送。如需指定发送干扰报文的接口和下一跳 MAC 地址，可以在系统视图下执行 ids-response { interface { interface-typeinterface-num | interface-name } [ destination-mac mac-address ] | destination-mac mac-address } 命令。

配置完成后怎么验证？先在交换机上确认镜像端口有流量送出，再到 DeviceA 上查看安全策略命中日志（策略里已开启 policy logging），观察反病毒和入侵防御的检测统计有没有增长；也可以在内网终端主动访问一个已知的风险地址，看防火墙是否发出 Reset 报文中断该连接。整体跑下来，网络拓扑一根线都不用动，检测能力就挂上了。

如果贵司也在规划出口内容安全检测、又不想动现有链路，欢迎搜索关注贵州诚鑫致达科技，交流中小企业网络安全的落地经验。

企业存储选型参考｜贵州诚鑫致达

老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。