防火墙放行的流量再查一道：USG入侵防御按区挂profile
整理自华为官方发布的CLI配置举例。
防火墙的安全策略把合法流量放行了，但放行不等于安全——Web页面里藏着恶意代码、对内网服务器的请求里夹着攻击特征，这些流量都是"合法通道"里的坏货。华为USG防火墙的入侵防御（IPS）在策略放行的基础上再加一道内容层检查：在安全策略规则里引用IPS配置文件，命中签名的流量直接阻断并记威胁日志。官方案例一句话概括配置方法：安全策略规则加一行profile ips，攻击检测就挂上去了。检测能力来自签名库——把已知攻击的报文特征做成签名，流量过墙时逐条比对，命中即按签名规定的动作处置，这也是它和"只看地址端口"的传统包过滤的本质区别。
场景：既要护内网也要护服务器
官方案例组网：企业在网络边界部署DeviceA作为安全网关，GE0/0/3接内网（trust）、GE0/0/2接内网Web服务器（dmz）、GE0/0/1接Internet（untrust）。业务上有两条流：内网用户访问Internet的Web服务器；内网Web服务器向内网和Internet用户同时提供服务。两个方向的威胁模型不同——出网流量怕的是浏览到恶意页面，入到服务器的流量怕的是漏洞攻击与扫描，所以官方便给两条流各配了对应的缺省IPS配置文件，分而治之。
防护目标对应两个方向：一是保护内网用户，避免上网时受到攻击（比如Web网站含恶意代码）；二是保护DMZ里的Web服务器，防Internet和内网用户对它发起攻击。配置思路三步：接口与安全区域基本配置、两条安全策略各引用一个IPS配置文件、保存。
基本配置：接口与三个安全区域
<HUAWEI> system-view
[HUAWEI] sysname DeviceA
[DeviceA] interface ge 0/0/1
[DeviceA-GE0/0/1] ip address 1.1.1.1 255.255.255.0
[DeviceA-GE0/0/1] quit
[DeviceA] interface ge 0/0/2
[DeviceA-GE0/0/2] ip address 10.2.0.1 255.255.255.0
[DeviceA-GE0/0/2] quit
[DeviceA] interface ge 0/0/3
[DeviceA-GE0/0/3] ip address 10.3.0.1 255.255.255.0
[DeviceA-GE0/0/3] quit
[DeviceA] firewall zone trust
[DeviceA-zone-trust] add interface ge 0/0/3
[DeviceA-zone-trust] quit
[DeviceA] firewall zone dmz
[DeviceA-zone-dmz] add interface ge 0/0/2
[DeviceA-zone-dmz] quit
[DeviceA] firewall zone untrust
[DeviceA-zone-untrust] add interface ge 0/0/1
[DeviceA-zone-untrust] quit
策略一：出网流量挂default
保护内网用户上网：Trust到Untrust的安全策略引用缺省IPS配置文件default——一行profile ips default，这条规则的流量就进入入侵防御检测：
[DeviceA] security-policy
[DeviceA-policy-security] rule name policy_sec_1
[DeviceA-policy-security-rule-policy_sec_1] source-zone trust
[DeviceA-policy-security-rule-policy_sec_1] destination-zone untrust
[DeviceA-policy-security-rule-policy_sec_1] source-address 10.3.0.0 24
[DeviceA-policy-security-rule-policy_sec_1] profile ips default
[DeviceA-policy-security-rule-policy_sec_1] action permit
[DeviceA-policy-security-rule-policy_sec_1] quit
策略二：DMZ服务器挂web_server
保护内网Web服务器：Trust和Untrust到DMZ的流量统一走policy_sec_2，引用web_server配置文件——这是面向服务器场景的缺省配置文件，检测面向服务器的攻击特征更聚焦：
[DeviceA-policy-security] rule name policy_sec_2
[DeviceA-policy-security-rule-policy_sec_2] source-zone trust untrust
[DeviceA-policy-security-rule-policy_sec_2] destination-zone dmz
[DeviceA-policy-security-rule-policy_sec_2] destination-address 10.2.0.0 24
[DeviceA-policy-security-rule-policy_sec_2] profile ips web_server
[DeviceA-policy-security-rule-policy_sec_2] action permit
[DeviceA-policy-security-rule-policy_sec_2] quit
[DeviceA-policy-security] quit
保存配置，设备下次启动自动加载：
[DeviceA] quit
<DeviceA> save
验证与日常运营
官方给的验证口径：攻击发生时访问连接被阻断，设备上能看到IPS模块的威胁日志；display ips statistics可以看入侵防御的统计信息。日常运营两件事：一是定期升级IPS签名库——入侵防御拦的是已知攻击特征，签名库不升级，新特征就检测不到；二是每周翻一遍威胁日志，被阻断的源地址如果是内网终端，说明有机器已经中了东西要下线处理。
安全策略、反病毒、入侵防御各管一层：策略管谁准过、反病毒管文件内容、IPS管攻击行为，三层配齐边界才算扎实。这套配置贵州诚鑫致达科技可以按企业实际流量方向定制，欢迎搜索关注交流。
企业存储选型参考｜贵州诚鑫致达
做核心业务 SAN 存储与高可靠应用，群晖机型参考：UC3400 · UC3200 · SA3600。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。兴义（黔西南）：群晖 NAS、信创云盘与数据管理集成服务。
