H3C 侧的配置框架
H3C SecPath 系列的入侵防御不是独立开关，而是安全策略中的一个动作：先划分安全域，再在域间策略或对象策略里引用入侵防御配置文件，配置文件决定使用哪些规则、命中后如何动作。因此「检测范围与预期不符」这类问题，多数出在引用的域间对选错，而不是规则本身有问题。
基本信息
| 适用平台 | H3C SecPath 系列，以 Comware V7 为主 |
|---|---|
| 配置框架 | 安全域 → 域间策略或对象策略 → 引用配置文件 |
| 配置顺序 | 先更新特征库，再建配置文件，最后在策略中引用 |
| 动作选择 | 重置、丢弃、告警等，建议先以告警观察 |
| 查看方式 | display 类命令确认配置文件与命中统计 |
| 版本差异 | 防火墙与专用入侵防御设备命令存在差异 |
典型使用场景
- 新建域间防护时启用入侵防御能力
- 调整检测范围：新增域间对或覆盖网段
- 误报处置：把特定规则改为仅告警或加入例外
- 特征库升级后确认配置文件仍然生效
- 双机环境检查两台配置文件是否一致
配置思路
配置思路
1. 更新入侵防御特征库并确认版本 # 前提
2. 新建入侵防御配置文件，选择规则与动作 # 规则集
3. 在对应域间策略中引用该配置文件 # 生效位置
4. 先以告警动作验证命中是否真实 # 观察
5. 确认误报可控后调整为阻断动作 # 收紧
6. 双机环境确认两台配置与特征库版本一致 # 高可用配置要点与常见问题
| 配置点 | 常见问题 |
|---|---|
| 域间对选择 | 挂错域间导致检测范围与预期不符 |
| 动作设置 | 未经观察期直接阻断，误报影响业务 |
| 特征库版本 | 只更新特征库，未确认配置文件实际范围 |
| 双机一致性 | 两台配置文件不同，切换后行为变化 |
| 例外白名单 | 白名单过宽，规则实际形同虚设 |
H3C 产品线较多，具体命令与菜单层次以对应产品配置指导为准，不要跨型号直接照搬。
入侵防御挂在错误的域间对上时，界面显示已启用，实际流量根本没经过检测，这类问题往往在出事后才被察觉。