H3C 域间策略是什么
Comware V7 的安全策略模型分三步：先把接口加入安全区域，再用 object-policy 定义匹配条件与动作，最后用 zone-pair 描述区域对并绑定对象策略。没有建立策略的区域对，流量默认被丢弃，因此新设备开局时经常出现「配置都写了但业务不通」的情况，原因就是漏了 zone-pair 或没绑定对象策略。
基本信息
| 配置顺序 | 安全区域 → object-policy → zone-pair 绑定对象策略 |
|---|---|
| 默认行为 | 未配置策略的区域对默认丢弃流量 |
| 规则编号 | 编号小的规则先匹配，放行与阻断的相对顺序要设计好 |
| 生效前提 | 接口已加入区域，且区域对方向与业务流向一致 |
| 查看命令 | display zone-pair security、display object-policy ip all |
典型使用场景
- 内网到互联网方向：放行通用上网流量并对会话做状态检测
- 对外服务区：只放行指定服务器的业务端口，其余默认拒绝
- 区域对梳理：按方向逐对建立策略，避免出现漏配导致的整体不通
- 策略调整：新增业务时按区域对定位应修改哪条对象策略
- 审计取证：用区域对列表说明各分区之间的隔离关系
配置示例
配置示例
system-view
object-policy ip trust-untrust # 先定义对象策略与规则
rule 0 pass # 编号小的先匹配
rule 5 inspect # 启用状态检测
quit
security-zone name trust
import interface GigabitEthernet1/0/1
quit
zone-pair security source trust destination untrust
object-policy apply ip trust-untrust # 绑定后才能生效
quit查看与核对
查看与核对
display zone-pair security # 已建立的区域对与绑定的策略
display object-policy ip all # 各对象策略的规则与动作
display security-zone all # 接口是否都已加入区域
# 三项交叉核对：区域对方向、绑定关系、接口归属rule 5 inspect 表示对该区域对启用状态检测，可用动作以设备 ? 提示为准：不同版本对动作名称与编号范围的约束不同，配置前先看帮助信息。
核对与维护要点
- 按方向逐对检查：只配了去程未配回程时，反向访问与响应会被丢弃
- 新增业务优先复用已有对象策略，避免为每条业务单独建区域对
- 变更后同步更新设计文档，标注每个区域对负责的业务与负责人
- 定期核对区域对列表与实际流量，清理已下线业务残留的策略