让策略只看时间窗口
时间段策略把「放行还是拒绝」与具体时间绑定：先定义时间段对象，再在安全策略里引用它，规则只在该窗口内生效。典型用途是访客网限时开放、变更窗口临时放行、非工作时间收紧访问。前提是设备时钟准确——时间对不上，策略就会在错误的时段生效。
基本信息
| 适用平台 | 华为 USG 安全策略、H3C SecPath 安全策略均支持时间段引用 |
|---|---|
| 华为写法 | time-range 名称 起始 to 结束 working-day，再在规则中引用 |
| H3C 写法 | time-range 名称 时间段 周期，再在规则中引用 |
| 前提条件 | 设备时钟准确，建议先配置 NTP 同步 |
典型使用场景
- 访客网络限时开放：只在办公时段允许访客访问互联网，夜间自动收紧
- 变更窗口放行：仅允许在维护窗口内从运维网段访问设备管理面
- 非工作时间限制：下班后关闭部分业务系统的外网访问入口
- 临时开放回收：为联调或验收开放一段时间的策略，到期自动失效，避免长期残留
- 合规与审计：把访问时段的约束写进策略，而不是靠人工记录
华为配置示例
华为配置示例
system-view
time-range work-time 08:00 to 18:00 working-day # 定义时间段对象
quit
security-policy
rule name guest-web # 新建安全策略规则
source-zone guest # 源区域为访客区
destination-zone untrust # 目的区域为互联网
time-range work-time # 引用时间段
service http https # 放行 Web 服务
action permit
quit
quit使用前检查项
| 检查项 | 期望结果 | 异常影响 |
|---|---|---|
| 设备时间 | 与标准时间一致 | 策略在错误时段生效 |
| 时间段定义 | 起止与周期符合业务 | 放行窗口与预期不符 |
| 规则引用 | 规则中已绑定时间段 | 策略全天生效，等于没约束 |
| 跨零点写法 | 确认版本是否支持 | 夜间规则不生效 |
时间段策略上线后要验证两个时刻：窗口内确认放行生效，窗口外确认确实被拦，很多问题就出在只验证了其中一侧。