安全区域是什么
安全区域（security-zone）是把接口按信任等级分组的概念：内网口进 Trust、出口进 Untrust、对外发布服务器口进 DMZ、设备自身的流量归 Local。接口加入区域后，流量才按区域之间的策略匹配转发；没有加入任何区域的接口不参与转发体系，配置了地址也通不了业务。华为 USG、H3C SecPath、深信服 AF 的策略模型都建立在这个概念上，区域划分是策略设计的第一步。
基本信息
| 适用设备 | 华为 USG、H3C SecPath（Comware）、深信服 AF |
|---|---|
| 典型区域 | Trust 内网 / Untrust 互联网 / DMZ 对外服务 / Local 设备自身 |
| 华为默认优先级 | Local 100、Trust 85、DMZ 50、Untrust 5，自定义区域按信任度取值 |
| 接口归属 | 一个接口（含子接口、VLANIF）只能属于一个安全区域 |
| 查看命令 | 华为 display security-zone；H3C display security-zone all |
典型使用场景
- 新设备开局：先按网络分区建区域，再把接口逐个加入，最后写区域间策略
- 网络改造：新增 VLAN 子接口后同步加入对应区域，否则新业务不通
- 服务器搬迁：发布服务器从内网移到 DMZ，同步调整区域归属与其相关策略
- 审计合规：用区域划分证明内外网、DMZ 与运维区之间已做隔离
- 排障定位：先确认接口区域归属，再判断流量该命中哪条区域间策略
华为 USG 区域与接口
华为 USG 区域与接口
system-view
security-zone name trust # 进入（或新建）区域
import interface GigabitEthernet1/0/1
quit
security-zone name dmz
import interface GigabitEthernet1/0/3.10 # 子接口要单独加入
quit
display security-zone # 核对区域名、优先级与接口列表H3C 查看
H3C 查看
display security-zone all
# 关注：区域名、优先级、已加入的接口与子接口
# 未加入区域的接口：流量无法按区域策略转发，先补齐归属再排其他问题区域与放行关系
| 方向 | 常见做法 | 注意点 |
|---|---|---|
| Trust → Untrust | 按业务放行 http/https/dns 等 | 收敛端口，避免 any-any |
| Untrust → DMZ | 只放行对外业务端口 | 管理端口不要暴露到公网 |
| DMZ → Trust | 默认拒绝，仅放行必要回源 | 按目的地址与端口逐条收敛 |
| 任意 → Local | 仅运维网段可达 | 放行过宽等于管理面开放 |
| 同区域互访 | 按版本与区域属性决定是否受策略控制 | 改动前用手册确认，勿凭经验假设 |
区域规划落地
- 按信任等级与业务划分，不必追求区域数量，能表达策略意图即可
- 出口、内网、DMZ、运维区建议分开，避免一个区域承载多种信任等级
- 新增 VLAN 或子接口时同步规划区域归属，先加入区域再开通业务
- 区域命名与设计文档同步更新，只看配置也能看懂分区逻辑
- 迁移接口前先列出该区域现有的策略条目，评估影响后再动手
区域优先级影响设备部分默认行为（例如同区域流量的处理方式），但区域间流量的最终结果仍由策略规则顺序决定，两者不要混为一谈。
删除安全区域前必须先移出其下全部接口，否则命令直接报错；现网迁移接口前先把目标区域的策略补齐，改完立即验证业务连通性。
区域命名与优先级一旦上线就尽量稳定：调整优先级或区域属性属于影响面较大的变更，尤其是承载设备自身流量的区域，改动前先导出配置并写明回退方式。
排障时若接口已加入区域但业务仍不通，继续核对三点：区域对方向是否与业务流向一致、策略条件是否覆盖真实地址与服务、是否存在更靠前的宽泛规则抢先匹配。区域归属只是第一步。