USG5500配置安全策略时，如何设置命令允许特定IP访问内部服务器？

Question

在USG5500防火墙配置安全策略时，如何设置命令仅允许特定外部IP访问内部服务器？ 常见问题：配置完成后，特定IP仍无法访问内部服务器，或出现其他IP也能访问的情况。原因可能是源地址、目的地址或服务对象配置错误，或是策略应用的区域（Zone）不正确。确保使用`rule permit`命令时，准确指定源IP（如`source 1.1.1.1 0.0.0.0`）、内部服务器目的IP（如`destination 192.168.1.100 0.0.0.0`）及协议（如`service tcp destination-port eq 80`）。同时，检查策略是否应用到正确的入方向区域（如Untrust到Trust）。最后，确认NAT规则未影响流量匹配，并启用日志记录排查问题。

Answer 1

1. 基础配置：明确USG5500防火墙安全策略的基本设置

在USG5500防火墙上配置安全策略时，确保以下基本参数的正确性是首要任务。以下是配置命令的关键点：

• 源地址（Source Address）：指定外部IP地址，例如 source 1.1.1.1 0.0.0.0。
• 目的地址（Destination Address）：内部服务器IP地址，例如 destination 192.168.1.100 0.0.0.0。
• 服务对象（Service Object）：指定协议和端口，例如 service tcp destination-port eq 80。

这些参数必须准确无误地写入rule permit命令中。此外，还需确保策略应用到正确的区域方向，例如从Untrust到Trust。

2. 高级排查：分析常见问题及解决方法

配置完成后，如果特定IP仍无法访问内部服务器或出现其他IP也能访问的情况，可能是以下几个原因导致：

1. 源地址或目的地址错误：重新检查source和destination字段是否与实际网络环境一致。
2. 服务对象不匹配：确认端口号和服务类型是否正确，例如HTTP使用80端口，HTTPS使用443端口。
3. 区域方向错误：确保安全策略应用到正确的流量方向，例如Untrust到Trust。
4. NAT规则干扰：检查NAT规则是否影响了流量匹配，必要时调整NAT顺序。

为便于排查，可以启用日志记录功能，通过观察日志来定位问题。

3. 实际操作：配置示例与验证步骤

以下是完整的配置示例代码：

[USG5500] rule name Allow_External_Access
[USG5500-rule-Allow_External_Access] source 1.1.1.1 0.0.0.0
[USG5500-rule-Allow_External_Access] destination 192.168.1.100 0.0.0.0
[USG5500-rule-Allow_External_Access] service tcp destination-port eq 80
[USG5500-rule-Allow_External_Access] action permit
[USG5500-rule-Allow_External_Access] zone untrust to trust

完成配置后，可通过以下步骤验证：

步骤	操作	预期结果
1	从指定外部IP（如1.1.1.1）访问内部服务器	访问成功
2	从其他外部IP访问内部服务器	访问失败

4. 深度剖析：流程图展示配置逻辑

以下是一个配置逻辑的流程图，帮助理解整个过程：

graph TD;
    A[开始] --> B[配置源地址];
    B --> C[配置目的地址];
    C --> D[配置服务对象];
    D --> E[指定区域方向];
    E --> F[检查NAT规则];
    F --> G[启用日志记录];
    G --> H[结束];

此流程图涵盖了从基础配置到高级排查的所有关键步骤。