防火墙策略怎么配置

动手之前先把访问关系理清楚

配置防火墙策略最怕的就是上来就点鼠标。先画一张访问关系表，把每个业务系统用的服务端口、谁会来访问它、什么时段访问，一项项列出来。不少企业的策略之所以乱成一团，就是因为需求全靠口头传递，过两个月连当初为什么开这条规则都没人说得清。表格定下来之后，让业务负责人签字确认，往后不管是新增还是变更，都有个比对的基准，清理旧规则时也拿得出依据。

一条策略里到底要写哪些东西

一条完整的策略，离不开五个要素：源地址、目的地址、服务端口或应用类型、动作、日志开关。源地址能写具体网段就别图省事写成任意地址，目的端口也要精确到业务实际用的端口，而不是把整个端口段放开。好在多数防火墙都支持地址对象和服务对象，把常用的主机和端口建成对象，以后调整只改对象就行，不用在几十上百条策略里一条条翻着改。

规则顺序和默认动作怎么定

防火墙匹配规则是从上往下走的，命中第一条就不再往下看，所以精确的规则必须排在宽泛规则前面，最后一条一定是默认拒绝。比较常见的做法，是在策略列表末尾加一条拒绝全部并记录日志的规则，专门用来发现那些被漏掉的访问需求。另外，启用会话检测之后，回包会自动放行，不需要再手工开一条反向策略。

容易踩的坑和绕开的办法

最高发的错误有三类。为了图省事开一条任意到任意的允许规则，这等于把防火墙当摆设。策略只加不改，业务都下线了规则还长期挂着，日积月累就成了攻击面。开了策略却不记录日志，真出了事根本没法回溯。还有一点，设备管理口一定要限制来源地址并单独加固，别和业务策略混在一起。

上线之后还得有人管

每条策略都该写上用途说明、申请人和开通日期，方便日后清理。每半年做一次策略审计，把连续半年没有命中记录的规则列为待下线，先改成拒绝并观察业务是否报障，确认没影响再删除。变更要走审批单，留存前后配置快照，不能直接在生产设备上临时加规则还不登记。