华为云用户手册

解决办法 DHCP配置有误，三层网关部署，如果设备自身要作为内网终端的DNS服务器，那么配置的时候必须选指定DNS，如果选系统的DNS设置，需要额外配置一条trust-local的安全策略做放行，否则内网终端获取到IP也无法上网。 注：使用系统的DNS设置，需要手动创建一条trust到local的安全策略并放通dns服务。 三层网关部署，设备本身给下联交换机做dhcp服务器，这种情况下联PC能不能通外网，要看一下自己本机是不是用的dhcp方式，如果是之前自己配置的静态ip，那肯定是不通外网的。确认一下当前测试PC的网段对不对。 内网终端获取不到IP的话要看下内网接口的配置，虚拟系统必须是public，不能是default. （默认public）。

硬件类危险操作 操作大类 操作小类 可能引发的后果 单板操作 严禁在线拔出主用主控板 当备用主控板工作正常时，由于主备主控板之间的数据同步需要一定的周期，在线拔出主用主控板后，系统虽然会自动进行倒换，但主用主控板上的最新数据不能完全自动备份到备用主控板上，导致系统统计出错或数据丢失。 当备用主控板工作不正常时，在线拔出主用主控板后，将导致相应模块的业务处理全部中断，使系统出现局部或全局业务阻塞 严禁随意按下主控板面板上的Reset按钮 当按下单板面板上的Reset按钮时，单板将被强行执行硬件复位，该操作仅能由有资质的维护人员在系统出现严重故障的情况下执行。 如果由于误操作按下主控板面板上的Reset按钮，将导致主控板复位，其后果与“在线拔出主用主控板”一样。 严禁随意按下OFL单板离线按钮 将使单板下电，业务中断。 严禁在不戴防静电腕带的情况下拔插单板 人体静电对单板上的电子器件具有很大的危害，维护人员在不戴防静电腕带的情况下拔插单板，很容易使单板遭受静电危害，从而损坏单板或使单板运行不稳定。 严禁使用串口线连接单板的调试串口进行调试 单板的调试串口仅能由集成商或华为公司的专业工程师使用。普通维护人员使用调试串口可能会导致单板程序运行异常、单板复位等后果。 CF卡操作 严禁对CF卡进行热插拔操作 在对CF卡进行读写操作的过程中（尤其是写操作），将CF卡拔出再插入，可能使操作系统异常，出现死循环复位，或使CF卡所在的主控板复位。 线缆类操作 严禁随意拔插机柜内部的网线 机柜内部的网线连接主要用于实现主机与维护终端之间的通信等功能，随意拔插网线将可能导致维护终端无法登录设备等。 电源类操作 严禁随意操作机柜配电框内的电源开关 只有在升级、扩容、更换部件或系统发生重大故障的情况下，维护人员才能按照操作规程操作各类电源开关，随意操作电源开关将导致设备停止运行、业务中断等重大事故。

命令类危险操作 功能分类 命令 命令功能 可能引发的后果 重启操作 reboot 重启系统 该命令仅在开局或升级时由专业工程师使用，否则将导致整个设备业务中断。 reset slot 重启单板 执行该命令，将重启指定的单板，相关业务中断。 关闭操作 power off slot 单板下电 执行该命令，将使指定单板下电，相关业务中断。 shutdown 关闭端口 执行该命令，对应的端口将不可用，相关的链路和业务中断。 删除操作 format 格式化存储设备 执行该命令进行格式化操作，将导致指定的存储设备上所有目录和文件丢失，并且不可恢复。 delete 删除设备存储设备中的指定文件 该命令用来删除存储设备中的指定文件，如果使用了参数unreserved，会彻底删除指定文件，删除的文件将不可恢复。 复位操作 reset 复位各类协议 请勿随意使用reset命令复位各类协议，否则会造成业务中断。 不要通过命令行在设备上修改华为乾坤云平台下发的配置，例如删除广播域BD、解除VNI与BD的绑定关系、修改VTEP的IP地址、修改VBDIF接口的IP地址等，否则可能会导致VXLAN业务不能正常运行。

故障处理原则 在遇到网络或业务异常时，请遵循以下原则对故障进行定界和恢复： 网络发生重大事故时，需依照快速定界故障、隔离故障的原则来尽快恢复业务。 定界故障：根据不同的故障现象匹配不同的故障定界思路流程，快速确定故障点。 快速恢复：通过隔离端口、隔离设备等手段，将故障目标暂时隔离，隔离的前提是网络有可靠性冗余备份，业务由其他正常节点承载，从而快速恢复业务。 在定位故障时，应及时获取并保存故障数据信息，不能随意删除数据。这些数据信息包括但不局限于网络拓扑、故障业务涉及的IP地址范围、故障接入点位置等。 在确定故障处理方案时，应先评估故障影响大小。 第三方硬件出现故障，可查看第三方相关资料或拨打第三方公司的服务电话求助。 维护人员在上岗前必须接受必要的应急维护培训，应熟练使用数据中心各个产品的运维功能，学习判断紧急事故的基本方法、掌握处理紧急事故的基本技能。 父主题： 维护工程师必读

解决方法 在管理PC上登录标准页面：https://192.168.0.1:8443/default.html。 在任意界面的右上角，单击“CLI控制台”。 图1 进入控制台 输入system-view，进入系统视图。 输入以下命令行配置认证方式。 配置后就可以使用密码password登录串口。 user-interface console 0 authentication-mode password set authentication password cipher password

防勒索场景 勒索软件是不法分子通过加密文件等方式劫持用户文件，借此索要钱财的一种恶意软件。勒索软件变种多，更新快，难以防范，攻击目标一般是终端上的文件，会在企业内部的终端上进行横向扩散，给企业的终端安全带来很大的风险和挑战。 勒索软件对企业可造成如下危害： 企业遭遇勒索，直接导致大额经济损失。 企业重要文件被加密，业务被迫中断，生产力遭遇冲击，间接影响企业经济。 企业重要数据遭遇篡改或公开，声誉受损，大众对企业信任度降低。 智能终端安全服务针对勒索软件，可以实现： 对全磁盘目录进行实时防护，阻止勒索软件以浏览器下载、U盘转移等方式入侵。 提供诱饵捕获功能，针对勒索病毒特征设置诱饵文件，及时捕获异常事件。 针对勒索病毒特征，提供文件防篡改功能，支持重点文件访问权限控制，及时上报加密行为。 围绕勒索攻击过程，检测各个攻击场景的威胁事件，自动下发威胁处置策略。 针对勒索病毒文件，提供病毒查杀功能，隔离相关文件。

防挖矿场景 挖矿木马是指非法入侵终端并持续驻留，利用终端计算能力挖矿来为攻击者谋取利益的一种恶意软件。挖矿木马潜伏时间长，隐蔽性高，挟持大量计算资源，对企业终端安全造成巨大威胁。 挖矿木马对企业可造成如下危害： 企业消耗大量电力资源，遭受重大经济损失。 企业终端CPU被持续占用，系统业务响应变慢，设备寿命减短。 企业终端存在恶意连接，重要信息面临泄露风险。 智能终端安全服务针对挖矿木马，可以实现： 对全磁盘目录进行实时防护，阻止挖矿木马以浏览器下载、U盘转移等方式入侵。 通过HiSec Endpoint Agent上报的DNS请求数据，与威胁信息矿池库做对比，检测是否存在向挖矿矿池请求的恶意连接，及时发现威胁事件。 针对挖矿木马，提供病毒查杀功能，检出挖矿文件并将其隔离。

防无文件攻击场景 无文件攻击是一种不向磁盘写入可执行文件的攻击方法，难以被基于文件扫描的传统防病毒方案检测到，隐蔽性强，入侵成功率高。 无文件攻击可对企业造成如下危害： 企业终端CPU被持续占用，系统业务响应变慢，设备寿命减短。 企业终端存在恶意连接，重要信息面临泄露风险。 智能终端安全服务针对无文件攻击，可以实现： 提供 威胁检测 功能，识别无文件攻击产生的恶意进程，并进行自动阻断。 针对使用不可执行文件进行攻击的场景，提供病毒查杀功能，隔离相应文件。 自动关闭无文件攻击的计划任务，防止其定期攻击终端。

什么是智能终端安全服务 随着数字化的不断深入，企业越来越依赖网络通信技术以满足其业务需求，与此同时，企业面临的网络安全风险也越来越大。由于人的行为具有不确定性，电脑、服务器等终端作为直接与人交互的装置，面临更多的安全风险，往往是整个网络安全防护流程中最薄弱的环节。近年来，针对终端的攻击行为层出不穷，攻击者不仅可以从外部入侵，还可以直接从企业内部发起攻击，导致终端感染甚至威胁扩散，造成企业重大经济损失。 企业终端安全面临着严峻的挑战，是网络安全建设的重点关注对象。 终端信息无法统筹，管理难 传统终端安全产品主要着眼于单点终端上的病毒查杀，因为缺乏对终端信息的集中收集和分析，管理员无法统筹管理企业终端资产，全面识别系统漏洞。对于终端数量庞大的企业来说，此弊端尤为明显，容易导致企业终端被黑客或恶意竞争者攻击，造成企业关键数据泄露或业务中断。 未知威胁不断涌现，应对难 随着威胁手段和攻击技术的不断提高，企业频频遭受未知威胁攻击，例如无文件攻击、勒索变种、高级持续性威胁等。然而传统安全产品仅采用威胁特征库匹配技术，只能识别已知威胁，无法有效应对不断涌现的新型威胁。 威胁事件无法溯源，分析难 传统终端安全产品忽视攻击路径分析，无法对威胁事件进行事后溯源，企业不能感知威胁事件发生的原因和过程。因此，管理员无法根据威胁发生原因制定对应的防御策略，不能从根本上阻断威胁，导致同类威胁事件重复发生。 传统终端安全产品无法解决终端管理难、未知威胁应对难、溯源分析难等问题，华为乾坤在深入分析终端安全建设困境后，推出了智能终端安全服务。 智能终端安全服务是针对企业本地终端进行风险检测和处置，防止终端感染和威胁在内网传播的一种服务。它采用云、端协同架构，由云端和安装在终端侧的HiSec Endpoint Agent组成，如图1所示。 图1 智能终端安全服务架构图 云端提供资产管理、威胁检测和溯源处置功能，具体内容如下。 资产管理：提供自动化终端资产清点能力，统筹管理终端信息并进行多维资产风险评估，实时感知资产状态。 威胁检测：提供终端全攻击路径威胁检测能力，对检出的风险进行自动阻断。 溯源处置：提供攻击可视化能力，对威胁事件进行精确的溯源分析，支撑威胁事件深度清理。 HiSec Endpoint Agent需要安装到企业内网的每一台终端上，主要负责收集并上报终端上的租户登录、进程运行/创建、目录/文件访问日志、DNS（Domain Name System， 域名 系统）请求信息，并执行云端下发的指令和预置的主动防御策略。 父主题： 产品介绍

防病毒场景 计算机病毒是指会破坏终端功能或数据的一组指令或代码，通常附着在文件上以病毒文件的形式出现。近年来，网络病毒攻击日趋频繁，终端安全面临着前所未有的挑战。 计算机病毒可对企业造成如下危害： 企业系统瘫痪，生产线控制紊乱，无法开展正常业务。 企业数据遭遇破坏或丢失，蒙受巨大损失。 智能终端安全服务针对计算机病毒，可以实现： 对全磁盘目录进行实时防护，阻止病毒文件以浏览器下载、U盘转移等方式入侵。 检测病毒文件运行产生的恶意进程，进行自动化处置。 针对病毒文件，提供病毒查杀功能，进行隔离操作。

约束与限制 使用智能终端安全服务需要安装HiSec Endpoint Agent，终端需要满足的安装条件如表1所示。 表1 终端约束与限制 硬件要求 操作系统要求 CPU 内存 硬盘 2核CPU 4GB及以上 可用磁盘空间不少于10GB Windows 7 专业版、旗舰版、企业版 (32/64位) Windows 10（32位/64位） Windows 11（64位） Windows Server 2012 R2及以上（64位） 2核CPU 4GB及以上 可用磁盘空间不少于10GB 银河麒麟桌面操作系统V10及以上 统信桌面操作系统V20以上 CentOS 7及以上 Euler 2.0及以上 RedHat 8及以上 Euler 2.0及以上 SUSE 12/15 UOS Server 20 Debian 10及以上 Ubuntu16/18/20/22（X86/ARM） 同一终端不建议同时安装多个终端安全软件，否则可能会造成彼此之间功能相互干扰。下载完成后请在30天内安装，超期会导致终端注册失败。 父主题： 产品介绍

解决方法 本地授权版本，确认相应特征库已授权。 云端授权版本，确定乾坤云上该设备已经绑定边界防护与响应套餐，并且套餐状态为已部署。 排查上游设备做了安全限制导致网络不通，需要放通如下域名： 1、华为安全智能中心目前调度服务器域名：sec.huawei.com。 2、华为安全智能中心目前的下载服务器信息： 域名 优先支持的下载区域 fds-europe-1.sec.huawei.com 欧洲区域、非洲区域、俄罗斯区域 fds-europe-2.sec.huawei.com 欧洲区域、非洲区域、俄罗斯区域 fds-asia-2.sec.huawei.com 亚洲区域 fds-cn-1.sec.huawei.com 中国区域 fds-cn-3.sec.huawei.com 中国区域 fds-cn-6.sec.huawei.com 中国区域 fds-hongkong.sec.huawei.com 中国区域、亚洲区域 fds-beijing.sec.hauwei.com 中国区域、亚洲区域 fds-guiyang.sec.huawei.com 中国区域、亚洲区域 fds-shanghai.sec.huawei.com 中国区域、亚洲区域 fds-singaporean.sec.huawei.com 亚洲区域 fds-mexico-2.sec.huawei.com 南美区域、北美区域 fds-mexico-3.sec.huawei.com 南美区域、北美区域 fds-mexico-1.sec.huawei.com 南美区域、北美区域 fds-cairo.sec.huawei.com 非洲区域、俄罗斯区域 文件下载协议与端口之间的关系为：H TTS -443，HTTP-80，FTP-22，32119。

DHCP服务器规划（可选） 如果客户需要防火墙作为DHCP服务器，为内网交换机/PC分配IP地址。那么请参考如下内容完成数据规划。 表2 DHCP服务器规划 作为DHCP服务器的接口 可分配IP地址范围 子网掩码 默认网关 DNS服务器 GE0/0/6 10.1.1.1-10.1.1.253 255.255.255.0 10.1.1.254 首选DNS：2.2.2.2 （可选）备用DNS：2.2.3.3

IP地址规划 表1 IP地址规划 接口 IP地址获取方式 IP地址示例 备注 上行接口GE0/0/7 静态IP地址 IP地址：1.1.1.1 IP地址的获取方式支持静态IP、DHCP和PPPoE。请根据实际情况进行选择。 IP地址、DNS和PPPoE的拨号信息等需要向租户获取。 子网掩码：255.255.255.0 默认网关：1.1.1.254 首选DNS：2.2.2.2 （可选）备用DNS：2.2.3.3 DHCP方式 防火墙作为DHCP客户端，由DHCP服务器为防火墙分配IP地址和 DNS地址 。 PPPoE方式 通过拨号向PPPoE Server（运营商设备）拨号获得IP地址、DNS地址。 下行接口GE0/0/6 静态IP地址 IP地址：10.1.1.1 业务接口。 漏洞扫描服务 和 云日志 审计服务共用此接口。 子网掩码：255.255.255.0

配置思路 登录华为乾坤控制台，配置全局白名单，增加租户的全部内网地址段，保证对内网流量的检测。 配置交换机到DNS服务器的流量为镜像流量（回程流量不需要检测），并且保证镜像流量可以到达天关2镜像口。 配置天关1。 配置Bypass接口对，用于转发内外网业务流量。 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志、接收云端下发配置等。 配置 漏洞扫描 和云日志审计业务接口，已购买漏洞扫描服务或云日志审计服务时需要配置。 分别配置边界防护与响应服务、漏洞扫描服务、云日志审计服务业务参数。 配置天关2。 配置镜像流量接收口为旁路检测模式。 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志等。 配置边界防护与响应服务业务参数。 漏洞扫描服务和云日志审计服务仅通过天关1与云端进行通信，所以仅在天关1上配置漏洞扫描服务和云日志审计服务的业务接口以及业务参数，天关2上无需配置。

解决方法 打开浏览器（推荐Chrome浏览器），访问标准配置页面：https://防火墙管理口IP地址:端口号/default.html。 输入管理员帐号和密码，登录防火墙Web配置界面。 选择右下角“CLI控制台”，在控制台窗口单击左上角“点击连接…” 显示“已连接”状态后，在控制台输入以下配置命令。 system-view // 进入系统视图 arp miss anti-attack rate-limit source-ip x.x.x.x maximum 1000 // 根据源IP地址设置ARP Miss消息的限速值 双斜杠前为配置命令，双斜杠后为配置命令解释说明，无需输入。 x.x.x.x为防火墙通过三层接口访问资产时的接口IP，以下图为例，即为GE0/0/2的IP。 图1 组网场景

配置思路 登录华为乾坤控制台，配置全局白名单，防止租户内网资产IP地址被云端（包括云端自动下发、云端安全服务人员）错误下发黑名单。 登录天关，主要配置以下内容： 配置Bypass接口对，用于转发内外网业务流量。 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志、接收云端下发配置等。 配置漏扫和日志审计业务接口，已购买漏洞扫描服务或云日志审计服务时需要配置。 分别配置边界防护与响应服务、漏洞扫描服务、云日志审计服务业务参数。

配置思路 登录华为乾坤控制台，根据租户内网资产IP地址配置全局白名单，提升安全状态检测的准确性。 配置交换机： 配置Switch的GigabitEthernet0/0/2为观察端口，该端口直连防火墙，Switch将通过镜像将流量上送到防火墙进行检测。 配置Switch的GigabitEthernet0/0/1为镜像端口，开启端口镜像功能。 配置Switch的GigabitEthernet0/0/3为三层端口，与防火墙上漏洞扫描和云日志审计接口直连。 配置防火墙： 配置检测接口GE0/0/6为旁路检测模式，该接口与Switch的观察端口直连。 检查default策略的动作是否为“允许”，如果不是，将动作修改为“允许”。 加载云服务特性包。 配置防火墙与云平台对接。 配置边界防护与响应服务的业务参数。 将GE0/0/6加入trust安全域，并配置旁路检测所需要的安全策略。 配置漏洞扫描和云日志审计接口GE0/0/2为三层接口，并加入trust安全域，已购买漏洞扫描服务或云日志审计服务时需要配置。 分别配置漏洞扫描服务和云日志审计服务的业务参数，已购买漏洞扫描服务或云日志审计服务时需要配置。

租户基础操作 表1 租户基础操作 操作任务 使用场景 操作入口 详细参考链接 委托MSP管理 当您需要委托MSP（服务渠道商）进行日常运维时，需要执行委托操作。 单击控制台右上角个人帐号，选择“委托”。 委托MSP管理 创建工单 当您在使用服务时，一旦发现问题即可创建问题工单。随后，华为工程师根据工单记录进行问题分析和处理。 单击控制台右上角个人帐号，选择“我的工单”。 工单管理 新建用户 华为乾坤支持分权分域管理。您可以根据组织结构划分不同的工作组，并为不同的工作组创建用户。 单击控制台右上角个人帐号，选择“权限管理”。 创建用户 订阅 华为乾坤支持订阅功能。订阅之后，华为乾坤会向订阅接受者发送订阅主题相关的信息。 单击控制台右上角个人帐号，选择“订阅”。 订阅管理 查看日志 日志主要包括操作日志和安全日志。当您需要了解相关信息的时候，可以查看。 单击控制台右上角个人帐号，选择“日志”。 日志查看 父主题： 更多操作

数据规划 表1 数据规划 项目 数据 说明 租户内网资产IP地址 192.168.41.0-192.168.41.255 请向租户获取，此处仅为示例。 天关1 转发业务流量接口（Bypass接口对） USG6502E-C/USG6503E-C：GE0/0/21和GE0/0/20 USG6603F-C：10GE0/0/0、10GE0/0/1 - 云端管理接口 GE0/0/3：192.168.55.1/24 - 漏洞扫描和云日志审计业务接口 GE0/0/2：192.168.56.1/24 - 天关2 镜像流量接收口（旁路检测模式） USG6502E-C/USG6503E-C：GE0/0/20 USG6603F-C：GE0/0/10 此处请使用偶数端口，USG6603F-C缺省无GE0/0/20接口，可使用GE0/0/10。 云端管理接口 GE0/0/3：192.168.55.2/24 - 交换机 端口规划 观察端口：GigabitEthernet0/0/1 镜像端口：GigabitEthernet0/0/2 - 父主题： 企业内部存在DNS服务器场景

配置交换机 配置接口。 配置接口GigabitEthernet 1/0/21。 [HUAWEI] interface gigabitethernet 1/0/21[HUAWEI-GigabitEthernet1/0/21] undo portswitch[HUAWEI-GigabitEthernet1/0/21] ip address 10.1.10.2 24[HUAWEI-GigabitEthernet1/0/21] quit 配置接口GigabitEthernet 1/0/20。 [HUAWEI] interface gigabitethernet 1/0/20[HUAWEI-GigabitEthernet1/0/20] undo portswitch[HUAWEI-GigabitEthernet1/0/20] ip address 10.2.10.2 24[HUAWEI-GigabitEthernet1/0/20] quit 配置GigabitEthernet 0/0/21 [HUAWEI] interface gigabitethernet 0/0/21[HUAWEI-GigabitEthernet0/0/21] undo portswitch[HUAWEI-GigabitEthernet0/0/21] ip address 10.6.10.2 24[HUAWEI-GigabitEthernet0/0/21] quit 配置GigabitEthernet 0/0/20 [HUAWEI] interface gigabitethernet 0/0/20[HUAWEI-GigabitEthernet0/0/20] undo portswitch[HUAWEI-GigabitEthernet0/0/20] ip address 10.7.10.2 24[HUAWEI-GigabitEthernet0/0/20] quit 配置下行口eth-trunk。 [HUAWEI] interface eth-trunk 1[HUAWEI-eth-trunk1] trunkport gigabitethernet 0/0/12[HUAWEI-eth-trunk1] trunkport gigabitethernet 1/0/12[HUAWEI-eth-trunk1] ip address 10.5.0.1 24[HUAWEI-eth-trunk1] quit 配置上行口Vlanif10。 [HUAWEI] vlan 10[HUAWEI-vlan10] quit[HUAWEI] interface gigabitethernet 1/0/16[HUAWEI-GigabitEthernet1/0/6] port link-type access[HUAWEI-GigabitEthernet1/0/6] port default vlan 10[HUAWEI-GigabitEthernet1/0/6] quit[HUAWEI] interface gigabitethernet 0/0/16[HUAWEI-GigabitEthernet0/0/6] port link-type access[HUAWEI-GigabitEthernet0/0/6] port default vlan 10[HUAWEI-GigabitEthernet0/0/6] quit[HUAWEI] interface vlanif 10[HUAWEI-vlanif10] ip address 10.3.0.4 24[HUAWEI-vlanif10] quit 配置上行口策略路由。 配置ACL规则3000、 流分类c10_up_to_down、 流行为b10_up_to_down。 [HUAWEI] acl number 3000[HUAWEI-acl-adv-3000] rule 10 permit ip[HUAWEI-acl-adv-3000] quit[HUAWE] traffic classifier c10_up_to_down[HUAWEI-classifier-c10_up_to_down] if-match acl 3000[HUAWEI-classifier-c10_up_to_down] quit[HUAWEI] traffic behavior b10_up_to_down[HUAWEI-behavior-b10_up_to_down] redirect ip-nexthop 10.1.10.21 10.6.10.21[HUAWEI-behavior-b10_up_to_down] quit 配置ACL规则3003、 流分类tianguan1、 流行为tianguan1。 [HUAWEI] acl number 3003[HUAWEI-acl-adv-3003] rule 10 permit ip destination 10.1.10.21 0[HUAWEI-acl-adv-3003] quit[HUAWE] traffic classifier tianguan1[HUAWEI-classifier-tianguan1] if-match acl 3003[HUAWEI-classifier-tianguan1] quit[HUAWEI] traffic behavior tianguan1[HUAWEI-behavior-tianguan1] redirect ip-nexthop 10.1.10.21[HUAWEI-behavior-tianguan1] quit 配置ACL规则3004、 流分类tianguan2、 流行为tianguan2。 [HUAWEI] acl number 3004[HUAWEI-acl-adv-3004] rule 10 permit ip destination 10.6.10.21 0[HUAWEI-acl-adv-3004] quit[HUAWE] traffic classifier tianguan2[HUAWEI-classifier-tianguan2] if-match acl 3004[HUAWEI-classifier-tianguan2] quit[HUAWEI] traffic behavior tianguan2[HUAWEI-behavior-tianguan2] redirect ip-nexthop 10.6.10.21[HUAWEI-behavior-tianguan2] quit 配置流策略，将流分类和流行为进行绑定。 [HUAWEI] traffic policy p10_up_to_down[HUAWEI-trafficpolicy-p10_up_to_down1] classifier tianguan1 behavior tianguan1[HUAWEI-trafficpolicy-p10_up_to_down1] classifier tianguan2 behavior tianguan2[HUAWEI-trafficpolicy-p10_up_to_down1] classifier c10_up_to_down behavior b10_up_to_down[HUAWEI-trafficpolicy--p10_up_to_down1] quit 在上行口vlanif10应用流策略。 [HUAWEI] interface vlanif10[HUAWEI-vlanif10] traffic-policy p10_up_to_down inbound[HUAWEI-vlanif10] quit 配置下行口策略路由。 配置ACL规则3010。 [HUAWEI] acl number 3010[HUAWEI-acl-adv-3010] rule 10 permit ip[HUAWEI-acl-adv-3010] quit 配置流分类c20_down_to_up。 [HUAWE] traffic classifier c20_down_to_up[HUAWEI-classifier-c20_down_to_up] if-match acl 3010[HUAWEI-classifier-c20_down_to_up] quit 配置流行为b20_down_to_up。 [HUAWEI] traffic behavior b20_down_to_up[HUAWEI-behavior-b20_down_to_up] redirect ip-nexthop 10.2.10.20 10.7.10.20[HUAWEI-behavior--b20_down_to_up] quit 配置流策略，将流分类和流行为进行绑定。 [HUAWEI] traffic policy p20_down_to_up[HUAWEI-trafficpolicy-p20_down_to_up] classifier c20_down_to_up behavior b20_down_to_up[HUAWEI-trafficpolicy--p20_down_to_up] quit 将流策略应用到下行接口上。 [HUAWEI] interface eth-trunk 1[HUAWEI-eth-trunk1] traffic-policy p20_down_to_up inbound[HUAWEI-eth-trunk1] quit 父主题： 企业边界双链路组网—天关双机热备

适用产品和版本 设备 版本 备注 USG6502E-C、USG6503E-C 边界防护与响应服务、漏洞扫描服务：V600R007C20SPC300及其后续版本 云日志审计服务：V600R007C20SPC500及其后续版本 - USG6603F-C 边界防护与响应服务：V600R021C00SPC100（必须安装V600R021SPH002补丁）及其后续版本 漏洞扫描服务：V600R022C10及其后续版本 云日志审计服务：V600R023C00及后续版本 -

配置思路 登录华为乾坤控制台，配置全局白名单，防止租户内网资产IP地址被云端（包括云端自动下发、云端安全服务人员）错误下发黑名单。 登录天关，主要配置以下内容： 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志、接收云端下发配置等。 对Bypass接口配置接口对，业务流量上下行口连Bypass接口，二层接入。 将Bypass接口对添加Link-Group，并创建Link-Group-Monitor。 USG6603F-C无需配置Link-Group。 配置漏扫和日志审计业务接口，已购买漏洞扫描服务或云日志审计服务时需要配置。 分别配置边界防护与响应服务、漏洞扫描服务、云日志审计服务业务参数。

约束或注意事项 规格信息请使用Info-Finder的特性查询工具进行查询或导出。 请按照本章介绍的步骤配置，在天关1开启安全检测前，必须先在天关1上将区域2NAT后的地址192.168.55.100配置为白名单，保证天关1不检测区域2发出的流量，防止NAT后地址被误封禁。 USG6501E-C不支持电Bypass口，此方案不使用该型号设备。 USG6502E-C、USG6503E-C接口使用限制： 仅两组固定电接口支持硬件Bypass功能：GE0/0/20和GE0/0/21配对，GE0/0/22和GE0/0/23配对。每个Bypass接口对的接口同时工作在二层工作模式时，组成一条电链路Bypass。推荐使用这两对接口作为业务口，用于转发内外网的业务流量，当天关故障时流量直接通过天关，保证业务不中断。 奇数编号接口用于连接上行设备，偶数编号接口用于连接下行局域网设备。 USG6603F-C接口使用限制： 为了提高业务可靠性，可以配置光Bypass卡，连接光Bypass卡的方式请参见《USG6000F-C天关上线》中“安装并连接光Bypass插卡”章节。 默认情况下，接口编号相邻的接口两两组成二层接口对。 奇数编号接口用于连接上行设备，偶数编号接口用于连接下行局域网设备。

组网需求说明 本方案适用于客户内网中存在NAT设备的场景。 如果客户内网中存在NAT设备，内网资产使用NAT后地址访问外部区域，导致天关检测到威胁事件的源地址都是NAT后地址，进而无法识别失陷主机的真实地址。 为解决上述问题，采用如下图所示方案。 在NAT设备前部署天关2，用于检测区域2的威胁事件，云端通过天关2的威胁日志识别区域2的失陷主机。 在出口网关前部署天关1，用于检测非NAT区域（区域1）的威胁事件。 在天关1上将区域2NAT后的地址配置为白名单，保证天关1不检测区域2发出的流量，防止NAT后地址被误封禁，同时缓解天关1的检测性能压力。 下图以USG6502E-C的GE0/0/21和GE0/0/20为例，组成二层Bypass接口对，用于转发内外网的业务流量，同时使用三层接口GE0/0/3与云端对接。 使用三层接口GE0/0/2作为漏洞扫描服务和云日志审计服务的通道，并使用GE0/0/3上报云端。 区域1的资产将日志发送到天关1的GE0/0/2，区域2的资产将日志发送到天关2的GE0/0/2。 图1 方案组网

配置思路 登录华为乾坤控制台，根据租户内网资产IP地址配置全局白名单，提升安全状态检测的准确性。 配置交换机： 配置Switch的GigabitEthernet0/0/2为观察端口，该端口直连天关，Switch将通过镜像将流量上送到天关进行检测。 配置Switch的GigabitEthernet0/0/1为镜像端口，开启端口镜像功能。 配置Switch的GigabitEthernet0/0/3为三层端口，与天关上漏洞扫描和云日志审计接口直连。 配置天关： 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志、接收云端下发配置等。 配置接口GE0/0/21和GE0/0/20为接口对模式，GE0/0/20与Switch的观察端口直连。 配置漏洞扫描和云日志审计接口GE0/0/2为三层接口，并加入trust安全域，已购买漏洞扫描服务或云日志审计服务时需要配置。 分别配置边界防护与响应服务、漏洞扫描服务、云日志审计服务业务参数。

可能原因 设备默认开启硬件快转，对不需要安全检测的流量做快速转发（首包检测后未命中安全策略的流量）提升设备性能，减少CPU负担。开启硬件快转后，走硬件快转的流量不会统计在内，所以远小于客户下载流量，设备统计无误。 设备关闭硬件快转（会影响设备性能）关闭后设备上统计的流量大小远大于实时下载速度，因为统计纬度不一样。设备上的流量统计是到网络层的，浏览器下载是到应用层，设备统计流量会更大。设备统计无误。 源ip流量实时排名本身设备不开启，开启也会占用一部分设备性能，而且只要切换设备标签页就会自动关闭源ip流量统计，这个功能设备本身不提倡开启。

适用产品和版本 设备 版本 备注 USG6502E-C、USG6503E-C 边界防护与响应服务、漏洞扫描服务：V600R007C20SPC300及其后续版本 云日志审计服务：V600R007C20SPC500及其后续版本 - USG6603F-C 边界防护与响应服务：V600R021C00SPC100（必须安装V600R021SPH002补丁）及其后续版本 漏洞扫描服务：V600R022C10及其后续版本 云日志审计服务：V600R023C00及后续版本 -

适用产品和版本 设备 版本 备注 防火墙USG65xxF： USG6525F/USG6555F/USG6565F/USG6585F/USG6585F-B/USG6520F-K/USG6560F-K/USG6590F-K/USG6510F-D/USG6530F-D/USG6510F-DK/USG6510F-DL/USG6530F-DL 防火墙USG66xxF：USG6615F/USG6625F/USG6635F/USG6655F/USG6685F/USG6620F-K/USG6650F-K 防火墙USG67xxF：USG6710F/USG6715F/USG6725F/USG6710F-K 边界防护与响应服务：V600R023C00SPC100及之后版本 - 防火墙USG65xxF：USG6525F/USG6555F/USG6565F/USG6585F/USG6520F-K/USG6560F-K/USG6590F-K/USG6510F-D/USG6530F-D/USG6510F-DK/USG6510F-DL/USG6530F-DL 防火墙USG66xxF：USG6615F/USG6625F/USG6635F/USG6655F/USG6685F/USG6620F-K/USG6650F-K 防火墙USG67xxF：USG6710F/USG6715F/USG6725F/USG6710F-K 漏洞扫描服务：V600R023C00SPC100及之后版本 - 防火墙USG65xxF：USG6525F/USG6555F/USG6565F/USG6585F/USG6520F-K/USG6560F-K/USG6590F-K/USG6510F-D/USG6530F-D/USG6510F-DK/USG6510F-DL/USG6530F-DL 防火墙USG66xxF：USG6615F/USG6625F/USG6635F/USG6655F/USG6685F/USG6620F-K/USG6650F-K 防火墙USG67xxF：USG6710F/USG6715F/USG6725F/USG6710F-K 云日志审计服务：V600R023C00SPC100及之后版本 -

安全响应 提供安全事件的响应闭环能力，主要包括下发黑名单、发送告警两种安全响应动作，租户可利用华为乾坤的安全响应能力有效提高安全事件的闭环效率。 针对以下场景提供下发黑名单、发送告警两种安全响应动作： 自动化分析判定后可以自动处置的事件，自动化分析将请求安全响应下发黑名单或发送告警。 自动化分析判定后需要安全专家处置的事件，安全专家分析后可通过Portal页面的事件管理菜单人工下发黑名单或发送告警。 租户在租户门户中下发黑名单。