梦想网关 入局拦截和出局做通（安全区域+安全策略）
操作背景：客户向要内网设备可以主动访问到外网，同时，确保外网设备无法主动访问到内网（比如：通过端口映射，路由指向，甚至直连，均无法主动访问到内网）那么此时应当如何操作？我们可以使用安全区域+安全策略来实现
（1）入局数据拦截
梦想网关中定义有安全区域的功能，通过对应的接口配置对应的安全区域（比如：内网接口配置trust区域，外网接口配置untrust区域），通过不同安全区域隔离的特性，实现入局数据不可访问内网设备的需求
——>第一部分：入局数据拦截 - 安全区域实现（安全区域的基本概念）
（2）出局数据放行
内外网接口分别勾选到不同的区域后，此时，内网无法访问外网，外网也无法访问内网，那么，怎么样可以定向地放行内网主动到外网的数据呢，我们可以配置安全策略，定向做通由内网trust区域访问到外网untrust区域的数据了
——>第二部分：出局数据做通 - 安全策略实现安全区域的单向做通（安全策略实现）

第一部分：入局数据拦截 - 安全区域实现（安全区域的基本概念）

1、安全区域的基本概念
梦想网关（ZH-M1型号）设备除了可以作为一台交换机、路由器使用，还可以作为一台防火墙使用，作为一台防火墙，势必会引入区域的概念

（1）trust区域（信任区域）：针对内网部分，咱们往往认为这个部分是安全的（内网怎么样，知根知底），对于内网是否有病毒等不安全的因素上，咱们是信任的（认为这块区域是安全的），因此，咱们定义该区域为信任区域

（2）untrust区域（非信任区域）：针对外网部分，咱们往往认为这个部分是不安全的（外网怎么样，无法把控），对于外网是否有病毒等不安全因素上，咱们是不信任的（认为这块区域是不安全的），因此，咱们定义该区域为非信任区域

在梦想网关中，不同的安全区域之间数据不通，不同安全区域之间相互隔离

2、梦想网关中的安全区域
在咱们的M1设备上面，默认的常见安全区域有：local区域，二层信任区域，二层非信任区域，三层信任区域，三层非信任区域和非军事化区域，这些安全区域是默认就有的，不需要手动创建，各安全区域咱们可以在设备中的“安全区域”菜单中查看到这些安全区域，如下图所示：

![](/media/202605/72369eb831ae42b3bb222fd012df09012602.png)

注意：M1设备将信任区域和非信任区域做了进一步的划分，针对端口是二层口（只做交换）还是三层口（做路由和转发）

信任区域分为了二层信任区域和三层信任区域；非信任区域分为了二层非信任区域和三层非信任区域

3、M1设备 默认区域和对应的规则-区域内部的通信属性

（1）二层信任区域（L2 trust）：接口做二层转发，允许同区域下接口互访

（2）二层非信任区域（L2 untrust）：接口做二层转发，不允许区域下接口互访

（3）三层信任区域（trust）：接口做三层转发，允许区域下接口互访

（4）三层非信任区域（untrust）：接口做三层转发，不允许区域下接口互访

3、给接口配置安全区域（落地配置）

第一步：检查默认的安全区域（是否在，是否有被改动，需要修改）

![](/media/202605/12d73fc45c3745e7b6baa0da2c6da7163311.png)

第二步：配置接口，并将接口配置到对应的安全区域中

![](/media/202605/9e015041a90f499eab26f6277d6bf65c1915.png)

![](/media/202605/418ff66e05fe43e098abb7b67d157bda5598.png)

第二部分：出局数据做通 - 安全策略实现安全区域的单向做通（安全策略实现）

配置安全策略，实现不同安全区域之间的数据打通
（1）关于不同安全区域之间的数据打通
        现有案例如下图所示，案例中，销售部门在trust区域，外部服务（比如百度）在untrust区域，已知网络环境已经配置了端口和NAT，可以实现互通，现增加安全区域，需要实现从trust-销售区域到untrust区域的数据流量打通，如下图所示：
        此时，咱们可以配置添加安全策略，针对命中trust区域到untrust区域的数据流量放行

![](/media/202605/bf8b6b6794234a07b931aa9df6111a524441.png)

（2）实现不同安全区域之间的数据打通
注意，该文档中，网络环境已经配置了端口和NAT，可以实现互通。端口的配置和NAT的配置可以参考前面的文档
第一步，检查端口所在的安全区域绑定情况，将WAN口绑定到untrust区域，将LAN口绑定到trust区域（不对的话需要修改）
安全区域的绑定的具体操作配置，前面也有提到

![](/media/202605/277ffcb6fa2c4f2a931662efafc7ade79412.png)

第二步，配置新增安全策略
找到安全策略配置页面，点击添加

![](/media/202605/3c0735aea5ad41c380f4783b7574dc055355.png)

![](/media/202605/6196fb447db84be7a040529bf8fb574d3708.png)
配置完成后，可以看到咱们创建的安全区域

![](/media/202605/0ddb0140565a451a8d03e113963de65f9539.png)

梦想网关 入局拦截和出局做通（安全区域+安全策略）

梦想网关入局拦截和出局做通（安全区域+安全策略）