[发明专利]一种网络安全策略的配置方法

权利要求书

1.一种网络安全策略的配置方法，其特征在于，包括以下步骤：

(1)对所有待配置的网络安全策略进行预处理；所述网络安全策略包含有源网络对象、目的网络对象、端口、动作；

(2)预处理后，根据策略的动作实现对每条策略的配置，若策略动作为允许，则先判断该条策略的源网络对象和目的网络对象是否属于同一网络区域，是，则在对应的网络安全设备上配置该策略；否，则执行步骤(3)；若策略动作为拒绝，则仅在源网络对象所在的网络安全设备上对该条策略进行配置，不在目的网络对象所在的网络安全设备上对该条策略进行配置；

(3)根据源网络对象所在的网络安全设备上按照明细策略进行配置，同时根据目的网络对象所在的网络安全设备上配置宽松的策略放行来自于内部所有网段的IP对于目的网络对象所在的网络安全设备所辖网段的访问；

(4)循环步骤(1)～(3)。

2.根据权利要求1所述的一种网络安全策略的配置方法，其特征在于，对每条策略进行配置时，策略ID越大，优先级越高。

3.根据权利要求1或2所述的一种网络安全策略的配置方法，其特征在于，所述步骤(1)中预处理的过程如下：

(a)对网络安全策略中的源网络对象和目的网络对象各自包含的IP进行解析；

(b)若源网络对象中的IP属于同个网络区域，目的网络对象中的IP属于同个网络区域，则执行步骤(2)；否则，根据IP归属情况做不同的处理后再执行步骤(2)，具体如下：

情况1：源网络对象中的IP属于同个网络区域，目的网络对象的IP不属于同个网络区域，则根据目的网络对象的IP所属的网络区域对策略进行拆分；

情况2：源网络对象中的IP不属于同个网络区域，目的网络对象的IP属于同个网络区域，则根据源网络对象的IP所属的网络区域对策略进行拆分；

情况3：源网络对象中的IP不属于同个网络区域，目的网络对象的IP不属于同个网络区域，先根据源网络对象的IP所属的网络区域对原策略进行拆分处理，处理后的策略与情况1相同，再按情况1对策略做二次处理拆分；也可以先根据目的网络对象的IP所属的网络区域对原策略进行拆分处理，处理后的策略与情况2相同，再按情况2对策略做二次处理拆分。