防火墙默认情况下为我们提供了三个安全区域，分别是Trust、DMZ和Untrust。

1. Trust区域，该区域内网络的受信任程度高，通常用来定义内部用户所在的网络。
2. DMZ区域，该区域内网络的受信任程度中等，通常用来定义内部服务器所在的网络。
3. Untrust区域，该区域代表的是不受信任的网络，通常用来定义Internet等不安全的网络

nerror="javascript:errorimg.call(this);">

添加完需要对安全区域设置优先级，可以执行如下命令，优先级的范围为0-100。

[USG6000V1-zone-yewu]set priority 30

每个安全区域都有自己的优先级，用1-100的数字表示，数字越大，则代表该区域内的网络越可信。报文在两个安全区域之间流动时，我们规定：报文从低级别的安全区域向高级别的安全区域流动时为入方向（Inbound），报文从由高级别的安全区域向低级别的安全区域流动时为出方向（Outbound）。报文在两个方向上流动时，将会触发不同的安全检查。

nerror="javascript:errorimg.call(this);">

关键配置

把GE1/0/1接口添加到untrust安全区域，并配置接口IP地址为192.168.2.1

[USG6000V1]firewall zone untrust [USG6000V1-zone-untrust]add interface GigabitEthernet 1/0/1[USG6000V1-GigabitEthernet1/0/1]ip address 192.168.2.1 24

同一个安全区域的内，是否会触发数据包的检查？

通过以上测试结果，我们发现PC1能正常Ping通PC2。这样就说明了，在同一个安全区内，不会触发安全检查。

那么不同安全区域呢，又如何呢？

通过以上结果，证明了报文在不同的安全区域之间流动时，才会触发安全检查。

我们先配置允许trust区域流量去往untrust。

nerror="javascript:errorimg.call(this);">

从上图可以看到，PC1能正常PingPC3，说明这个策略是起作用了。我们还可以通过查看策略的命中率。

nerror="javascript:errorimg.call(this);">

关于安全策略可以做到很精细的匹配，我这里为了演示方便，就把策略放的很宽，在生产环境中，安全策略是严格把控的，所有在学习防火墙重点是在安全策略上。