- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
25-IPv4控制策略
本章节下载： 25-IPv4控制策略 (1.88 MB)
目 录
IPv4控制策略对通过设备的源接口/域、目的接口/域、源地址、目的地址、服务、终端、用户以及应用八元组进行访问控制。
在导航栏中选择“上网行为管理 > IPv4控制策略”，进入IPv4控制策略显示界面，如图1-1所示。
图1-1 IPv4控制策略显示界面
IPv4控制策略的含义如表1-1所示：
表1-1 IPv4控制策略显示信息描述表
|
标题项 |
说明 |
|
状态 |
IPv4控制策略的状态： · · |
|
ID |
IPv4控制策略的ID。 |
|
用户 |
匹配IPv4控制策略的用户对象。 |
|
行为 |
IPv4控制策略行为的状态包含： · 允许 · 拒绝 |
|
源接口/域 |
匹配IPv4控制策略的源接口/域。 |
|
目的接口/域 |
匹配IPv4控制策略的目的接口/域。 |
|
源地址 |
匹配IPv4控制策略的源地址。 |
|
目的地址 |
匹配IPv4控制策略的目的地址。 |
|
应用 |
匹配IPv4控制策略的应用对象。 |
|
服务 |
匹配IPv4控制策略的服务对象。 |
|
终端 |
匹配IPV4控制策略匹配的终端类型，包括：any、移动终端、PC、多终端。 移动终端：基于Android或IOS系统的智能手机或Pad； PC：基于Windows操作系统的PC或笔记本； 多终端：单个IP下同时存在电脑和移动终端。 |
|
描述 |
IPv4控制策略描述。 |
|
匹配次数 |
匹配IPv4控制策略的次数。 |
|
应用安全 |
如果显示图标 |
|
时间 |
匹配IPv4控制策略匹配的时间对象。 |
|
日志 |
IPv4控制策略行为选择为拒绝时是否记录日志。 |
|
老化时间 |
基于IPv4控制策略的老化时间，缺省情况下，老化时间为0，表示使用各个协议默认的老化时间。 |
|
操作 |
IPv4控制策略支持的操作，包含编辑和删除。 |
策略支持外部编辑，在导航栏中选择“上网行为管理 > IPv4控制策略”，进入IPv4控制策略页面，点击任一支持外部编辑的7元组对象：用户、源接口/域、目的接口/域、源地址、目的地址、应用、服务，如图1-2所示。
策略外部编辑界面的详细信息如表1-2所示：
|
标题项 |
说明 |
|
类型 |
类型包含：用户、接口、源地址、目的地址、应用、服务 |
|
类型显示列 |
点击相应类型后，此列显示对应的类型数据，可直接选择进行配置。 |
|
已选列表 |
已配置类型的对象内容显示区。 |
单击<新建>按钮，进入IPv4控制策略配置页面，如图1-3所示。
图1-3 IPv4控制策略配置界面
IPv4控制策略详细配置说明，如表1-3所示。
表1-3 IPv4控制策略详细配置
|
标题项 |
说明 |
|
启用 |
策略启用和禁用，勾选表示开启策略，不勾选表示禁用策略。 |
|
行为 |
策略的行为包含： · 允许，对匹配条件的会话进行应用控制，如URL过滤和应用过滤。 · 拒绝，阻断命中匹配条件的会话。 |
|
描述 |
IPV4控制策略描述信息。 |
|
匹配条件 |
IPV4控制策略的匹配条件，包含用户、接口、源地址、目的地址、应用、服务。 |
|
URL过滤 |
URL过滤规则，包含URL控制和恶意URL控制。 |
|
应用过滤 |
应用过滤规则，包含应用控制、邮件控制、WEB关键字控制、虚拟账号控制。 |
|
终端公告提醒 |
给匹配条件的终端推送公告提醒页面。策略首次下发后会进行第一次推送，后续按间隔定期推送。 |
|
高级配置 |
包含时间对象配置、老化时间配置、终端类型配置。 |
在导航栏中选择“上网行为管理 > IPv4控制策略”，单击<优先级>按钮进入IPv4控制策略优先级配置页面，如图1-4所示。
IPv4控制策略优先级详细配置说明，如表1-4所示。
表1-4 IPV4控制策略优先级详细配置
|
标题项 |
说明 |
|
被移动的策略ID |
被移动的策略索引。 |
|
目标位置 |
移动后的位置： · 策略最前指移动到所有策略的最前面。 · 策略ID之前指移动到某条固定的策略之前。 · 策略ID之后指移动到某条固定的策略后面。 · 策略最后指移动到所有策略的后面。 |
|
目标位置策略ID |
参考策略索引，可以选择对应策略ID，将当前策略移动到该策略ID之前或之后。 |
在导航栏中选择“上网行为管理 > IPv4控制策略”，进入IPv4控制策略显示页面，如图1-5所示。勾选要启用或者禁用的IPv4控制策略，单击<启用>或<禁用>按钮可以启动和禁用该Pv4控制策略。
图1-5 IPv4策略启用和禁用
在导航栏中选择“上网行为管理 > IPv4控制策略”，进入IPv4控制策略显示页面，如图1-6所示。勾选要删除的IPv4控制策略，单击<删除>按钮或点击操作中<删除>按钮，可以删除该Pv4控制策略。
图1-6 IPv4控制策略删除
在导航栏中选择“上网行为管理 > IPv4控制策略”，进入IPv4控制策略显示页面，如图1-7所示。勾选要清除匹配计数的IPv4控制策略，单击<匹配次数清零>按钮可以清除该Pv4控制策略的匹配计数。
图1-7 清除IPv4控制策略匹配计数
在导航栏中选择“上网行为管理 > IPv4控制策略”，进入IPv4控制策略显示页面，如图1-8所示。勾选允许或拒绝单选框，可以修改默认IPv4控制策略行为。
在导航栏中选择“上网行为管理 > IPv4控制策略”，进入IPv4控制策略显示页面，如图1-9所示。单击查询，填写过滤条件可以查询出符合该过滤条件的IPV4控制策略。
图1-9 IPv4控制策略查询
IPv4控制策略查询配置详细说明，如表1-5所示。
表1-5 IPv4控制策略查询详细配置
|
标题项 |
说明 |
|
ID |
被查询的策略索引。 |
|
源接口/域 |
策略所选择的源接口。 |
|
源地址 |
策略所配置包含该地址的地址对象（可基于地址对象、IP地址和域名查询）。 |
|
用户 |
策略所选择的用户。 |
|
目的接口/域 |
策略所选择的目的接口。 |
|
目的地址 |
策略所配置包含该地址的地址对象（可基于地址对象、IP地址搜寻和域名查询）。 |
|
服务 |
策略所选择的服务。 |
|
描述 |
策略所对应的描述信息。 |
禁止公司员工上班时间（8：00—18：00）访问QQ。
(1) 配置日计划
在导航栏中选择“上网行为管理> 对象管理 > 时间对象> 日计划”，单击<新建>按钮，进入日计划配置页面，如图1-10所示。
点击<提交>按钮，提交配置。
(2) 配置IPv4控制策略
在导航栏中选择“上网行为管理 > IPv4控制策略”，单击<新建>按钮，进入IPv4控制策略配置页面，行为选择拒绝，勾选日志，在“匹配条件”页面中，应用类型选择“即时通讯 > QQ”，如图1-11所示。
图1-11 IPv4控制策略配置
单击选择“高级配置”标签页，时间选择已配置的时间对象，如图1-12所示。
图1-12 IPv4控制策略高级配置
配置完成后，公司员工在8：00—18：00的时间范围内无法登录QQ，但在其它时间是可以登录的。
web关键字过滤，支持针对搜索引擎内容的过滤、HTTP上传POST内容的过滤以及HTTP网页浏览内容的过滤，实现效果如下：
· 搜索引擎：
对搜索引擎的搜索内容进行监控，提供告警、拒绝两种处理动作，并支持记录日志。
· HTTP上传：
对http上传的POST内容进行监控，提供告警、拒绝两种处理动作，并支持记录日志，如：
web邮件过滤（发件人、收件人，主题、内容、附件名）；
web社区论坛（发帖内容、附件上传）。
· 网页内容：
支持所有http网页浏览内容过滤，网页内容必须为文本形式，不能为图片中的文字。
在导航栏中选择“上网行为管理 > IPV4控制策略”，单击<新建>按钮，选择“应用过滤 > WEB关键字”标签页，如图2-1所示。
图2-1 WEB关键字页面
页面上方的快捷功能按钮说明，如表2-1所示。
|
标题项 |
说明 |
|
新建 |
点击新建创建规则。 |
|
删除 |
选中对应规则进行快捷删除。 |
|
查询 |
支持根据条件查询规则。 |
|
启用 |
支持选中对应规则进行快捷启用。 |
|
禁用 |
支持选中对应规则进行快捷禁用。 |
|
优先级 |
支持对选中规则调整优先级顺序。 |
点击<查询>按钮，可根据条件查询规则，如图2-2所示。查询页面详细说明，如表2-2所示。
|
标题项 |
说明 |
|
ID |
根据ID查询WEB关键字规则。 |
|
描述 |
根据描述查询WEB关键字规则。 |
|
处理动作 |
根据处理动作查询WEB关键字规则。 |
|
日志级别 |
根据日志级别查询WEB关键字规则。 |
|
重置 |
清空当前查询页面信息。 |
|
提交 |
提交后根据查询条件显示结果。 |
|
取消 |
取消查询操作。 |
点击<优先级>按钮，如图2-3所示。优先级配置详细说明，如表2-3所示。
|
标题项 |
说明 |
|
被移动策略ID |
当前操作的策略ID。 |
|
目标位置 |
移动的目标位置，包括：策略最前、策略ID之前、策略ID之后、策略最后。 |
|
目标策略ID |
选择的目标策略ID，只有目标位置为策略ID之前和策略ID之后时此选项生效。 |
在导航栏中选择“上网行为管理 > IPV4控制策略”，单击<新建>按钮，选择“应用过滤>WEB关键字>搜索引擎”标签页，点击<新建>进入搜索引擎规则配置界面，如图2-4所示。搜索引擎规则详细配置说明，如表2-4所示。
|
标题项 |
说明 |
|
启用 |
勾选后则启用搜索引擎规则。 |
|
描述 |
搜索引擎规则的描述信息。 |
|
关键字对象 |
选择关键字对象，支持通过<添加关键字>按钮来快速创建关键字对象。 |
|
处理动作 |
处理动作包括：告警、拒绝。 |
|
日志级别 |
日志级别包含：紧急、告警、严重、错误、警告、通知、信息、调试、不记录。 |
|
提交 |
提交后当前规则新建成功。 |
|
取消 |
取消规则创建，不下发配置。 |
搜索引擎规则创建成功后如图2-5所示。
在导航栏中选择“上网行为管理 > IPV4控制策略”，单击<新建>按钮，选择“应用过滤>WEB关键字> HTTP上传”标签页，点击<新建>进入HTTP上传规则配置界面，如图2-6所示。HTTP上传规则详细配置说明，如表2-5所示。
图2-6 HTTP上传规则
表2-5 HTTP上传规则详细配置说明
|
标题项 |
说明 |
|
启用 |
勾选后则启用搜索引擎规则。 |
|
描述 |
HTTP上传规则的描述信息。 |
|
关键字对象 |
选择关键字对象，支持通过<添加关键字>按钮来快速创建关键字对象。 |
|
处理动作 |
处理动作包括：告警、拒绝。 |
|
日志级别 |
日志级别包含：紧急、告警、严重、错误、警告、通知、信息、调试、不记录。 |
|
提交 |
提交后当前规则新建成功。 |
|
取消 |
取消规则创建，不下发配置。 |
HTTP上传规则创建成功后如图2-7所示。规则显示详细说明，如表2-6所示。
图2-7 HTTP上传规则配置显示
表2-6 HTTP上传规则显示详细说明
|
标题项 |
说明 |
|
ID |
规则对应ID，代表规则优先级。 |
|
描述 |
规则描述信息显示。 |
|
关键字 |
规则引用的关键字对象。 |
|
动作 |
规则动作，包括：告警、拒绝。 |
|
级别 |
规则日志级别，包括：紧急、告警、严重、错误、警告、通知、信息、调试、不记录。 |
|
启用 |
规则启用状态显示，包括：启用和禁用。 |
|
操作 |
支持对当前规则进行编辑和删除。 |
在导航栏中选择“上网行为管理 > IPV4控制策略”，单击<新建>按钮，选择“应用过滤>WEB关键字>网页内容”标签页，点击<新建>进入网页内容规则配置界面，如图2-8所示。网页内容规则详细配置说明，如表2-7所示。
|
标题项 |
说明 |
|
启用 |
勾选后则启用搜索引擎规则。 |
|
描述 |
网页内容规则的描述信息。 |
|
关键字对象 |
选择关键字对象，支持通过<添加关键字>按钮来快速创建关键字对象。 |
|
处理动作 |
处理动作包括：告警、拒绝。 |
|
日志级别 |
日志级别包含：紧急、告警、严重、错误、警告、通知、信息、调试、不记录。 |
|
提交 |
提交后当前规则新建成功。 |
|
取消 |
取消规则创建，不下发配置。 |
网页内容规则创建成功后如图2-9所示。规则显示详细说明，如表2-8所示。
|
标题项 |
说明 |
|
ID |
规则对应ID，代表规则优先级。 |
|
描述 |
规则描述信息显示。 |
|
关键字 |
规则引用的关键字对象。 |
|
动作 |
规则动作，包括：告警、拒绝。 |
|
级别 |
规则日志级别，包括：紧急、告警、严重、错误、警告、通知、信息、调试、不记录。 |
|
启用 |
规则启用状态显示，包括：启用和禁用。 |
|
操作 |
支持对当前规则进行编辑和删除。 |
针对内网用户上网不允许搜索引擎查找敏感关键字“毒品”，不允许外发WEB邮件内容包含敏感关键字“内网资产”，不允许浏览包含关键字“新闻”的网页。
图2-10 WEB关键字组网图
(1) 创建解密策略。
由于部分测试网站为https加密网站，需要解密后才能识别到关键字，所以需要先创建解密策略，在导航栏中选择“上网行为管理 > 解密策略”，单击<新建>按钮，配置完成后下发，如图2-11所示。
(2) 创建关键字对象。
在导航栏中选择“上网行为管理 > 对象管理 > 关键字对象”，单击<新建>按钮，进入关键字对象配置页面，如图2-12所示。
点击<提交>按钮，提交配置。
(3) 创建WEB关键字过滤规则
在导航栏中选择“上网行为管理 > IPV4控制策略”，点击<新建>，在弹出页面中单击选择“应用过滤>WEB关键字”，分别创建搜索引擎规则、HTTP上传规则、网页内容规则，如图2-13、图2-14、图2-15所示。
图2-14 HTTP上传规则
点击<提交>按钮，提交配置。
(1) 搜索引擎结果验证
使用百度搜索引擎搜索关键字“毒品”，访问被阻断，无结果回显，同时可以在导航栏“数据中心 > 安全日志 > 应用控制日志”中产生相应阻断日志，如图2-16、图2-17所示。
(2) WEB邮箱结果验证
使用126邮箱发送邮件，内容为：内网资产信息请查收，点击发送，邮件无法发送成功，同时可以在导航栏“数据中心 > 安全日志 > 应用控制日志”中产生相应阻断日志，如图2-18、图2-19所示。
(3) 网页浏览结果验证
使用测试PC访问腾讯网站www.qq.com，同时可以在导航栏“数据中心 > 安全日志 > 应用控制日志”中产生相应阻断日志，如图2-20、图2-21所示。
URL过滤是基于URL分类来对用户访问WEB站点进行控制，控制动作包含允许和拒绝。这样可以通过对HTTP协议的控制为用户提供应用级的安全防护和访问限制。
在导航栏中选择“上网行为管理 > IPV4控制策略”，单击<新建>按钮，选择“URL过滤>URL控制”标签页，新建URL过滤策略，如图3-1所示。URL过滤策略页面详细配置说明，如表3-1所示。
图3-1 URL过滤策略
表3-1 URL过滤策略详细配置
|
标题项 |
说明 |
|
启用 |
勾选后则启用URL过滤策略。 |
|
描述 |
URL过滤策略的描述信息。 |
|
URL分类 |
URL预定义分类和自定义分类。 |
|
处理动作 |
处理动作包括：允许、拒绝。 |
|
日志级别 |
日志级别包含：紧急、告警、严重、错误、警告、通知、信息、调试、不记录。 |
|
提交 |
提交后当前规则新建成功。 |
|
取消 |
取消规则创建，不下发配置。 |
URL过滤策略创建成功后如图3-2所示。策略显示详细说明，如表3-2所示。
图3-2 URL过滤策略配置显示
表3-2 URL过滤策略配置显示详细说明
|
标题项 |
说明 |
|
ID |
策略对应ID，代表策略优先级。 |
|
描述 |
策略描述信息显示。 |
|
URL分类 |
URL预定义分类和自定义分类。 |
|
动作 |
规则动作，包括：允许、拒绝。 |
|
级别 |
规则日志级别，包括：紧急、告警、严重、错误、警告、通知、信息、调试、不记录。 |
|
启用 |
规则启用状态显示，包括：启用和禁用。 |
|
操作 |
支持对当前规则进行编辑和删除。 |
在导航栏中选择“上网行为管理 > IPV4控制策略”，单击<新建>按钮，选择“URL过滤>恶意URL”标签页，如图3-3所示。恶意URL过滤页面详细配置说明，如表3-3所示。
表3-3 恶意URL过滤详细配置
|
标题项 |
说明 |
|
过滤 |
勾选后则启用恶意URL过滤策略。 |
|
不过滤 |
勾选后则关闭恶意URL过滤策略。 |
针对内网用户不允许访问”新闻媒体”网站。
图3-4 应用控制组网图
(1) 创建URL过滤策略
在导航栏中选择“上网行为管理 > IPV4控制策略”，点击<新建>，选择“URL过滤>URL控制”标签页，创建URL过滤策略，如图3-5所示。
图3-5 创建URL过滤策略
点击<提交>按钮，提交配置。
使用终端访问腾讯新闻网站news.qq.com，访问被阻断，同时可以在导航栏“数据中心 > 安全日志 >应用控制日志”中产生相应阻断日志，如图3-6、图3-7所示。
应用控制是基于应用对象来进行控制，控制动作包含允许和拒绝。
在导航栏中选择“上网行为管理 > IPV4控制策略”，单击<新建>，选择“应用过滤>应用控制”标签页，新建应用控制策略，如图4-1所示。应用控制页面详细配置说明，如表4-1所示。
|
标题项 |
说明 |
|
启用 |
勾选后则启用搜索引擎规则。 |
|
描述 |
搜索引擎规则的描述信息。 |
|
应用 |
应用对象，通过点击<选择应用>弹框来选择相关的应用。 |
|
处理动作 |
处理动作包括：告警、拒绝。 |
|
日志级别 |
日志级别包含：紧急、告警、严重、错误、警告、通知、信息、调试、不记录。 |
|
提交 |
提交后当前规则新建成功。 |
|
取消 |
取消规则创建，不下发配置。 |
应用控制策略创建成功后如图4-2所示。
针对内网用户不允许玩游戏，将所有游戏应用全部阻断。
图4-3 应用控制组网图
(1) 创建应用控制策略
在导航栏中选择“上网行为管理 > IPV4控制策略”，点击<新建>，在弹出页面中选择“应用过滤>、<应用控制”标签页，创建应用控制策略，如图4-4所示。
点击<提交>按钮，提交配置。
使用终端登录腾讯QQ游戏，无法登录，被阻断，可以在导航栏“数据中心 > 安全日志 > 应用控制日志”中产生相应阻断日志，如图4-5所示。
邮件控制策略页面包含发件人过滤、收件人过滤、标题及内容过滤、邮件大小以及附件个数过滤。发件人和收件人过滤包括功能开启、策略属性（黑白名单）以及关键字配置。标题及内容支持关键字配置。
通过菜单“上网行为管理>IPv4控制策略>应用过滤>邮件控制”，进入如图5-1所示页面。在该页面上，可以查看已经配置的邮件控制信息。这些信息的详细说明如表5-1所示。
|
标题项 |
说明 |
|
启用 |
开启邮件控制功能 |
|
发件人过滤-黑名单 |
黑名单的用户发送邮件会被阻断 |
|
发件人过滤-白名单 |
仅允许白名单的用户发送邮件 |
|
收件人过滤-黑名单 |
黑名单的用户收邮件会被阻断 |
|
收件人过滤-白名单 |
仅允许白名单的用户收邮件 |
|
标题和内容关键字 |
标题和内容中带有配置的关键字的将会被阻断 |
|
邮件大小 |
发送邮件的大小，如果超过配置值将会被阻断 |
|
附件个数 |
发送附件个数如果大于配置值将会被阻断 |
|
日志 |
邮件被阻断会发送阻断日志，阻断级别可以选择 |
用户test发送邮件大小超过5M，发送的邮件被阻断。
图5-2 邮件控制组网图
(1) 创建用户test
进入“用户管理 > 用户”，新建“test”用户，如图5-3所示。
(2) 配置IPV4控制策略
进入“上网行为管理 > IPV4控制策略”，在“匹配条件”页面，选择用户“test”，并点击<提交>。如图5-4所示。
图5-4 配置IPV4控制策略
(3) 配置邮件控制策略
在“IPV4控制策略配置”页面，选择“应用过滤 > 邮件控制”，配置邮件控制，邮件大小设置为5M，并点击<提交>按钮提交该页配置，如图5-5所示。
图5-5 配置邮件控制
(4) 配置认证策略
进入“用户管理> 认证策略”，配置本地WEB认证策略，如图5-6所示。
图5-6 配置本地WEB认证
(1) 用户test通过本地认证后过设备发送大于5M的邮件，邮件发送失败，如图5-7所示。
(2) 设备应用控制记录阻断日志，可以查看详情，如图5-8所示。
QQ虚拟账号控制是指IPV4控制策略根据所引用关键字对象设置待过滤账号，只允许引用单个关键字对象，关键字过滤只支持精确匹配。根据匹配到的动作（黑名单或白名单）进行QQ账号控制并产生应用控制日志。
通过菜单“上网行为管理 > IPV4控制策略 > 应用过滤 > 虚拟账号”，进入如图6-1所示页面。在该页面上可以配置虚拟账号功能。各个配置项含义如表6-1所示。
|
标题项 |
说明 |
|
启用 |
启用虚拟账号功能，未启用状态下无法配置黑白名单。 |
|
黑名单 |
启用虚拟账号黑名单，引用关键字对象，可以直接点击添加关键字按钮添加关键字对象。 |
|
白名单 |
启用虚拟账号白名单，引用关键字对象，可以直接点击添加关键字按钮添加关键字对象。 |
|
日志级别 |
选择匹配到虚拟账号后产生的虚拟账号控制日志级别。 |
如图6-2所示，公司内网存在内网用户供内部人员使用；无线WIFI供访客使用，具体需求如下：
· 针对内网用户，公司内部人员只放行特定的QQ账户上网，其它qq号阻断登录。
· 针对无线WIFI网络，阻断特定qq账户，其它qq放行可以上网。
(1) 配置地址对象
通过菜单“上网行为管理 > 对象管理 > 地址对象”，点击<新建>地址对象，配置“内网用户”地址对象和“无线wifi”地址对象。如图6-3、图6-4所示。
图6-3 添加内网用户地址对象
图6-4 添加无线wifi地址对象
通过菜单“上网行为管理>对象管理 > 关键字对象”，点击<新建>关键字对象，配置“QQ白名单”关键字对象和“QQ黑名单”关键字对象，如图6-5、图6-6所示。
图6-5 添加QQ白名单对象
图6-6 添加QQ黑名单对象
(3) 配置IPv4控制策略，虚拟账户配置白名单。
通过菜单“上网行为管理>IPv4控制策略”，点击<新建>进入IPv4控制策略配置页面，源地址对象选择“内网用户”，虚拟账户启用白名单，如图6-7、图6-8所示。
图6-7 IPV4控制策略配置内网用户源地址
图6-8 IPV4控制策略配置虚拟账户白名单控制
(4) 配置IPv4控制策略，虚拟账户配置黑名单。
通过菜单“上网行为管理 > IPv4控制策略”，点击<新建>进入IPv4控制策略配置页面，源地址对象选择 “无线wifi”，虚拟账户启用黑名单，如图6-9、图6-10所示。
图6-9 IPV4控制策略配置无线wifi源地址
图6-10 IPV4控制策略配置虚拟账户黑名单控制
(1) 内网用户匹配白名单策略效果
通过菜单“数据中心 > 安全日志 > 应用控制日志”，查看虚拟控制日志。内网用户使用白名单关键字内的QQ账户可以登录，不记录控制日志。使用白名单以外的QQ账户，登录账户阻断后，点击日志详情可以查看匹配的策略名称和阻断账户，如图6-11所示。
(2) 无线WIFI网段用户匹配黑名单策略效果
通过菜单“数据中心 > 安全日志 > 应用控制日志”，查看虚拟控制日志。无线WIFI网段用户使用黑名单以外的关键字登录qq，可以登录不记录控制日志。使用黑名单关键字的账户登录qq阻断后查看控制日志，点击日志条目详细可以看到匹配的策略名称和阻断账户进入如图6-12所示的页面。
图6-12 无线WIFI用户匹配黑名单日志
随着网络化的普及，网络的管理也日趋精细，经常需要在网络内部发布公告或通知内容。网络内部可以选择使用终端公告提醒的公告功能，公告发布后，内网终端能够在访问网页时重定向到公告页面，以达到公告的目的。
通过菜单“上网行为管理>IPv4控制策略”，新建一条IPv4控制策略，编辑此IPv4策略，进入如图7-1所示页面。在该页面上可以配置终端公告推送的相关功能。各个配置项含义如表7-1所示。
|
标题项 |
说明 |
|
启用 |
勾选复选框表示开启终端公告推送功能。 |
|
提醒频率（间隔） |
按配置间隔阈值，周期性进行公告提醒。 |
|
提醒频率（定时） |
配置定时时间，定时进行公告提醒。 |
|
页面选择 |
复选框，可以选择设备内置公告，也可以选择外置公告页面。 |
如图7-2所示，某公司为了加强上网管理，拟定了一个上网准则公告，需要周期性进行网络内部推送，使用设备的ge0和ge1接口以三层路由模式部署在网络中，上联出口FW，下联二层交换机。ACG1000产品上开启移动终端公告推送功能，检测上网行为并周期推送公告提醒。
· 配置设备接口地址及路由。
· 配置地址对象。
· 配置用户识别范围。
· 配置自定义公告内容。
· 开启移动终端公告推送功能。
(1) 配置接口地址
如图7-3、图7-4所示，进入“网络管理>接口”页面，点击编辑ge0、ge1操作，把ge0、ge1的地址分别配置为10.0.219.110/24、192.168.1.1/24。
(2) 配置静态路由
如图7-5所示，进入“网络管理>路由>静态路由”页面，新建一条访问外网的默认路由。
(3) 配置地址对象
如图7-6所示，进入“上网行为管理>对象管理>地址对象>IPv4地址对象”页面，点击<新建>按钮创建内网用户地址对象，设置地址为192.168.1.0/24，点击<提交>。
(4) 配置用户识别范围
如图7-7所示，进入“用户管理>高级选项>全局配置”页面，识别范围选择“内网用户”，其它配置默认，提交配置。
(5) 配置自定义公告内容
如图7-8所示，进入“上网行为管理>对象管理>公告页面”，点击名称中“默认公告”，弹出自定义公告编辑页面。
(6) 开启终端公告推送功能
如图7-9所示，进入“上网行为管理> IPv4控制策略”页面，新建IPv4控制策略，源IP选择“内网用户”并开启终端公告推送功能。
· 内网接口管理方式必须开启http，终端才能正常访问公告页面。
如图7-10所示，某员工使用1台PC访问http网站，会被推送上网准则公告。
高级配置包含时间、老化时间、终端配置，时间中引用时间对象以控制策略的生效时间，老化时间控制命中此IPV4控制策略的会话存活周期，终端可以控制当前IPv4策略基于哪些类型的终端生效。
通过菜单“上网行为管理>IPv4控制策略”，新建一条IPv4控制策略，点击<高级配置>，进入如图8-1所示页面。各个配置项含义如表8-1所示。
|
标题项 |
说明 |
|
时间 |
策略生效时间，可以引用时间对象。 |
|
老化时间 |
基于策略的老化时间，命中此策略的会话按此时间进行老化，默认为0。 |
|
终端 |
终端型号，包含any、移动终端、PC、多终端。 |
点击<选择终端>，弹出如图8-2所示页面。各个配置项含义如表8-2所示。
|
标题项 |
说明 |
|
已选终端 |
显示已选择的终端类型配置。 |
|
终端类型 |
终端类型包含： · any：所有终端类型。 · 移动终端：基于Android或IOS系统的智能手机或Pad。 · PC：基于Windows操作系统的PC或笔记本。 · 多终端：单个IP下同时存在PC和移动终端。 |
|
名称 |
终端类型的名称。 |
|
描述 |
终端类型实际含义的描述信息。 |
针对公司内部网络，不允许移动终端用户通过WIFI热点接入（如360wifi），进行上网，防止降低工作效率。
图8-3 终端控制组网图
(1) 创建终端控制策略，在导航栏中选择“上网行为管理 > IPv4控制策略”，点击<新建>进入IPv4控制策略配置页面，行为选择“拒绝”，高级配置中的终端选择“移动终端”，如图8-4所示。
(2) 点击<提交>按钮，提交配置。
在办公电脑上，启用360wifi，使用移动终端连接wifi，访问网页，被阻断，PC端可以正常访问网络，如图8-5、图8-6所示。
图8-6 PC端可以正常访问网络
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
