H3C SecPath ACG1000系列应用控制网关 Web配置指导(R6616)-6W103

18-控制策略

1 控制策略

1.1 控制策略

1.1.1 控制策略概述

控制策略对通过设备的用户、源接口/域、目的接口/域、源地址、目的地址、应用、服务、终端、时间等维度进行访问控制，针对应用、URL、入侵防御、病毒防护等内容进行统一管控，并且支持策略分组。控制策略适用于IPv4和IPv6网络的访问控制。

1.1.2 查看控制策略

在导航栏中选择“策略配置 > 控制策略”，进入控制策略显示界面，如图1-1所示。查看设备上已有的控制策略条目。设备将按照从上到下的顺序依次匹配所有策略条目，用户可选中特定条目后点击<优先级>调整该条策略的优先级。

控制策略的默认规则为“允许”，用户可以根据需求在控制策略页签将默认规则配置为“拒绝”。默认规则优先级较低，仅在没有配置具体控制策略或者未匹配到任何控制策略的情况下，才会匹配默认规则。

图1-1 控制策略显示界面

控制策略的含义如表1-1所示：

表1-1 控制策略显示信息描述表

标题项	说明
状态	控制策略的状态： · 表示策略启用 · 表示策略禁用
ID	控制策略的ID。
用户	匹配控制策略的用户对象。
行为	控制策略行为的状态包含：允许、拒绝
策略组	策略所属的分组名称。
源接口/域	匹配控制策略的源接口/域。
目的接口/域	匹配控制策略的目的接口/域。
源地址	匹配控制策略的源地址。
目的地址	匹配控制策略的目的地址。
应用	匹配控制策略的应用对象。
服务	匹配控制策略的服务对象。
终端	匹配控制策略匹配的终端类型，包括：any、移动终端、PC、多终端。移动终端：基于Android或IOS系统的智能手机或Pad； PC：基于Windows操作系统的PC或笔记本；多终端：单个IP下同时存在电脑和移动终端。
描述	控制策略描述。
匹配次数	匹配控制策略的次数。
应用安全	如果显示图标，表示已经配置应用过滤或URL过滤规则。
时间	匹配控制策略匹配的时间对象。
日志	设备是否记录syslog格式的控制策略日志。
老化时间	基于控制策略的老化时间，缺省情况下，老化时间为0，表示使用各个协议默认的老化时间。
操作	控制策略支持的操作，包含编辑、删除和复制。

策略支持外部编辑，在导航栏中选择“策略配置 > 控制策略”，进入控制策略页面，点击任一支持外部编辑的7元组对象：用户、源接口/域、目的接口/域、源地址、目的地址、应用、服务，如图1-2所示。

图1-2 策略外部编辑配置界面

策略外部编辑界面的详细信息如表1-2所示：

表1-2 策略外部编辑界面详细信息

标题项	说明
类型	类型包含：用户、接口、源地址、目的地址、应用、服务
类型显示列	点击相应类型后，此列显示对应的类型数据，可直接选择进行配置。
已选列表	已配置类型的对象内容显示区。

1.1.3 新建控制策略

在导航栏中选择“策略配置 > 控制策略”，单击<新建>按钮，进入控制策略配置页面，如下图所示。

图1-3 控制策略配置界面

控制策略详细配置说明，如表1-3所示。

表1-3 控制策略详细配置

标题项	说明
启用	策略启用和禁用，勾选表示开启策略，不勾选表示禁用策略。
行为	策略的行为包含： · 允许，对匹配条件的会话进行应用控制，如URL过滤和应用过滤。 · 拒绝，阻断命中匹配条件的会话。 · 根据自定义网络资源及访问权限，实现分时访问功能。即内网用户只能同时访问一个网络，当需要访问另一个网络时，进行网络切换。
策略分组	策略可以分组展示。
日志	勾选后，设备会记录syslog格式的控制策略日志。在“系统管理>系统设定>日志设定”页面，可以设置是否将指定级别的控制策略日志发送到日志服务器。
描述	控制策略描述信息。
匹配条件	控制策略的匹配条件，包含用户、接口、源地址、目的地址、应用、服务。
入侵防御	对匹配的对象执行入侵防御检查。勾选防护模式并且模板下的规则或协议异常检查配置了阻断，才会阻断流量，否则只根据日志配置决定是否记录日志。
病毒防护	对匹配的对象执行病毒防护检查。勾选启用复选框启用病毒防护，并选择需要防护的项目及防护行为。在上边栏选择数据中心，在菜单栏选择“日志中心安全日志病毒防护日志”查看详细日志信息。
URL过滤	URL过滤规则，包含URL控制和恶意URL控制。如果用户的访问行为触发了URL过滤规则，将会被重新定向到URL控制或恶意URL公告页面。详细配置请参考URL过滤。
应用过滤	应用过滤规则，包含应用控制、邮件控制、WEB关键字控制、虚拟账号控制、文件类型过滤和协议过滤。详细配置请参考应用控制。
终端公告提醒	给匹配条件的终端推送公告提醒页面。策略首次下发后会进行第一次推送，后续按间隔定期推送。详细配置请参考1.5 终端公告推送。
高级配置	包含时间对象配置、老化时间配置、终端类型、终端型号、VLAN及DSCP配置等。详细配置请参考高级配置。

· 控制策略动作为“拒绝”时，如果勾选了“日志”，设备只记录syslog格式的控制策略日志，不记录本地日志。如果需要在本地记录日志，可将控制策略的行为配置为“允许”，在应用过滤中配置处理动作为“拒绝”的策略，设备匹配到该策略后会在本地产生相应的日志。

· 控制策略动作为“允许”时，设备syslog日志支持记录级别为“info”的控制策略日志，在设置日志外发级别需要选择“全部级别”，或者“信息”，或者“调试”，远端syslog服务器才能收到日志。

· 控制策略动作为允许的时候，建议不要勾选“日志”。如果勾选日志并外发，会产生大量外发日志，可能会对设备性能产生影响。

1.1.4 控制策略优先级配置

在导航栏中选择“策略配置 > 控制策略”，单击<优先级>按钮进入控制策略优先级配置页面，如图1-4所示。

图1-4 策略优先级

控制策略优先级详细配置说明，如表1-4所示。

表1-4 控制策略优先级详细配置

标题项	说明
被移动的策略ID	被移动的策略索引。
目标位置	移动后的位置： · 策略最前指移动到所有策略的最前面。 · 策略之前指移动到某条固定的策略之前。 · 策略之后指移动到某条固定的策略之后。 · 策略最后指移动到所有策略的后面。
目标位置策略ID	参考策略索引，可以选择对应策略ID，将当前策略移动到该策略ID之前或之后。

1.1.5 启用和禁用控制策略

在导航栏中选择“策略配置 > 控制策略”，进入控制策略显示页面，如图1-5所示。勾选要启用或者禁用的控制策略，单击<启用>或<禁用>按钮可以启动和禁用该控制策略。

图1-5 控制策略启用和禁用

1.1.6 复制控制策略

在导航栏中选择“策略配置 > 控制策略”，进入控制策略显示页面。单击需要复制的控制策略后面的按钮，然后单击“确定”按钮，进入复制后的策略编辑页面，最后单击“提交”按钮即可以对该控制策略进行复制，生成一个新的控制策略。

图1-6 复制控制策略

1.1.7 删除控制策略

在导航栏中选择“策略配置 > 控制策略”，进入控制策略显示页面，如图1-7所示。勾选要删除的控制策略，单击<删除>按钮或点击操作中<删除>按钮，可以删除该控制策略。

图1-7 控制策略删除

1.1.8 清除控制策略匹配计数

在导航栏中选择“策略配置 > 控制策略”，进入控制策略显示页面，如图1-8所示。勾选要清除匹配计数的控制策略，单击<匹配次数清零>按钮可以清除该控制策略的匹配计数。

图1-8 清除控制策略匹配计数

1.1.9 控制策略默认规则

在导航栏中选择“策略配置 > 控制策略”，进入控制策略显示页面，如图1-9所示。勾选允许或拒绝单选框，可以修改默认控制策略行为。

图1-9 默认规则

1.1.10 控制策略查询

在导航栏中选择“策略配置 > 控制策略”，进入控制策略显示页面，如图1-10所示。单击查询，填写过滤条件可以查询出符合该过滤条件的控制策略。

图1-10 控制策略查询

控制策略查询配置详细说明，如表1-5所示。

表1-5 控制策略查询详细配置

标题项	说明
ID	被查询的策略索引。
源接口/域	策略所选择的源接口。
源地址	策略所配置包含该地址的地址对象（可基于地址对象、IP地址和域名查询）。
用户	策略所选择的用户。
目的接口/域	策略所选择的目的接口。
目的地址	策略所配置包含该地址的地址对象（可基于地址对象、IP地址搜寻和域名查询）。
服务	策略所选择的服务。
描述	策略所对应的描述信息。

1.1.11 策略分组

在导航栏中选择“策略配置>控制策略”，进入控制策略显示页面，如图1-11所示。移动到左边，点击，会弹出策略分组管理页面。

图1-11 策略分组页面

策略分组详细说明，如表1-6所示。

表1-6 策略分组详细配置

标题项	说明
	新建策略分组。
	修改策略分组名称。
	删除策略分组。

1.1.12 控制策略配置案例

1. 组网需求

禁止公司员工上班时间（8：00—18：00）访问QQ。

2. 配置步骤

(1) 配置日计划

在导航栏中选择“策略配置 > 对象管理 > 时间对象> 日计划”，单击<新建>按钮，进入日计划配置页面，如图1-12所示。

图1-12 日计划配置

点击<提交>按钮，提交配置。

(2) 配置控制策略

在导航栏中选择“策略配置 > 控制策略”，单击<新建>按钮，进入控制策略配置页面，行为选择拒绝，勾选日志，在“匹配条件”页面中，应用类型选择“即时通讯 > QQ”，如下图所示。

图1-13 控制策略配置

单击选择“高级配置”标签页，时间选择已配置的时间对象，如图1-14所示。

图1-14 控制策略高级配置

3. 验证配置

配置完成后，公司员工在8：00—18：00的时间范围内无法登录QQ，但在其它时间是可以登录的。

1.2 控制策略分时访问

1.2.1 简介

在多网络场景中，要求同一台终端不能同时访问多个网络资源，比如终端在访问互联网时，无法访问政务外网，当此终端访问政务外网时，无法访问互联网。用户需要根据业务的需要，自主进行网络切换，分时访问不同的网络资源，实现网络的隔离。

设备支持自定义网络资源及访问权限，通过分时访问策略实现分时访问功能。当用户访问的网络不是当前网络时，设备会对用户进行权限切换提醒，用户确认切换后，无需上网用户重新认证，自动匹配与之对应的访问权限，防止出现上网用户同时访问多类网络资源等情况。

1. 应用场景

分时访问功能应用于客户多网络场景，如下图所示，内网PC在访问内部服务器区时，不允许同时访问外网Internet；访问外网Internet时，不允许同时访问内部服务器区域，确保用户无法同时访问内网服务器区和外网Internet场景，从而实现内网服务器区和外网Internet隔离，如下图所示。

图1-15 分时访问应用场景组网图

分时访问的使用场景为受限场景：用户需要根据自己的组网情况，对认证用户访问的不同目的网络做划分，再通过设备的分时访问控制功能，针对划分的网络进行访问控制。如上图，对PC所访问的目的网络地址进行划分，将内网服务器区的地址划分为内网，将除内网服务器区的地址外的全部划分为互联网，即访问Internet。

需要对认证用户访问的目的网络地址进行网络划分，目的地址是指设备转发出去后的目的地址，请根据实际转发后的目的地址进行网络划分。

2. 原理描述

在控制策略配置时支持设置分时访问策略及分时访问规则。通过控制策略匹配条件中目的地址对网络资源进行划分。分时访问规则中用户加入设置的属性组与设置的目的地址网络相匹配对应，用户加入到该属性组即表示加入了该网络。

(1) 用户认证完成时第一次访问的分时网络即为用户当前所在的网络（默认网络）。

(2) 当认证用户的流量经过设备命中分时访问策略时，如果用户在当前网络（属性组）则对用户流量直接放行。

(3) 如果用户不在当前网络，根据分时访问规则的设置对用户流量进行处理。包括：流量劫持和流量劫持弹Portal切换网络。

1.2.2 使用限制和注意事项

· 分时访问控制策略只支持HTTP弹Portal方式。

· 分时访问为基于认证用户的访问控制，匹配的用户必须为认证用户。

· 由于认证用户可以多终端共享，即一个用户可以有个多个IP地址，同一用户的多终端网络保持一致（一个终端切换网络，所有的同用户终端都跟着切换）。

· 如果该用户已经加入其它属性组，当进行分时控制时会将其它属性组下该用户删除，只保留当前加入的属性组。

· 用户终端下线时会将用户从加入的属性组中删除。

· 网络切换的portal页面地址使用的是HTTP 8000端口，需要保证端口访问正常。

1.2.3 配置分时访问控制策略

在导航栏中选择“策略配置 > 控制策略”，点击<新建>，行为选择“分时访问”。

选择匹配条件，目的地址选择创建的地址对象，根据选择的目的地址匹配不同的控制策略，配置前需要创建对应用户访问的不同目的地址的地址对象。

图1-16 配置分时访问匹配条件

选择“分时访问规则”标签页，编辑相关信息，点击<提交>。

图1-17 配置分时访问规则

表1-7 分时访问规则配置详细说明

参数	说明
动作	弹Portal：匹配到分时访问规则后，弹出网络切换提醒Portal页面，用户单击切换后，将用户切换到另外一个网络，否则继续访问原来的网络。拒绝：用户加入了一个网络后，再访问另外一个网络，如果命中这条策略是拒绝的，则访问的网络会被阻断。
用户加入	选择用户加入的属性组，只能选择属性组。选择创建的属性组，将访问不同目的地址网络的用户分别加入所选的属性组。新建属性组，根据网络划分新建属性组，属性组名代表网络名称。
页面跳转设置	之前访问的页面：弹Portal之后进行网络切换，页面跳转到弹Portal之前访问的页面。重定向URL：弹Portal进行网络切换后，页面跳转到重定向的页面。当前访问页面：即Portal页面。

按照上面的方法再新建一条控制策略，针对用户访问不同的网络配置不同的控制策略，根据匹配条件中选择的目的地址匹配不同的控制策略。

内网PC访问外网时，认证成功匹配到该分时策略后，根据内网PC首次访问目的地址，将认证用户加入对应的属性组，如“网络A”；当该认证用户属于“网络A”时，访问其他的网络地址如“网络B”，则会根据配置的分时访问动作进行弹Portal或阻断。