网络流量经过ACG1000最新版谷歌浏览器和edge无法访问百度

做了控制策略里吧，检查下

G1000系统版本（R3.1.140）对最新浏览器协议的兼容性不足，需按以下步骤解决：

根本原因分析

1. TLS 1.3兼容性问题

   • Chrome/Edge最新版默认使用TLS 1.3加密，而ACG1000的 R3.1.140（属6611分支）不支持TLS 1.3报文解析，导致流量误判或阻断。
   • 360浏览器可能仍使用TLS 1.2，故正常。

2. Client Hello分片问题

   • 新版浏览器发送的分片Client Hello报文（如SNI字段过长），ACG无法识别Server Name（SNI），误判为未知流量。

解决方案

1. 升级ACG1000系统版本

这是根本解决途径：

• 升级至支持TLS 1.3的分支版本：
  • 最低要求：6612分支（如R3.1.170）
  • 推荐稳定版：6616P04或更高（修复分片报文解析问题）。

2. 临时规避方案（不推荐）

若无法立即升级：

• 在浏览器中强制降级TLS协议：
  • Chrome：地址栏输入 chrome://flags → 搜索 TLS 1.3 → 选择 Disabled。
  • Edge：地址栏输入 edge://flags → 同上操作。

  ⚠️ 警告：此操作降低安全性，仅作临时测试。

验证方法

升级后：

1. 在ACG上启用URL过滤日志（路径：监控 > 策略日志 > 应用控制）。
2. 用Chrome访问百度，查看日志中是否命中放行策略。
3. 抓包确认Client Hello未分片（使用Wireshark过滤tls.handshake.type == 1）。

补充说明

• 为何360浏览器正常？
  因其内核（如IE兼容模式）可能仍用TLS 1.2，且未触发报文分片，故未被ACG拦截。
• 系统版本兼容性：
  R3.1.140（6611）存在多项浏览器兼容缺陷，升级后同时解决其他潜在问题（如分片报文、新内核适配）。

结论：必须升级ACG1000至6616P04或更高版本。若需临时恢复访问，可降级浏览器TLS协议，但存在安全风险，建议优先升级设备固件。