问
acg1040能控制指定内网网段仅仅访问一个指定的网址吗？
2026-09-09提问
- 0关注
- 0收藏，126浏览
问题描述：
acg1040能控制指定内网网段仅仅访问一个指定的网址吗？请问如何操作？谢谢
- 2026-09-09提问
- 举报
-
(0)
最佳答案
ACG1040：指定内网网段仅访问单个指定网址
可以实现，依靠 URL 过滤【白名单模式】+ 安全策略绑定配置文件完成H3C。
原理：URL 过滤开启白名单模式，只放行白名单填写的目标网站，其余全部阻断；把该 URL 配置文件绑定到针对该内网网段的安全策略上，只对这个网段生效，不影响其他网段上网。
⚠️重要注意点
- HTTPS 网站依靠 SNI 识别域名，建议开启 HTTPS 流量过滤；如果网站使用 TLS1.3，部分场景 SNI 识别会失效，必要时开启 SSL 解密。
- 网站会调用 CDN、静态资源，建议把网站关联的 CDN 域名也一并加入白名单，否则页面样式 / 图片加载不全。
- 需要放行 DNS（UDP53/TCP53），否则域名解析失败。
Web 界面操作步骤
- 对象管理‑地址对象，新建地址对象，填写需要限制的内网网段（例：
192.168.10.0/24）。 - 对象‑安全配置文件‑URL 过滤‑配置文件 → 新建H3C
- 配置文件名：
only‑allow‑xxx - 开启【白名单模式】（核心！开启后仅白名单网站允许，其余全部拦截）
- 开启 HTTPS 流量过滤，开启日志（便于排错）
- 在白名单处添加目标域名，如
***.***/P；该网站用到的 CDN 域名也添加到白名单。 - 提交保存。
- 配置文件名：
- 策略‑安全策略，新建一条安全策略，放在策略列表靠前位置
- 源地址：选择刚才创建的受限内网网段对象
- 目的域：untrust
- 服务：any（包含 http、https、dns）
- 动作：允许
- 安全配置文件：引用刚才新建的 URL‑filter 配置文件
only‑allow‑xxx
- 确认其他网段不受这条策略影响；把这条策略移到其他上网策略前面，优先匹配。
- 测试：受限网段只能访问白名单域名，访问其他网站直接被阻断；其他内网网段正常上网。
命令行简要参考
#1、创建内网网段地址对象
object-group ip address limit‑seg
network subnet 192.168.10.0 24
quit
#2、创建URL过滤配置文件，开启白名单模式
url‑filter profile only‑allow‑site
whitelist‑mode enable
whitelist add host text ***.***/P
#如有CDN域名继续添加whitelist add host text xxx‑***.***
https‑filter enable
logging enable
quit
#3、新建安全策略，绑定url‑filter配置文件
security‑policy ip
rule name limit‑web
source‑ip object‑group limit‑seg
destination‑zone untrust
action permit
profile url‑filter only‑allow‑site
quit
排错手段
- 访问测试，查看URL 过滤日志，看是哪条规则拦截报文。
- 检查 DNS 是否放行，终端能否正常解析域名。
- 网页打开不全，排查是否缺少 CDN 域名未加入白名单。
- 确认安全策略命中计数增长：
display security‑policy ip rule name limit‑web。
极简总结
ACG1040 支持该需求：新建 URL 过滤配置文件，打开白名单模式，填入允许的域名；创建安全策略，源为受限内网网段，绑定该 URL 配置文件，策略优先匹配；注意补充 CDN 域名和放行 DNS。
你好，web界面操作第二步就找不到对应的操作按钮了。
zhiliao_Bgki86
发表时间：5天前
zhiliao_Gixe
九段
可以。配置关键步骤：
1. 配置对象：
定义内网网段对象：object ip address <名称> <网段/掩码>
定义URL对象：object url <名称>，添加允许的URL（支持主机名或正则，如host h3c.com）
2. 配置段策略：进入段（Segment）配置，在policy-based视图下：
新建段策略：rule <序号>
匹配条件：source-ip <内网对象>、destination-url
动作：action pass
最后配置同段/更高序号的规则，动作为action drop，匹配该内网网段（或默认规则）
注意：确保ACG串接在路径上，路由可达，且该内网流量经过ACG的业务段。
1. 配置对象：
定义内网网段对象：object ip address <名称> <网段/掩码>
定义URL对象：object url <名称>，添加允许的URL（支持主机名或正则，如host h3c.com）
2. 配置段策略：进入段（Segment）配置，在policy-based视图下：
新建段策略：rule <序号>
匹配条件：source-ip <内网对象>、destination-url
动作：action pass
最后配置同段/更高序号的规则，动作为action drop，匹配该内网网段（或默认规则）
注意：确保ACG串接在路径上，路由可达，且该内网流量经过ACG的业务段。
- 2026-09-09回答
- 评论(0)
- 举报
-
(0)
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
你好，web界面操作第二步就找不到对应的操作按钮了。