防火墙屏蔽V~P!N问题

特征库有更到最新吗

安全策略限制掉就行

vpn要用Acg也就是行为特征来封禁

另外如果是HTTPS类的代理则没办法

## F1000-8330 方案（你已经有 IPS、AV、URL 特征库，教学平板场景，大量业务走 443 HTTPS）

>
> 难点：学生代理大多跑在 443/443 变种端口，和你合法教学 APP 共用 443 端口；只封端口会把教学 APP 一起封掉，所以不能简单封 443。
> 核心思路：**DPI 应用识别 + IPS 特征阻断 + SSL 解密（SSL 策略） + 兜底控制**，白名单放行指定教学 APP，其余代理 / 隧道类全部阻断。

### 1、优先：IPS 策略，阻断各类隧道代理特征（最核心）

F1000-8330 V7，IPS 特征库里面自带大量代理、隧道类签名：各类代理、SSR、VMess、Trojan、旧版 SSL 隧道、IPSec/L2TP 等。

1. 新建 IPS 策略，筛选分类：**代理、隧道、加密代理、翻墙工具**，动作设置为**丢弃（protect）**，不要只告警 alert。
2. 把这个 IPS 策略绑定到 DPI 应用 profile，再把 profile 应用在【Trust→Untrust】学生平板的域间安全策略上。

>
> 局限：**强加密、私有协议、新版本代理，不做 SSL 解密的情况下，DPI 识别不到里面的流量，会漏过**，这就是现在学生能绕过的主因。

### 2、关键补充：SSL 解密（SSL Inspect），解决 443 加密隧道识别盲区（重中之重）

你教学 APP 都是 HTTPS 443，不做 SSL 解密，防火墙只能看到目标 IP 和端口，看不到里面是教学 APP 还是代理隧道。
操作要点：

1. 在防火墙配置 SSL 解密策略，对内网学生平板的出站 HTTPS 流量做中间人解密；
2. **白名单优先**：把几个教学 APP 对应的域名 / 服务器 IP 加入 SSL 解密豁免列表（不解密，直接放行，避免教学 APP 证书报错）；
3. 剩下其余 443 HTTPS 流量全部解密，解密之后 IPS、应用识别、URL 过滤才能深入检测里面的隧道代理特征；

>
> 风险提醒：解密后平板访问外网 HTTPS 会弹出证书，需要把防火墙根证书批量预装到教学平板镜像里，否则平板报证书风险，教学 APP 打不开。
> 如果学校平板不方便预装根证书，这条路就受限，只能退回到【应用识别 + 域名白名单方案】。

### 3、备选方案：域名白名单模式（适合不方便做 SSL 解密的教学场景，推荐学校优先评估）

思路：**默认全部外网阻断，只放行教学 APP 对应的域名 / IP**，不再靠黑名单去堵层出不穷的代理。

1. 抓包、日志提取几个教学 APP 的所有域名、服务器 IP，做成地址对象 / 域名对象；
2. 安全策略：学生平板网段，仅允许访问这份白名单；其余所有外网访问直接拒绝；
✅ 优点：不怕新型代理隧道，代理哪怕走 443，目标不在白名单直接不通，一劳永逸；
❌ 缺点：后续新增教学 APP，就要持续收集域名加白名单，运维工作量大。

### 4、辅助兜底规则（搭配上面方案一起用）

1. 端口层面：封堵非必要出向端口，UDP 500/4500（IPSec）、1701（L2TP）、GRE，普通学生不会用到这些，直接安全策略拒绝；
2. DNS 管控：学生平板强制指定防火墙 DNS，防火墙开启 DNS 过滤，拦截代理常用 DNS 域名、DNS 隧道；禁止平板自定义 DNS；
3. 应用库持续更新：定期升级 IPS + 应用识别特征库，这类工具更新迭代很快，库不更新识别率持续下降；
4. 日志审计：开启 DPI 日志，持续观察哪些 443 连接命中阻断，发现新的代理 IP / 域名及时加入黑名单。

### 5、避坑提醒

1. 不要全局封禁 443 端口：你的教学 APP 大量依赖 443 HTTPS，一封教学直接瘫痪；
2. 区分防火墙自身 SSL VPN 和学生的非法隧道：IPS 特征里面可以筛选，不要把防火墙自己的 SSL VPN 特征一起拦了；
3. QUIC（UDP 443）现在很多代理走 QUIC，记得在 DPI 策略里开启 QUIC 检测，必要时直接拦截 UDP 443，很多教学 APP 只使用 TCP 443，不用 QUIC。

---

## 方案选型快速建议

- 条件允许、平板可以批量导入证书：**IPS 阻断 + SSL 解密 + 教学域名白名单豁免**，识别能力最强；
- 平板无法装根证书、不想折腾证书：直接上**域名白名单方案**，只放教学域名，是校园平板场景最稳的方案。