MSR3660(WiNet)（V7路由器）配置上网行为管理导致内网全部断网的案例

某公司MSR3660作为出口设备，客户在用户组内配置了单个内网某电脑的IP地址，针对这个用户组将上网行为管理设置为阻断游戏，其他的所有内容都设置为不阻断不限速。以上操作之后，用户的内网全部断网，无法访问外网，但是能ping通路由器的LAN口地址。

客户查看特征库管理，点击在线升级，提示 ：“操作失败：没有找到有效的license。”

根据用户的反应，自己组网测试。复现用户的问题。发现配置内有安全域，但是安全域内没有接口。配置内生成了一条any到any的域间策略。查看管理界面有提示：“如果需要对某下行接口和上行接口之间的流量进行应用控制，则需要把这些下行接口和上行接口加入安全域。当不需要进行应用控制时，必须把这些接口从安全域移除，否则会造成网络中断。”

将内、外网口加入安全域后，再在管理界面增加配置阻断ICMP协议，其他协议不阻断不限速的策略时，管理界面失去响应，也无法再访问外网的web界面。

此时在命令行将内网接口取消加入安全域后，能访问管理界面，但是依然无法访问外网的web界面。

在内网接口未加入安全域的情况下，在管理界面上将之前配置的策略删除。重新配置放通所有协议不阻断不限速的策略。能正常配置成功，管理界面不会失去响应。配置完成后再将内网接口加入安全域，ping外网不同，但是能访问对应的web界面。说明上网行为策略应用成功。证明虽然未购买license，此功能任然可用，但是由于特征库无法更新，无法保证上网行为管理策略应用后对内网用户的上网行为识别的准确性。

V7路由器默认没有开启安全功能，也没有安全域。所以接口不加入域能正常上网。但是上网行为管理要通过域间策略的方式来生效，所以当配置上网行为管理策略时，设备会下发动作是inspect的域间策略。此时相当于设备启用了安全功能，类似于防火墙。需要将接口加入安全域，才能根据域间策略访问外网。

另外，测试的此款设备在接口已加入域的情况下，通过此接口在web界面下发上网行为策略时，策略下发过程中此接口权限发生变化，部分高权限命令无法下发，导致策略不生效甚至无法访问管理界面的情况。因此，使用此功能需要先在接口未加入安全域的情况下先在web管理界面下发策略，下发完策略之后再将接口加入安全域。或者单独用一台电脑连接到不需要加入安全域的接口在web管理界面上进行配置。

接口权限发生变化，部分命令无法下发，导致客户现场问题。使用未加域的接口配置好之后再加入对应的安全域问题解决。

V7路由器使用上网行为管理功能时，需要先在配置的设备接入的接口未加入安全域的情况下，在web管理界面配置好对应的上网行为管理策略。让后将内外网口加入对应的安全域，上网行为管理策略才会正确生效。接口如果未加入安全域会导致内网断网。将上网行为管理策略删除之后，必须把这些接口从安全域移除，否则也会造成网络中断。