SecPath T1000-AK335 怎么开启域名拦截

策略配置

核心原理先说明
图里你用IPv4 地址对象组填主机名域名的方式是错误的！IPv4 地址对象只能填 IP，不能识别域名，这条安全策略只会匹配 IP，完全拦截不到域名访问，所以命中次数一直是 0。
防火墙域名拦截依赖 URL 过滤（特征库）/ 域名对象组 两种正确方案，下面分两种部署方式。
方案一：标准 URL 过滤（推荐，批量拦截域名 / 分类网站，等保常用）
步骤 1：导入 / 更新 URL 特征库
顶部菜单【系统】→【特征库升级】→【URL 特征库】
在线升级到最新库；离线环境上传本地特征库文件，保证库生效。
步骤 2：新建 URL 过滤模板，添加拦截域名
左侧菜单【Web 应用防护】→【URL 过滤】→【新建】
模板名称：高危域名拦截
过滤模式：黑名单模式（名单内域名拦截，其余放行）
进入模板【自定义 URL】→【添加】
匹配类型选主机名，内容填写：www.baidu.com、*.shturl. 等需要拦截的域名，动作选阻断；
保存 URL 模板。
步骤 3：安全策略绑定 URL 过滤模板（关键）
新建 / 修改安全策略，匹配流量：源 Trust、目的 Untrust、服务 Any；
策略【动作】选择允许（必须允许，URL 过滤是内容安全控制，先放通流量再过滤域名）；
右侧【内容安全】下拉框，选中刚才创建的「高危域名拦截」URL 模板；
策略优先级调至靠前，点击【立即加速】使策略生效。
补充：URL 过滤拦截效果
内网终端访问黑名单域名时，防火墙直接阻断并返回拦截页面，策略命中次数持续上涨。
方案二：域名对象组匹配（精准拦截少量自定义域名，适配你现有逻辑）
步骤 1：创建域名对象（不能用 IPv4 地址对象）
顶部菜单【对象】→【域名对象】→【新建对象组】
对象组名称：高危域名
点击【添加】，类型选择主机名，填入拦截域名 www.baidu.com，支持通配符 *.shturl.，批量添加所有需要拦截的站点。
步骤 2：编写拦截安全策略（正确配置）
新建安全策略：
源安全域：Trust（内网）
目的安全域：Untrust（互联网）
源地址：内网地址段（如 10.20.51.157）
目的地址：域名对象组【高危域名】（这里选刚建的域名对象，不是 IPv4 地址组）
服务：Any
动作：拒绝
保存策略，点击【立即加速】生效。
关键区分（你之前出错点）
❌ 错误：IPv4 地址对象组填域名（IPv4 对象仅识别 IP，域名无法匹配，命中 0）
✅ 正确：【对象→域名对象】存放域名，安全策略目的地址调用域名对象组
三、域名拦截不生效通用排查清单
对象类型错误：确认域名存放在「域名对象」，不是 IPv4 地址对象；
安全域方向写反：内网 Trust 访问互联网 Untrust，不要 Trust 到 Trust；
动作冲突：URL 过滤场景策略动作必须是「允许」，靠内容安全阻断；直接拒绝域名对象的策略动作选「拒绝」；
策略优先级：拦截策略放在放通互联网通用策略前面，避免被允许策略优先匹配；
特征库状态：URL 过滤方案必须升级 URL 特征库，库失效会导致拦截失效；
立即加速：修改策略 / 对象后必须点页面【立即加速】，配置才会下发硬件；
DNS 代理干扰：内网终端 DNS 不走防火墙时，域名解析绕过设备，拦截失效；开启防火墙 DNS 代理，终端网关 / DNS 指向防火墙。
四、极简操作总结
你当前用 IPv4 地址组存域名是无效配置，命中次数 0 是正常现象；
少量域名拦截：用【对象 - 域名对象】存储域名，安全策略目的地址调用该对象，动作拒绝；
批量网站 / 分类拦截：用【Web 应用防护 - URL 过滤】黑名单模板，绑定到允许动作的安全策略；
配置完成后点击「立即加速」，核对策略命中次数是否增长验证效果。

需要配置DNS SNOOPING