ACG1000（上网行为管理）应用特征库、URL 库、病毒库、入侵防御库共用新华三统一安全升级服务器，分主调度域名、文件下载 CDN、授权校验、证书校验四类域名，仅放行域名更稳定（CDN IP 动态变化，不建议仅放静态 IP）。
一、必须放行核心域名（TCP 443 HTTPS，优先放行）
1. 新一代默认主升级域名（ACG1000 全系 R03/R04 版本内置）
sec.h3c.com
作用：特征库调度中心、版本查询、AV 病毒云校验、分配下载节点，最关键
2. 通用老版本升级域名（兼容旧固件、备用通道）
update.h3c.com / update.h3c.com.cn
作用：传统特征库查询接口，低版本 ACG 默认走此域名拉取更新清单
3. CDN 文件下载域名（实际特征库大包下载）
downloadcdn.h3c.com
作用：特征库压缩包、URL 库、应用识别库文件实体下载，流量最大的域名
4. 授权 / 序列号校验（升级前校验授权有效性，不放行会提示无权限更新）
license.h3c.com
5. 证书校验域名（升级包签名验签，证书失效升级失败）
ca.h3c.com
6. 备用国际节点（多线路自动切换，海外 / 双线环境必放）
www.h3c.com、www.h3c.com.cn
7. IPS / 威胁特征库专用备用（入侵防护库升级补充）
update.ips.h3c.com、updates.ips.h3c.com
二、通信端口硬性要求
所有域名统一使用：
TCP 443（HTTPS，主）
部分老旧固件兼容：TCP 80（HTTP，建议一并放行备用）
三、官方国内升级服务器 IP 段（兜底方案，域名解析异常时补充放行）
CDN 节点 IP 会动态调度，只能放网段无法固定单 IP：
国内升级核心段：202.103.24.0/24、202.103.25.0/24
补充 CDN 大段：113.207.0.0/16、182.254.0.0/16
注意：仅放行 IP 段存在风险，新华三会扩容新增节点，优先域名白名单。
四、极简白名单放行清单（复制直接配置防火墙策略）
域名白名单（推荐）
plaintext
sec.h3c.com
update.h3c.com
update.h3c.com.cn
downloadcdn.h3c.com
license.h3c.com
ca.h3c.com
www.h3c.com.cn
www.h3c.com
update.ips.h3c.com
updates.ips.h3c.com
放行端口：TCP 80、TCP 443
IP 网段兜底（域名解析故障补充）
plaintext
202.103.24.0/24
202.103.25.0/24
113.207.0.0/16
182.254.0.0/16
五、配套前置条件（升级必满足）
ACG1000 配置可用 DNS（公网 DNS：223.5.5.5 / 114.114.114.114），否则无法解析上述域名；
设备系统时间正确，证书校验依赖时间，时间偏差超 30 分钟升级直接失败；
安全策略允许 ACG 本地域访问互联网 untrust 域的 443/80；
若内网有代理服务器，需在 ACG「系统升级」页面配置代理地址。
六、排查验证命令（ACG 命令行测试连通）
plaintext
# 测试域名解析
ping sec.h3c.com
# 测试443端口连通性
telnet sec.h3c.com 443
# 手动触发特征库升级测试
exec applib update
七、收紧策略最佳实践
防火墙只创建单独白名单策略，仅允许 ACG 管理 / 升级源 IP 访问上述域名 443；
不开放全网访问，仅限制 ACG 设备本身；
定期核对新华三官网更新服务器域名，新增节点及时补充白名单。