H3C ACG1000如何禁止某IP上外网

需要购买应用特征库授权并更新特征库

需求说明：指定源 IP 终端，内网服务器互访完全放行；不能直接访问互联网；所有外网业务（钉钉 / 微信 / 邮箱）必须经过内网代理服务器转发。 ⚠️重要前提：ACG 必须是路由模式 / 透明桥串接部署；旁路镜像模式只能审计，无法做流量阻断控制。策略从上往下匹配，匹配即停止，策略序号顺序非常关键H3C。

一、前期对象准备（Web：策略配置‑对象管理）

1. IPv4 地址对象

• limit‑ip：需要限制上网的终端 IP（单个 IP 或者 IP 段）
• proxy‑svr：内网代理服务器 IP 地址
• inner‑net：全部内网网段（内网服务器网段，用于内网互访放行）

2. 应用对象（可选）：钉钉、微信、邮箱类应用；本场景流量是终端指向代理服务器，应用识别识别到的是代理流量，优先基于目的 IP 做控制，不依赖应用特征。

二、控制策略顺序（从上到下，序号从小到大）

策略顺序不能乱，前面优先匹配：

1. 策略 1：放行【受限 IP 访问全部内网网段】，保障对内服务器互通
2. 策略 2：放行【受限 IP 访问内网代理服务器】，允许终端把外网请求发给代理
3. 策略 3：拒绝【受限 IP 访问所有非内网（外网）地址】，禁止终端直接访问互联网
4. 策略 4：默认策略，其他不受管控的 IP 正常允许上网

Web 界面配置步骤

菜单：策略配置 → IPv4 控制策略 → 新建策略

策略 1：受限 IP 访问内网，全部放行（序号 1）

• 源地址：limit‑ip（被管控 IP）
• 目的地址：inner‑net（所有内网网段）
• 应用：any
• 动作：允许，日志按需开启。

策略 2：受限 IP 访问内网代理服务器（序号 2）

• 源地址：limit‑ip
• 目的地址：proxy‑svr（代理服务器 IP）
• 应用：any
• 动作：允许，开启日志。

终端浏览器 / 钉钉 / 微信客户端配置代理指向该代理服务器，所有外网流量走代理转发。

策略 3：禁止受限 IP 直接访问外网（序号 3，核心阻断）

• 源地址：limit‑ip
• 目的地址：any
• 排除目的：把inner‑net、proxy‑svr添加到排除目的地址
• 应用：any
• 动作：拒绝，开启日志，用于查看拦截记录。

策略 4：默认策略（序号 100）

源 any、目的 any，动作允许，保证其余不受管控用户正常上网。

提交并激活全部策略。

三、命令行参考

四、关键注意点 & 常见坑

1. 客户端必须配置代理 钉钉、微信、邮件客户端、浏览器都要填写内网代理服务器地址端口；如果终端不填代理，策略 3 会直接拒绝外网访问，完全上不了外网。

⚠️部分软件会自动直连外网绕过系统代理，会被 ACG 直接阻断，需要在软件内单独配置代理。

2. DNS 处理 被管控终端 DNS 建议填写内网 DNS 服务器；禁止终端直接配置公网 DNS，否则 DNS 报文会匹配策略 3 被拒绝，域名解析失败。
3. 部署模式校验 旁路镜像模式下，控制策略不生效，只能审计，无法阻断流量，必须串接部署（路由 / 透明桥）H3C。
4. 日志排查 在【日志中心‑控制策略日志】查看：

• 看到策略 3 拒绝日志：代表终端尝试直接访问外网，被拦截，符合预期；
• 如果访问代理被拒绝，核对策略 2 是否生效，对象 IP 填写是否正确。

5. 代理服务器本身访问外网不受这套策略限制，代理服务器作为普通内网 IP，匹配序号 100 默认允许策略。

简短总结

ACG1000 通过控制策略实现：①放行受限 IP 访问内网服务器；②放行受限 IP 访问内网代理服务器；③拒绝受限 IP 访问其余所有外网地址。终端浏览器、钉钉、微信、邮件客户端均需要配置内网代理；禁止终端直接使用公网 DNS；策略从上往下匹配，顺序不能颠倒；旁路模式无法实现阻断，必须串接部署，可查看控制策略日志验证拦截效果。