ACG1000网关

说明：ACG1000 依靠应用特征库 DPI 识别 QQ、微信实现管控；旁路模式只能审计不能阻断，必须是路由 / 透明桥模式才能做应用拒绝阻断H3C。

前置检查（必做）

1. 部署模式确认：路由模式或者透明桥模式；旁路镜像模式只能看日志，无法阻断应用。
2. 特征库：【系统管理‑系统维护‑系统升级】确认应用特征库为最新版本，特征库过期会识别不全，出现封不住的现象dl.h3c.com。
3. 授权：确认应用控制特征库授权正常，无过期。

Web 界面配置步骤

菜单路径：策略配置 → 控制策略 → 新建 IPv4 控制策略H3C

1. 匹配条件

• 源地址：选择公司内网网段；目的地址 any；生效时间根据需求（全天 / 工作时间）。
• 应用过滤：点开，应用库搜索勾选：QQ、微信（可细分：登录、消息、文件传输等子动作，直接选全部动作）。

2. 处理行为：拒绝，勾选【记录日志】，方便日志中心查看阻断记录。
3. 策略优先级：这条禁止 QQ 微信的策略序号放靠前位置，策略按从上往下匹配，匹配即停止。
4. 下方保留一条默认允许策略，保证其他业务正常上网；提交并激活策略。

补充：如果有部分 IP（如领导、特定岗位）需要豁免，在禁止策略前面新建一条策略，源地址为豁免 IP，动作为允许，不勾选 QQ 微信阻断。

命令行简要参考

验证方法

1. 内网电脑登录 QQ、微信，观察是否无法登录；
2. 查看日志：【日志中心‑控制策略日志】，可以看到 QQ / 微信被拒绝的日志记录。

常见问题（封不住的排查点）

1. ❌旁路镜像部署：只能审计，不能阻断，必须改成路由 / 透明桥串接在出口链路。
2. ❌应用特征库老旧：新版本 QQ / 微信加密协议识别不到，升级特征库。
3. ❌策略顺序靠后：被前面 permit 策略匹配，没有走到拒绝 IM 这条。
4. ❌终端走 VPN 代理：流量加密绕过 ACG 识别，需要管控终端 VPN 行为。
5. ❌部分网页版微信走 QUIC 协议，建议同时拒绝 QUIC 应用，提升封堵效果。

简短总结

ACG1000 需要路由 / 透明桥串接部署，旁路模式无法阻断；在【策略配置‑控制策略】新建策略，源选择内网网段，应用勾选 QQ、微信，动作设置拒绝并开启日志；策略序号尽量靠前；务必保证应用特征库最新。需要部分 IP 豁免的，在阻断策略之前配置允许策略。

登录 ACG1000 的 Web 管理界面，按以下步骤操作：

1. 新建控制策略
菜单路径：策略配置 → 控制策略 → 新建 IPv4 控制策略。

2. 配置匹配条件

• 源地址：选择公司 内网网段（如 10.0.1.0/24）。

• 目的地址：选择 any。

• 生效时间：根据需求选择 全天 或 工作时间。

3. 配置应用过滤（关键）

• 点开 应用过滤，在应用库中搜索 微信 和 QQ。

• 勾选全部 子动作（如登录、消息、文件传输等），确保全面阻断。

• 处理行为：选择 拒绝。

• 勾选 记录日志，方便后续在日志中心查看阻断记录。

4. 调整策略优先级

• 将这条禁止策略的 序号设置靠前（数值越小越优先）。ACG1000 的策略按从上往下匹配，匹配即停止，因此必须放在任何“允许”策略之前。

• 下方务必保留一条 默认允许策略（序号靠后），保证其他业务正常上网。

5. 特殊需求：IP 豁免
如果有部分 IP（如领导、特定岗位）需要豁免，在禁止策略 前面 新建一条策略，源地址为豁免 IP，动作为 允许，且不勾选微信/QQ 阻断。