ACG配置仅允许访问指定应用及URL

需结合“应用控制”+“URL过滤”功能，且注意配置顺序（先拒绝大范围，再允许小范围，或先允许指定再拒绝其余），通常采用“白名单模式”，关键配置思路及命令如下：
一、关键配置思路
1. 安全段配置：确保ACG工作在 二层透明模式（Inline） 或 三层路由模式，并将接口加入安全段。
2. 配置白名单：
URL白名单：创建URL分类，加入允许的URL。
应用白名单：选择允许的预定义应用（如HTTP/HTTPS/DNS）。
3. 配置对象策略：在源目为any的规则中，先拒绝所有，再允许白名单。
二、关键配置命令（WEB相似逻辑）
text
1. 配置URL分类（名为 Permit_URLs）
url-filter category name Permit_URLs
description 允许访问的网站
rule add host text www.h3c.com
rule add host text ***.***
2. 配置应用组（名为 Permit_Apps，包含必要的网络应用）
app-group name Permit_Apps
description 允许的应用
include application HTTP
include application HTTPS
include application DNS
include application ICMP
3. 进入对象策略视图（假设策略名为 Only_Permit）
object-policy ip Only_Permit
3.1 先放行白名单URL（注意要匹配HTTP/HTTPS应用）
rule 10 permit app-group Permit_Apps url-filter category Permit_URLs
3.2 放行DNS等基础协议（如果不与URL合并，可以单独写）
rule 15 permit app-group [DNS/ICMP组]
3.3 最后拒绝所有其他流量
rule 100 deny ip any any
4. 在安全段（Security-zone）或接口下调用对象策略
（略，根据具体组网在 inbound/outbound 方向应用）
三、注意事项
HTTPS过滤：若要精确过滤HTTPS的URL（而非仅IP），需开启 SSL解密（HTTPS Proxy） 功能，否则只能通过域名黑名单或SNI过滤。
DNS控制：务必允许DNS，否则域名无法解析。
日志调试：通过 display object-policy logging 或WEB日志中心排查被阻断的流量。