H3C F100-C-G5防火墙配置国内白名单IP配置问题

问题分析与排查方案
核心问题定位
两个地址组 cn_grp1 + cn_grp2 合计 5500 条，极大概率未完整覆盖国内 IP（通常需约 8000-10000 条有效聚合路由），导致访问国内网站（如百度解析出的未收录 IP）被白名单策略拒绝。
关键排查步骤
1. 验证策略匹配与丢包情况

display security-policy ip
display packet-filter statistics interface <外网口>
display session statistics

检查是否有 deny any 排在白名单策略之后，且命中计数快速增长。
2. 测试白名单缺失（以百度为例）

nslookup www.baidu.com
display object-group ip address cn_grp1
display object-group ip address cn_grp2

查看解析出的百度 IP 是否在任意一个组内。
3. 检查会话及路由

display ip routing-table
display session table verbose destination-ip <百度IP>

优化建议
1. 推荐方案：使用地理位置对象（GeoIP）
该设备支持基于地理位置的访问控制，远比手动维护 IP 组可靠。
确认并升级特征库：

display version
display ips signature

配置路径：对象管理 -> 地理对象，选择“中国”。
官网 GeoIP 及特征库下载：[H3C 软件下载中心](https://www.h3c.com/cn/Service/Document_Software/Software_Download/)
2. 临时优化：完善 IP 组并调整策略
入站：源为外网，目的为内网，应使用 目的地址 作为白名单（或直接基于域策略）。
出站：确保策略 Permit 两个组，并在其后确保 DNS 放行（或放在全局最前）。
末尾务必留日志：

security-policy ip
rule name deny_logging
action deny
logging enable

3. 扩容与聚合
5500 条偏少，建议找一份完整的、经过聚合（CIDR）的中国 IP 段列表，并检查设备当前 License 是否支持更多对象组条目。