防火墙url策略

方案 1（推荐，只放通少量网站）

1. 新建 URL 过滤策略（profile）
   • 添加白名单，填入需要放行的域名，例：*.***.***、*.***.***
   • 开启：whitelist‑only enable（仅白名单生效，其余全部拦截）
   • 可选：referer‑whitelist enable（网页内嵌图片、js、第三方资源也允许访问，否则网页打开不全）H3C
2. 安全策略 / 对象策略（Trust‑Untrust）
   • 源：内网网段；目的：any；动作：pass（允许三层流量）
   • 引用上面的 URL‑filter 深度检测 profile

⚠️关键点：安全策略动作必须是 pass，URL 过滤 Profile 内部做阻断；安全策略不要直接 deny，deny 会直接丢弃，不走 DPI/URL 检测。

通俗：三层放通流量，交给 URL 过滤业务模块做网页层面的拦截。

方案 2：URL 自定义分类（适合放通大量类别网站）

用户原本设想的方式：自定义 URL 分类把允许的网站加入分类。

1. 对象→URL 分类，新建自定义 URL 分类，添加允许域名；
2. 新建 URL‑filter 策略：
   • 该自定义分类动作为permit；
   • 默认动作设置为 block/reset（没匹配上分类全部阻断）；
3. Trust‑Untrust 安全策略 pass 流量，引用该 url‑filter profile。

❗坑点：如果默认动作保留 permit，则不在分类里的网站也全部放行，达不到 “只允许特定网站” 效果。很多人在这里配置失效。

你提问思路错在哪

“创建 URL 分类，然后创建个策略源地址写内网地址其他 any 然后绑定 url 分类”

1. 安全策略的动作 pass/deny 是三层 IP 层动作；URL 过滤是 DPI 深度检测子业务，不能把 URL 分类直接当安全策略匹配条件（旧版本 ACG 可以，新一代 F1000/F100‑AI 不行）H3C。
2. 正确逻辑：安全策略先pass流量，在策略里面引用 DPI 的 URL‑filter profile，由 profile 内部做允许 / 阻断。

HTTPS 注意事项（高频失效点）

1. HTTPS 加密流量，防火墙不开 SSL 解密的情况下，只能匹配域名（SNI），不能匹配 URL 路径 / URI，只能控制整个站点，不能控制***.***允许、***.***拒绝。
2. 如果需要匹配 URL 路径，必须配置 SSL 解密。

Web 页面配置顺序小结

1. 对象管理 → URL 过滤 → 新建 URL 过滤策略
2. 添加白名单域名，打开【仅白名单模式】whitelist‑only enable
3. 安全策略（IPv4）：新增规则，源：内网，目的：any，服务：any，动作：允许；深度安全配置选择刚才的 URL 过滤策略
4. 提交，激活配置inspect activate。

简易命令行参考

常见排错

1. 全部网站都打不开：检查whitelist‑only enable，网页内嵌资源，建议开启referer‑whitelist enable；
2. 所有网站都能访问：确认 url‑filter profile 被安全策略引用，执行inspect activate激活深度安全；
3. HTTPS 网站过滤不生效：没有 SSL 解密只能匹配 SNI 域名，不能匹配网页路径。

对象里加主机名