F1000-AK1030 禁止指定IP电脑上网 只能允许微信可以上网 请问如何设置
- 0关注
- 0收藏，185浏览
问题描述：
F1000-AK1030 禁止指定IP电脑上网 只能允许微信可以上网 请问如何设置
组网及组网描述：
F1000-AK1030 禁止指定IP电脑上网 只能允许微信可以上网 请问如何设置
- 2026-10-27提问
- 举报
-
(0)
- 需要APR 应用特征库正常更新授权，防火墙才能识别微信应用流量H3C；特征库过期识别会失效。
- 微信依赖 DNS 解析，必须放行 DNS（UDP53），否则微信登录失败；仅靠应用识别不能跳过 DNS。
- 安全策略从上往下匹配，细粒度策略放最前面；内网互访策略保留，只管控【内网‑> 外网（untrust）】方向互联网流量H3C。
整体配置思路
1、创建地址对象：需要限制的指定内网 IP（例如 192.168.1.100）
2、策略 1（优先级最高）：该源 IP，trust‑>untrust，放行微信应用 + DNS
3、策略 2：同一个源 IP，trust‑>untrust，deny 所有其余互联网流量
4、其他普通人员上网策略放在这两条后面，不受影响
5、保留内网同安全域互放通策略，不影响该电脑访问内网服务器、打印机。
⚠️注意：微信部分音视频、文件传输会走私有 UDP，完全只靠应用识别存在少量识别逃逸风险；不能做到 100% 绝对，优先升级最新 APR 特征库。
Web 界面操作步骤
1、【对象】‑【地址】‑【IPv4 地址对象】，新建对象limit‑pc，填入要管控的电脑 IP。
2、【策略】‑【安全策略】新建第一条策略（放微信 + DNS，ID 排前面）
- 源安全域：trust；目的安全域：untrust
- 源地址对象：
limit‑pc；目的地址：any - 应用：选择
wechat；服务对象：添加dns - 动作：允许 permit；开启日志（方便排查）
3、新建第二条策略，紧接在上面策略之后
- 源安全域：trust；目的安全域：untrust
- 源地址对象：
limit‑pc；目的地址：any - 应用：any；服务：any
- 动作：拒绝 deny；开启策略命中日志
内网互访（trust‑>trust）不要 deny，否则该电脑不能访问内网其他设备。
命令行参考配置
system‑view
#1 创建地址对象
object‑group ip‑address limit‑pc
ip‑address 192.168.1.100 255.255.255.255
quit
#2 安全策略1：允许该IP微信+DNS访问外网
security‑policy
rule name permit_wechat
source‑zone trust
destination‑zone untrust
source‑address object‑group limit‑pc
application wechat
service dns
action permit
logging enable
quit
#3 安全策略2：拒绝该IP其他全部外网访问
rule name deny_other_internet
source‑zone trust
destination‑zone untrust
source‑address object‑group limit‑pc
action deny
logging enable
quit
关键注意事项（高频踩坑）
- APR 应用特征库必须更新且授权有效，如果特征库过期，识别不到 wechat 应用，微信直接不通。查看命令：
display apr signature‑library。 - 一定要放行 DNS 服务（UDP53）；不放 DNS，微信无法域名解析，登录失败。
- 只管控
trust‑>untrust；不要把 trust‑>trust 也 deny，否则电脑内网全部断开，无法访问共享、打印机。 - 策略顺序：permit_wechat 要排在 deny_other_internet 前面，顺序颠倒会全部直接拒绝，微信也用不了。
- 验证排查：【监控】‑【安全日志】‑【安全策略日志】，看流量命中哪一条策略。
- 局限：微信部分私有 UDP 音视频流量存在小概率识别逃逸，如果出现可以额外做带宽 / 会话限制，无法做到理论上 100% 彻底只允许微信。
- 2026-10-27回答
- 评论(1)
- 举报
-
(0)
感谢 像你最后说的 我这样设置了 安全策略 应用那里不止要放行微信还要放行相关协议 如http https 我试了默认这样设置 导致就是浏览器也能上网 访问网页
你这个场景适合ACG来配置
- 2026-10-27回答
- 评论(2)
- 举报
-
(0)
参考官方文档：https://www.h3c.com/cn/d_202308/1901285_30005_0.htm
有授权不知咋设置
看看是否是这个
- 2026-10-27回答
- 评论(1)
- 举报
-
(0)
请问具体该如何设置？ 是先安全策略里deny掉指定IP地址嘛 然后应用审计过滤条件指定应用动作为允许嘛
请问具体该如何设置？ 是先安全策略里deny掉指定IP地址嘛 然后应用审计过滤条件指定应用动作为允许嘛
1. 创建地址对象：定义被限制的IP地址。
bash
object-group ip address limit-ip
network host address 192.168.1.100
2. 配置应用识别：F1000-AK1030需加载APR特征库以识别微信流量。
bash
inspect bypass
apr signature auto-update
3. 创建安全策略：
放行微信应用：
bash
security-policy ip
rule name allow-wechat
source-zone trust
destination-zone untrust
source-ip limit-ip
application WeChat
action pass
拒绝其他流量：
bash
rule name deny-other
source-zone trust
destination-zone untrust
source-ip limit-ip
action deny
注意：策略顺序需放行规则在前，拒绝规则在后。
4. 验证：使用display security-policy检查策略命中，display application WeChat确认特征库版本。
若微信版本更新导致识别失败，需更新APR库。官网路径：H3C官网→支持→软件下载→安全→F1000-AK1030→特征库升级包。
- 2026-10-28回答
- 评论(0)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
感谢 像你最后说的 我这样设置了 安全策略 应用那里不止要放行微信还要放行相关协议 如http https 我试了默认这样设置 导致就是浏览器也能上网 访问网页