【2022争霸赛*干货满满】深信服防火墙AF设备，限制内网部分用户上网，但可发邮件

深信服防火墙AF设备，限制内网部分用户，例如10.0.1.8只允许发邮件，禁止上网；

最初思路：

1、在原有内网所有地址10.0.1.0/24上网（放行策略和SNAT配置）上，新增2条策略

2、配置允许内网用户10.0.1.8/24访问公网，应用选择邮件

3、配置禁止内网用户10.0.1.8/24访问公网的策略；

4、调整策略顺序  2 ----3------1 ，3条策略开启后，内网10.0.1.0/24除10.0.1.8外均正常访问外网，10.0.1.8无法访问外网，但可发邮件；

然而并没有什么用，因为AF的库没有AC那么全，无法精准匹配

跟进处理：

【报错1】：

10.0.1.8收取邮件提示，不知道这样的主机

【报错2】：

后来无奈联系400处理，经查询得知因为邮箱需要解析，所以要放行DNS，增加放行漏洞对应的DNA和mDNS后，依旧出现报错，10.0.1.8无法发送邮件

再后来得知，因为邮箱使用了SSL加密端口，所以需要放行SSL（注意：网络协议的SSL和SSL数据都得放）

最终策略调整如下，

虽然说10.0.1.8断网后，依旧能够发邮件，但是对于部分SSL加密的数据（如百度网页等），依旧无法限制，只能粗略的进行管控；

最后由于采购预算的限制，只能处理到这个程度，客户也就接受了；

另：如果资源充足，可通过增加AC来进行精准匹配；