深信服社区»版块 › 安全类 › 行为管理AC › 外部访问内部时白名单策略匹配不上

外部访问内部时白名单策略匹配不上

查看数: 4491 | 评论数: 9 | 收藏 0
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2026-8-17 10:51

正文摘要:

本帖最后由 花落无明夜 于 2026-8-18 11:58 编辑 之前chrome ClientHello 过长产生 TCP 分片导致浏览器白名单不放行的问题,已经通过KB-AC-20240311-000-AC_FIX.ssu打包修复。现在遇到了新的问题,本地是172.21.5 ...

回复

王老师 发表于 2026-8-23 18:45
最佳修复‌:‌升级到 AC 12.0.120 或更高版本‌。这是最彻底、最稳定的解决方案,且能获得最新的安全规则库和功能修复。
‌紧急规避‌:优先尝试将目标 IP 加入 ‌【全局排除地址】‌。若全局排除无效,则配置‌显式的双向 IP 放行策略‌并置顶。
王老师 发表于 2026-8-23 18:44
您之前通过 KB-AC-20240311-000-AC_FIX.ssu 修复了 Chrome ClientHello 过长导致的 TCP 分片问题。该补丁主要优化了应用识别引擎对分片报文的重组和匹配逻辑。
然而,‌白名单放行失效‌属于‌策略执行层面‌的问题,而非应用识别层面。虽然两者都涉及底层报文处理,但当前的白名单单向失效问题更可能与 12.0.47 版本引入的‌策略优先级逻辑变更‌或‌状态防火墙模块的 Bug‌ 有关,而非之前的分片问题直接导致。

您在自定义应用中添加了外部 IP 172.22.111.2,方向为 wan <-> lan。在 12.0.47 版本中,如果策略引擎在处理回程流量时,未能正确关联到已建立的会话,或者自定义应用的匹配逻辑在回程方向上未正确触发“豁免”动作,就会导致回程包被后续的默认拒绝策略拦截。
LeoKing 发表于 2026-8-18 13:26
先删掉自定义应用,改用 IP 对象做权限策略放行,快速恢复业务吧,然后尝试联系深信服 400,申请对应版本的 BUG 补丁包修复该自定义应用 IP 匹配缺陷或者老设备无法打补丁,则升级到 12.0.45(验证可用)或者更高修复版本;。
青青小草 发表于 2026-8-18 09:44
策略白名单置顶了但是实测没放行,日志也没有记录。
有没有可能是防火墙已经建立拦截机制了,还没有超时,故不会匹配新的策略?
花落无明夜 发表于 2026-8-17 16:14
补充、这个bug就跟把本地内网IP加入自定义应用一样,只要添加上去,这个IP就会出现各种问题,比如规则部分不生效之类的,黑名单、白名单方式都无法匹配到它。现在这个远程IP就类似这种情况