深信服 AF 双向封禁国外 IP(外→内禁止国外访问;内→外禁
  

新的一年新的开始 510

{{ttag.title}}
深信服 AF 双向封禁国外 IP(外→内禁止国外访问;内→外禁止内网访问国外)

> ⚠️重要限制:**【地域访问控制】模块只处理外网→内网(外到内)流量,不能管控内网访问外网(内到外)**深信服。
> 双向封禁需要两套策略组合:
>
>
> 1. 地域访问控制:**禁止境外 IP 访问我方内网服务器(外网→内网)**
> 2. 应用控制策略:**禁止内网主机访问境外 IP(内网→外网)**
> HA 主备环境:两套策略主备同步,**地理 IP 库两台设备分别升级**。

## 前置准备

1. 更新**ISP/IP 地理地址库**:系统→系统维护→库升级,更新 IP 归属地库,保证 IP 地域识别准确,离线环境导入离线地理库包深信服。
2. 梳理区域:外网区域 (WAN)、内网区域 (LAN)、服务器区 (SERVER)。
3. 准备**排除列表**:有需要对外交互的境外业务 IP,提前加入排除,避免业务中断。

## 第一部分:外网→内网:禁止国外 IP 访问内网(地域访问控制)

路径:**策略 → 访问控制 → 地域访问控制**深信服技术...

1. 新增策略:

- 策略名称:拒绝所有境外访问内网
- 启用;源区域:`外网区域`
- 选择地区:**全部国家地区,取消勾选【中国大陆】**(等价选择所有国外)
- 动作:**拒绝**,勾选记录日志
- 排除列表:填入需要放行的特殊境外 IP / 网段(合作伙伴、第三方接口)

2. 保存策略。

>
> 效果:所有境外源 IP,访问内网服务器、公网映射业务直接丢弃。
> 注意:地域访问控制优先级很高,命中直接拒绝,不再往下匹配安全策略。

## 第二部分:内网→外网:禁止内网主机访问国外 IP(应用控制策略)

>
> 地域访问控制做不了内到外,**必须用应用控制策略,引用「地理位置」对象**。
> 路径:**策略 → 访问控制 → 应用控制策略 → 新增**

1. 源区域:内网区域(LAN);目的区域:外网区域 (WAN)
2. 源地址:内网全部网段;**目的地址对象选择:地理位置→全部国外(取消中国大陆)**
3. 服务:ANY;动作:拒绝;勾选记录日志。
4. 策略优先级往上调,放在上网策略靠前位置。

>
> 排除:如有部分服务器需要访问境外接口,新建一条**允许策略放在拒绝策略上方**,源地址填写该服务器 IP,目的国外地区,动作允许。

>
> ⚠️版本坑:部分老 AF 版本,**应用控制策略目的地址不能直接选地理位置对象**,只能用策略路由方案:
> 策略路由:目的地区域选择非中国大陆,下一跳选择黑洞,直接丢弃报文,实现内网访问国外全部丢包。

## 主备 HA 环境注意点

1. 地理 IP 库**两台设备分别升级**,配置会同步,但是库文件不会同步,只升级一台会出现主备 IP 归属地判断不一致。
2. 策略配置会双机同步;排除列表配置跟随策略同步。
3. 升级地理库建议业务低峰,库加载瞬间短暂 DPI 重载。

## 验证测试方法

1. 外→内:境外公网 IP 测试访问公网业务,查看地域访问控制日志,显示拒绝。
2. 内→外:内网主机 ping、访问境外 IP,查看应用控制策略日志,匹配拒绝。
3. 测试白名单 IP,确认可以正常通行。

## 常见故障 & 踩坑

1. **香港、台湾识别为境外**:库默认归属为国外地区,如果业务需要放行,在地域策略勾选把中国香港、中国台湾选中放行,或者加到排除列表。
2. 部分 CDN、云服务商 IP 归属地识别错误:使用地域访问控制的【归属地纠错反馈】提交,或者直接添加 IP 排除白名单。
3. NAT/DNAT 自动放通:DNAT 自动放通 ACL,**不会绕过地域访问控制,地域访问控制在 DNAT 之后生效**,可以正常拦截外网访问服务器。
4. 策略不生效:确认流量**双向完整经过 AF**;区域配置正确(三层对三层区域)。
5. 策略路由黑洞方案:注意不要影响 VPN、IPSEC 隧道流量。

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

新手873047 发表于 2026-9-4 13:42
  
请问哪些版本可以在“应用控制策略”里目的地址对象选择:地理位置?
发表新帖
热门标签
全部标签>
2026年技术争霸赛
安装部署配置
知识大闯关
深小服案例集
深小服
每日一问
2025年技术争霸赛
课后茶话社
信服课堂视频
GIF动图学习
新版本体验
功能体验
标准化排查
畅聊深小服
纪元平台
S豆商城资讯
技术笔记
王者破雾峡谷
产品连连看
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
技术晨报
平台使用
技术盲盒
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
西北区每日一问
高手请过招
升级&主动服务
高频问题集锦
社区新周刊
【 社区to talk】
POC测试案例
全能先锋系列
安全效果
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案
声音值千金
工具体验官
产品知识周周练
产品体验官
有一说一
VMware替换
案例实践挑战
大规模VMware迁移替代
破雾实践案例

本版版主

42
54
41

发帖

粉丝

关注

0
4
1

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人