|
排查步骤 1. 检查内网是否存在 NAT 环境(高优先级) 桌面云环境常见 NAT 场景:桌面云虚拟机出站流量经过 VDS/VMP 做了源地址转换,导致 AC 看到的源 IP 与策略中匹配的 IP 不一致。虽然在线用户列表中显示的是桌面云用户 IP,但实际过 AC 的流量源 IP 可能已被 NAT 转换。 排查方法:在 AC 的【连接监控】中根据桌面云用户 IP 查看连接,核对实际过 AC 的源 IP 是否与在线用户列表中的 IP 一致。如果不一致,需要将策略匹配到 NAT 转换后的 IP。 2. 检查是否开启了全局排除或上网故障排除 如果桌面云用户的 IP 或访问的目标域名/IP 被加入了全局排除地址或上网故障排除,策略将不会生效。 检查路径:【系统管理】-【系统配置】-【全局排除地址】-【自定义排除地址】,确认是否有相关排除项 3. 检查 SSL 解密策略 抖音等网站使用 HTTPS,如果未配置 SSL 解密策略,AC 无法识别具体的 URL/应用,可能导致应用控制策略不生效。 建议配置 SSL 解密策略(中间人解密),路径:【行为管理】-【访问权限策略】- 新增【SSL 解密策略】,选择解密方式并定义解密域名,关联给对应用户 4. 检查 QUIC 协议 抖音等应用可能使用 QUIC 协议传输,如果策略中未拒绝 QUIC,可能导致封堵不完整。建议在权限策略中同时配置拒绝 QUIC 协议 5. 检查规则库版本 确认应用识别库和 URL 库是否为最新版本。路径:【系统管理】-【系统配置】-【系统更新】-【规则库升级】 6. 分片包问题(特定版本) 如果权限策略故障排查显示策略已正确匹配拒绝动作,但仍可访问,且 AC 版本不是 12.0.120/13.0.120 及以上版本,可能是分片包处理问题。需要检查是否已打分片包 SP_AC_CH_REORG_03,或升级到 AC 12.0.120/13.0.120 及以上版本(已合入分片包) 7. 检查桌面云终端是否多网卡或配置了代理 桌面云虚拟机如果存在多网卡、IPv4/IPv6 双栈、或配置了上网代理,可能导致部分流量不经过 AC 建议优先排查方向根据桌面云环境的常见特征,建议优先排查第 1 点(NAT 环境)和第 3 点(SSL 解密),这两项是桌面云场景下策略"看到拒绝但实际未拦截"的最高频原因。 |