【防翻墙】AF、AC防止外网IP访问限制

深信服产品【防翻墙】方案

       此次所使用的产品为AF和AC两个产品线配合使用，仅供参考：

       大概流量逻辑描述：当本地终端存在某些翻墙软件，会被AC插件给限制，如没有AC插件的情况下，通过防火墙策略路由将目的地址为“中国境内”IP发送往AF的公网口，如目的地址为国外的IP全部进行丢弃，不设置另外其他路由信息，实现拦截访问外网IP；

AC这边的相关配置：方式一：通过代理工具管理功能限制（推荐）

        从标准版本 AC 11.8 开始支持，设备通过内置规则库检测代理工具。配置路径因版本而异：

[td]

版本范围	配置路径
12.0.120 和 13.0.102 及以上	【安全管理】→【终端防翻墙】→ 启用【代理工具检测】，在【配置选项】中选择封堵的应用和方法
12.0.47-12.0.80 / 13.0.4-13.0.80	【终端行为安全】→【终端防翻墙】→ 启用【代理工具检测】，在【配置选项】中选择封堵的应用和方法
11.8-12.0.45	【终端接入管理】→【代理工具管理】→ 启用【代理工具检测】，在【配置选项】中选择封堵的应用和方法

老版本位置：

新版本位置：

封堵策略可设置：

• 封堵代理工具：检测到即封堵
• 封堵下载路径：封堵官网下载路径
• 提醒代理工具用户：可预览并自定义提醒页面
• 惩罚用户：可设置惩罚时间（1-1440 分钟），惩罚期间禁止上网或加入惩罚通道

  
  
  
  

方式2、如果是常用的代理工具，AC规则库有的，也可以做应用控制策略进行拒绝。

        具体配置路径：

        上网行为管理12.0.47和全网行为管理13.X及之后版本：【行为管理】-【访问权限策略】-新增【访问权限策略】-【应用控制】中选择代理工具，动作设置拒绝；在适用对象中关联给对应的用户即可；

        11.X及之后版本：【策略管理】-【上网策略】-新增【上网权限策略】-【应用控制】中选择代理工具，动作设置拒绝；在适用对象中关联给对应的用户即可；

        6.X及之前版本：【用户与策略管理】-【上网策略】-新增【上网权限策略】-【应用控制】中选择代理工具，动作设置拒绝；在适用对象中关联给对应的用户即可；

AF关键配置：

        防火墙路由设置目标地区为“中国境内”，出口方式为运营商出口即可；

        该方法可以从网侧杜绝访问外网的数据直接丢弃，可访问正常国内的域名服务器；可能会存在节点在国内的情况，但能够杜绝目标为国外的IP；