背景:近年来网络安全形势愈发严峻,要求越来越高,经常遇到xx单位被通报的情况,包括对外僵尸网络流量、网络攻击、境外流量传输等等;
现状:基于上述背景,防火墙可以做到,针对国外的ip地址,添加源地址策略路由,目的ip选择国家\地区-非国内范围,下一跳指向不存在的ip 如1.2.3.5;
问题:部分单位又存在需要访问境外网站,如微软激活、惠普驱动、奥多比设计类等等;此类网址基本都经过cdn,非固定ip,极大增加应用控制策略配置难度;
结尾:如题,建议防火墙设备内模块打通,建议应用控制策略支持目的地址配置为国家\地区;建议策略路由支持基于目的地址配置为域名; |