本帖最后由 魏元庆 于 2022-3-28 23:04 编辑
核心内容:!!!AC不是按照五元组的逻辑去命中策略,AC是对每一个包的3-7层去进行检测。 例如,一个访问爱奇艺的数据包,在三层的时候会去匹配IP,然后进入四层匹配端口,然后进入七层匹配应用。其中任何一层存在拒绝动作则整个数据包无法通过。
1.前言
在进行POC测试报告的时候,看到这样一个需求
当时想法很简单,第一条策略允许访问出口AD(10.10.10.1),第二条策略拒绝所有。但是但是但是!!!10.10.10.1根本无法打开!
2.排查 想破脑袋没想明白(还是按照AF五元组的逻辑来思考),然后去问了办事处祁专!祁哥跟我讲,命中规则是这样的: 嗯,听了个半懂!(主要是在思考,应用控制和端口控制,谁的优先级比较高?)
3.决定自己动手测试一下,嗯,下面是测试结果: 测试结果第一反应是懵!!! 为什么清一色ping不通???
4.总结 比对着测试结果反思了好久,最终换了个思路。也许AC不是按照五元组的逻辑去命中策略(真相了),AC是对每一个包的3-7层去进行检测。 例如,一个访问爱奇艺的数据包,在三层的时候会去匹配IP,然后进入四层匹配端口,然后进入七层匹配应用。其中任何一层存在拒绝动作则整个数据包无法通过,也就是祁哥画的这个图! 真相了真相了,今晚睡个好觉!!! |