上网行为管理系统如何禁止内部网访问外网的https的域名?

大家好，

上网行为管理系统可以设置通过屏蔽URL的访问权限策略拦截内网访问http域名，请问如何禁止内部网访问外网的https域名？

如果要禁止内部网访问外网的HTTPS域名，可以按照以下步骤进行配置：
自定义URL组：
在AC/SG12.0之前的版本，HTTPS网站的识别是通过证书的“颁发给”字段进行的。您需要查看网站的证书信息，并将证书颁发给的域名自定义为URL。
在AC/SG12.0及以上版本，识别是通过servername字段进行的，您可以直接将需要拦截的域名配置为自定义URL。
配置路径：
在上网行为管理12.0.47和全网行为管理13.X及之后版本：进入【系统管理】-【对象定义】-【URL分类库】-【新增】，填写需要放通或拒绝的URL。
在上网行为管理12.0.47和全网行为管理13.X及之前版本：进入【对象定义】-【URL分类库】-【新增】，填写需要放通或拒绝的URL[3]。
配置上网策略：
在12.0.47和13.X之后版本：进入【行为管理】-【访问权限策略】-【访问权限策略】-【应用控制】中选择自定义的URL，设置动作为允许或拒绝，并将适用对象关联给对应用户。
在11.X之后的版本：进入【策略管理】-【上网策略】-【上网权限策略】-【应用控制】中选择自定义的URL，设置动作为允许或拒绝，并将适用对象关联给对应用户[3]。
注意事项：
如果需要针对HTTPS网站的子链接进行控制，您需要启用SSL中间人解密的功能来实现

HTTPS通过SSL/TLS加密传输数据，传统URL屏蔽策略仅能拦截HTTP明文请求，无法直接解析HTTPS域名。需通过以下技术实现拦截：

SSL解密：对内网发起的HTTPS流量进行解密，获取明文域名信息。
域名匹配：将解密后的域名与黑名单对比，触发拦截动作。
重定向或阻断：对匹配的域名返回阻断页面或丢弃数据包。

操作步骤（以深信服AC为例）
1. 启用SSL解密功能
步骤1：上传CA证书
在AC管理界面 → 系统管理 → 证书管理 → 上传CA证书，确保证书由受信任的CA机构签发，且内网终端已安装该CA根证书（否则会触发浏览器安全警告）。
步骤2：配置SSL解密规则
进入 策略管理 → SSL解密 → 新建规则，设置：
解密范围：选择需解密的流量（如“所有内网到外网的HTTPS流量”）。
解密方式：选择“双向解密”（需客户端信任CA证书）或“单向解密”（仅解密服务器证书）。
例外排除：排除企业信任的HTTPS站点（如内部OA、邮箱系统）。
2. 创建HTTPS域名拦截策略
步骤1：定义黑名单域名
在 策略管理 → URL过滤 → 黑名单 中，添加需拦截的HTTPS域名（如*.facebook.com、*.twitter.com）。
步骤2：配置访问控制策略
进入 策略管理 → 访问控制策略 → 新建策略，设置：
源区域：选择内网区域（如“Trust”）。
目的区域：选择外网区域（如“Untrust”）。
服务类型：选择“HTTPS（443端口）”。
动作：选择“阻断”，并勾选“启用URL过滤”。
关联URL组：选择步骤1中创建的黑名单域名组。
3. 优化策略匹配顺序
在访问控制策略列表中，将HTTPS拦截策略的优先级调高（如置于策略列表顶部），确保其优先于其他允许策略执行。