| 实现基础 | 设备内置或订阅的地域 IP 库 |
|---|---|
| 典型用法 | 对互联网侧服务只放行业务所需地区 |
| 注意 | 出口 NAT 与 CDN 节点可能造成误判 |
实施要点
实施要点
1. 确认设备的 GeoIP 库更新机制
2. 先以日志模式观察两周实际来源分布
3. 与业务确认海外用户与爬虫策略
4. 灰度启用阻断并保留申诉通道地域库存在漂移与误差，金融、电商等场景应结合具体业务风控而非单独依赖地域封禁。
本包目录（400 条）
防火墙策略52 条
- 华为 USG 安全策略 security-policy
- 安全区域 security-zone 基础
- 会话表查看与会话诊断
- 默认拒绝原则与验证
- 接口加入安全区域
- 深信服 AF 访问控制策略
- 管理面访问控制
- H3C 域间策略 zone-pair
- 策略匹配顺序与调整
- 策略不生效排查流程
- TCP MSS 调整与隧道叠加场景
- 配置导出与备份留存
- 策略命中分析
- 安全策略日志与外发
- IP 黑名单封禁
- 宽松放行策略的收敛
- 会话老化时间调整
- 非对称路由导致业务不通
- DMZ 区域设计与策略收口
- 策略冗余与冲突检查
- URL 过滤配置
- 应用识别 enable 与策略联动
- 端口镜像抓包
- 管理员权限分级
- Local 区域策略加固
- 长连接业务的会话保持
- 分片报文处理与分片重组
- DNS 过滤与恶意域名拦截
- 设备 Web 管理加固
- 登录失败锁定
- 子接口与 VLAN 接口加入区域
- 华为 USG 传统域间策略（V300 及更早）
- 时间段策略 time-range
- 用户与组策略（认证联动）
- 地域访问控制（GeoIP 策略）
- AAA 与 RADIUS 管理员认证
- 设备口令策略
- 策略灰度上线与验证
- 策略统计观察与清零对比
- 防火墙策略问题速查
- 登录提示信息 header
- 策略定期评审
- 拒绝流量日志控制
- 临时策略生命周期
- 策略审计检查清单
- 安全策略命名规范
- 冗余策略合并清理
- 区域间流量变更评估
- 策略文档与归档
- 策略迁移到新设备
- 虚拟系统（VSYS）基础
- 虚拟系统资源分配
地域访问控制（GeoIP 策略）
按 IP 归属国家/地区放行或阻断访问，多用于仅对国内提供服务的业务，降低无关地域的扫描与攻击暴露面。
易错点
- 企业 VPN 出口与云厂商出口归属地可能与用户实际位置不符，误杀后要有快速放行流程
- 地域库不更新会逐渐失真，纳入季度维护检查
数据来源与参考
- 华为 USG6000 产品文档：地域识别
- 深信服 AF 产品手册：地域访问控制