网络区域是飞连资源管理中心提供的标准化环境定义对象。通过将公网 IP、内网 IP、Wi-Fi SSID 等碎片化的网络特征整合为具名的逻辑条目，管理员可以构建一套通用的物理或逻辑办公环境库（如总部、分公司、移动办公等）。
作为全局共享的配置组件，网络区域实现了“环境定义”与“业务策略”的解耦。管理员只需完成一次环境定义，即可在多项安全策略中直接引用，作为判断终端所处环境的统一触发基准。其功能价值如下：

• 资源标准化管理：在全局资源中心统一维护办公环境定义，确保各业务模块在引用环境属性时保持逻辑一致性。
• 配置组件化：将复杂的网络参数（如一组 DNS 或特定的 SSID）封装为可复用的对象，避免在配置多项策略时进行重复且冗余的录入。
• 运维响应自动化：实现“一次修改，全局生效”。当特定职场的出口 IP 或网络环境变更时，只需在“网络区域”中更新，所有关联的策略将自动同步适配。

本文详细介绍如何通过组合多维网络特征定义匹配规则，以及如何维护网络区域资产，为安全策略（如 SWG、ZTNA 引流策略等）提供精准的环境感知支持。

新增网络区域 #

1. 登录飞连管理后台，前往系统设置 > 资源管理 > 网络区域。
2. 点击右上角 + 添加网络区域。
   
3. 根据实际需求配置参数。
   
   • 基本信息
     • 策略名称：自定义名称，可按实际物理场所命名，如“北京总部办公区”。
     • 策略描述：对该网络区域的备注说明，用于记录相关的业务背景或管理信息，便于快速了解配置用途。
   • 匹配条件
     可灵活组合多个条件以定义复杂环境。系统支持 “且（AND）” 和 “或（OR）” 的嵌套逻辑。
     • 公网 IP：基于终端出口公网 IP 段进行判定。
     • 内网 IP：基于终端获取的内网 IPv4/IPv6 地址或网段进行判定。
     • DNS：基于终端当前配置的 DNS 服务器地址进行判定。
     • Wi-Fi SSID：基于终端当前连接的无线信号名称（SSID）进行判定。
     • 地理位置：系统根据终端公网 IP 自动映射物理位置。
   • 条件组合逻辑说明
     系统支持“条件”与“条件组”的双层嵌套逻辑：
     • 条件：最基本的判定单元。可以为一个组添加多个条件。
     • 条件组：由一个或多个条件构成的逻辑块。可以添加多个条件组。
     • 逻辑运算符（且/或）
       • 组内逻辑：决定同一组内的多个条件如何共同生效。
       • 组间逻辑：决定不同条件组之间如何进行二次组合。
     • 配置建议
       • 且：需同时满足所有条件才判定为在该区域。适用于高安全性场景（例如：必须处于总部 IP 段“且”连接办公 Wi-Fi）。
       • 或：满足其中任一条件即判定为在该区域。适用于多办公点聚合（例如：处于上海分公司 IP 段“或”处于北京分公司 IP 段）。
     • 配置示例
       若希望定义“在上海办公室或北京办公室”的网络区域，可以创建两个条件组：
       • 组 1：[内网 IPv4 等于 10.1.1.0/24] 且 [SSID 等于 Office_SH]
       • 组间逻辑：选择或
       • 组 2：[内网 IPv4 等于 10.2.1.0/24] 且 [SSID 等于 Office_BJ]
4. 点击确认完成添加。

日常运维 #

在网络区域列表页面，管理员可高效管理已定义的网络区域资产。

• 快捷检索：支持按区域名称、公网/内网 IP、DNS、SSID 进行组合搜索，快速定位环境定义。
• 查看关联策略：通过列表中的关联策略字段，可直观看到该网络区域被多少条引流策略引用。
• 编辑区域定义：点击编辑调整区域特征。修改网络区域定义后，所有引用该区域的策略将实时同步生效，无需手动调整策略。
• 删除区域定义：若该区域已被策略引用，删除按钮将置灰，必须先前往对应的引流策略中解除引用，方可删除该网络区域。

典型应用场景 #

场景一：终端自动化运维 #

业务目标 ：IT 管理员需要针对“北京研发中心”的所有 Windows 设备，自动下发特定的安全基线策略。

1. 定义网络环境
   管理员在系统设置 > 资源管理 > 网络区域中，参考本文将北京研发中心的网络特征（出口 IP、办公 Wi-Fi SSID 以及研发内网专用的 DNS 服务器地址）进行组合定义，并命名为“北京研发中心”。
2. 终端位置上报
   当北京研发中心员工携带终端连接办公网络并登录飞连客户端后，客户端自动探测并上报当前的 DNS 和 SSID 等网络指纹。系统自动匹配后台网络区域配置，并在终端 > 终端资产 > 设备详情的“网络区域”字段中显示“北京研发中心”。
3. 创建自动分组
   管理员在终端 > 终端资产中创建一个名为“北京研发中心 Windows 设备组”的自动分组（参考管理终端分组），将分组条件设置为“网络区域”属于“北京研发中心”且“操作系统”包含“Windows”，实现自动将位于该区域的 Windows 终端归入同一个分组。
4. 策略自动继承
   管理员在终端 > 终端管理 > 终端基线中，基于管理需求创建基线检测策略并将生效对象设为上述自动分组，使组内设备自动继承相关管控要求。当终端离开该区域时，会自动从分组中移出并停止执行相关策略。

场景二：基于地理位置的引流控制 #

业务目标：管理员需要实现员工在“上海办公室”时，访问特定内部业务系统的流量不经过安全 Web 网关（SWG）隧道，从而降低访问延迟并节省网关算力。

1. 定义办公环境
   管理员在系统设置 > 资源管理 > 网络区域中，利用“地理位置”匹配条件选择“上海市”，并根据需要补充办公区的公网 IP 段信息，命名为“上海办公室”。
2. 配置引流策略
   管理员在安全 Web 网关 > 策略中心 > 引流策略中新建策略，并在“排除内容”的“网络位置”排除项中，将模式设置为“指定网络区域”，并勾选“上海办公室”。
3. 环境感知与自动执行
   当员工携带终端进入上海办公室并接入办公网络后，飞连客户端会自动感知环境变化。系统根据终端出口公网 IP 识别到其处于“上海办公室”区域后，引流策略自动生效，确保访问目标系统的流量绕过 SWG 隧道实现直连。当员工离开该办公室时，流量将重新通过隧道受控。

场景三：基于地理位置的动态访问控制 #

业务目标：管理员需要实现员工在“非上海/北京办公区”（如差旅途中或异地）通过 VPN 访问核心业务系统时，必须通过飞连客户端进行二次身份认证，以强化移动办公场景下的账号安全性。

1. 定义办公环境
   管理员在系统设置 > 资源管理 > 网络区域中，利用“地理位置”匹配条件勾选“上海市”与“北京市”，并根据需要补充办公区的公网 IP 段信息，命名为“京沪办公区”。
2. 配置动态控制策略
   定义触发二次认证的逻辑。管理员在动态控制 > 控制策略中新增规则组，将触发方式设为“操作触发（VPN 连接）”。在触发参数中按路径选择设备信息 / 设备基础信息 / 网络区域，运算符选择不包含任一并勾选“京沪办公区”。
3. 环境感知与精准处置
   当员工在外部网络（如咖啡厅或异地差旅）连接 VPN 时，系统通过公网 IP 自动映射地理位置并感知到其“设备网络区域”不在“京沪办公区”集合内，自动下发二次认证要求。当员工回到北京或上海职场后，该规则不再命中，恢复正常的免密访问体验。