ACL（Access Control List）策略是代理网关的核心权限控制引擎，决定了抵达网关的流量最终能否访问目标应用。通过配置 ACL 策略，您可以精细化地定义“谁（特定的员工或设备）能访问什么（具体的内部应用）”。

在代理模式下，飞连提供了两个层级的访问控制能力：

• 基础准入控制（ACL 策略）：工作在传输（L4），主要基于员工身份、设备属性、目标应用端口及发起请求的进程执行准入判定。
• 精细管控策略：工作在应用层（L7），针对 HTTP/HTTPS 协议的应用，提供基于 URL 路径的深度权限校验与审计，能够将访问权限锁定在具体的页面或接口级别，有效遏制员工在应用内的横向越权风险。

对于需要执行七层管控的应用，ACL 策略是开启精细管控的前提条件：访问请求必须先通过 ACL 策略的传输层校验，流量才能进入后续的应用路径判定流程。

本文将指导您如何在飞连零信任代理模式下配置 ACL 策略。

前提条件 #

• 请确保您已参考接入代理网关，在零信任接入 > 接入网关 > 代理网关页面成功部署并添加了至少一个代理网关节点。
• 如果您需要基于特定的应用来配置策略，请确保您已参考管理代理应用，在零信任接入 > 应用管理 > 代理应用页面完成了基础资源的定义。
• 请确保飞连客户端版本为 3.3.13 及以上版本。

添加 ACL 策略 #

1. 登录飞连管理后台。
2. 在左侧导航栏，选择零信任接入 > 代理策略。
3. 切换至 ACL 策略页签，进入 ACL 策略列表页。
   
   • 默认访问模式说明：页面左上方会显示当前代理网关的底层访问控制模式。您可以通过点击切换模式在以下两种状态间进行更改。
     • 默认拒绝模式（默认）：所有未命中任何“允许”策略的流量都将被强制阻断。在此模式下，通常需要添加“允许”类策略，以放行特定访问。
     • 默认开放模式：一种更为宽松的模式。所有未命中任何“拒绝”策略的流量都将被默认放行。在此模式下，通常需要添加“拒绝”类策略，以拦截特定访问。
4. 在页面右侧，单击 + 添加访问策略。
5. 在弹出的策略配置页面，按需完成以下配置，并点击确认。

基本信息 #

• 策略名称：自定义策略名称，建议采用“部门+应用+权限”的格式，如“研发部-GitLab-允许”，以便后续运维管理。
• 策略状态：选择新建策略的初始状态（启用或禁用）。
• 匹配优先级：指当前策略的优先级。取值范围为 0 ～ 100，数值越大表示优先级越高。系统按优先级数值大小依次匹配策略，命中后停止匹配。若命中两条优先级相同的策略，优先执行最后修改的一条。
• 策略生效时长：配置该策略生效的时间范围。支持以天为单位进行自定义。

动作 #

当终端的网络请求符合本策略所有条件时，网关执行的动作。建议结合当前网关的默认访问模式进行配置。

• 允许：放行访问请求。
  • 在默认拒绝模式下（常规）：用于授权访问（开白名单）。在全封闭的环境下，为特定人员或设备开通访问目标应用的权限。
  • 在默认开放模式下（特殊）：用于审计溯源或拒绝策略中的特例放行。例如，系统中已有一条低优先级的“拒绝所有外包人员访问内部系统”策略，此时若需要让某位外部审计专家临时访问财务系统，即可配置一条针对该专家的高优先级“允许”策略来实现精准放行。
• 拒绝：拦截访问请求。
  • 在默认开放模式下（常规）：用于限制访问（开黑名单）。在全开放的环境下，阻断特定人员或设备对目标应用的访问。
  • 在默认拒绝模式下（特殊）：用于审计溯源或允许策略中的特例拦截。例如，系统中已有一条低优先级的“允许研发部全员访问测试环境”策略，此时若需要阻止实习生访问测试环境，即可配置一条高优先级的“拒绝实习生访问测试环境”策略，将实习生从大范围的允许名单中精准剔除。

客体 #

定义该策略管控的具体范围，包括“对谁生效（生效对象）”以及“管控什么（应用）”。

• 生效对象：支持以员工或设备维度限制生效范围。
  • 员工：通过部门、角色或具体成员限制员工范围。
  • 设备：通过设备、操作系统、设备分组限制设备范围。
• 应用：选择本条策略针对哪些内部应用生效。支持选择具体的应用名称或应用标签。此处的应用数据来源于系统内已配置的“代理应用”资源库。若您需要的应用不在列表中，请先前往零信任接入 > 应用管理 > 代理应用页面完成资源的创建与定义。详情请参见管理代理应用。

  注意

  配置提效说明

  为确保此处授权的应用流量能被飞连客户端正确接管，建议您在配置引流策略时，将动作设置为按权限引流。在该模式下，引流范围将自动跟随此处的 ACL 授权实时更新，无需手动维护，可从根源规避因配置不一致导致的策略失效风险。

高级配置 #

支持基于设备的准入状态以及发起访问的网络进程进行更细粒度的条件控制。当基础的“人员+设备”授权维度无法满足您的安全要求时，您可以通过此处的配置实现更深度的动态防御。

触发场景

允许管理员基于设备的实时健康状态（如是否安装违规软件、是否感染病毒等）来决定是否放行访问。您可以下拉选择已配置的触发模板，如果尚未配置，请点击右侧的前往管理触发模板进行添加。

在触发模板库页面，您可以点击 + 添加模板 来创建新的准入条件组合。

配置示例：禁止安装了违规下载工具的设备访问内部代码库

为了帮助您更好地理解终端策略与 ACL 高级触发策略的联动关系，我们以“阻断安装了违规下载工具的设备访问内部代码库（GitLab）”为例，完整展示基于业务诉求的操作路径：

1. 步骤一：配置终端基线（定义并发现风险）
   在终端 > 终端管理 > 终端基线模块中，将目标违规下载工具（如特定的 P2P 软件）添加为“应用检测项”，并配置到终端管控策略中下发至全员。客户端扫描发现该软件后，将向后台上报告警事件。
2. 步骤二：配置 ACL 策略（基于风险执行拦截）
   在代理策略 > ACL 策略中新建访问策略，动作设为拒绝，应用选择内部代码库（如 GitLab）。在触发场景中选择风险状态 > 设备安装违规软件，并勾选步骤一中定义的下载工具。
3. 最终效果：当员工尝试访问 GitLab 时，代理网关会实时核查该设备的安全状态。若发现设备存在该违规软件的告警记录，网关将直接拦截该次访问请求，实现动态准入控制。

进程

开启后，支持限定仅特定的客户端进程允许（或拒绝）发起对目标应用的访问。例如，您可以配置仅允许使用公司统一配发的 Chrome 浏览器进程访问核心业务系统，从而阻断恶意爬虫、脚本或非标浏览器的访问请求。

开启进程配置项开关，点击右侧的 + 选择进程，在弹出的进程库页面选择已有进程或点击 + 新建进程新增进程。

• 配置规则
  在弹出的新建窗口中，您可以基于操作系统（Windows 或 macOS）配置具体的进程识别规则。支持通过点击 + 添加条件组合以下多个维度的条件：
  • 进程名：进程的可执行文件名称，如 chrome.exe。
  • 进程签名：进程文件的数字签名发布者信息。
  • 进程路径：进程在设备上的安装或执行路径。
• 配置建议（防误拦）
  为提高拦截准确性，建议您在配置时：
  • 优先使用签名：对于已签名的正规软件，强烈建议组合使用“进程名 + 进程签名”。仅依靠“进程名”易被恶意软件伪造，或与系统其他普通程序重名，从而导致安全策略被绕过或发生误拦。数字签名可以从密码学层面确认软件的真实发行商。
  • 避免使用宽泛路径（Windows）：在 Windows 系统中，请尽量避免配置类似于 C:\ 等匹配范围过广的盘符路径作为唯一条件，否则客户端会将该目录下所有程序（包括系统核心服务、杀毒软件等）的网络请求全部纳入管控，极易导致核心业务瘫痪。路径条件应始终配合其他字段组合使用。
  • 注意签名差异（macOS）：苹果系统的分发机制决定，同一款软件如果是从软件官网下载（开发者签名），与从 Mac App Store 下载（苹果官方分发签名），其底层的数字签名标识通常不一致。因此，配置时请特别留意企业的软件分发渠道，避免漏拦。

管理 ACL 策略 #

管理员可以在 ACL 策略列表页面，对已创建的策略进行检索与调整。

• 筛选与检索：支持通过策略名称、动作、状态、应用地址（IP、域名、泛域名等）进行快速筛选。
• 管理生效状态：通过列表操作栏中的状态开关，一键切换策略的启用或禁用状态。
• 编辑与删除：单击编辑修改策略配置；单击删除移除废弃策略。注意，删除前请结合当前网关的默认访问模式评估风险，确保不会因此导致合法访问被意外阻断，或敏感资源被意外暴露。

代理访问日志审计 #

在完成 ACL 策略配置后，您可以点击管理后台日志审计 > 零信任代理访问日志，通过查看代理访问日志验证策略效果。

在日志列表中点击日志详情，可通过以下四个维度快速分析并解决访问问题。

• 基本信息：确认发起访问的员工身份与设备状态。用于核实账号是否正常、设备是否为受控终端。
• 访问行为：核心的逻辑判别区。
  • 命中策略：明确展示当前流量匹配了哪条策略，有助于排查策略冲突或优先级配置错误。
  • 动作与状态：直观展示是“允许”还是“拒绝”。若访问不通但显示“允许”，则需关注后端应用服务状态。
• 转发链路：还原网络路径。
  • 接入网关：确认流量经过了哪个网关。若网关状态异常或 DNS 解析地址不正确，会导致访问超时。
  • 流量追溯：若在此处完全搜不到日志，说明流量未进入代理通道，需检查引流策略的范围是否覆盖了目标应用。
• 终端属性：进行深度安全审计。
  • 进程溯源：查看发起请求的具体进程名、路径及签名。用于识别是否存在非法插件、恶意脚本或非授权软件正在尝试外联内网资产。