使用飞连安全 Web 网关（SWG）管控员工上网行为时，您可以通过引流策略，指定需要管控的员工或设备，并设置无需经过 SWG 的流量。

功能说明 #

引流策略启用后，生效对象的流量默认通过 SWG，VPN 流量及命中排除规则的流量除外。进入 SWG 的流量将按照您配置的网站内容过滤、云应用管控等安全策略进行检测和处理。被排除的流量不经过 SWG，也不会接受 SWG 的安全检测，因此建议仅排除已确认无需管控的流量。

适用场景：

• **分批启用上网管控：**企业希望先在部分部门试用 SWG，再逐步推广。管理员可将试点部门设为引流策略的生效对象，验证访问和管控效果后，再扩大生效范围。
• **排除无需管控的业务流量：**企业希望对员工上网流量进行安全检测，同时让已确认无需管控的网站或应用保持直连。管理员可通过 IP、域名或进程排除规则，将这部分流量排除在 SWG 管控范围之外。

首次添加引流策略前，需先完成企业证书及证书自动安装范围配置；已完成配置的企业可直接添加策略。

首次配置准备 #

首次添加引流策略前，需配置企业自签根证书及证书自动安装范围。尚未完成配置时，策略中心会提示“SWG 引流策略依赖客户端证书解密能力，需配置证书自动安装范围”。

客户端信任企业 CA 证书，是 SWG 对 HTTPS 流量执行解密检查的前提。证书自动安装范围用于指定哪些对象的客户端接收并安装证书；引流策略的生效对象用于指定策略应用于哪些对象。

大部分 Web 访问及云应用采用 HTTPS 加密协议传输数据。SWG 默认无法获取加密流量内部的请求路径、网页关键字、上传文件内容等信息，因此需要配置并信任企业 CA 证书，才能对 HTTPS 流量进行内容识别与安全过滤。

• **开启深度防护：**配置证书是开启 HTTPS 流量解密（SSL 检查）的前提。完成证书配置，并在对应功能模块（如网站过滤）中开启相关检测规则后，SWG 才会对命中规则的 HTTPS 流量执行自动解密与深度扫描。
• **保障无感体验：**通过飞连自动分发并信任根证书，可避免因终端不信任企业 CA 证书而在访问加密网站时出现“您的连接不是私密连接”等风险提示。

1. 登录飞连管理后台，选择安全 Web 网关 > 策略中心 > 引流策略。

2. 在页面上方的配置证书自动安装引导中，点击配置企业自签根证书，进入企业设置 > 企业信息 > 通用配置。

3. 在企业自签根证书管理区域，录入根 CA 信息。已有根证书时，无需重复录入。

   • **根 CA 证书名称：**自定义名称，用于后台识别，例如 Corporate Root CA。
   • 上级根 CA 证书文件（PEM）：粘贴证书内容，或点击点击上传上传证书文件。内容需包含完整的 PEM 块标识，包括起始行和结束行。
   • 上级根 CA 证书私钥（PEM）：粘贴与证书匹配的私钥内容，或点击点击上传上传私钥文件。内容需包含完整的 PEM 块标识，包括起始行和结束行。

4. 配置子 CA 信息。为了保障安全，建议由根 CA 签发一张专门用于 SWG 实时解密工作的子 CA。

   • **子 CA 证书名称：**填写用于识别该子 CA 的名称。
   • **子 CA 证书文件：**参照根 CA 的录入方式，粘贴或上传 PEM 格式的子 CA 证书，保留完整的起始行和结束行。
   • **子 CA 证书私钥：**粘贴或上传与子 CA 证书匹配的 PEM 格式私钥，保留完整的起始行和结束行。

5. 在证书自动安装范围区域点击配置，再点击**+ 添加成员**，选择需要自动信任该证书的范围（推荐选择全员）。

6. 点击确认完成配置。

7. 返回安全 Web 网关 > 策略中心 > 引流策略，继续添加策略。

配置保存后，飞连客户端会自动下载 CA 证书（公钥），并导入终端系统的受信任根证书存储区，无需员工手动干预。您可以按本文“验证配置结果”检查安装状态；自动安装失败时，按“常见问题”中的方法手动安装。

新增引流策略 #

1. 登录飞连管理后台。
2. 在左侧导航栏选择安全 Web 网关 > 策略中心 > 引流策略。
3. 点击页面右上角的 + 添加策略。
4. 根据实际需求完成策略配置。
   • 基本信息
     

     配置项	配置说明
     策略名称	自定义策略名称，建议按业务场景命名，如“办公软件流量放行”。
     策略状态	启用：该策略生效。系统将接管生效对象的上网流量，并执行下文配置的排除规则。 禁用：该策略不生效。若受控对象未命中任何其他已启用的引流策略，其流量将默认直连，不进入 SWG 隧道。

   • 排除内容
     用于定义不需要 SWG 防护的内容。可根据需要勾选并配置不同的资源排除类型。
     

     配置项	配置说明
     IP/域名地址排除	指定需要直连的 IP/域名地址。 点击 + 添加地址，手动输入需要排除的 IP 地址或域名。单个输入框内支持批量输入，域名和 IP 分别最大支持 5000 个。应用效果：访问这些指定地址的流量将绕过 SWG 隧道，直接通过本地网络传输。
     URL 分类排除	引用预置或自定义的网站分类，统一排除同一类别下网站的访问流量。如尚未添加自定义网站分类，需先前往系统设置 > 资源管理 > 资源库 > 网站分类库添加，详情参看维护自定义网站分类。
     进程排除	支持基于终端应用程序（进程）维度进行流量排除。点击 + 选择进程，为 Windows 或 macOS 平台添加特定的进程规则。 配置建议：为确保引流排除的精准度，若目标程序为已签名进程，请务必完整填写进程名称 + 文件数字签名。 平台专属注意事项： Windows：避免配置过宽的路径范围。若仅配置 C:\ 等根目录盘符，系统将自动排除该盘符下的所有进程流量。请务必配合进程名称或签名信息使用，或将路径精确到具体的应用程序安装目录。 macOS：注意软件分发渠道的签名差异。同一款软件的官网下载与 App Store 下载，两种渠道的文件数字签名通常是不一致的。若需确保该软件在所有安装场景下均能成功排除，建议同时录入两种渠道对应的签名规则，或确认用户统一的安装来源。
     网络位置排除	用于定义在何种网络环境下，流量不进入 SWG 隧道。 不配置（保持为空）：默认行为。所有环境下，流量均通过 SWG 隧道管控。 任意网络区域：所有环境下，流量均保持直连。 指定网络区域：当终端处于选定区域之内的环境时，流量直连，不进入隧道。网络区域配置方法详见网络区域管理。 未知网络区域：当终端处于选定区域之外的环境时，流量直连，不进入隧道。 配置示例： 如果您希望员工无论在哪（公司或家里），流量都必须经过 SWG 隧道受控，请不要配置此项（即保持默认的空状态）。 如果您希望员工在公司内网时不走 SWG 隧道（因为内网本身安全），但在家里或公共场所时必须受控，请选择指定网络区域，并勾选代表公司内网的区域。

   • 生效对象
     • 生效范围：选择该策略适用的部门、成员、角色或特定的终端设备（组）。
     • 排除对象：在已选中的生效范围内，进一步剔除不需要应用该策略的对象。
5. 点击确认完成策略创建。

验证配置结果 #

开启引流策略后，生效对象范围内的客户端网络页将同步展示 SWG 模块，且状态为已连接。

1. 检查证书安装结果。在安全 Web 网关 > 接入设备页面，通过证书状态筛选，检查目标终端是否成功安装证书。
2. **检查客户端连接。**在目标终端的飞连客户端网络页查看 SWG 模块及连接状态。若未正常连接，检查引流策略是否启用、目标对象是否处于生效范围，以及证书是否安装成功。

引流策略生效后，终端用户不能直接手动断开 SWG。需要临时解除防护时，应向管理员申请解除口令。

如需隐藏客户端 SWG 模块或调整模块名称，参见定制客户端功能显示。

管理引流策略 #

在安全 Web 网关 > 策略中心 > 引流策略页面管理已创建的策略。

常见问题 #

为什么添加策略按钮不可用？

如果页面提示配置证书自动安装范围，请点击配置企业自签根证书，前往企业信息的通用配置页面，检查企业自签根证书及证书自动安装范围是否已配置。完成后返回策略中心继续添加。

证书自动安装失败怎么办？

在企业设置 > 企业信息 > 通用配置的企业自签根证书管理区域，点击下载公钥，下载 .crt 格式的证书文件，并分发给目标员工，引导其手动安装。完成后再次检查目标终端的证书状态。