本文档提供了关于飞连终端防火墙功能的详细配置指导，包括 IP 和域名防火墙策略的设置，以及相关的日志记录和通知配置。通过本指南，您可以基于网络资源、访问方向、协议端口和进程等条件，管理和控制终端设备的网络访问，增强企业网络安全。

飞连终端防火墙功能为您提供了一套全面的访问控制工具，用以管理终端设备对网络资源（包括特定 IP 地址、IP 段和域名）的访问权限。功能包括：

• IP 和域名防火墙策略
  飞连终端防火墙允许您创建和应用细粒度的访问控制策略，以管理终端设备对网络资源的访问。这些策略可以基于特定的 IP 地址或 IP 地址范围（IP 段）以及域名来定义。通过这种方式，企业可以精确地限制或允许对特定网络资源的访问，从而防止未授权的访问和潜在的网络威胁。
• 内网环境判断配置
  飞连终端防火墙提供了内网环境判断配置，以便在设备连接到内网时自动应用特定的安全措施。这有助于保护内部网络资源免受来自内部威胁的侵害，并确保只有授权设备才能访问敏感信息。
• 实时日志记录与通知
  飞连终端防火墙提供实时日志记录功能，使管理员能够监控和审计网络上的所有活动。这些日志记录可以帮助识别潜在的安全威胁和不寻常的网络行为。此外，系统可以在检测到特定事件时发送通知，例如当策略被触发或有安全事件发生时，管理员可以立即采取措施。
• 白名单设置
  为了满足不同企业的安全需求，飞连终端防火墙允许为特定的员工和设备设置白名单。在白名单中的用户和设备将不受常规防火墙策略的限制，这适用于需要频繁访问网络资源的员工或设备。
• 动态防御
  除了手动配置静态的 IP 和域名策略，终端防火墙还支持与云端域名情报库联动。通过订阅远控服务器、钓鱼网站等恶意域名情报，防火墙可自动获取高频更新的动态黑名单，实现对新型网络威胁的主动拦截，大幅降低管理员的手动维护成本。

以下概括了企业在使用飞连终端防火墙功能时的主要场景：

• 企业安全管理与数据保护。
  企业通过部署终端防火墙策略，有效限制员工在工区以外访问敏感的内部网络资源，从而防止数据泄露。策略包括禁止未经授权的内外部 IP 或域名访问，并在设备脱离受信任网络环境时自动限制网络权限，确保企业信息安全。
• 指定应用进程联网管控。
  当企业只允许特定业务应用访问外部网络，或需要禁止高风险进程访问指定地址时，管理员可以通过进程条件限定策略命中范围。例如，仅允许企业指定浏览器或业务客户端访问办公系统，同时阻断其他进程访问相同网络资源，降低代理绕行、恶意进程外联等风险。
• 网络安全性提升与合规性监管。
  管理员通过终端防火墙精确记录和管控员工对特定网络资源的访问，如禁止访问某些网站或服务，并利用审计日志进行安全分析。这些措施提高网络安全性，并满足特定的网络安全法规要求。
• 工作效率提升与网络行为管理。
  通过终端防火墙策略，企业能够限制员工对非工作相关网站的访问，从而提升工作效率。同时，这些策略也对员工的网络行为进行规范，确保网络资源的合理利用，支持企业运营效率的持续提升。

通过配置 IP 策略，您可以基于具体的 IP 地址、IP 段、端口协议以及进程条件，精确控制终端设备（出站）和外部网络（入站）之间的双向访问权限。

1. 登录管理后台。

2. 在左侧导航栏，选择终端安全 > 终端防火墙。

3. 在终端防火墙页面，单击策略配置页签。

4. 在策略配置页签，单击 ＋添加策略，并选择 IP 策略。

5. 在添加 IP 策略页面，完成以下配置，并单击确定。
   

   配置模块	配置项	说明
   基本信息	策略名称	支持输入中英文、数字、特殊字符，最多 64 字符。
   	策略描述	用于补充说明，不参与逻辑判断。
   	匹配优先级	当前策略的优先级。取值范围为 0 ～ 100，默认 50，数值越大表示优先级越高。您可以同时生效多条策略，飞连在对终端检测时，按优先级数值大小依次匹配策略，命中后停止匹配，如果一直未命中，则执行完所有策略后停止检测。如果存在两条优先级数值相同的策略，则优先执行策略修改时间最新的一条。
   策略详情	响应动作	默认禁止。选择禁止将拦截流量，允许则放行。 禁止：将禁止策略中配置的 IP/端口的流量。 允许：将允许策略中配置的 IP/端口的流量。 是否记录日志：仅允许时可选。开启后，将会记录命中允许策略的防火墙日志信息，并上报至日志审计页签。默认不勾选。 说明 由于日志数量较大，请谨慎启用。日志的记录周期可在运维平台查看并配置。
   	方向	支持选择出站（终端向网络资源的访问）或入站（网络资源向终端的访问），支持多选。
   	协议	支持选择 TCP、UDP、ICMP，支持多选。
   	进程	仅出站方向支持配置。默认选择全部进程，表示不限制发起访问的进程。选择指定进程后，策略仅对已添加的软件或进程规则生效。您可以按需开启子进程追踪，开启后，指定进程创建的子进程也会执行相同的响应动作。 配置指定进程时，请按以下步骤操作： 在进程区域，选择指定进程。 选择指定进程的来源，并添加目标软件或进程规则。 内置软件库：适用于直接选择飞连内置的常见软件。单击 + 选择软件后，在弹窗中搜索并选择目标软件，添加到当前策略。 软件统计引用：适用于从企业终端已上报的软件统计数据中引用目标软件。单击 + 选择软件后，在弹窗中搜索并选择目标软件，添加到当前策略。 自定义软件进程：适用于内置软件库和软件统计中没有目标软件，或需要按企业自定义规则识别进程的场景。单击 + 选择进程后，在进程库中选择已有进程规则。如果没有可用规则，可以单击新建进程创建或批量导入。具体操作，请参见配置管控进程。 如需移除已添加进程，单击列表操作列的移除按钮，或在左边勾选多个进程后单击列表左下角的批量移除。 说明 指定进程仅支持 Windows/macOS 3.3.20 及以上版本的客户端。低版本客户端不会生效已配置的安全策略。 macOS 操作系统开启指定进程后，需要授予客户端完全磁盘访问权限。如果已部署 MDM 且支持推送描述文件，权限可自动启用；未授权设备会弹出强制授权提示。
   	地址列表	方向选择出站时，需配置以下信息。 目的 IP 地址：网络请求接收方使用的 IP 地址，支持添加单 IP 或 IP 段，端口或端口范围，支持 CIDR 格式和 IPv6 地址，例如 10.1.1.0/24、192.168.0.0-192.168.255.255。如需匹配所有 IPv4 或 IPv6 地址，可填写 0.0.0.0/0 或 ::/0。每个输入框可添加多个，支持添加多个输入框。 端口：网络请求接收方的端口，可自定义值，例如：80 或 1- 65535，未填则默认全部。 方向选择入站时，需配置以下信息。 源 IP 地址：网络请求发起方使用的 IP 地址，支持添加单 IP 或 IP 段，支持 CIDR 格式和 IPv6 地址，例如 10.1.1.0/24、192.168.0.0-192.168.255.255。每个输入框可添加多个，支持添加多个输入框。 端口：网络请求接收方的端口，可自定义值，例如：80或 1- 65535，未填则默认全部。
   消息通知	消息通知配置	当禁止响应动作启用时，您可以设置消息通知来提醒相关人员。单击右侧的修改配置，自定义通知标题和通知内容，完成配置后单击确定。 支持通过#进程名称、#IP地址:#端口参数，在通知中动态展示被拦截的进程和 IP 地址。
   生效范围	生效操作系统	至少选择一种操作系统，Windows 不需要额外权限，macOS 需要额外权限。 说明 对于 macOS 客户端，确保已授予必要的网络扩展权限，否则可能会收到弹窗提示。
   	生效网络环境	可选全部、内网环境或外网环境，默认全部。
   	生效对象	支持以员工或设备维度限制生效范围： 员工：​通过部门或角色限制员工范围。 设备：​通过设备名称、操作系统、设备分组限制设备范围。 您也可以设置将某些员工或角色排除在外。排除对象中的用户将不生效该策略，最终生效对象为分配对象 - 排除对象。 开启排除对象右侧的开关。 单击添加排除对象，根据需要以设备、设备组、部门、角色或员工维度，添加排除对象。您可以添加多条排除对象。 说明 您可以将特定的员工或设备添加到白名单中。一旦加入白名单，这些员工或设备将不受终端防火墙策略的限制。具体操作，请参考配置全局白名单。

6. 配置完成后，请返回到策略配置页面，定位到目标策略，并开启该策略。

   说明

   策略生效时间可能会有延迟，这主要取决于客户端策略更新的频率。

   

除基于底层 IP 进行管控外，您还可以通过添加域名策略，直接对特定的网址或带有通配符的子域名进行拦截或放行配置。

1. 登录管理后台。

2. 在左侧导航栏，选择终端安全 ＞ 终端防火墙。

3. 在终端防火墙页面，单击策略配置页签。

4. 在策略配置页签，单击 ＋添加策略，并选择域名策略。

5. 在域名策略页面，完成以下配置，并单击确定。
   

   配置模块	配置项	说明
   基本信息	策略名称	支持输入中英文、数字、特殊字符，最多 64 字符。
   	策略描述	用于补充说明，不参与逻辑判断。
   	匹配优先级	当前策略的优先级。取值范围为 0 ～ 100，默认 50，数值越大表示优先级越高。您可以同时生效多条策略，飞连在对终端检测时，按优先级数值大小依次匹配策略，命中后停止匹配，如果一直未命中，则执行完所有策略后停止检测。如果存在两条优先级数值相同的策略，则优先执行策略修改时间最新的一条。
   策略详情	响应动作	默认禁止。选择禁止将拦截流量，允许则放行。 禁止：将禁止策略中配置的域名的流量。 允许：将允许策略中配置的域名的流量。 允许动作下，是否记录日志：仅允许时可选。开启后，将会记录命中允许策略的防火墙日志信息，并上报至日志审计页签。默认不勾选。 说明 由于日志数量较大，请谨慎启用。日志的记录周期可在运维平台查看并配置。 DNS 劫持：劫持策略中配置的域名的请求。
   	进程	响应动作选择 DNS 劫持时不支持配置。默认选择全部进程，表示不限制发起访问的进程。选择指定进程后，策略仅对已添加的软件或进程规则生效。您可以按需开启子进程追踪，开启后，指定进程创建的子进程也会执行相同的响应动作。 配置指定进程时，请按以下步骤操作： 在进程区域，选择指定进程。 选择指定进程的来源，并添加目标软件或进程规则。 内置软件库：适用于直接选择飞连内置的常见软件。单击 + 选择软件后，在弹窗中搜索并选择目标软件，添加到当前策略。 软件统计引用：适用于从企业终端已上报的软件统计数据中引用目标软件。单击 + 选择软件后，在弹窗中搜索并选择目标软件，添加到当前策略。 自定义软件进程：适用于内置软件库和软件统计中没有目标软件，或需要按企业自定义规则识别进程的场景。单击 + 选择进程后，在进程库中选择已有进程规则。如果没有可用规则，可以单击新建进程创建或批量导入。具体操作，请参见配置管控进程。 如需移除已添加进程，单击列表操作列的移除按钮，或在左边勾选多个进程后单击列表左下角的批量移除。 说明 指定进程仅支持 Windows/macOS 3.3.20 及以上版本的客户端。低版本客户端不会生效已配置的安全策略。 macOS 操作系统开启指定进程后，需要授予飞连客户端完全磁盘访问权限。如果已部署 MDM 且支持推送描述文件，权限可自动启用；未授权设备会弹出强制授权提示。
   	域名列表	填写域名时，直接输入，无需 "http://" 或 "https://"，例如："www.example.com"。拦截特定域名前缀如 "www.abc.com" 时，子域名 "oa.abc.com" 不受影响，除非使用 "*.abc.com" 来拦截所有子域名。多个域名用回车、逗号或空格分隔，列表可分页。 当您需要添加多个域名时，可以通过回车、逗号或空格来分隔它们。域名列表支持分页显示。 说明 通配符 "*" 只能放在域名的开头。
   消息通知	消息通知配置	当禁止响应动作启用时，您可以设置消息通知来提醒相关人员。单击右侧的修改配置，可自定义中英文通知标题和通知内容，完成配置后单击确定。 支持通过#进程名称、#域名地址参数，在通知中动态展示被拦截的进程和域名地址。
   生效范围	生效操作系统	至少选择一种操作系统，Win 不需要额外权限，macOS 需要额外权限。 说明 对于 macOS 客户端，确保已授予必要的网络扩展权限，否则可能会收到弹窗提示。
   	生效网络环境	可选全部、内网环境或外网环境，默认全部。
   	生效对象	支持以员工或设备维度限制生效范围： 员工：​通过部门或角色限制员工范围。 设备：​通过设备名称、操作系统、设备分组限制设备范围。 您也可以设置将某些员工或角色排除在外。排除对象中的用户将不生效该策略，最终生效对象为分配对象 - 排除对象。 开启排除对象右侧的开关。 单击添加排除对象，根据需要以设备、设备组、部门、角色或员工维度，添加排除对象。您可以添加多条排除对象。 说明 您可以将特定的员工或设备添加到白名单中。一旦加入白名单，这些员工或设备将不受终端防火墙策略的限制。具体操作，请参考配置全局白名单。

6. 配置完成后，请返回到策略配置页面，定位到目标策略，并开启该策略。
   

   说明

   如果希望自动拦截远控服务器、矿池地址、钓鱼网站等已知恶意域名，强烈建议配置并开启域名情报库。系统将自动下发云端高频更新的黑名单至终端防火墙，无需您在此处逐一手动添加恶意域名。

策略配置列表中可总览当前生效的所有策略及其优先级。您还可以随时调整策略状态、修改规则详情，或通过版本比对确认客户端的策略更新情况。

1. 登录管理后台。

2. 在左侧导航栏，选择终端安全 ＞ 终端防火墙。

3. 在终端防火墙页面，单击策略配置页签。
   在页签顶部可查看策略统计信息（包括 IP 策略和域名策略），其中服务端配置版本用于比对飞连客户端相应功能策略是否已是最新。编辑任一策略后，服务端配置版本将会更新，如果飞连客户端内对应功能的版本与服务端版本一致，则表示该客户端内的功能策略已是最新版本。
   

4. （可选）您可以筛选现有策略，筛选条件说明见下表。
   输入筛选条件后，筛选结果会自动展示在下方列表。
   

   筛选条件	说明
   策略类型	可选全部、IP 策略或域名策略： 全部：查看所有策略，不论类型。 IP 策略：仅显示基于 IP 地址的策略。 域名策略：仅显示基于域名的策略。
   生效状态	可选全部、生效或未生效： 全部：显示所有生效和未生效的策略。 已生效：仅显示当前正在生效的策略。 未生效：仅显示当前未在生效的策略。
   方向	可选全部、入站或出站： 全部：显示所有入站和出站策略。 入站：仅显示处理进入网络流量的策略。 出站：仅显示处理离开网络流量的策略。
   源地址	输入特定的 IP 地址或 IP 地址范围，以筛选出与该源地址相关的策略。
   目的地址	输入特定的 IP 地址或 IP 地址范围，以筛选出与该目的地址相关的策略。
   目的端口	输入特定的端口号或端口范围，以筛选出与该端口相关的策略。
   域名	输入特定的域名，以筛选出与该域名相关的策略。
   策略名称	输入策略的关键字或名称，以筛选出匹配的策略。
   排序方式	可选按优先级排序、按编辑时间排序或按创建时间排序： 优先级：根据策略的优先级级别进行排序，优先级高的策略排在前面。 编辑时间：根据策略最后一次编辑的时间进行排序，最近编辑的策略排在前面。 创建时间：根据策略创建的时间进行排序，最早创建的策略排在前面。

5. 在筛选出的策略列表中，找到目标策略并选择进行以下操作。

   • 复制：通过复制功能，您可以快速创建一个与当前策略相同但可独立修改的新策略副本。
   • 编辑：编辑功能允许您对已存在的策略进行修改，以更新其规则或参数。

     说明

     当您将配置更改为内网或公网环境时，请确保已激活客户端网络环境探测功能。如果该功能未启用，系统将提示错误。若需要启用此功能，您可以通过通用配置 ＞ 客户端配置 ＞ 客户端网络环境探测中启用内网环境探测功能。具体操作，请参考飞连客户端配置。

   • 更多 > 删除：删除功能用于移除不再需要的策略，确保策略列表保持最新和相关。

     注意

     策略删除后，不可恢复，请谨慎操作。

   • 更多 > 策略生效状态：查看当前策略在各设备上的生效状态。

     注意

     未生效的策略不支持查看策略生效状态。

通过告警日志，您可以直观地查看被拦截的设备、恶意 IP/域名趋势，并下钻到单条日志进行溯源分析。

1. 登录管理后台。

2. 在左侧导航栏，选择终端安全 ＞ 终端防火墙。

3. 在终端防火墙页面，单击告警事件页签。

4. 日志概览提供了拦截事件的统计数据，包括：

   • 拦截设备 TOP10：列出被拦截次数最多的前十台设备，点击设备名称可跳转到详细日志列表。
   • 拦截域名地址 TOP10：展示被拦截次数最多的前十个域名地址，点击域名地址可查看相关日志。
   • 拦截目的 IP TOP10：显示被拦截次数最多的前十个 IP 地址，点击 IP 地址和“禁止”标签可查看详细日志。

5. 您可以通过筛选功能查找特定条件的日志记录，筛选条件说明见下表。
   输入筛选条件后，筛选结果会自动展示在下方列表。
   

   筛选条件	说明
   时间选择	预设的时间范围或自定义时间段来查看统计数据，提供“最近 24 小时”、“最近 7 天 ”、“最近 30 天 ”、“最近 90 天 ”、“最近 180 天 ”等快速选项，以及一个自定义时间范围的设置。
   用户、部门、设备	通过关键信息如姓名、手机号、邮箱、部门名称或设备名称/ID 来定位和筛选相关记录。
   源地址	通过 IP 地址或域名进行筛选，支持模糊匹配和同时输入多个域名或 IP 地址进行搜索。
   目的地址	通过 IP 地址或域名进行筛选，支持模糊匹配和同时输入多个域名或 IP 地址进行搜索。
   目的端口	根据端口号进行筛选，支持模糊匹配和多端口选择。
   命中策略	支持根据策略名称或 ID 来筛选相关的日志条目。
   上报时间	根据日志上报的时间进行筛选，提供快捷时间范围选择，支持自定义筛选的具体时间区间。
   操作系统	可选择查看所有系统或特定操作系统（如 Windows、macOS）的日志。
   响应动作	根据日志中的响应动作类型（如允许、拒绝等）来筛选日志。
   协议	根据网络协议类型（如 TCP、UDP）筛选日志。
   方向	根据流量的方向（入站或出站）筛选日志。
   飞连版本	根据飞连版本号和策略类型进行筛选。
   策略类型	根据策略的类型（如 IP 策略、域名策略）筛选日志。

6. 筛选后，您可以在日志列表查看目标拦截事件的详细信息，包括：
   

   信息项	说明
   告警时间	显示事件被系统检测到的确切时间点。
   用户信息	提供与事件相关的用户信息。通过悬停（鼠标悬停）操作，可以查看该用户的更多详细信息。
   设备信息	列出与事件关联的设备资料。通过悬停（鼠标悬停）操作，可以查看该设备的完整详细信息。
   操作系统	标识记录事件的操作系统，如 Windows 10 或 macOS。
   响应动作	系统对事件采取的措施，可能包括“禁止”、“允许”或“DNS 劫持”。对于“DNS 劫持”事件，悬停操作可显示被劫持到的具体 IP 地址。
   源地址	显示发起网络请求的源 IP 地址。
   目的地址	在 IP 策略相关事件中，显示涉及的目的地址和端口号。
   协议	涉及的网络通信协议，如 TCP（传输控制协议）或 UDP（用户数据报协议）。
   方向	指示流量的方向，例如“出站”表示从内部网络到外部网络的流量，而“入站”则相反。
   命中策略	触发拦截的策略名称。点击名称可查看策略的详细信息。 说明 如果策略有更新或删除，历史日志将显示旧名称，而新日志将显示更新后的名称。
   飞连版本	记录事件时所使用的飞连软件版本号。
   上报时间	事件被系统记录并上报的具体时间。
   策略类型	标识事件所属的策略类型，如“IP 策略”或“域名策略”，帮助您了解事件的背景和处理方式。
   进程名称	显示发起网络请求的进程名称。通过悬停（鼠标悬停）操作，可以查看进程路径、原始文件名、文件数字签名和启动参数详情。