SecPath F1060 怎么对某网段禁止上班使用抖音，排除老板的IP

不要在【应用审计】里面做封堵！审计规则的 deny 能力弱、长连接（抖音 QUIC/HTTPS 长会话）很容易失效；V7 F1060 正确做法是在【域间安全策略】直接做应用控制，策略从上往下匹配，白名单（老板 IP）放通放在最顶部H3C。

审计模块侧重日志记录，不是用来阻断应用，这就是你配置了不生效的根本原因。

正确配置步骤（Web 界面，V7 版本）

顺序很关键：老板放行策略放在第一条，员工网段禁止抖音放在第二条，策略靠前优先匹配。

1. 先建地址对象
   • 对象 1：Boss_IP，填入老板的 IP
   • 对象 2：Staff_Net，填入需要限制的员工网段
2. 新建安全策略（内网→外网域间策略）
   • 策略 1（置顶，最高优先级） 源 IP：Boss_IP；应用：抖音；动作：允许；时间：上班时间段
   • 策略 2 源 IP：Staff_Net；应用：抖音；动作：拒绝；时间：上班时间段
   • 策略 3（原有上网放行策略） 源：员工网段，其他全部应用允许
3. 检查前置条件（必查，否则识别不出抖音） ① 确认应用特征库授权正常、特征库更新到最新，抖音大量 HTTPS/QUIC 流量，老库识别失败； ② 如果抖音识别不全（APP 走 QUIC）：开启 SSL 解密（SSL 策略），否则加密流量识别不准； ③ 配置完在命令行执行：inspect activate，把 DPI 规则下发引擎，否则新策略不生效H3C； ④ 确认流量是正向经过防火墙转发，不是旁路镜像（旁路模式审计只能看，不能封堵）。

补充：时间对象

新建时间范围，设置上班时段，绑定到上面两条策略，非上班时间策略自动失效，所有人都可以打开抖音。

常见踩坑点

1. ❌ 坑：把禁止抖音的策略放老板白名单前面 → 老板也被拦截；
2. ❌ 坑：只用应用审计里的阻断规则，抖音长连接会话建立之后审计管不了；
3. ❌ 坑：没有 SSL 解密，抖音 QUIC 加密流量识别失败，防火墙识别不出抖音应用；
4. ❌ 坑：特征库过期，抖音域名 / 端口更新，识别失效；
5. ✅ 验证方式：匹配策略后看安全策略命中日志，确认流量命中对应策略。

需要有ACG授权的