F1070防火墙申请了IPS AV AC

您好，下一步涉殴击自己的oid信息，上传官网，申请授权，导入设备，激活授权

先明确：AC = 应用控制（Application Control）；AV = 防病毒；IPS = 入侵防御。
整体执行顺序
1、完成 License 激活 → 2、保障特征库可在线升级 → 3、配置 DPI 应用模板（集成 IPS/AV/AC） → 4、安全策略调用模板 → 5、业务验证、调优
步骤 1：激活 IPS、AV、ACG 应用控制 License（前提！无授权功能不生效）
操作流程
登录设备 Web/CLI，导出 DID 设备信息文件
plaintext
display license device-id
# 或者web页面：系统→License管理，下载DID文件
登录 H3C License 平台，录入授权码 + 上传 DID，获取激活文件 .ak
上传激活文件至防火墙，安装激活
plaintext
license activation-file activate F1070.ak
display license
✅ 检查输出：存在 IPS、Anti-Virus、Application-Control 授权条目。
⚠️注意：授权仅解锁功能，必须升级特征库才能拥有攻击、病毒、应用识别规则。
步骤 2：配置特征库升级环境（重中之重）
网络要求：防火墙本身能够访问互联网（官方特征库服务器）
安全策略放行：防火墙本地访问外网，放行 DNS、HTTPS；
plaintext
security-policy ip
rule name FW_LOCAL_UP
source-zone local
destination-zone untrust
action pass
Web 页面：【系统 → 升级中心 → 特征库升级】
开启 IPS、AV、应用控制 SA 特征库定时自动升级（推荐凌晨低流量时段）
先执行【立即升级】，把三类特征库更新到最新版本。
离线环境：需要定期 400 获取特征库包，手动本地上传升级。
步骤 3：创建 DPI 应用模板（集成 IPS/AV/AC，推荐统一模板）
plaintext
system-view
# 创建DPI应用模板
app-profile SEC-PROFILE
# 应用控制SA策略（识别QQ、微信、视频等应用）
sa apply policy default
# IPS入侵防御策略（攻击防护）
ips apply policy default mode protect
# AV防病毒策略
anti-virus apply policy default
quit
# 激活DPI配置
inspect activate
说明：default 策略为系统内置策略；可根据业务自定义 IPS 策略（调整威胁动作：告警 / 阻断）、AV 策略。
步骤 4：安全策略调用 DPI 模板（流量经过才会深度检测）
核心规则：流量不引用 app-profile，则不会执行 IPS/AV/AC 深度检测！
plaintext
security-policy ip
rule name TRUST_TO_UNTRUST
source-zone trust
destination-zone untrust
action pass
app-profile SEC-PROFILE # 绑定DPI模板，开启深度安全检测
根据组网，对内网访问互联网、外网访问服务器等策略绑定模板。
步骤 5、上线验证与调优
验证功能生效
plaintext
display dpi statistics
display ips statistics
display anti-virus statistics
display sa statistics
风险调优
IPS：高误报攻击特征，可使用 signature override 修改动作为告警；
AV：部分加密 HTTPS 流量无法查杀，如需深度病毒检测需要配置 SSL 解密；
AC 应用控制：可自定义策略，限制短视频、P2P 下载等应用。
⚠️几条关键避坑提醒
旁路部署不支持 AV 防病毒！ AV 需要双向完整流量串行经过防火墙；IPS/AC 旁路仅能监控，无法阻断。
HTTPS 加密流量：默认只能识别域名，无法识别内部载荷、无法查杀病毒；需要配置 SSL 代理解密。
大量并发流量场景，开启 DPI 深度检测会占用 CPU，监控 CPU 使用率，及时优化策略。
IRF 堆叠场景：主备两台设备都需要加载全套 License。