NS-SecPath F1030能按区域封禁国外ip地址么

1. 地区识别是 F1030 原生内置能力，基础识别功能不需要额外授权；但特征库在线自动升级，需要安全服务合约，合约过期后存量库还能继续匹配，只是无法更新新 IP 段H3C。
2. 地区库内置全球国家、国内省市 IP 映射，支持两种控制方向：
   • 内网（Trust）访问外网：禁止访问境外目标 IP
   • 外网（Untrust）入站：禁止境外源 IP 主动访问内网
3. 匹配逻辑：安全策略的条件里选择【地区】对象，动作配置为 deny，策略顺序要放在放行规则前面（V7 安全策略从上至下匹配，命中即停止）。

二、Web 配置路径

策略配置 → 安全策略 IPv4 → 新建策略

• 源域、目的域按需选择（Trust→Untrust 或者 Untrust→Trust）
• 地址条件：选择【地区】，勾选需要拦截的国家；也可以反向勾选 “仅允许中国地区”，其余全部拒绝（推荐，配置更简单）
• 动作：拒绝

注意：不要只勾选 “国外”，库是按独立国家划分，没有一个叫 “全部外国” 的合并对象；想一刀切所有境外 IP，优先用【允许中国地区，其余拒绝】的方案。

三、命令行参考示例（内网禁止访问境外地区）

destination geo-location exclude CN 含义：目的地区排除中国，也就是所有其他国家全部命中这条拒绝策略。

四、特征库维护

核查命令：

五、重点坑点

1. 地区库是 IP 归属的静态映射，存在少量 IP 归属漂移、CDN 多归属的误判场景，不能做到 100% 精准；业务有特殊境外站点需要放行，要在拒绝规则上方增加放行白名单。
2. 地区识别只针对公网 IP，内网私网地址不会做地区识别匹配。
3. 版本要求：老旧 R 版本早期固件地区库功能有 bug，建议升级到 F1030 推荐稳定版本。
4. 区分：地区识别≠IP 信誉库，IP 信誉库是威胁情报恶意 IP，属于另外的 IPS / 威胁授权，和地域封禁不是同一个功能。

六、备选方案（地区库不可用时）

如果版本过低不支持 geo-location，只能导入网上整理好的境外 IP 段，做成地址对象组，在安全策略里引用地址组 deny；缺点是网段量大、需要人工持续维护更新。

七、合规提醒

按地域阻断需要符合网络管理相关规范，不要违规阻断正常业务通信，提前确认业务有没有必须连通的境外服务器。