上面行为管理功能禁用豆包

不能

特征库更新到最新版本，看看能不能直接对应用限制

您好，网页版可以的，禁用对应的url地址

客户端的话，需要禁用exe端口号了

1. 要看ACG 应用特征库版本，新版本特征库才有预定义 “豆包” 应用对象；老库没有内置，只能用URL / 域名黑名单阻断H3C。
2. 网络设备不能禁止终端安装豆包软件！防火墙 / ACG 只能阻断网络访问流量，无法管控 PC / 手机本地安装行为；只能做到：就算用户装上豆包 APP，也连不上豆包云端服务。
3. HTTPS 站点想要精准识别 SNI/URL，建议开启SSL 解密（SSL 代理）；不做解密只能靠 SNI 域名匹配，QUIC 加密 UDP 流量容易绕过阻断H3C。

一、先确认特征库（优先方案：预定义应用阻断）

Web 页面：【对象】→【应用】搜索 “豆包”

1. ✅能搜到应用对象 “豆包”：说明 ACG 应用特征库版本足够新。
   • 配置控制策略 / 安全策略 DPI 应用配置文件，应用选择豆包，动作 deny 阻断，生成审计日志。
2. ❌搜索不到豆包：特征库版本老旧，需要升级ACG‑APR 应用特征库；若暂时不能升级，走下面域名黑名单方案。

查看特征库版本命令：

二、方案 B：自定义 URL 域名黑名单（特征库没有豆包应用时使用，网页 + APP 同时阻断）

豆包核心域名集合，添加到URL 过滤自定义黑名单（通配主机）豆包

Web 操作路径：【对象】‑【URL 过滤】‑【自定义 URL 分类】新建黑名单分类，添加上面主机通配规则；在 URL 过滤策略设置该分类动作阻断 + 记录日志；把 URL‑filter 策略绑定到 DPI 配置文件，在安全策略中引用 DPI profile。

CLI 参考片段：

三、必须处理 QUIC（UDP 443），否则容易绕过

浏览器会使用 QUIC (UDP443) 访问豆包，不做处理，URL 过滤会绕过，还能打开网页豆包。 建议在安全策略直接拒绝内网访问外网 UDP443 端口，强制走 TCP‑HTTPS，保证 SNI/URL 过滤生效。

四、限制说明（重点，给客户解释清楚）

1. 防火墙 / ACG 无法阻止电脑、手机本地安装豆包客户端软件，只能断网络通信；终端依然可以把 APP 装上去，只是打开提示网络异常。
2. SSL 解密建议：
   • 开启 SSL 解密，将*.***.***,*.***.***,*.***.***加入解密域名列表，识别精度最高。
   • 如果不开启 SSL 解密，依靠 SNI 阻断；部分加密 ECH 客户端会导致 SNI 域名识别失败，有绕过风险华为。
3. 要定期升级 ACG 应用特征库，字节会新增域名，老黑名单会出现漏网域名。
4. 日志查看：监控‑日志‑URL 过滤日志 / 应用审计日志，验证是否命中阻断规则。

五、排障现象

1. 网页豆包打不开，但手机豆包 APP 还能用：大概率 QUIC UDP443 没有拦截；或者黑名单域名不全，缺少 APP 调用的 API 域名。
2. 部分用户还可以访问：检查安全策略的顺序，是否有更靠前 permit 策略优先匹配跳过 DPI profile。

六、完整实施顺序

1. 检查 ACG 应用特征库，有豆包应用就直接应用控制 deny；没有就配置自定义 URL 黑名单。
2. 阻断 UDP443（QUIC）。
3. 建议配置 SSL 解密，解密豆包相关域名，提升识别准确度。
4. 安全策略绑定 DPI 配置文件。
5. 测试：浏览器网页豆包、手机豆包 APP，确认均无法连接；查看 URL / 应用审计日志确认命中阻断。