06 / 网络
网络访问控制
管理员可按分组或单台电脑配置连接规则，依据远端 IP、协议与端口决定放行或阻止。办公组和用途固定的生产终端可以采用不同的默认方式。
连接判断示意生产终端 · 默认禁止
- 命中放行规则目标 192.0.2.10 · TCP 443允许连接
- 其他连接未匹配已配置规则阻止连接
先确定默认行为
办公电脑通常只需要限制特定目标，可选择默认放行，再列出应阻止的连接。用途固定的终端可选择默认禁止，再列出业务必须访问的目标。默认行为决定未匹配规则的连接如何处理。
按远端地址、协议和端口定义规则
在网络访问控制中维护策略包，配置远端 IP 或地址范围、TCP 或 UDP 以及端口范围。将策略分配到相应组织分组或终端，也可按实际需要继承上层策略。
用业务连接验证策略
以生产终端为例，可以为生产系统的远端 IP 和 HTTPS 端口配置放行，再从测试终端分别访问该服务和一个未放行的目标。调整策略前核对终端需要访问的管理及业务地址。