诚鑫致达 企业数据管家
技术干货 企业数据管家 文：诚鑫技术团队 本文由 AI 辅助生成，经人工审核后发布

办公上网要分部门管：防火墙URL分类过滤按岗放行

整理自华为官方发布的典型配置案例。

老板提的要求很朴素：上班时间研发只准访问和工作相关的站点，市场部放宽一档，下班不干涉。在出口防火墙上用 URL 分类过滤实现——华为预定义了成体系的分类库（教育/科学类、搜索/门户类、社会焦点类等），按部门引用不同的过滤配置文件，白名单思路：默认全部阻断，逐类放行。

前提三件套

官方示例明确了三个前提：URL 远程查询 License 激活且在服务期；防火墙能正常解析分类查询域名（配好 DNS 并放通设备到查询调度中心的自定义服务，含 TCP 443、12612 与 UDP 12600）；浏览器加密 DNS 会绕过过滤，先用安全策略把加密协议与加密 DNS 应用整体阻断（QUIC 与 HTTPS 的 443、加密 DNS 的 853 端口加上主流加密 DNS 地址与应用），逼浏览器回落普通 DNS，过滤才拦得住。

两个部门两个配置文件

[DeviceA] profile type url-filter name profile_url_research 
[DeviceA-profile-url-filter-profile_url_research] category pre-defined action block
[DeviceA-profile-url-filter-profile_url_research] category pre-defined category-id 15 action allow
[DeviceA-profile-url-filter-profile_url_research] category pre-defined category-id 17 action allow
[DeviceA-profile-url-filter-profile_url_research] add blacklist host dns-tunnel-check.googlezip.net
[DeviceA-profile-url-filter-profile_url_research] add blacklist host tunnel.googlezip.net
[DeviceA-profile-url-filter-profile_url_research] https-filter enable
[DeviceA-profile-url-filter-profile_url_research] quit

category pre-defined action block 一条把预定义分类默认全断，再用 category-id 逐类放行（15 为搜索/门户，17 为教育/科学，5 为社会焦点）。黑名单里那两条域名的来历要说明：部分浏览器的私有预取代理功能会对 URL 请求加密封装，导致设备提取不到真实访问地址、过滤失效——按官方要求把这两个代理域名加入黑名单禁用即可，不影响正常访问。市场部文件同构，多放行一类。

放行类别用编号对表是配置时的小门槛：先用查询命令把预定义分类和编号的对应关系调出来（官方文档给出了教育/科学、搜索/门户、社会焦点等类别的编号对照），按编号写放行条目，写完在测试终端上逐类试访问，被拦的和该放的符合预期才算配对。

[DeviceA] time-range time_range 09:00 to 17:00 daily

[DeviceA] security-policy
[DeviceA-policy-security] rule name policy_sec_research
[DeviceA-policy-security-rule-policy_sec_research] description Security policy of web access protect for research.
[DeviceA-policy-security-rule-policy_sec_research] source-zone trust
[DeviceA-policy-security-rule-policy_sec_research] destination-zone untrust
[DeviceA-policy-security-rule-policy_sec_research] source-address 10.1.2.0 mask 255.255.255.0
[DeviceA-policy-security-rule-policy_sec_research] time-range time_range
[DeviceA-policy-security-rule-policy_sec_research] action permit
[DeviceA-policy-security-rule-policy_sec_research] profile url-filter profile_url_research
[DeviceA-policy-security-rule-policy_sec_research] quit

安全策略按部门网段区分源地址、挂同一时间段、各自引用过滤文件，一条策略管一个部门；上班时段的策略与下班放行策略要成对规划，只配上时段策略，下班流量会走默认放行，等于没管。策略下发顺序也有讲究：先配过滤文件，再配安全策略引用，最后提交编译——顺序反了会出现策略引用空文件、提交失败的返工。

[DeviceA] engine configuration commit
Info: The operation may last several minutes, please wait. Try "display engine information" for detail. 
[DeviceA] 
Info: URL submitted configurations successfully.  
Info: Engine configuration is compiled successfully.

内容安全配置必须提交编译才生效，耗时几分钟，回显有明确提示。

效果与避坑

  • 生效后越界访问在日志里留下过滤类型为 Pre-defined、动作为 Block 的记录，核查有据；
  • 放行类别按部门职责收敛，宁窄后宽：先按需求给最小集合，员工有正当需求再逐类加；
  • 编译提交后留意回显提示，期间可用 display engine information 查看加载进度，等编译完成再放业务，别在半加载状态验证效果；
  • License 到期远程查询失准，续期纳入年度清单。

上网行为管控与出口安全策略落地，贵州诚鑫致达科技提供配置实施服务，欢迎搜索交流。

企业存储选型参考｜贵州诚鑫致达

老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。