安全服务 > Geo-IP 过滤

Geo-IP 过滤功能允许您阻止来自/到达某地理位置的连接。Dell/SonicWALL 网络安全设备使用 IP 地址确定连接的位置。

主题:

•
配置 Geo-IP 过滤
•
定制 Web 阻止页面设置
•
使用 Geo-IP 过滤诊断

配置 Geo-IP 过滤

要配置 Geo-IP 过滤，请执行以下步骤：
1
导航到安全服务 > Geo-IP 过滤页面。

 

2
要阻止来自/到达某些国家的连接，选择阻止到达/来自以下表格所列出的国家的连接选项。如果启用该选项，将会阻止所有到达/来自所选国家的连接。可以指定排除列表为所选 IP 排除阻塞行为，如下文Step 8 中所述。
3
为您的 Geo-IP 过滤选择以下两种模式中的一种：
•
所有连接：所有来自/到达防火墙的连接都被过滤。默认启用该选项。
•
基于防火墙规则的连接：只有符合防火墙配置的访问规则的连接才会被过滤和阻止。
4
如果想在未下载 Geo-IP 数据库时阻止所有连接，请选择如果 GeoIP DB 未下载，阻止所有到公共 IP 的连接选项。
5
要记录 Geo-IP 过滤相关的事件，请选择启用日志。
6
在国家或地区下的阻止的国家表中，选择要阻止的国家。单击位于该表顶部的复选框会选择所有国家，然后通过取消选择操作来选择要从阻止中排除的国家。
7
如果您要阻止未列出的所有国家，请选择阻止所有的未知国家选项。所有到未知公共 IP 地址的连接都将被阻止。
8
另外，通过执行以下其中一项操作，您也可以选择对所有连接配置排除列表，使其不阻止被批准的 IP 地址：
•
从 Geo-IP 排除对象下拉菜单中选择地址对象或地址组，或者创建地址对象或地址组。
•
从 Geo-IP 排除对象下拉菜单中选择创建新的地址对象... 或创建新的地址组... 来创建新的地址对象或地址组。

Geo-IP 排除对象是一个网络地址对象组，用于指定从 Geo-IP 过滤阻止中排除某个 IP 地址组或范围。该地址对象或地址组中的所有 IP 地址都被允许，即使来自被阻止的国家。

例如，如果将来自国家 A 的所有 IP 地址设为阻止，且检测到一个来自国家 A 的 IP 地址，但该地址在 Geo-IP 排除对象列表中，那么将允许发往和来自此 IP 地址的流量。

为了使这项功能正常工作，必须将国家数据库下载到设备中。如果下载失败，页面右上角的状态指示灯会变黄色。绿色状态表示已成功下载数据库。单击状态按钮显示更多信息。

为了下载国家数据库，设备必须能够解析地址 geodnsd.global.sonicwall.com。

当用户尝试访问来自被阻止国家的网页时，用户 Web 浏览器上会显示阻止页面。

* 
注：如果与被阻止国家的连接时间较短，防火墙没有该 IP 地址的缓存，该连接可能不会被立刻阻止。因此，与被阻止国家的连接可能偶尔显示在 AppFlow 监控上。但是，与相同 IP 地址的再次连接将被立即阻止。
9
单击页面顶部的接受按钮以启用更改。