访问策略支持对组网内的成员访问、网络流量及二层协议设置访问规则。 帮助管理员精细管控访问边界，降低越权访问与网络泛洪风险。

本文将介绍访问策略的适用范围及配置方法。

1. 功能说明

访问策略提供以下三类防护能力：

不同网络类型支持的防护功能有所不同：

注：网络防护和二层防护需使用蒲公英 Windows 客户端6.14.8及以上版本。

2. 进入访问策略

管理员登录蒲公英网络管理平台，选择需要配置的组网网络，点击左侧导航栏【智能网络】—>【访问策略】,点击【新增策略】。

3. 策略列表

策略列表以卡片形式展示已经创建的访问规则。 每条策略包含以下信息：

• 策略名称：用于识别策略的用途。
• 启用状态：控制该策略是否生效。
• 优先级：数值越大，策略优先级越高。
• 控制动作：显示允许访问或拒绝访问。
• 策略内容：显示访问成员、目标成员、网络资源、IP地址或协议等配置。
• 编辑：修改策略内容。
• 删除：删除当前策略。

当访问成员或目标资源数量较多时，页面仅展示部分内容，其余项目显示为“+N”。将鼠标移至“+N”处，即可查看完整列表。

【配图：策略卡片及+N展开效果】

4. 添加访问策略

4.1 设置规则名称

输入便于识别的规则名称，例如：

• 研发人员访问代码服务器
• 禁止门店访问总部管理网
• 拦截非必要二层协议

规则名称不能为空，最多支持20个字符。

4.2 设置访问动作

成员防护支持以下两种访问动作：

• 允许访问：仅允许符合规则的成员访问指定目标。
• 拒绝访问：阻止符合规则的成员访问指定目标。

网络防护和二层防护仅支持拒绝访问，不提供允许访问设置。

4.3 设置规则优先级

拖动滑块或在数字输入框中填写优先级，取值范围为0～100。

数值越大，规则优先级越高。当同一访问行为同时符合多条策略时，系统优先匹配优先级较高的策略。

配置完成后，根据当前网络类型选择成员防护、网络防护或二层防护。

5. 配置成员防护

成员防护适用于三层自定义网络，可以控制指定成员对其他成员或网络资源的访问权限。

5.1 选择访问成员及访问目标

成员防护功能开启后，【用户】选择需要应用该策略的成员组或成员，【目标】可选择允许或禁止访问的成员组/成员/资源。

5.2 设置生效周期及生效时间

在〖生效周期〗中选择策略生效的星期，默认可以选择周一至周日，已选择的日期将以标签形式展示。
置策略每天生效的开始时间和结束时间，开始时间不能晚于结束时间。如需配置多个时间段，点击右侧的“+”添加时间段；点击“-”可以删除对应时间段。

6. 配置网络防护

网络防护适用于三层对等网络、三层集散网络，以及二层对等网络、二层集散网络。
管理员可以根据源IP、目标IP、网络协议和端口设置流量拦截规则。

网络防护仅支持拒绝访问。

6.1 选择网络协议

网络防护支持根据协议设置规则：

• 任意
• ICMP
• TCP
• UDP

选择“任意”或“ICMP”时，需要设置源地址IP组和目标地址IP组。 选择“TCP”或“UDP”时，还可以继续设置源端口和目标端口。

6.2 设置源地址&目标地址IP组

填写发起访问的设备IP地址或IP网段以及限制访问的目标设备IP地址或IP网段，每行输入一个地址。

支持每行输入一个地址，例如：

192.168.1.10
192.168.2.0/24
10.10.0.0/16

支持以下格式：

• 单个IP地址，例如 192.168.1.10
• CIDR格式的IP网段，例如 192.168.1.0/24

7. 配置二层防护

二层防护适用于二层对等网络和二层集散网络，可以过滤指定的二层协议数据包，减少非必要数据在组网内传播，降低网络泛洪风险。
打开功能开关开启二层防护，然后选择需要过滤的二层协议，至少需要选择一个协议。

协议选项以管理平台页面实际显示为准。

二层防护仅支持拒绝访问，需使用蒲公英 Windows 客户端6.14.8及以上版本。

8. 策略失效说明

如果管理员切换了网络类型或组网方式，原有策略可能不再适用于当前网络。

例如：

• 三层自定义网络切换为三层对等网络后，原成员防护策略不再生效。
• 二层网络切换为三层网络后，原二层防护策略不再生效。

发生以上情况时，原策略页签仍会保留，但页面会提示该策略当前不可用，并且不再展示原有配置内容。

建议根据新的网络类型重新创建对应的访问策略。

【配图：策略失效提示】

9. 常见问题

9.1 为什么没有显示成员防护？

成员防护仅适用于三层自定义网络。请检查当前网络类型和组网方式。

9.2 为什么没有显示二层防护？

二层防护仅适用于二层对等网络和二层集散网络。

9.3 为什么网络防护不能选择允许访问？

网络防护和二层防护用于拦截不需要的流量，仅支持拒绝访问。设置允许访问可能与当前网络类型的默认访问关系产生冲突，因此不提供该选项。

9.4 为什么策略配置完成后没有生效？

请依次检查：

1. 策略开关是否已经开启。
2. 规则优先级是否低于其他匹配策略。
3. 当前网络类型是否支持该防护功能。
4. IP地址、网段、协议和端口是否填写正确。
5. Windows客户端是否已升级至6.14.8及以上版本。
6. 成员是否在线并正常接入蒲公英网络。

9.5 多条规则同时匹配时，哪条规则生效？

系统优先匹配优先级数值较高的规则。建议为更具体、更重要的规则设置较高优先级。