【产品教程】2026.05.14 梦想网关 外部访问控制(允许指定国家访问)
操作背景：现有一个需求，需要实现某部分国家的设备（比如说中国）可以正常访问到内部服务器（端口映射/路由的方式）但是，不允许其他外部网络设备访问内部服务器，此时应当如何操作？
1、部署思路（从需求到规划）
        国外IP有那么多，如果按照之前的方法，逐个添加IP地址，显然是很不方便的，梦想网关设备里面有内置国家地址库，我们可以通过“地域访问控制”功能来实现允许和拒绝
地域访问控制列表逻辑，在是在安全策略规则之后而存在的，如下图所示：

![](/media/202605/f39e4f2767784071ad544352e7f3d5e61501.png)
2、落地和实现
下面咱们带入一个例子进行讲解

![](/media/202605/a2ae0684cdb344bbb7a88688b09f3eab7651.png)
第一步：【简要介绍】配置物理接口【注意：这个只是样例，根据实际项目规划调整】
配置5口为路由模式，外网属性，接口划分到untrust区域
配置2口为路由模式，内网属性，接口划分到trust区域

![](/media/202605/bd3c5f787fb644e4bd15d752293dac8f7318.png)
第二步：【简要介绍】配置WAN口【注意：这个只是样例，根据实际项目规划调整】
配置WAN口绑定物理口5口（外网属性口），配置对应的接入方式

![](/media/202605/c77091fb8ac64d3894e93ea1be91cf309140.png)
第三步：【简要介绍】配置LAN口【注意：这个只是样例，根据实际项目规划调整】
配置LAN口绑定物理口1口（内网属性口），配置对应的接口方式

![](/media/202605/18bd22e961ce4c0caff1439d94d8bc851423.png)
第四步：【简要介绍】配置LAN侧DHCP server【注意：这个只是样例，根据实际项目规划调整】

![](/media/202605/f9d419435ee14d72920b08b084e6a13e8309.png)
第五步【本小节的重点】：配置安全策略
（1）配置 trust - untrust 定向打通内部网络到外部网络的数据，确保数据正常出局
（2）配置 untrust - trust 定向打通外部网络到内部网络的数据，确保指定外部网络正常入局

![](/media/202605/a099156f2b7d4b5dbe2ac578e8b0d71a6865.png)
新增 trust - untrust 允许策略，确保数据正常出局

![](/media/202605/cc3ca62b24fd4221b8447fa9ee701fa99694.png)
新增 untrust - trust 策略，确保数据正常入局
如果这里想让规则更加紧一些（更贴近数据）我们可以在目的地址这里配置内网服务器地址（更有针对性一些）

![](/media/202605/5bf779ac4ccd464dbe64c1b9e4d25c587730.png)
配置完成后，看到新增规则如下：

![](/media/202605/4e9c6aad4e544b2a926d7d3b146ef6625919.png)
第六步【本小节的重点】：创建IP地址组对象（定义内部对象）
找到对象-地址库-地址，点击添加，添加地址对象

![](/media/202605/196d8fc9d3074260a70c73cd65b3583b9056.png)

![](/media/202605/79b09b78cb234aaa9e029eb4fda640ca9924.png)
配置完成后，情况如下图所示：

![](/media/202605/5330f4f36fba43c4b2cdc2d3ab8ce40f4339.png)
第七步【本小节重点】：配置地域访问控制规则
找到安全-安全防护-地域访问控制，点击新增规则

![](/media/202605/e4034281b317489d9d0f6c6859755c1b4225.png)
编辑源区域为untrust区域，控制方式选择只允许选择国家/地区访问，开启状态

![](/media/202605/d3f26205359847f09b437cee9ebb889e8384.png)
同时，配置国家，选择中国

![](/media/202605/ce6cd5ea63654d889054e186f5619dc98832.png)
配置目的地址为内部访问对象地址组
配置完成后，目的地址连同源区域会作为该规则的命中匹配条件，国家还会作为判断条件，行驶对应的行为

![](/media/202605/3f25f61470e34b2f91fe82c6a066eef47746.png)
第八步：【简要介绍】配置NAT规则，确保正常出局
默认配置下是any-any，规范起见，可以修改配置成：1口 - 5口 或者 trust - untrust

![](/media/202605/5bbfa613b6f64c9e97025e7c48d41d297903.png)

![](/media/202605/6190dc47d97d4bbb93096fb13573a2d71654.png)
第九步：【简要介绍】配置入局方式（注意：这里我们为了演示以端口映射为例，但不仅限于端口映射，路由入局同理）

![](/media/202605/0196b7e3d98f4f54a7056f471f6d1a1b2142.png)

![](/media/202605/5e6cb29a7f734f63b83524aa133eec7e3171.png)

梦想网关 地域访问控制(允许指定国家访问)

梦想网关地域访问控制(允许指定国家访问)