【控制篇 / 应用】(6.0) ❀ 02. 只允许使用 QQ 和微信 (下) ❀ FortiGate 防火墙

　　【简介】上一篇文章，我们通过应用控制限制了上网，并且只允许可以使用QQ和微信。虽然很成功，但是并非没有漏洞，为了更加细致的控制，我们还需要限制开启的服务。

---

只开启需要用到的服务

　　我们可以通过限制开启的服务，进一步保证安全。

　　① 在上一篇的应用控制中，我们知道了需要启用HTTP.BROWSER才能发送图片。因此，我们需要启用http服务，而https也是常用的，需要启用。另外DSN和ICMP服务也建议启用。

 　　② 我们将策略的服务由ALL，改成HTTP、HTTPS、DNS和 ALL_ICMP。

 　　③ QQ可以正常登录，也可正常接收消息、图片和文件，也可以正常发出消息和文件，但是。。。。它发出图片，对方收到会延迟几十秒甚至数分钟，这让使用体验很不好。

排查问题

　　首先我们需要知道是什么原因造成发出图片会延迟收到。

 　　① 我们知道，常用端口号无非是TCP和UDP两种，而TCP最常用。我们将服务修改为ALL_TCP，端口号为1-65535。再次测试QQ发出图片，对方能正常快速接收。

　　② 我们新建一个服务，设置TCP的范围，虽然最大可以到65535，但是很显然后面的很多没用上。这里我们先设置1到30000。

 　　③ 将新建的服务，添加到策略里。然后再次测试QQ发截图，正常速度收到。

 　　④ 我们将TCP范围再次减半，测试是否能够正常速度发送图片。这样逐渐缩小范围

  　　⑤ 最终我们将范围缩小到TCP 8080。

   　　⑥ 我们只要启用HTTP(80)、HTTPS(443)以及8080，就可以正像发送和接收QQ信息、图片和文件了。

　

---