geedge-jira/md/OMPUB-301.md

# 福建项目需求：鉴于移网流量中IP地址分层，TSG能否支持”将GTP头部中的IP地址作为独立可选项下到策略中“

| ID | Creation Date | Assignee | Status |
|----|----------------|----------|--------|
| OMPUB-301 | 2021-12-20T16:13:49.000+0800 | 郑超 | 完成 |


---

*需求：*

鉴于移网流量中IP地址分层，TSG能否支持”将GTP头部中的IP地址作为独立可选项下到策略中“

*说明：*

当前TSG安全策略界面中的源、目的IP地址 生效于 GTP内层IP地址（对于固网不变 ，仍使用该选项添加IP对象），新增可选项”GTP头部源、目的IP地址“，使两部分IP可分别生效，互不冲突

*背景：*

福建用户早先下了一批IPv6白名单策略，未指定生效范围，该策略中的IP地址为运营商境内公网IP地址，策略ID=122

近期福建新开局点”厦门海峡5G“，测试中发现经过该局点的流量全都无法阻断，经过排查发现测试手机流量中的GTP头部的IPv6地址全都命中了 122白名单策略，使得阻断策略未生效，于是用户提出了该需求。**yangwei** commented on *2021-12-24T14:24:05.102+0800*:

[~zhangzhihan]  建议先问清楚要干嘛，再说要不要改，该怎么改。

用户配v6白名单策略的意图是什么，那一批v6地址全allow么？

”将GTP头部中的IP地址要作为独立可选项“的意图又是什么？

TSG支持L7的策略条件，目前用户只用L3的过滤是么，这个思路直接给汇聚分流下规则就能实现，不需要镜像至TSG



---

**zhangzhihan** commented on *2021-12-27T16:27:15.648+0800*:

[~yangwei] 

1，用户在福建采用白名单模式，所以配了一堆IPv6地址的白名单，该白名单的地址均为{*}运营商境内公网IPv6地址（固网）{*}，全Allow

2，这批【公网IPv6地址】与 【”厦门海峡5G“的GTP头部IPv6地址】存在一定程度的冲突，所以导致【厦门海峡5G】该局点的流量也全部命中了白名单

3，由于业务原因，目前用户没有解除白名单，而是采取 “在汇聚分流上剥离GTP头部” 的方式，但该方案也只是临时解决的方案

4，已经建议用户对白名单策略指定生效范围，但是用户并没有这么做。。。。

 

综上所述：用户建议，”将GTP头部中的IP地址要作为独立可选项“



---

**zhangzhihan** commented on *2021-12-27T17:20:06.991+0800*:

更正一下信息，福建的5G网络的GTP头都是IPv6地址，且IPv6地址均为公网地址，即在基站这一层直接套了公网IPv6地址。

用户认为目前的IP策略模式在移网环境有不方便的地方，所以有该建议



---

**zhuwei** commented on *2021-12-28T04:04:04.299+0800*:

我建议：

先拿回该条策略，以及相应的Pcap文件，检查一下是否是因为白名单IP地址策略配置范围过大导致。为了用户的愚蠢而改系统是不聪明的选择；

 



---

**zhangzhihan** commented on *2021-12-28T12:21:26.868+0800*:

[~zhuwei]  策略122 截图，对应IP段已上传附件~

!image-2021-12-28-12-19-28-190.png!

 



---

**yangwei** commented on *2021-12-28T14:24:29.880+0800*:

他们配IP白名单的意图，就是纯白名单？既不是IP+TCP或者IP+UDP的白名单，也不是IP+HTTP，或者IP+SSL的白名单？他们只要配个IP+TCP的白，就不会命中GTP的流量

 

这种纯IP的白，直接在分流设备上下就行



---



# Attachments

Attachment: image-2021-12-28-12-19-28-190.png

![image-2021-12-28-12-19-28-190.png](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24285/image-2021-12-28-12-19-28-190.png)



Attachment: image-2022-02-15-10-28-14-198.png

![image-2022-02-15-10-28-14-198.png](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/25250/image-2022-02-15-10-28-14-198.png)



Attachment: 境内电信IPv6地址段.txt

[境内电信IPv6地址段.txt](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24286/境内电信IPv6地址段.txt)



Attachment: 境内谷歌IPv6地址段.txt

[境内谷歌IPv6地址段.txt](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24287/境内谷歌IPv6地址段.txt)



Attachment: 境内教育网IPV6地址段.txt

[境内教育网IPV6地址段.txt](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24288/境内教育网IPV6地址段.txt)



Attachment: 境内科技网IPV6地址段.txt

[境内科技网IPV6地址段.txt](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24289/境内科技网IPV6地址段.txt)



Attachment: 境内联通IPV6地址段.txt

[境内联通IPV6地址段.txt](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24290/境内联通IPV6地址段.txt)



Attachment: 境内鹏博士IPv6地址段.txt

[境内鹏博士IPv6地址段.txt](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24291/境内鹏博士IPv6地址段.txt)



Attachment: 境内铁通IPv6地址段.txt

[境内铁通IPv6地址段.txt](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24292/境内铁通IPv6地址段.txt)



Attachment: 境内移动IPv6地址段.txt

[境内移动IPv6地址段.txt](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24293/境内移动IPv6地址段.txt)



Attachment: 微信图片_20211220163507.png

![微信图片_20211220163507.png](https://gfwleak.exec.li/admin/geedge-jira/raw/branch/master/attachment/24021/微信图片_20211220163507.png)