接口规则条件按流量的源接口和目标接口控制流量。

根据规则类型和部署中的设备，您可以使用名为 安全区域 或 接口组 的预定义 接口对象 构建接口条件。接口对象对网络进行分段，以通过跨多个设备将接口分组来帮助管理和分类流量；请参阅接口。

提示	按接口限制规则是提高系统性能的一种最佳方式。如果规则排除了某个设备的所有接口，则该规则不影响该设备的性能。

正如接口对象中的所有接口都必须为同一类型（均为内联、被动、交换、路由或 ASA FirePOWER），接口条件中使用的所有接口对象也必须为同一类型。由于被动部署的设备不会传输流量，因此无法在被动部署中按目标接口限制规则。

网络规则条件使用内部报头按流量的源和目标 IP 地址来控制流量。使用外部报头的隧道规则具有隧道终端条件而不是网络条件。

您可以使用预定义对象构建网络条件，或手动指定单个 IP 地址或地址块。

注	您 不能 在身份规则中使用 FDQN 网络对象。

注	系统会为每个枝叶域构建单独的网络映射。在多域部署中，使用文字 IP 地址限制此配置可能会出现意外结果。 通过使用支持覆盖的对象，后代域管理员可为其本地环境自定义全局配置。

尽可能将匹配条件留空，尤其是安全区、网络对象和端口对象的匹配条件。指定多个条件时，系统必须匹配您指定的条件内容的各组合。

用户规则条件会根据发起连接的用户或用户所属的组来匹配流量。例如，您可以配置阻止规则以禁止财务组中的任何人访问网络资源。

（仅适用于访问控制规则）您必须首先将身份策略与访问控制策略相关联，如将其他策略与访问控制相关联中所述。

除了为已配置的领域配置用户和组之外，您还可以为以下特殊身份的用户设置策略：

• 身份验证失败：强制网络门户身份验证失败的用户。

• 访客：在强制网络门户中被配置为访客用户的用户。

• 无需身份验证：匹配无需身份验证 (No Authentication Required) 规则操作的用户。

• 未知：无法识别的用户；例如，配置的领域未下载的用户。

系统分析 IP 流量时，可以识别网络上的常用应用并将其分类。这种基于发现的应用感知是应用控制的基础 - 能够控制应用流量。

借助系统提供的应用过滤器，您可以根据应用的基本特征（类型、风险、业务关联性、类别和标记）组织应用，从而执行应用控制。您可以系统提供的过滤器的组合或以应用的自定义组合为基础，创建可重复使用的用户定义过滤器。

对于策略中的每个应用程序规则条件，必须启用至少一个检测器。如果没有为应用启用检测器，则系统会为该应用自动启用所有系统提供的检测器；如果不存在检测器，则系统为该应用启用最新修改的用户定义的检测器。有关应用检测器的详细信息，请参阅 应用检测器基础知识。

您可以使用应用过滤器和单独指定的应用来确保完整覆盖。但是，在订购访问控制规则之前，请了解以下说明。

通过端口条件，您可以按流量的源端口和目标端口控制该流量。

尽可能将匹配条件留空，尤其是安全区、网络对象和端口对象的匹配条件。指定多个条件时，系统必须匹配您指定的条件内容的各组合。

使用 URL 条件控制网络上的用户可以访问的网站。

有关完整信息，请参阅URL 过滤。

如果未将 ISE/ISE-PIC 配置为身份源，可以使用非 ISE 分配的安全组标记 (SGT) 来控制流量。SGT 会指定可信网络内的流量源的权限。

自定义 SGT 规则条件使用手动创建的 SGT 对象来过滤流量，而不是使用从系统与 ISE 服务器的连接中获取的 ISE SGT 进行过滤。这些手动创建的 SGT 对象与要控制的流量的 SGT 属性相对应。使用自定义 SGT 控制流量不属于用户控制。

某些规则允许您根据分配的 SGT 来控制流量。根据规则类型和您的身份源配置，您可以使用 ISE 分配的 SGT 或自定义 SGT 将流量与分配的 SGT 属性进行匹配。

注	如果您使用 ISE SGT 匹配流量，即使一个数据包没有分配的 SGT 属性，当与该数据包的源 IP 地址关联的 SGT 在 ISE 中已知时，该数据包仍会匹配 ISE SGT 规则。

如果您创建与自定义 SGT 匹配的规则，然后将 ISE/ISE-PIC 配置为身份源，则系统：

• 禁用对象管理器中的安全组标记选项。尽管系统会保留现有 SGT 对象，但您不能修改它们或添加新的 SGT 对象。

• 保留使用自定义 SGT 条件的现有规则。但是，这些规则与流量不匹配。您也不能为现有规则添加其他自定义 SGT 条件，或创建具有自定义 SGT 条件的新规则。

如果您配置了 ISE，则思科建议您删除或禁用具有自定义 SGT 条件的现有规则。相反，使用 ISE 属性条件将流量与 SGT 属性相匹配。