高价值目标网络访问需以真实物理位置为硬性准入条件。通过多源定位、业务适配的地理围栏、实时策略联动及多维叠加验证，实现“人在哪、何时在、能否做”的精准动态控制。
高价值目标的网络访问不能只看“谁在连”，关键要看“从哪儿连”。物理地理围栏不是画个圈就完事，而是把真实空间坐标变成准入策略的硬性条件——只有人在指定区域、设备在可信位置、时间也匹配，才允许接触核心系统。
一、用多源定位确保位置真实可信
单靠IP地址定位误差太大，同一栋楼里不同楼层可能被识别成不同城市。必须组合使用多种定位方式：
- 企业Wi-Fi定位：部署支持802.11mc协议的无线控制器，通过多个AP信号强度三角测算终端室内坐标，精度可达3–5米；
- 终端GPS+蓝牙信标辅助：对配发的办公PC或移动设备启用GPS（需用户授权），在机房、操作间等重点区域布设低功耗蓝牙信标，补强定位连续性；
- 禁用纯IP地理库：公网IP定位无法区分楼层、机柜甚至工位，不满足高价值目标防护所需的粒度要求。
二、按业务逻辑建模地理围栏
围栏不是越小越好，而是要贴合实际操作场景：
- 多边形围栏：比如将“核心数据库操作间”划为不规则多边形，排除门口走廊、配电箱所在区域，避免误放行；
- 分层围栏：外层（办公区）只开放OA和邮件，中层（研发区）可访问代码仓库，内层（DBA工位）才允许直连生产数据库；
- 时间+位置双控：即使人在围栏内，非工作时段（如23:00–6:00）也禁止对财务系统执行SSH或RDP操作。
三、与准入系统实时联动执行判定
位置数据必须秒级进入策略引擎，不能只做事后审计：
- 终端接入时，由无线控制器或轻量Agent上报经纬度或预注册的区域ID；
- OneNAC等准入系统比对当前坐标是否落在预设围栏内，并同步校验该围栏对应的身份权限（例如“DBA账号+机房B3-07围栏=允许SQL Server直连”）；
- 不满足条件的请求，直接重定向至统一提示页：“请移至授权操作区域后重试”，不返回任何系统响应头或错误码，防止信息泄露。
四、叠加验证防绕过、保兜底
仅靠位置放行风险极高，必须与其他维度绑定：
- 禁用单因素位置放行：必须同步校验设备指纹、802.1X证书、终端合规状态（如EDR运行状态、磁盘加密开启情况）；
- 防范GPS欺骗：对高权限终端启用NMEA信号完整性检测（如GSA字段可信度），异常信号自动降权至访客级；
- 离线场景兜底：当终端GPS或Wi-Fi信号丢失时，沿用最后一次可信位置，超15分钟未更新则转入“位置待确认”隔离态，暂停敏感操作权限。
