需通过麒麟安全中心图形界面启用非法外联报警与阻断功能，具体路径为【网络防护】→【非法外联监控】，开启后所有未白名单允许的 outbound tcp/udp 连接将在 syn 阶段被内核丢弃。
在麒麟操作系统中启用安全中心的非法外联报警与阻断功能，需通过内置的“麒麟安全中心”图形界面完成策略配置，该操作直接影响内网终端对外通信行为的实时拦截能力，未正确启用将导致员工通过拨号、无线热点、USB网络共享等方式绕过防火墙直连外网。
确认安全中心版本与服务状态
打开终端，执行 kysec-cli --version 查看安全中心 CLI 工具版本，确保为 v4.3.2 及以上；若返回“command not found”，说明未安装完整安全套件，需先挂载麒麟安全增强光盘并运行 /mnt/cdrom/install-kysec.sh 安装。
执行 systemctl is-active kysec-agent，输出必须为 【active】；若为 inactive 或 failed，需先执行 systemctl restart kysec-agent 并等待 8 秒再验证。
进入非法外联防护策略页
点击左下角【开始】→【系统工具】→【麒麟安全中心】，输入管理员密码后进入主界面。
在左侧导航栏依次点击【网络防护】→【非法外联监控】，右侧显示当前策略开关状态与检测模式选项。
启用非法外联实时阻断
方法一：图形化一键启用
在【非法外联监控】页面，将顶部滑块拖动至“开启”位置，此时下方“阻断动作”自动设为【立即切断连接 + 记录日志 + 触发告警】；【此操作不可逆，开启后所有未经白名单允许的 outbound TCP/UDP 连接将在 SYN 包阶段被内核模块丢弃】。
方法二：命令行强制写入（适用于批量部署）
执行 kysec-cli set net-illegal-outbound --enable --action block --log-level high，返回 success 即生效；该命令绕过 GUI 缓存，直接写入 /etc/kysec/policy/net_illegal_outbound.json 配置文件。
方法三：白名单例外配置（必须在启用阻断前完成）
点击页面右上角【白名单管理】→【添加】，输入合法外联目标的 IP 段（如 10.128.0.0/16）或域名（如 update.kylinos.cn），协议类型选 TCP/UDP，端口范围填 80,443,53；【未在此处添加的任意目标地址，只要发起 outbound 连接即触发阻断】。
验证非法外联阻断是否生效
第一步：清空本机 DNS 缓存 → 执行 systemd-resolve --flush-caches；
第二步：使用未加入白名单的公网域名测试 → 执行 curl -v http://example.com；
第三步：观察返回结果 → 若终端卡在 “Trying 93.184.216.34:80…” 超过 15 秒后报错 “Failed to connect”，且 journalctl -u kysec-agent -n 20 --no-pager | grep "ILLEGAL_OUTBOUND" 输出含 DROP 字样日志，则阻断已生效。
