H3C SecPath ACG1000 系列应用控制网关 URL 过滤功能典型配置举例 Copyright 2018 新华三技术有限公司版权所有, 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播本文档中的信息可能变动, 恕不另行通

Size: px

Start display at page:

矮右诸
4 years ago
Views:

2 目录 1 简介 1 2 配置前提 1 3 使用限制 1 4 配置举例组网需求配置思路使用版本配置步骤配置 ACG1000 系列产品验证配置配置文件 9 5 相关资料 9 i

3 1 简介本文档介绍 ACG1000 设备 URL 过滤配置举例, 包括自定义对象 URL 过滤和预定义对象 URL 过滤 2 配置前提本文档中的配置均是在实验室环境下进行的配置和验证, 配置前设备的所有参数均采用出厂时的缺省配置如果您已经对设备进行了配置, 为了保证配置效果, 请确认现有配置和以下举例中的配置不冲突本文档假设您已了解 URL 过滤特性 3 使用限制 ACG1000 R 6606P02 版本的预定义 URL 对象和恶意 URL 对象暂不支持查看具体内容, 如果存在错误过滤的问题, 可使用自定义 URL 对象进行规避, 因为自定义 URL 对象过滤优先于预定义 URL 对象过滤进行匹配网页中链接引用的情况非常普遍, 同一个网页上的 Flash 嵌入视频和图片等内容可能分别对应不同的 URL, 此时只允许其中某个 URL 通过, 无法保证网页全部完整可用 4 配置举例 4.1 组网需求如图 4-1 所示, 某公司内网存在研发网段和财务网段,IP 地址分别为 /24 和 /24 使用 ACG1000 设备的 ge2 和 ge3 接口作为透明桥, 串接部署在核心交换机和出口路由器之间, 启用 URL 过滤功能, 具体应用需求如下 : 针对研发网段, 不允许访问在线音乐和 BBS 站点类网站, 允许访问其他类网站, 并过滤恶意 URL 针对财务网段, 阻止访问网易 ( 包括网易新闻网易娱乐等所有网易主站和子网站 ) 网站, 其他网站访问全部允许访问 1

4 图 4-1 行为审计功能配置组网图 4.2 配置思路针对某一类别的 URL 过滤需求, 通过预定义 URL 对象过滤实现针对具体某一个网站的 URL 过滤需求, 通过自定义 URL 对象过滤实现在进行 URL 过滤匹配时, 先进行自定义 URL 的匹配, 匹配算法为在报文携带的 URL 中从前向后取自定义 URL 字符串, 如果可以取到即匹配规则并返回结果, 不再继续匹配例如配置拒绝自定义对象 163 和允许自定义对象 com, 当 URL 是时, 从前到后先取到 baidu 字符串则拒绝, 而其他 com 网页将被允许, 继续进行预定义 URL 对象过滤规则匹配自定义 URL 对象过滤规则匹配完成后, 将进行预定义 URL 对象过滤规则匹配, 此时报文携带的 URL 将会遍历所有预定义 URL 对象过滤规则, 如果匹配到阻断策略则会拒绝访问 URL 如果报文携带的 URL 在先后匹配了自定义和预定义 URL 对象过滤后都没有被阻断, 那么最终 URL 将被放行 4.3 使用版本本举例是在 R6606P07 版本上进行配置和验证的 4.4 配置步骤配置 ACG1000 系列产品 1. 登录 Web 网管如图 4-2 所示, 使用 http 或 https 的方式登录 ACG1000 设备的 Web 网管, 默认的用户名和密码是 admin/admin, 输入验证码, 并点击 < 登录 > 按钮 2

5 图 4-2 登录 Web 网管 2. 配置地址对象如图 4-3 所示, 进入对象管理 >IPv4 地址 >IPv4 地址对象, 点击 < 新建 >,IP 地址配置为 /24, 创建研发网段地址对象, 点击 < 提交 > 按照同样的方法配置财务网段地址对象图 4-3 配置地址对象如图 4-4 所示, 创建成功的地址对象配置如下 : 图 4-4 地址对象配置成功 3

6 3. 配置自定义 URL 对象如图 4-5 所示, 进入对象管理 > URL > 自定义 URL, 点击 < 新建 >, 配置自定义 URL 对象网易, 内容配置为 163, 点击 < 提交 > 图 4-5 配置自定义 URL 对象网易如图 4-6 所示, 创建成功的自定义 URL 对象如下 : 图 4-6 自定义 URL 对象配置成功 4. 配置研发网段 URL 审计策略如图 4-7 所示, 进入上网行为管理 > 策略配置 > IPv4 策略, 点击 < 新建 >, 源地址配置为研发网段, 接着配置 URL 审计部分 4

7 图 4-7 配置研发网段 IPv4 策略如图 4-8 所示, 在 IPV4 策略页面的应用策略部分, 将过滤恶意 URL 点击为 < 过滤 >, 并在 URL 审计中点击 < 新建 >, URL 分类配置为在线音乐和 BBS 站点, 处理动作配置为拒绝, 日志级别配置为信息, 点击 < 提交 > 图 4-8 配置在线音乐和 BBS 站点类 URL 阻断如图 4-9 所示, 创建成功的研发网段 URL 审计策略配置如下 : 5

8 图 4-9 研发网段 URL 审计策略配置成功 5. 配置财务网段 URL 审计策略如图 4-10 所示, 进入上网行为管理 > 策略配置 > IPv4 策略, 点击 < 新建 >, 源地址配置为财务网段, 接着配置 URL 审计部分图 4-10 配置财务网段 IPv4 策略如图 4-11 所示, 在 IPV4 策略页面的应用策略部分 URL 审计中, 点击 < 新建 >, URL 分类配置为网易, 处理动作配置为拒绝, 日志级别配置为信息, 点击 < 提交 > 6

9 图 4-11 配置网易 URL 阻断如图 4-12 所示, 创建成功的研发网段 URL 审计策略配置如下 : 图 4-12 财务网段 URL 审计策略配置成功 4.5 验证配置 (1) 验证研发网段 URL 过滤效果如图 4-13 所示, 测试研发网段无法打开虾米音乐等在线音乐类网站图 4-13 研发网段访问虾米音乐网站失败如图 4-14 所示, 测试研发网段无法打开天涯论坛等 BBS 站点类网站 7

10 图 4-14 研发网段访问天涯论坛网站失败如图 4-15 所示, 测试研发网段无法访问 mykasker.com 等恶意 URL 页面图 4-15 研发网段访问 mykasker.com 失败 (2) 验证财务网段 URL 过滤效果如图 4-16 所示, 测试财务网段无法访问网易主页图 4-16 财务网段访问网易主页失败如图 4-17 所示, 财务网段无法访问网易体育页面 8

11 图 4-17 财务网段访问网易体育页面失败 4.6 配置文件! address 研发网段 ip subnet /24! address 财务网段 ip subnet /24! url-category 网易 url 163! policy any any 研发网段 any any any any always audit 1 website-policy malware enable website-policy 1 music,bbs, deny info FilterUrl website-policy enable 1 policy any any 财务网段 any any any any always audit 2 app-policy 1 application any any any keyword include any accept info FilterIMLoginAction app-policy enable 1 website-policy malware disable website-policy 1 网易, deny info FilterUrl website-policy enable 1 policy default-action permit policy white-list enable! 5 相关资料 H3C SecPath ACG1000 系列应用控制网关 Web 配置手册中的 URL 过滤 9

12 H3C SecPath ACG1000 系列应用控制网关配置指导中的 URL 分类与网站策略配置指导 10