57-内容过滤

Size: px

Start display at page:

Download "57-内容过滤"

奠凭
3 years ago
Views:

1 目录 1 内容过滤概述 HTTP 协议内容过滤 SMTP 协议内容过滤配置内容过滤配置概述配置 URL 参数过滤关键字配置 Java 阻断关键字配置 ActiveX 阻断关键字配置关键字过滤条目配置 URL 主机名过滤条目配置文件名过滤条目配置邮件地址过滤条目配置 HTTP 过滤策略配置 SMTP 过滤策略配置内容过滤策略模板查看内容过滤统计信息内容过滤典型配置举例注意事项 i

2 1 内容过滤 1.1 概述内容过滤功能是指设备对 HTTP(Hypertext Transfer Protocol, 超文本传输协议 ) 报文和 SMTP (Simple Mail Transfer Protocol, 简单邮件传输协议 ) 报文中携带的内容进行过滤, 以阻止内部网络用户访问非法网站或发送非法邮件, 并阻止含有非法内容的报文进入内部网络当设备收到 HTTP 报文或 SMTP 报文时, 首先进行域间策略的匹配, 如果匹配的域间策略动作为允许通过, 且该域间策略中配置了内容过滤策略, 则继续对报文进行内容过滤, 阻止含有非法内容的报文通过设备 HTTP 协议内容过滤 HTTP 协议内容过滤包括以下功能 : URL(Uniform Resource Locator, 统一资源定位符 ) 主机名过滤 : 使用 URL 主机名过滤可以在设备收到 HTTP 请求报文后, 对请求 URL 中的主机名进行过滤, 阻止内部用户访问某些特定的网站 Header 过滤 : 服务器发往客户端的 HTTP 响应报文中的 Header 字段一般包含当前网页的类型 ( 如文本图片等 ) HTTP 内容长度服务器基本信息 ( 如服务器类型响应时间等 ) HTTP 协议版本等信息, 使用 Header 过滤可以阻止 Header 字段中含有特定信息的 HTTP 响应报文通过设备正文过滤 : 使用正文过滤可以对服务器发往客户端的 HTTP 报文中携带的最终可视内容 ( 即用户在浏览器上看到的实际内容 ) 进行过滤, 阻止含有特定可视内容的报文通过设备, 以防止非法内容在内部网络中传播 URL IP 地址阻断 : 使用 URL IP 地址阻断可以过滤所有 URL 中包含 IP 地址的 HTTP 请求报文, 以阻止内部用户直接使用 IP 地址访问网站 URL 参数过滤 : 使用 URL 参数过滤可以阻止通过 URL 参数对网站进行的攻击例如对于 SQL (Structured Query Language, 结构化查询语言 ) 注入攻击,URL 参数过滤功能用 SQL 语句中的关键字以及其它可能产生 SQL 语句的字符与 HTTP 请求报文进行匹配如果匹配成功, 则认为是 SQL 注入攻击, 禁止其通过设备支持对传输方式为 get post 和 put 的 Web 请求进行 URL 参数过滤目前, 网页一般都是动态的, 与数据库相连的, 通过 Web 请求去数据库中查询或修改所需的数据这使得不法分子可以通过在 Web 请求中构造特殊的 SQL 语句窃取数据库中机密数据, 或不断修改数据库的信息导致数据库瘫痪这种攻击方式被称为 SQL 注入攻击 ActiveX 阻断 : 使用 ActiveX 阻断功能可以过滤对不可信任站点的 ActiveX 插件请求, 保护网络不受有害的 ActiveX 插件的破坏 Java Applet 阻断 : 使用 Java Applet 阻断功能可以过滤对不可信站点的 Java Applet 请求, 保护网络不受有害的 Java Applet 的破坏 1-1

3 1.1.2 SMTP 协议内容过滤 SMTP 协议内容过滤包括以下功能 : 发件人过滤 : 使用发件人过滤可以对 SMTP 请求报文中的发件人地址进行过滤, 阻止特定发件人发送邮件收件人过滤 : 使用收件人过滤可以对 SMTP 请求报文中的收件人地址进行过滤, 阻止内部用户向特定收件人发送邮件主题过滤 : 使用主题过滤可以对 SMTP 请求报文中的邮件主题进行过滤, 阻止发送主题中包含特定关键字的邮件正文过滤 : 使用正文过滤可以对 SMTP 请求报文中的邮件正文进行过滤, 阻止发送正文中包含特定关键字的邮件附件过滤 : 使用附件过滤可以对 SMTP 请求报文中的邮件附件名称和附件内容进行过滤, 阻止发送附件为特定名称或附件中包含特定关键字的邮件非法命令字阻断 : 使用非法命令字阻断可以对 SMTP 请求报文中携带的命令字进行检测, 禁止携带非法命令字的报文通过设备内容过滤功能认为合法的命令字包括 :HELO EHLO RSET QUIT DATA NOOP HELP EXPN TURN VRFY SOML SAML SEND MAIL RCPT AUTH 超长邮件阻断 : 使用超大邮件阻断功能可以对内部用户发送邮件的大小进行限制, 阻止发送超大的邮件 1.2 配置内容过滤配置概述内容过滤功能的配置步骤如下 : (1) 配置过滤关键字和过滤条目用户可以根据需要配置各种过滤关键字和过滤条目表 1-1 过滤关键字和过滤条目配置配置任务配置 URL 参数过滤关键字配置 Java 阻断关键字配置 ActiveX 阻断关键字供 HTTP 过滤策略中的 URL 参数过滤使用缺省情况下, 存在 URL 参数过滤关键字 ^select$ ^insert$ ^update$ ^delete$ ^drop$ -- ^exec$ 和 %27 供 HTTP 过滤策略中的 Java Applet 阻断使用缺省情况下, 存在 Java 阻断后缀关键字.class 和.jar 供 HTTP 过滤策略中的 ActiveX 阻断使用缺省情况下, 存在 ActiveX 阻断后缀关键字.ocx 1-2

4 配置任务分为 HTTP 关键字过滤条目和 SMTP 关键字过滤条目 : 配置关键字过滤条目配置 URL 主机名过滤条目配置文件名过滤条目配置邮件地址过滤条目 HTTP 关键字过滤条目供 HTTP 过滤策略中的 Header 过滤正文过滤使用 SMTP 关键字过滤条目供 SMTP 过滤策略中的主题过滤正文过滤附件内容过滤使用缺省情况下, 不存在关键字过滤条目供 HTTP 过滤策略中的 URL 主机名过滤使用缺省情况下, 不存在 URL 主机名过滤条目供 SMTP 过滤策略中的附件名称过滤使用缺省情况下, 不存在文件名过滤条目供 SMTP 过滤策略中的发件人过滤收件人过滤使用缺省情况下, 不存在邮件地址过滤条目 (2) 配置内容过滤策略内容过滤策略分为 HTTP 过滤策略和 SMTP 过滤策略, 用户可以根据需要进行配置表 1-2 内容过滤策略配置配置任务配置 HTTP 过滤策略缺省情况下, 不存在 HTTP 过滤策略配置 SMTP 过滤策略缺省情况下, 不存在 SMTP 过滤策略 (3) 配置内容过滤策略模板内容策略模板是内容过滤策略的组合, 可以直接应用于域间策略中表 1-3 内容过滤策略模板配置配置任务缺省情况下, 不存在内容过滤策略模板配置内容过滤策略模板内容过滤策略模板可以在内容过滤模块配置, 也可以在域间策略中配置, 二者的配置内容相同本手册只介绍在内容过滤模块的配置方法, 在域间策略中的配置方法请参见 UTM 防火墙功能 Web 配置手册域间策略 (4) 配置引用内容过滤策略模板的域间策略根据组网需求配置源安全域和目的安全域间的域间策略, 并在域间策略中引用内容过滤策略模板这样, 就可以对匹配域间策略的报文进行内容过滤表 1-4 域间策略配置配置任务具体配置请参见 UTM 防火墙功能 Web 配置手册域间策略配置引用内容过滤策略模板的域间策略需要注意的是, 要想让内容过滤功能生效, 引用内容过滤策略的域间策略中的过滤动作必须设置为 Permit 缺省情况下, 不存在域间策略 1-3

5 (5) 查看内容过滤统计信息表 1-5 查看内容过滤统计信息配置任务查看内容过滤统计信息查看各种内容过滤功能的报文匹配统计信息配置 URL 参数过滤关键字在导航栏中选择应用控制 > Web 过滤, 默认进入 URL 参数过滤关键字设置页签的页面, 如图 1-1 所示单击 < 新建 > 按钮, 进入新建 URL 参数过滤关键字的页面, 如图 1-2 所示 URL 参数过滤关键字的详细配置如表 1-6 所示图 1-1 URL 参数过滤关键字设置图 1-2 新建 URL 参数过滤关键字 1-4

6 表 1-6 URL 参数过滤关键字的详细配置配置项关键字设置 URL 参数过滤的关键字字符串关键字的设置请参见图 1-2, 通配符的使用规则请参见 1.4 注意事项配置的关键字字符串中可以包含空格, 但不允许配置连续的多个空格可点击返回表 1-1 过滤关键字和过滤条目配置配置 Java 阻断关键字在导航栏中选择应用控制 > Web 过滤, 单击 Java 阻断关键字设置页签, 进入如图 1-3 所示的页面单击 < 新建 > 按钮, 进入新建 Java 阻断关键字的页面, 如图 1-4 所示图 1-3 Java 阻断关键字设置图 1-4 新建 Java 阻断关键字 Java 阻断后缀关键字的详细配置如表 1-7 所示表 1-7 Java 阻断后缀关键字的详细配置配置项关键字设置 Java 阻断的后缀关键字字符串关键字的设置请参见图 1-4 可点击返回表 1-1 过滤关键字和过滤条目配置 1-5

1.2.4 配置 ActiveX 阻断关键字在导航栏中选择应用控制 > Web 过滤, 单击 ActiveX 阻断关键字设置页签, 进入如图 1-5 所示的页面单击 < 新建 > 按钮, 进入新建 ActiveX 阻断关键字的页面, 如图 1-6 所示图 1-5 ActiveX 阻断关键字设置图 1-6 新建 ActiveX 阻断关键字 ActiveX 阻断后缀关键字的详细配置如表

7 1.2.4 配置 ActiveX 阻断关键字在导航栏中选择应用控制 > Web 过滤, 单击 ActiveX 阻断关键字设置页签, 进入如图 1-5 所示的页面单击 < 新建 > 按钮, 进入新建 ActiveX 阻断关键字的页面, 如图 1-6 所示图 1-5 ActiveX 阻断关键字设置图 1-6 新建 ActiveX 阻断关键字 ActiveX 阻断后缀关键字的详细配置如表 1-8 所示表 1-8 ActiveX 阻断后缀关键字的详细配置配置项关键字设置 ActiveX 阻断的后缀关键字字符串关键字的设置请参见图 1-6 可点击返回表 1-1 过滤关键字和过滤条目配置配置关键字过滤条目在导航栏中选择应用控制 > 内容过滤 > 过滤条目, 默认进入关键字页签的页面, 如图 1-7 所示单击 < 新建 > 按钮, 进入新建关键字过滤条目的页面, 如图 1-8 所示 1-6

图 1-7 关键字图 1-8 新建关键字过滤条目关键字过滤条目的详细配置如表 1-9 所示表 1-9 关键字过滤条目的详细配置配置项名称设置关键字过滤条目的名称设置该关键字过滤条目中的关键字字符串关键字一个关键字过滤条目中最多可以指定 16 个关键字, 以, 间隔可以使用通配符 * 代替长度不超过 6 个字符的任意字符串通配符 * 在每个关键字中只能出现一次,

8 图 1-7 关键字图 1-8 新建关键字过滤条目关键字过滤条目的详细配置如表 1-9 所示表 1-9 关键字过滤条目的详细配置配置项名称设置关键字过滤条目的名称设置该关键字过滤条目中的关键字字符串关键字一个关键字过滤条目中最多可以指定 16 个关键字, 以, 间隔可以使用通配符 * 代替长度不超过 6 个字符的任意字符串通配符 * 在每个关键字中只能出现一次, 且不能位于关键字的开头和结尾设置该关键字过滤条目针对的协议, 包括 HTTP SMTP 协议 HTTP 关键字过滤条目可以供 HTTP 过滤策略中的 Header 过滤正文过滤使用 SMTP 关键字过滤条目可以供 SMTP 过滤策略中的主题过滤正文过滤附件内容过滤使用可点击返回表 1-1 过滤关键字和过滤条目配置配置 URL 主机名过滤条目在导航栏中选择应用控制 > 内容过滤 > 过滤条目, 单击 URL 主机名页签, 进入如图 1-9 所示的页面单击 < 新建 > 按钮, 进入新建 URL 主机名过滤条目的页面, 如图 1-10 所示 1-7

图 1-9 URL 主机名图 1-10 新建 URL 主机名过滤条目 URL 主机名过滤条目的详细配置如表 1-10 所示表 1-10 URL 主机名过滤条目的详细配置配置项名称 URL 主机名协议设置 URL 主机名过滤条目的名称设置该 URL 主机名过滤条目中的 URL 主机名关键字一个 URL 主机名过滤条目中最多可以指定 16 个关键字, 以,

9 图 1-9 URL 主机名图 1-10 新建 URL 主机名过滤条目 URL 主机名过滤条目的详细配置如表 1-10 所示表 1-10 URL 主机名过滤条目的详细配置配置项名称 URL 主机名协议设置 URL 主机名过滤条目的名称设置该 URL 主机名过滤条目中的 URL 主机名关键字一个 URL 主机名过滤条目中最多可以指定 16 个关键字, 以, 间隔关键字中通配符的使用规则请参见 1.4 注意事项设置该 URL 主机名过滤条目针对的协议, 包括 HTTP URL 主机名过滤条目可以供 HTTP 过滤策略中的 URL 主机名过滤使用可点击返回表 1-1 过滤关键字和过滤条目配置配置文件名过滤条目在导航栏中选择应用控制 > 内容过滤 > 过滤条目, 单击文件名页签, 进入如图 1-11 所示的页面单击 < 新建 > 按钮, 进入新建文件名过滤条目的页面, 如图 1-12 所示 1-8

10 图 1-11 文件名图 1-12 新建文件名过滤条目文件名过滤条目的详细配置如表 1-11 所示表 1-11 文件名过滤条目的详细配置配置项名称文件名条目协议设置文件名过滤条目的名称设置该文件名过滤条目中的文件名关键字, 格式为文件名. 扩展名一个文件名过滤条目中最多可以指定 16 个关键字, 以, 间隔可以使用通配符 * 代替整个文件名 ( 不包括扩展名 ) 或扩展名, 或者代替文件名或扩展名中长度不超过 6 个字符的任意字符串通配符 * 在每个关键字的文件名和扩展名中分别只能出现一次设置该文件名过滤条目针对的协议, 包括 SMTP 文件名过滤条目可以供 SMTP 过滤策略中的附件名称过滤使用可点击返回表 1-1 过滤关键字和过滤条目配置配置邮件地址过滤条目在导航栏中选择应用控制 > 内容过滤 > 过滤条目, 单击邮件地址页签, 进入如图 1-13 所示的页面单击 < 新建 > 按钮, 进入新建邮件地址过滤条目的页面, 如图 1-14 所示 1-9

11 图 1-13 邮件地址图 1-14 新建邮件地址过滤条目邮件地址过滤条目的详细配置如表 1-12 所示表 1-12 邮件地址过滤条目的详细配置配置项名称邮件地址协议设置邮件地址过滤条目的名称设置该邮件地址过滤条目中的邮件地址关键字, 格式为域名一个邮件地址过滤条目中最多可以指定 16 个关键字, 以, 间隔可以使用通配符 * 代替多个任意字符, 但不能代替., 且通配符 * 的使用格式只能为 *@ 域名或 *@* 域名设置该邮件地址过滤条目针对的协议, 包括 SMTP 邮件地址过滤条目可以供 SMTP 过滤策略中的发件人过滤收件人过滤使用可点击返回表 1-1 过滤关键字和过滤条目配置配置 HTTP 过滤策略在导航栏中选择应用控制 > 内容过滤 > 过滤策略, 默认进入 HTTP 策略页签的页面, 如图 1-15 所示单击 < 新建 > 按钮, 进入新建 HTTP 过滤策略的页面, 如图 1-16 所示 1-10

URL 主机名过滤条目设置 Header 过滤所使用的过滤条目可选的过滤条目为所有 HTTP 关键字过滤条目设置正文过滤所使用的过滤条目可选的过滤条目为所有 HTTP

12 图 1-15 HTTP 策略图 1-16 新建 HTTP 过滤策略 HTTP 过滤策略的详细配置如表 1-13 所示表 1-13 HTTP 过滤策略的详细配置配置项名称 URL 主机名过滤 Header 过滤正文过滤 URL IP 地址阻断设置 HTTP 过滤策略的名称设置 URL 主机名过滤所使用的过滤条目可选的过滤条目为所有 URL 主机名过滤条目设置 Header 过滤所使用的过滤条目可选的过滤条目为所有 HTTP 关键字过滤条目设置正文过滤所使用的过滤条目可选的过滤条目为所有 HTTP 关键字过滤条目设置是否阻止内部用户直接以 IP 地址访问网站 (1) 匹配这些过滤条件的报文将被丢弃 (2) 一个 HTTP 过滤策略中必须至少启用这些配置项中的一项 1-11

配置项 URL 参数过滤 ActiveX 阻断 Java Applet 阻断设置是否启用 URL 参数过滤若启用 URL 参数过滤, 则所有 URL 参数过滤关键字均有效设置是否启用 ActiveX 阻断若启用 ActiveX 阻断, 则所有 ActiveX 阻断关键字均有效设置是否启用 Java Applet 阻断若启用 Java Applet 阻断, 则所有 Java 阻断关键字均有效

13 配置项 URL 参数过滤 ActiveX 阻断 Java Applet 阻断设置是否启用 URL 参数过滤若启用 URL 参数过滤, 则所有 URL 参数过滤关键字均有效设置是否启用 ActiveX 阻断若启用 ActiveX 阻断, 则所有 ActiveX 阻断关键字均有效设置是否启用 Java Applet 阻断若启用 Java Applet 阻断, 则所有 Java 阻断关键字均有效设置当报文匹配该策略时, 是否记录日志开启日志功能日志记录功能只有在内容过滤策略和域间策略中同时启用, 才能生效可点击返回表 1-2 内容过滤策略配置配置 SMTP 过滤策略在导航栏中选择应用控制 > 内容过滤 > 过滤策略, 单击 SMTP 策略页签, 进入如图 1-15 所示的页面单击 < 新建 > 按钮, 进入新建 SMTP 过滤策略的页面, 如图 1-16 所示图 1-17 SMTP 策略 1-12

图 1-18 新建 SMTP 过滤策略 SMTP 过滤策略的详细配置如表 1-14 所示表 1-14 SMTP 过滤策略的详细配置配置项名称发件人过滤收件人过滤主题过滤正文过滤附件过滤附件名称过滤附件内容过滤非法命令字阻断超大邮件阻断设置 SMTP 过滤策略的名称设置发件人过滤所使用的过滤条目可选的过滤条目为所有邮件地址过滤条目

14 图 1-18 新建 SMTP 过滤策略 SMTP 过滤策略的详细配置如表 1-14 所示表 1-14 SMTP 过滤策略的详细配置配置项名称发件人过滤收件人过滤主题过滤正文过滤附件过滤附件名称过滤附件内容过滤非法命令字阻断超大邮件阻断设置 SMTP 过滤策略的名称设置发件人过滤所使用的过滤条目可选的过滤条目为所有邮件地址过滤条目设置收件人过滤所使用的过滤条目可选的过滤条目为所有邮件地址过滤条目设置主题过滤所使用的过滤条目可选的过滤条目为所有 SMTP 关键字过滤条目设置正文过滤所使用的过滤条目可选的过滤条目为所有 SMTP 关键字过滤条目设置附件名称过滤所使用的过滤条目可选的过滤条目为所有文件名过滤条目设置附件内容过滤所使用的过滤条目可选的过滤条目为所有 SMTP 关键字过滤条目设置是否禁止携带非法命令字的 SMTP 请求报文通过设置是否对内部用户发送邮件的大小进行限制, 阻止超大邮件的发送启用超大邮件阻断时, 需要指定允许的邮件最大字节数 (3) 匹配这些过滤条件的报文将被丢弃 (4) 一个 SMTP 过滤策略中必须至少启用这些配置项中的一项 1-13

15 配置项设置当报文匹配该策略时, 是否记录日志开启日志功能日志记录功能只有在内容过滤策略和域间策略中同时启用, 才能生效可点击返回表 1-2 内容过滤策略配置配置内容过滤策略模板在导航栏中选择应用控制 > 内容过滤 > 策略模板, 进入如图 1-19 所示的页面单击 < 新建 > 按钮, 进入新建策略模板的页面, 如图 1-20 所示图 1-19 策略模板图 1-20 新建策略模板内容过滤策略模板的详细配置如表 1-15 所示表 1-15 内容过滤策略模板的详细配置配置项名称设置内容过滤策略模板的名称 HTTP 过滤策略 SMTP 过滤策略设置内容过滤策略模板包含的 HTTP 过滤策略设置内容过滤策略模板包含的 SMTP 过滤策略一个内容过滤策略模板中必须至少配置 HTTP 过滤策略和 SMTP 过滤策略中的一个可点击返回表 1-3 内容过滤策略模板配置 1-14

1.2.12 查看内容过滤统计信息在导航栏中选择应用控制 > 内容过滤 > 统计信息, 进入如图 1-21 所示的页面可以查看各种内容过滤功能的报文匹配统计信息图 1-21 统计信息可点击返回表 1-5 查看内容过滤统计信息 1.3 内容过滤典型配置举例 1. 组网需求如图 1-22 所示, 局域网 192.168.1.0/24 网段内的主机通过 Device 访问 Internet Device 分别通过 Trust 安全域和 Untrust 安全域与局域网和 Internet 相连启用正文过滤功能, 阻止含有 sex 关键字的 HTTP 响应报文通过启用 Java Applet 阻断功能, 仅允许网站 IP 地址为 5.

16 查看内容过滤统计信息在导航栏中选择应用控制 > 内容过滤 > 统计信息, 进入如图 1-21 所示的页面可以查看各种内容过滤功能的报文匹配统计信息图 1-21 统计信息可点击返回表 1-5 查看内容过滤统计信息 1.3 内容过滤典型配置举例 1. 组网需求如图 1-22 所示, 局域网 /24 网段内的主机通过 Device 访问 Internet Device 分别通过 Trust 安全域和 Untrust 安全域与局域网和 Internet 相连启用正文过滤功能, 阻止含有 sex 关键字的 HTTP 响应报文通过启用 Java Applet 阻断功能, 仅允许网站 IP 地址为的 Java Applet 请求通过启用附件名称过滤功能, 阻止用户发送带有.exe 附件的邮件 1-15

配置 sex 关键字过滤条目输入名称为 sex 输入关键字为 sex 选择协议为 HTTP

17 图 1-22 内容过滤配置组网图 2. 配置步骤 # 配置设备各接口的 IP 地址和所属安全域 ( 略 ) # 配置 sex 关键字过滤条目在导航栏中选择应用控制 > 内容过滤 > 过滤条目, 默认进入关键字页签的页面, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-23 所示图 1-23 配置 sex 关键字过滤条目输入名称为 sex 输入关键字为 sex 选择协议为 HTTP 单击 < 确定 > 按钮完成操作 # 配置 *.exe 文件名过滤条目单击文件名页签, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-24 所示 1-16

18 图 1-24 配置 *.exe 文件名过滤条目输入名称为 exe 输入文件名条目为 *.exe 单击 < 确定 > 按钮完成操作 # 配置不带 Java Applet 阻断的 HTTP 过滤策略在导航栏中选择应用控制 > 内容过滤 > 过滤策略, 默认进入 HTTP 策略页签的页面, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-25 所示 1-17

19 图 1-25 配置不带 Java Applet 阻断的 HTTP 过滤策略输入名称为 http_policy1 单击正文过滤前的扩展按钮在可选内容框中选中 sex 过滤条目, 单击按钮将其添加到已选内容框中单击 < 确定 > 按钮完成操作 # 配置带 Java Applet 阻断的 HTTP 过滤策略在导航栏中选择应用控制 > 内容过滤 > 过滤策略, 默认进入 HTTP 策略页签的页面, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-26 所示 1-18

20 图 1-26 配置带 Java Applet 阻断的 HTTP 过滤策略输入名称为 http_policy2 单击正文过滤前的扩展按钮在可选内容框中选中 sex 过滤条目, 单击按钮将其添加到已选内容框中选中 Java Applet 阻断前的复选框单击 < 确定 > 按钮完成操作 # 配置 SMTP 过滤策略单击 SMTP 策略页签, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-27 所示 1-19

21 图 1-27 配置 SMTP 过滤策略输入名称为 smtp_policy 单击附件过滤前的扩展按钮在附件名称过滤的可选附件名称框中选中 exe 过滤条目, 单击按钮将其添加到已选附件名称框中单击 < 确定 > 按钮完成操作 1-20

# 配置不带 Java Applet 阻断的内容过滤策略模板在导航栏中选择应用控制 > 内容过滤 > 策略模板, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-28 所示图 1-28 配置不带 Java Applet 阻断的内容过滤策略模板输入名称为 template1 选择 HTTP 过滤策略为 http_policy1 选择 SMTP 过滤策略为 smtp_policy 单击

22 # 配置不带 Java Applet 阻断的内容过滤策略模板在导航栏中选择应用控制 > 内容过滤 > 策略模板, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-28 所示图 1-28 配置不带 Java Applet 阻断的内容过滤策略模板输入名称为 template1 选择 HTTP 过滤策略为 http_policy1 选择 SMTP 过滤策略为 smtp_policy 单击 < 确定 > 按钮完成操作 # 配置带 Java Applet 阻断的内容过滤策略模板在导航栏中选择应用控制 > 内容过滤 > 策略模板, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-29 所示图 1-29 配置带 Java Applet 阻断的内容过滤策略模板输入名称为 template2 选择 HTTP 过滤策略为 http_policy2 选择 SMTP 过滤策略为 smtp_policy 单击 < 确定 > 按钮完成操作 # 配置 Trust 安全域到 Untrust 安全域的目的地址为的域间策略, 并引用不带 Java Applet 阻断的内容过滤策略模板在导航栏中选择防火墙 > 安全策略 > 域间策略, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-30 所示 1-21

23 图 1-30 配置引用不带 Java Applet 阻断的内容过滤策略模板的域间策略选择源域为 Trust 选择目的域为 Untrust 输入规则 ID 为 1 选中目的 IP 地址中新建 IP 地址前的单选按钮, 输入目的 IP 地址为 / 选择过滤动作为 Permit 选择内容过滤策略模板为 template1 单击 < 确定 > 按钮完成操作 # 配置 Trust 安全域到 Untrust 安全域的域间策略, 并引用带 Java Applet 阻断的内容过滤策略模板保持之前选择的源域和目的域不变, 进行如下配置, 如图 1-31 所示 1-22

24 图 1-31 配置引用带 Java Applet 阻断的内容过滤策略模板的域间策略输入规则 ID 为 2 选择源 IP 地址和目的 IP 地址均为 any_address 选择过滤动作为 Permit 选择内容过滤策略模板为 template2 单击 < 确定 > 按钮完成操作 3. 配置结果验证完成上述配置后, 局域网内用户不能收到含有 sex 关键字的 HTTP 响应 ; 除对 IP 地址为的 Web 服务器外, 不能成功发送 Java Applet 请求 ; 不能成功发送带有.exe 附件的邮件设备运行一段时间后, 在导航栏中选择应用控制 > 内容过滤 > 统计信息, 可以看到如图 1-32 所示的统计信息 1-23

25 图 1-32 内容过滤配置结果 1.4 注意事项配置内容过滤时需要注意如下事项 : (1) 配置 URL 参数过滤关键字时, 需要注意通配符的使用规则 : ^ 表示开头匹配只能出现在关键字的开头, 且只能出现一次 $ 表示结尾匹配只能出现在关键字的结尾, 且只能出现一次 & 代替一个字符可出现任意多个, 可连续出现, 可位于关键字的任意位置, 但不能与 * 相邻, 如果出现在开始和结尾的位置, 则一定要和 ^ 或 $ 相邻 * 代替长度不超过 4 个字符的任意字符串, 可代替空格只能位于关键字的中间, 且只能出现一次如果关键字的开头有 ^ 或结尾有 $, 表示精确匹配例如, 关键字 ^webfilter$ 表示网址中的 URL 参数包含独立词语 webfilter 的请求将被过滤掉, 比如 any, 但是类似于的网址将不会被过滤如果关键字的开头和结尾都没有通配符, 表示模糊匹配对于模糊匹配, 只要网址中的 URL 参数包含了该关键字就会被过滤 (2) 配置 URL 主机名过滤条目时, 需要注意通配符的使用规则 : ^ 表示开头匹配只能出现在关键字的开头, 且只能出现一次 $ 表示结尾匹配只能出现在关键字的结尾, 且只能出现一次 & 代替一个字符, 不能代替空格和. 可出现任意多个, 可连续出现, 可位于关键字的任意位置, 但不能与 * 一起使用 * 代替任意多个字符, 不能代替. 在关键字中只能出现一次, 可以位于关键字的开头和中间, 不能位于结尾, 并且不能和 ^ $ 相邻 1-24

26 如果关键字的开头有 ^ 或结尾有 $, 表示精确匹配例如, ^webfilter 表示以 webfilter 开头的网址 ( 如 webfilter.com.cn) 或类似于 cmm.webfilter-any.com 的网址将被过滤掉关键字 ^webfilter$ 表示过滤包含独立词语 webfilter 的网址, 比如但是类似于的网址将不会被过滤如果关键字的开头和结尾都没有通配符, 表示模糊匹配对于模糊匹配, 只要网址中包含了该关键字就会被过滤当 * 位于关键字的开头时, 必须以 *. 其它关键字的形式出现, 例如 *.com 或者 *.webfilter.com 不支持纯数字的关键字如果需要过滤类似的网站, 使用 123 作为过滤地址是不合法的, 但可以使用 ^123$ 和 123.com 等作为过滤地址因此, 对于以数字作为网站地址的网站, 建议采用精确匹配方式进行过滤 1-25

目录（目录名）目录目录...1-1 1.1 域名解析配置命令... 1-1 1.1.1 display dns domain... 1-1 1.1.2 display dns dynamic-host... 1-1 1.1.3 display dns server... 1-2 1.1.4 display ip host... 1-3 1.1.5 dns domain... 1-4 1.1.6 dns resolve...