57-内容过滤

目录 1 内容过滤... 1-1 1.1 概述... 1-1 1.1.1 HTTP 协议内容过滤... 1-1 1.1.2 SMTP 协议内容过滤... 1-2 1.2 配置内容过滤... 1-2 1.2.1 配置概述... 1-2 1.2.2 配置 URL 参数过滤关键字... 1-4 1.2.3 配置 Java 阻断关键字... 1-5 1.2.4 配置 ActiveX 阻断关键字... 1-6 1.2.5 配置关键字过滤条目... 1-6 1.2.6 配置 URL 主机名过滤条目... 1-7 1.2.7 配置文件名过滤条目... 1-8 1.2.8 配置邮件地址过滤条目... 1-9 1.2.9 配置 HTTP 过滤策略... 1-10 1.2.10 配置 SMTP 过滤策略... 1-12 1.2.11 配置内容过滤策略模板... 1-14 1.2.12 查看内容过滤统计信息... 1-15 1.3 内容过滤典型配置举例...1-15 1.4 注意事项... 1-24 i

1 内容过滤 1.1 概述 内容过滤功能是指设备对 HTTP(Hypertext Transfer Protocol, 超文本传输协议 ) 报文和 SMTP (Simple Mail Transfer Protocol, 简单邮件传输协议 ) 报文中携带的内容进行过滤, 以阻止内部网络用户访问非法网站或发送非法邮件, 并阻止含有非法内容的报文进入内部网络 当设备收到 HTTP 报文或 SMTP 报文时, 首先进行域间策略的匹配, 如果匹配的域间策略动作为允许通过, 且该域间策略中配置了内容过滤策略, 则继续对报文进行内容过滤, 阻止含有非法内容的报文通过设备 1.1.1 HTTP 协议内容过滤 HTTP 协议内容过滤包括以下功能 : URL(Uniform Resource Locator, 统一资源定位符 ) 主机名过滤 : 使用 URL 主机名过滤可以在设备收到 HTTP 请求报文后, 对请求 URL 中的主机名进行过滤, 阻止内部用户访问某些特定的网站 Header 过滤 : 服务器发往客户端的 HTTP 响应报文中的 Header 字段一般包含当前网页的类型 ( 如文本 图片等 ) HTTP 内容长度 服务器基本信息 ( 如服务器类型 响应时间等 ) HTTP 协议版本等信息, 使用 Header 过滤可以阻止 Header 字段中含有特定信息的 HTTP 响应报文通过设备 正文过滤 : 使用正文过滤可以对服务器发往客户端的 HTTP 报文中携带的最终可视内容 ( 即用户在浏览器上看到的实际内容 ) 进行过滤, 阻止含有特定可视内容的报文通过设备, 以防止非法内容在内部网络中传播 URL IP 地址阻断 : 使用 URL IP 地址阻断可以过滤所有 URL 中包含 IP 地址的 HTTP 请求报文, 以阻止内部用户直接使用 IP 地址访问网站 URL 参数过滤 : 使用 URL 参数过滤可以阻止通过 URL 参数对网站进行的攻击 例如对于 SQL (Structured Query Language, 结构化查询语言 ) 注入攻击,URL 参数过滤功能用 SQL 语句中的关键字以及其它可能产生 SQL 语句的字符与 HTTP 请求报文进行匹配 如果匹配成功, 则认为是 SQL 注入攻击, 禁止其通过 设备支持对传输方式为 get post 和 put 的 Web 请求进行 URL 参数过滤 目前, 网页一般都是动态的, 与数据库相连的, 通过 Web 请求去数据库中查询或修改所需的数据 这使得不法分子可以通过在 Web 请求中构造特殊的 SQL 语句窃取数据库中机密数据, 或不断修改数据库的信息导致数据库瘫痪 这种攻击方式被称为 SQL 注入攻击 ActiveX 阻断 : 使用 ActiveX 阻断功能可以过滤对不可信任站点的 ActiveX 插件请求, 保护网络不受有害的 ActiveX 插件的破坏 Java Applet 阻断 : 使用 Java Applet 阻断功能可以过滤对不可信站点的 Java Applet 请求, 保护网络不受有害的 Java Applet 的破坏 1-1

1.1.2 SMTP 协议内容过滤 SMTP 协议内容过滤包括以下功能 : 发件人过滤 : 使用发件人过滤可以对 SMTP 请求报文中的发件人地址进行过滤, 阻止特定发件人发送邮件 收件人过滤 : 使用收件人过滤可以对 SMTP 请求报文中的收件人地址进行过滤, 阻止内部用户向特定收件人发送邮件 主题过滤 : 使用主题过滤可以对 SMTP 请求报文中的邮件主题进行过滤, 阻止发送主题中包含特定关键字的邮件 正文过滤 : 使用正文过滤可以对 SMTP 请求报文中的邮件正文进行过滤, 阻止发送正文中包含特定关键字的邮件 附件过滤 : 使用附件过滤可以对 SMTP 请求报文中的邮件附件名称和附件内容进行过滤, 阻止发送附件为特定名称或附件中包含特定关键字的邮件 非法命令字阻断 : 使用非法命令字阻断可以对 SMTP 请求报文中携带的命令字进行检测, 禁止携带非法命令字的报文通过设备 内容过滤功能认为合法的命令字包括 :HELO EHLO RSET QUIT DATA NOOP HELP EXPN TURN VRFY SOML SAML SEND MAIL RCPT AUTH 超长邮件阻断 : 使用超大邮件阻断功能可以对内部用户发送邮件的大小进行限制, 阻止发送超大的邮件 1.2 配置内容过滤 1.2.1 配置概述内容过滤功能的配置步骤如下 : (1) 配置过滤关键字和过滤条目用户可以根据需要配置各种过滤关键字和过滤条目 表 1-1 过滤关键字和过滤条目配置 配置任务 1.2.2 配置 URL 参数过滤关键字 1.2.3 配置 Java 阻断关键字 1.2.4 配置 ActiveX 阻断关键字 供 HTTP 过滤策略中的 URL 参数过滤使用缺省情况下, 存在 URL 参数过滤关键字 ^select$ ^insert$ ^update$ ^delete$ ^drop$ -- ^exec$ 和 %27 供 HTTP 过滤策略中的 Java Applet 阻断使用缺省情况下, 存在 Java 阻断后缀关键字.class 和.jar 供 HTTP 过滤策略中的 ActiveX 阻断使用缺省情况下, 存在 ActiveX 阻断后缀关键字.ocx 1-2

配置任务 分为 HTTP 关键字过滤条目和 SMTP 关键字过滤条目 : 1.2.5 配置关键字过滤条目 1.2.6 配置 URL 主机名过滤条目 1.2.7 配置文件名过滤条目 1.2.8 配置邮件地址过滤条目 HTTP 关键字过滤条目供 HTTP 过滤策略中的 Header 过滤 正文过滤使用 SMTP 关键字过滤条目供 SMTP 过滤策略中的主题过滤 正文过滤 附件内容过滤使用 缺省情况下, 不存在关键字过滤条目 供 HTTP 过滤策略中的 URL 主机名过滤使用 缺省情况下, 不存在 URL 主机名过滤条目 供 SMTP 过滤策略中的附件名称过滤使用 缺省情况下, 不存在文件名过滤条目 供 SMTP 过滤策略中的发件人过滤 收件人过滤使用 缺省情况下, 不存在邮件地址过滤条目 (2) 配置内容过滤策略内容过滤策略分为 HTTP 过滤策略和 SMTP 过滤策略, 用户可以根据需要进行配置 表 1-2 内容过滤策略配置 配置任务 1.2.9 配置 HTTP 过滤策略缺省情况下, 不存在 HTTP 过滤策略 1.2.10 配置 SMTP 过滤策略缺省情况下, 不存在 SMTP 过滤策略 (3) 配置内容过滤策略模板内容策略模板是内容过滤策略的组合, 可以直接应用于域间策略中 表 1-3 内容过滤策略模板配置 配置任务 缺省情况下, 不存在内容过滤策略模板 1.2.11 配置内容过滤策略模板 内容过滤策略模板可以在内容过滤模块配置, 也可以在域间策略中配置, 二者的配置内容相同 本手册只介绍在内容过滤模块的配置方法, 在域间策略中的配置方法请参见 UTM 防火墙功能 Web 配置手册域间策略 (4) 配置引用内容过滤策略模板的域间策略根据组网需求配置源安全域和目的安全域间的域间策略, 并在域间策略中引用内容过滤策略模板 这样, 就可以对匹配域间策略的报文进行内容过滤 表 1-4 域间策略配置 配置任务 具体配置请参见 UTM 防火墙功能 Web 配置手册域间策略 配置引用内容过滤策略模板的域间策略 需要注意的是, 要想让内容过滤功能生效, 引用内容过滤策略的域间策略中的过滤动作必须设置为 Permit 缺省情况下, 不存在域间策略 1-3

(5) 查看内容过滤统计信息 表 1-5 查看内容过滤统计信息 配置任务 1.2.12 查看内容过滤统计信息查看各种内容过滤功能的报文匹配统计信息 1.2.2 配置 URL 参数过滤关键字在导航栏中选择 应用控制 > Web 过滤, 默认进入 URL 参数过滤关键字设置 页签的页面, 如图 1-1 所示 单击 < 新建 > 按钮, 进入新建 URL 参数过滤关键字的页面, 如图 1-2 所示 URL 参数过滤关键字的详细配置如表 1-6 所示 图 1-1 URL 参数过滤关键字设置 图 1-2 新建 URL 参数过滤关键字 1-4

表 1-6 URL 参数过滤关键字的详细配置 配置项 关键字 设置 URL 参数过滤的关键字字符串 关键字的设置请参见图 1-2, 通配符的使用规则请参见 1.4 注意事项 配置的关键字字符串中可以包含空格, 但不允许配置连续的多个空格 可点击返回 表 1-1 过滤关键字和过滤条目配置 1.2.3 配置 Java 阻断关键字在导航栏中选择 应用控制 > Web 过滤, 单击 Java 阻断关键字设置 页签, 进入如图 1-3 所示的页面 单击 < 新建 > 按钮, 进入新建 Java 阻断关键字的页面, 如图 1-4 所示 图 1-3 Java 阻断关键字设置 图 1-4 新建 Java 阻断关键字 Java 阻断后缀关键字的详细配置如表 1-7 所示 表 1-7 Java 阻断后缀关键字的详细配置 配置项 关键字 设置 Java 阻断的后缀关键字字符串关键字的设置请参见图 1-4 可点击返回 表 1-1 过滤关键字和过滤条目配置 1-5

1.2.4 配置 ActiveX 阻断关键字在导航栏中选择 应用控制 > Web 过滤, 单击 ActiveX 阻断关键字设置 页签, 进入如图 1-5 所示的页面 单击 < 新建 > 按钮, 进入新建 ActiveX 阻断关键字的页面, 如图 1-6 所示 图 1-5 ActiveX 阻断关键字设置 图 1-6 新建 ActiveX 阻断关键字 ActiveX 阻断后缀关键字的详细配置如表 1-8 所示 表 1-8 ActiveX 阻断后缀关键字的详细配置 配置项 关键字 设置 ActiveX 阻断的后缀关键字字符串关键字的设置请参见图 1-6 可点击返回 表 1-1 过滤关键字和过滤条目配置 1.2.5 配置关键字过滤条目在导航栏中选择 应用控制 > 内容过滤 > 过滤条目, 默认进入 关键字 页签的页面, 如图 1-7 所示 单击 < 新建 > 按钮, 进入新建关键字过滤条目的页面, 如图 1-8 所示 1-6

图 1-7 关键字 图 1-8 新建关键字过滤条目 关键字过滤条目的详细配置如表 1-9 所示 表 1-9 关键字过滤条目的详细配置 配置项 名称 设置关键字过滤条目的名称 设置该关键字过滤条目中的关键字字符串 关键字 一个关键字过滤条目中最多可以指定 16 个关键字, 以, 间隔可以使用通配符 * 代替长度不超过 6 个字符的任意字符串 通配符 * 在每个关键字中只能出现一次, 且不能位于关键字的开头和结尾 设置该关键字过滤条目针对的协议, 包括 HTTP SMTP 协议 HTTP 关键字过滤条目可以供 HTTP 过滤策略中的 Header 过滤 正文过滤使用 SMTP 关键字过滤条目可以供 SMTP 过滤策略中的主题过滤 正文过滤 附件内容过滤使用 可点击返回 表 1-1 过滤关键字和过滤条目配置 1.2.6 配置 URL 主机名过滤条目在导航栏中选择 应用控制 > 内容过滤 > 过滤条目, 单击 URL 主机名 页签, 进入如图 1-9 所示的页面 单击 < 新建 > 按钮, 进入新建 URL 主机名过滤条目的页面, 如图 1-10 所示 1-7

图 1-9 URL 主机名 图 1-10 新建 URL 主机名过滤条目 URL 主机名过滤条目的详细配置如表 1-10 所示 表 1-10 URL 主机名过滤条目的详细配置 配置项 名称 URL 主机名 协议 设置 URL 主机名过滤条目的名称设置该 URL 主机名过滤条目中的 URL 主机名关键字一个 URL 主机名过滤条目中最多可以指定 16 个关键字, 以, 间隔关键字中通配符的使用规则请参见 1.4 注意事项 设置该 URL 主机名过滤条目针对的协议, 包括 HTTP URL 主机名过滤条目可以供 HTTP 过滤策略中的 URL 主机名过滤使用 可点击返回 表 1-1 过滤关键字和过滤条目配置 1.2.7 配置文件名过滤条目在导航栏中选择 应用控制 > 内容过滤 > 过滤条目, 单击 文件名 页签, 进入如图 1-11 所示的页面 单击 < 新建 > 按钮, 进入新建文件名过滤条目的页面, 如图 1-12 所示 1-8

图 1-11 文件名 图 1-12 新建文件名过滤条目 文件名过滤条目的详细配置如表 1-11 所示 表 1-11 文件名过滤条目的详细配置 配置项 名称 文件名条目 协议 设置文件名过滤条目的名称 设置该文件名过滤条目中的文件名关键字, 格式为 文件名. 扩展名 一个文件名过滤条目中最多可以指定 16 个关键字, 以, 间隔可以使用通配符 * 代替整个文件名 ( 不包括扩展名 ) 或扩展名, 或者代替文件名或扩展名中长度不超过 6 个字符的任意字符串 通配符 * 在每个关键字的文件名和扩展名中分别只能出现一次 设置该文件名过滤条目针对的协议, 包括 SMTP 文件名过滤条目可以供 SMTP 过滤策略中的附件名称过滤使用 可点击返回 表 1-1 过滤关键字和过滤条目配置 1.2.8 配置邮件地址过滤条目在导航栏中选择 应用控制 > 内容过滤 > 过滤条目, 单击 邮件地址 页签, 进入如图 1-13 所示的页面 单击 < 新建 > 按钮, 进入新建邮件地址过滤条目的页面, 如图 1-14 所示 1-9

图 1-13 邮件地址 图 1-14 新建邮件地址过滤条目 邮件地址过滤条目的详细配置如表 1-12 所示 表 1-12 邮件地址过滤条目的详细配置 配置项 名称 邮件地址 协议 设置邮件地址过滤条目的名称 设置该邮件地址过滤条目中的邮件地址关键字, 格式为 用户名 @ 域名 一个邮件地址过滤条目中最多可以指定 16 个关键字, 以, 间隔可以使用通配符 * 代替多个任意字符, 但不能代替., 且通配符 * 的使用格式只能为 *@ 域名 或 *@* 域名 设置该邮件地址过滤条目针对的协议, 包括 SMTP 邮件地址过滤条目可以供 SMTP 过滤策略中的发件人过滤 收件人过滤使用 可点击返回 表 1-1 过滤关键字和过滤条目配置 1.2.9 配置 HTTP 过滤策略在导航栏中选择 应用控制 > 内容过滤 > 过滤策略, 默认进入 HTTP 策略 页签的页面, 如图 1-15 所示 单击 < 新建 > 按钮, 进入新建 HTTP 过滤策略的页面, 如图 1-16 所示 1-10

图 1-15 HTTP 策略 图 1-16 新建 HTTP 过滤策略 HTTP 过滤策略的详细配置如表 1-13 所示 表 1-13 HTTP 过滤策略的详细配置 配置项 名称 URL 主机名过滤 Header 过滤正文过滤 URL IP 地址阻断 设置 HTTP 过滤策略的名称设置 URL 主机名过滤所使用的过滤条目可选的过滤条目为所有 URL 主机名过滤条目设置 Header 过滤所使用的过滤条目可选的过滤条目为所有 HTTP 关键字过滤条目设置正文过滤所使用的过滤条目可选的过滤条目为所有 HTTP 关键字过滤条目设置是否阻止内部用户直接以 IP 地址访问网站 (1) 匹配这些过滤条件的报文将被丢弃 (2) 一个 HTTP 过滤策略中必须至少启用这些配置项中的一项 1-11

配置项 URL 参数过滤 ActiveX 阻断 Java Applet 阻断 设置是否启用 URL 参数过滤若启用 URL 参数过滤, 则所有 URL 参数过滤关键字均有效设置是否启用 ActiveX 阻断若启用 ActiveX 阻断, 则所有 ActiveX 阻断关键字均有效设置是否启用 Java Applet 阻断若启用 Java Applet 阻断, 则所有 Java 阻断关键字均有效 设置当报文匹配该策略时, 是否记录日志 开启日志功能 日志记录功能只有在内容过滤策略和域间策略中同时启用, 才能生效 可点击返回 表 1-2 内容过滤策略配置 1.2.10 配置 SMTP 过滤策略在导航栏中选择 应用控制 > 内容过滤 > 过滤策略, 单击 SMTP 策略 页签, 进入如图 1-15 所示的页面 单击 < 新建 > 按钮, 进入新建 SMTP 过滤策略的页面, 如图 1-16 所示 图 1-17 SMTP 策略 1-12

图 1-18 新建 SMTP 过滤策略 SMTP 过滤策略的详细配置如表 1-14 所示 表 1-14 SMTP 过滤策略的详细配置 配置项 名称 发件人过滤 收件人过滤 主题过滤 正文过滤 附件过滤 附件名称过滤 附件内容过滤 非法命令字阻断 超大邮件阻断 设置 SMTP 过滤策略的名称 设置发件人过滤所使用的过滤条目可选的过滤条目为所有邮件地址过滤条目 设置收件人过滤所使用的过滤条目可选的过滤条目为所有邮件地址过滤条目 设置主题过滤所使用的过滤条目可选的过滤条目为所有 SMTP 关键字过滤条目 设置正文过滤所使用的过滤条目可选的过滤条目为所有 SMTP 关键字过滤条目 设置附件名称过滤所使用的过滤条目可选的过滤条目为所有文件名过滤条目 设置附件内容过滤所使用的过滤条目可选的过滤条目为所有 SMTP 关键字过滤条目 设置是否禁止携带非法命令字的 SMTP 请求报文通过 设置是否对内部用户发送邮件的大小进行限制, 阻止超大邮件的发送 启用超大邮件阻断时, 需要指定允许的邮件最大字节数 (3) 匹配这些过滤条件的报文将被丢弃 (4) 一个 SMTP 过滤策略中必须至少启用这些配置项中的一项 1-13

配置项 设置当报文匹配该策略时, 是否记录日志 开启日志功能 日志记录功能只有在内容过滤策略和域间策略中同时启用, 才能生效 可点击返回 表 1-2 内容过滤策略配置 1.2.11 配置内容过滤策略模板在导航栏中选择 应用控制 > 内容过滤 > 策略模板, 进入如图 1-19 所示的页面 单击 < 新建 > 按钮, 进入新建策略模板的页面, 如图 1-20 所示 图 1-19 策略模板 图 1-20 新建策略模板 内容过滤策略模板的详细配置如表 1-15 所示 表 1-15 内容过滤策略模板的详细配置 配置项 名称 设置内容过滤策略模板的名称 HTTP 过滤策略 SMTP 过滤策略 设置内容过滤策略模板包含的 HTTP 过滤策略 设置内容过滤策略模板包含的 SMTP 过滤策略 一个内容过滤策略模板中必须至少配置 HTTP 过滤策略和 SMTP 过滤策略中的一个 可点击返回 表 1-3 内容过滤策略模板配置 1-14

1.2.12 查看内容过滤统计信息在导航栏中选择 应用控制 > 内容过滤 > 统计信息, 进入如图 1-21 所示的页面 可以查看各种内容过滤功能的报文匹配统计信息 图 1-21 统计信息 可点击返回 表 1-5 查看内容过滤统计信息 1.3 内容过滤典型配置举例 1. 组网需求如图 1-22 所示, 局域网 192.168.1.0/24 网段内的主机通过 Device 访问 Internet Device 分别通过 Trust 安全域和 Untrust 安全域与局域网和 Internet 相连 启用正文过滤功能, 阻止含有 sex 关键字的 HTTP 响应报文通过 启用 Java Applet 阻断功能, 仅允许网站 IP 地址为 5.5.5.5 的 Java Applet 请求通过 启用附件名称过滤功能, 阻止用户发送带有.exe 附件的邮件 1-15

图 1-22 内容过滤配置组网图 2. 配置步骤 # 配置设备各接口的 IP 地址和所属安全域 ( 略 ) # 配置 sex 关键字过滤条目 在导航栏中选择 应用控制 > 内容过滤 > 过滤条目, 默认进入 关键字 页签的页面, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-23 所示 图 1-23 配置 sex 关键字过滤条目 输入名称为 sex 输入关键字为 sex 选择协议为 HTTP 单击 < 确定 > 按钮完成操作 # 配置 *.exe 文件名过滤条目 单击 文件名 页签, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-24 所示 1-16

图 1-24 配置 *.exe 文件名过滤条目 输入名称为 exe 输入文件名条目为 *.exe 单击 < 确定 > 按钮完成操作 # 配置不带 Java Applet 阻断的 HTTP 过滤策略 在导航栏中选择 应用控制 > 内容过滤 > 过滤策略, 默认进入 HTTP 策略 页签的页面, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-25 所示 1-17

图 1-25 配置不带 Java Applet 阻断的 HTTP 过滤策略 输入名称为 http_policy1 单击 正文过滤 前的扩展按钮 在 可选内容 框中选中 sex 过滤条目, 单击按钮将其添加到 已选内容 框中 单击 < 确定 > 按钮完成操作 # 配置带 Java Applet 阻断的 HTTP 过滤策略 在导航栏中选择 应用控制 > 内容过滤 > 过滤策略, 默认进入 HTTP 策略 页签的页面, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-26 所示 1-18

图 1-26 配置带 Java Applet 阻断的 HTTP 过滤策略 输入名称为 http_policy2 单击 正文过滤 前的扩展按钮 在 可选内容 框中选中 sex 过滤条目, 单击按钮将其添加到 已选内容 框中 选中 Java Applet 阻断 前的复选框 单击 < 确定 > 按钮完成操作 # 配置 SMTP 过滤策略 单击 SMTP 策略 页签, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-27 所示 1-19

图 1-27 配置 SMTP 过滤策略 输入名称为 smtp_policy 单击 附件过滤 前的扩展按钮 在附件名称过滤的 可选附件名称 框中选中 exe 过滤条目, 单击按钮将其添 加到 已选附件名称 框中 单击 < 确定 > 按钮完成操作 1-20

# 配置不带 Java Applet 阻断的内容过滤策略模板 在导航栏中选择 应用控制 > 内容过滤 > 策略模板, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-28 所示 图 1-28 配置不带 Java Applet 阻断的内容过滤策略模板 输入名称为 template1 选择 HTTP 过滤策略为 http_policy1 选择 SMTP 过滤策略为 smtp_policy 单击 < 确定 > 按钮完成操作 # 配置带 Java Applet 阻断的内容过滤策略模板 在导航栏中选择 应用控制 > 内容过滤 > 策略模板, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-29 所示 图 1-29 配置带 Java Applet 阻断的内容过滤策略模板 输入名称为 template2 选择 HTTP 过滤策略为 http_policy2 选择 SMTP 过滤策略为 smtp_policy 单击 < 确定 > 按钮完成操作 # 配置 Trust 安全域到 Untrust 安全域的目的地址为 5.5.5.5 的域间策略, 并引用不带 Java Applet 阻断的内容过滤策略模板 在导航栏中选择 防火墙 > 安全策略 > 域间策略, 单击 < 新建 > 按钮, 进行如下配置, 如图 1-30 所示 1-21

图 1-30 配置引用不带 Java Applet 阻断的内容过滤策略模板的域间策略 选择源域为 Trust 选择目的域为 Untrust 输入规则 ID 为 1 选中目的 IP 地址中 新建 IP 地址 前的单选按钮, 输入目的 IP 地址为 5.5.5.5/0.0.0.0 选择过滤动作为 Permit 选择内容过滤策略模板为 template1 单击 < 确定 > 按钮完成操作 # 配置 Trust 安全域到 Untrust 安全域的域间策略, 并引用带 Java Applet 阻断的内容过滤策略模板 保持之前选择的源域和目的域不变, 进行如下配置, 如图 1-31 所示 1-22

图 1-31 配置引用带 Java Applet 阻断的内容过滤策略模板的域间策略 输入规则 ID 为 2 选择源 IP 地址和目的 IP 地址均为 any_address 选择过滤动作为 Permit 选择内容过滤策略模板为 template2 单击 < 确定 > 按钮完成操作 3. 配置结果验证完成上述配置后, 局域网内用户不能收到含有 sex 关键字的 HTTP 响应 ; 除对 IP 地址为 5.5.5.5 的 Web 服务器外, 不能成功发送 Java Applet 请求 ; 不能成功发送带有.exe 附件的邮件 设备运行一段时间后, 在导航栏中选择 应用控制 > 内容过滤 > 统计信息, 可以看到如图 1-32 所示的统计信息 1-23

图 1-32 内容过滤配置结果 1.4 注意事项 配置内容过滤时需要注意如下事项 : (1) 配置 URL 参数过滤关键字时, 需要注意通配符的使用规则 : ^ 表示开头匹配 只能出现在关键字的开头, 且只能出现一次 $ 表示结尾匹配 只能出现在关键字的结尾, 且只能出现一次 & 代替一个字符 可出现任意多个, 可连续出现, 可位于关键字的任意位置, 但不能与 * 相邻, 如果出现在开始和结尾的位置, 则一定要和 ^ 或 $ 相邻 * 代替长度不超过 4 个字符的任意字符串, 可代替空格 只能位于关键字的中间, 且只能出现一次 如果关键字的开头有 ^ 或结尾有 $, 表示精确匹配 例如, 关键字 ^webfilter$ 表示网址中的 URL 参数包含独立词语 webfilter 的请求将被过滤掉, 比如 www.abc.com/webfilter any, 但是类似于 www.abc.com/webfilterany 的网址将不会被过滤 如果关键字的开头和结尾都没有通配符, 表示模糊匹配 对于模糊匹配, 只要网址中的 URL 参数包含了该关键字就会被过滤 (2) 配置 URL 主机名过滤条目时, 需要注意通配符的使用规则 : ^ 表示开头匹配 只能出现在关键字的开头, 且只能出现一次 $ 表示结尾匹配 只能出现在关键字的结尾, 且只能出现一次 & 代替一个字符, 不能代替空格和. 可出现任意多个, 可连续出现, 可位于关键字的任意位置, 但不能与 * 一起使用 * 代替任意多个字符, 不能代替. 在关键字中只能出现一次, 可以位于关键字的开头和中间, 不能位于结尾, 并且不能和 ^ $ 相邻 1-24

如果关键字的开头有 ^ 或结尾有 $, 表示精确匹配 例如, ^webfilter 表示以 webfilter 开头的网址 ( 如 webfilter.com.cn) 或类似于 cmm.webfilter-any.com 的网址将被过滤掉 关键字 ^webfilter$ 表示过滤包含独立词语 webfilter 的网址, 比如 www.webfilter.com, 但是类似于 www.webfilter-china.com 的网址将不会被过滤 如果关键字的开头和结尾都没有通配符, 表示模糊匹配 对于模糊匹配, 只要网址中包含了该关键字就会被过滤 当 * 位于关键字的开头时, 必须以 *. 其它关键字 的形式出现, 例如 *.com 或者 *.webfilter.com 不支持纯数字的关键字 如果需要过滤类似 www.123.com 的网站, 使用 123 作为过滤地址是不合法的, 但可以使用 ^123$ www.123.com 和 123.com 等作为过滤地址 因此, 对于以数字作为网站地址的网站, 建议采用精确匹配方式进行过滤 1-25