- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
04-URL過濾配置
本章節下載： 04-URL過濾配置 (394.13 KB)
URL過濾功能是指對用戶訪問的URL進行控製，即允許或禁止用戶訪問的Web資源，達到規範用戶上網行為的目的。
目前，僅支持對基於HTTP協議的URL進行過濾。
URL（Uniform Resource Locator，統一資源定位符）是互聯網上標準資源的地址。URL用來完整、精確的描述互聯網上的網頁或者其他共享資源的地址，URL格式為：“protocol://host[:port]/path/[;parameters][?query]#fragment”，格式示意如圖1-1所示：
圖1-1 URL格式示意圖
URL各字段含義如表1-1所示：
表1-1 URL各字段含義表
|
字段 |
描述 |
|
protocol |
表示使用的傳輸協議，例如HTTP |
|
host |
表示存放資源的服務器的主機名或IP地址 |
|
[:port] |
（可選）傳輸協議的端口號，各種傳輸協議都有默認的端口號 |
|
/path/ |
是路徑，由零或多個“/”符號隔開的字符串，一般用來表示主機上的一個目錄或文件地址 |
|
[parameters] |
（可選）用於指定特殊參數 |
|
[?query] |
（可選）表示查詢用於給動態網頁傳遞參數，可有多個參數，用“&”符號隔開，每個參數的名和值用“=”符號隔開 |
|
URI |
URI（Uniform Resource Identifier，統一資源標識符）是一個用於標示某一互聯網資源名稱的字符 |
URL過濾功能實現的前提條件是對URL的識別。可通過使用URL過濾規則匹配URL中主機名字段和URI字段的方法來識別URL。
URL過濾規則是指對用戶HTTP報文中的URL進行匹配的原則，且其分為兩種規則：
· 預定義規則：根據設備中的URL過濾特征庫自動生成，包括百萬級的主機名或URI。預定義規則能滿足多數情況下的URL過濾需求。
· 自定義規則：由管理員手動配置生成，可以通過使用正則表達式或者文本的方式配置規則中主機名或URI的內容。
URL過濾規則支持兩種匹配方式：
· 文本匹配：使用指定的字符串對主機名和URI字段進行精確匹配。
¡ 匹配主機名字段時，URL中的主機名字段與規則中指定的主機名字符串必須完全一致，才能匹配成功。例如，規則中配置主機名字符串為abc.com.cn，則主機名為abc.com.cn的URL會匹配成功，而主機名為dfabc.com.cn的URL將與該規則匹配失敗。
¡ 匹配URI字段時，從URL中URI字段的首字符開始，隻要URI字段中連續若幹個字符與規則中指定的URI字符串完全一致，就算匹配成功。例如，規則中配置URI字符串為/sina/news，則URI為/sina/news、/sina/news/sports或/sina/news_sports的URL會匹配成功，而URI為/sina的URL將與該規則匹配失敗。
· 正則表達式匹配：使用正則表達式對主機名和URI字段進行模糊匹配。例如，規則中配置主機名的正則表達式為sina.*cn，則主機名為news.sina.com.cn的URL會匹配成功。
為便於管理員對數目眾多的URL過濾規則進行統一部署，URL過濾模塊提供了URL過濾分類功能，以便對具有相似特征的URL過濾規則進行歸納以及為匹配這些規則的URL統一指定處理動作。每個URL過濾分類具有一個嚴重級別屬性，該屬性值表示對屬於此過濾分類URL的處理優先級。
URL過濾分類包括兩種類型：
· 預定義分類：根據設備中的URL過濾特征庫自動生成，其名稱、內容和嚴重級別不可被修改。名稱以Pre-開頭。設備為預定義URL過濾分類保留的嚴重級別為最低，取值範圍為1～999。URL過濾支持兩級分類，包含父分類和子分類。僅支持預定義父分類，且父分類下僅包含預定義子分類。
· 自定義分類：由管理員手動配置，可修改其嚴重級別，可添加URL過濾規則。自定義分類嚴重級別的取值範圍為1000～65535。
一個URL過濾策略中可以配置URL過濾分類和處理動作的綁定關係，以及缺省動作（即對未匹配上任何URL過濾規則的報文采取的動作）。URL過濾支持的處理動作包括：丟棄、允許、阻斷、重置、重定向和生成日誌。
可通過URL過濾黑/白名單規則快速篩選出不需要進行URL過濾的報文。如果用戶HTTP報文中的URL與URL過濾策略中的黑名單規則匹配成功，則丟棄此報文；如果與白名單規則匹配成功，則允許此報文通過。
當用戶通過設備使用HTTP訪問某個網絡資源時，設備將對此HTTP報文進行URL過濾。URL過濾處理流程如圖1-2所示：
圖1-2 URL過濾實現流程圖
URL過濾功能是通過在DPI應用profile中引用URL過濾策略，並在安全策略或對象策略中引用DPI應用profile來實現的，URL過濾實現流程如下：
(1) 設備對報文進行規則（即安全策略規則或對象策略規則）匹配：
如果規則引用了URL過濾業務，設備將對匹配了規則的報文進行URL過濾業務處理。設備將提取報文的URL字段，並與URL過濾規則進行匹配。
有關安全策略的詳細介紹請參見“安全配置指導”中的“安全策略”；有關對象策略的詳細介紹請參見“安全配置指導”中的“對象策略”。
(2) 設備將報文與URL過濾策略中的過濾規則進行匹配，如果匹配成功，則進行下一步處理；如果匹配失敗，則進入步驟（5）的處理。
(3) 首先判斷此URL過濾規則是否屬於URL過濾的黑/白名單規則，如果屬於URL過濾白名單規則則直接允許此報文通過，如果屬於URL過濾的黑名單規則則直接將此報文阻斷。
(4) 如果此URL過濾規則既不屬於URL過濾白名單規則也不屬於URL過濾黑名單規則，則設備將進一步判斷該規則是否同時屬於多個URL過濾分類。
¡ 如果此URL過濾規則同時屬於多個URL過濾分類，則根據嚴重級別最高的URL過濾分類的動作對此報文進行處理。
¡ 如果此URL過濾規則隻屬於一個URL過濾分類，則根據該規則所屬的URL過濾分類的動作對此報文進行處理。
(5) 如果分類雲端查詢功能已開啟，則將報文中的URL發向雲端服務器進行查詢，否則進入步驟（7）的處理。
(6) 如果URL雲端查詢成功，雲端服務器將向設備端返回查詢結果（該結果中包含了URL過濾規則及其所屬的分類名稱），並進入步驟（4）的處理，否則進入步驟（7）的處理。
(7) 如果設備上配置了URL過濾的缺省動作，則根據配置的缺省動作對此報文進行處理；否則直接允許報文通過。
URL過濾特征庫是用來對經過設備的用戶訪問Web請求中的URL進行識別的資源庫。隨著互聯網業務的不斷變化和發展，需要及時升級設備中的URL過濾特征庫，同時設備也支持URL過濾特征庫回滾功能。
URL過濾特征庫的升級包括如下幾種方式：
· 定期自動在線升級：設備根據管理員設置的時間定期自動更新本地的URL過濾特征庫。
· 立即自動在線升級：管理員手工觸發設備立即更新本地的URL過濾特征庫。
· 手動離線升級：當設備無法自動獲取URL過濾特征庫時，需要管理員先手動獲取最新的URL過濾特征庫，再更新本地的URL過濾特征庫。
如果管理員發現設備當前URL過濾特征庫對用戶訪問Web的URL過濾的誤報率較高或出現異常情況，則可以將其回滾到出廠版本和上一版本。
URL過濾特征庫升級和URL過濾分類雲端查詢功能需要安裝License才能使用。License過期後，URL過濾功能可以采用設備中已有的URL過濾特征庫正常工作，但無法升級到比當前版本高的特征庫，且無法進行URL過濾分類雲端查詢。關於License的詳細介紹請參見“基礎配置指導”中的“License管理”。
URL過濾配置任務如下：
(8) 配置URL過濾分類
(9) （可選）配置URL過濾分類雲端查詢
(10) 配置URL過濾策略
(11) （可選）複製URL過濾策略或分類
(13) 激活URL過濾的策略和規則配置
(14) 在安全策略中引用URL過濾業務
(15) 在對象策略中引用URL過濾業務
(16) 配置URL過濾特征庫升級和回滾
(17) （可選）開啟應用層檢測引擎日誌信息功能
(18) （可選）配置URL過濾日誌信息篩選功能
(19) （可選）開啟URL加速審計功能
當URL過濾特征庫中預定義的URL過濾分類和URL過濾規則不能滿足對URL的控製需求時，可以配置URL過濾分類，並在分類中創建URL過濾規則。
不同URL過濾分類的嚴重級別不能相同，數值越大表示嚴重級別越高。
(20) 進入係統視圖。
system-view
(21) 創建URL過濾分類，並進入URL過濾分類視圖。
url-filter category category-name [ severity severity-level ]
缺省情況下，隻存在預定義的URL過濾分類，且分類名稱以字符串Pre-開頭。
自定義的URL過濾分類不能以字符串Pre-開頭。
(22) （可選）配置URL過濾分類的描述信息。
description text
(23) 配置URL過濾規則，請至少選擇其中一項進行配置。
¡ 配置自定義URL過濾規則。
rule rule-id host { regex regex | text string } [ uri { regex regex | text string } ]
¡ 添加預定義URL過濾分類中的規則。
include pre-defined category-name
缺省情況下，URL過濾分類中未添加預定義URL過濾分類中的規則。
(24) （可選）重命名URL過濾分類，並進入新的URL過濾分類視圖。
rename new-name
在URL過濾策略中開啟URL過濾分類雲端查詢功能後，可提高設備識別HTTP報文的準確率，實現對報文的準確控製。
從雲端服務器學習到的URL過濾規則會被緩存在設備的URL過濾緩存中進行報文匹配。URL過濾緩存的記錄上限和規則的最短保留時間可以根據實際組網環境進行調整。有關雲端服務器的詳細介紹，請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
(25) 進入係統視圖。
system-view
(26) 配置雲端服務器的主機名。
inspect cloud-server host-name
缺省情況下，雲端服務器的主機名為sec.h3c.com。
(27) （可選）配置URL過濾緩存區可緩存記錄的上限。
url-filter cache size cache-size
缺省情況下，URL過濾緩存區可緩存記錄的上限為16384。
(28) （可選）配置URL過濾緩存規則的最短保留時間。
url-filter cache-time value
缺省情況下，URL過濾緩存規則的最短保留時間為10分鍾。
(29) 進入URL過濾策略視圖。
url-filter policy policy-name
(30) 開啟URL過濾分類雲端查詢功能。
cloud-query enable
缺省情況下，URL過濾分類雲端查詢功能處於關閉狀態。
URL過濾策略中包含如下配置：
· URL過濾分類動作
· URL過濾分類缺省動作
· 白名單/黑名單規則
(31) 進入係統視圖。
system-view
(32) 創建URL過濾策略，並進入URL過濾策略視圖。
url-filter policy policy-name
(33) 配置URL過濾分類動作。
category category-name action { block-source [ parameter-profile parameter-name ] | drop | permit | redirect parameter-profile parameter-name | reset } [ logging [ parameter-profile parameter-name ] ]
缺省情況下，未配置URL過濾分類動作。
若報文成功匹配的URL過濾規則同屬於多個URL過濾分類，則根據嚴重級別最高的URL過濾分類中指定的動作對此報文進行處理。
(34) （可選）配置URL過濾策略的缺省動作。
default-action { block-source [ parameter-profile parameter-name ] | drop | permit | redirect parameter-profile parameter-name | reset } [ logging [ parameter-profile parameter-name ] ]
(35) （可選）向URL過濾策略中添加黑/白名單規則。
add { blacklist | whitelist } [ id ] host { regex host-regex | text host-name } [ uri { regex uri-regex | text uri-name } ]
(36) （可選）重命名URL過濾策略，並進入新的URL過濾策略視圖。
rename new-name
此功能用來複製已存在的URL過濾策略，可以方便用戶快速創建URL過濾策略。
(37) 進入係統視圖
system-view
(38) 複製URL過濾策略
url-filter copy policy old-name new-name
此功能用來複製已存在的URL過濾分類，可以方便用戶快速創建URL過濾分類。
在複製URL過濾分類時，如果指定優先級與已經存在的分類優先級相同，則複製失敗。
(39) 進入係統視圖。
system-view
(40) 複製URL過濾分類。
url-filter copy category old-name new-name severity severity-level
DPI應用profile是一個安全業務的配置模板，為實現URL過濾功能，必須在DPI應用porfile中引用指定的URL過濾策略。
一個DPI應用profile中隻能引用一個URL過濾策略，如果重複配置，則後配置的覆蓋已有的。
(41) 進入係統視圖。
system-view
(42) 進入DPI應用profile視圖。
app-profile app-profile-name
關於該命令的詳細介紹請參見“DPI深度安全命令參考”中的“應用層檢測引擎”。
(43) 在DPI應用profile中引用URL過濾策略。
url-filter apply policy policy-name
缺省情況下，DPI應用profile中未引用URL過濾策略。
當URL過濾策略和規則被創建、修改和刪除後，需要配置此功能使其策略和規則配置生效。
配置此功能會暫時中斷所有DPI業務的處理，為避免重複配置此功能對DPI業務造成影響，請完成部署DPI各業務模塊的策略和規則後統一配置此功能。
有關此功能的詳細介紹請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
(44) 進入係統視圖。
system-view
(45) 激活URL過濾策略和規則配置。
inspect activate
缺省情況下，URL過濾策略和規則被創建、修改和刪除時不生效。
(46) 進入係統視圖。
system-view
(47) 進入安全策略視圖。
security-policy { ip | ipv6 }
(48) 進入安全策略規則視圖。
rule { rule-id | name name } *
(49) 配置安全策略規則的動作為允許。
action pass
缺省情況下，安全策略規則動作是丟棄。
(50) 配置安全策略規則引用DPI應用profile。
profile app-profile-name
缺省情況下，安全策略規則中未引用DPI應用profile。
(51) 進入係統視圖。
system-view
(52) 進入對象策略視圖。
object-policy { ip | ipv6 } object-policy-name
(53) 在對象策略規則中引用DPI應用profile。
rule [ rule-id ] inspect app-profile-name
缺省情況下，在對象策略規則中未引用DPI應用profile。
(54) 退回係統視圖。
quit
(55) 創建安全域間實例，並進入安全域間實例視圖。
zone-pair security source source-zone-name destination destination-zone-name
有關安全域間實例的詳細介紹請參見“安全配置指導”中的“安全域”。
(56) 應用對象策略。
object-policy apply { ip | ipv6 } object-policy-name
缺省情況下，安全域間實例內不應用對象策略。
· 請勿刪除設備存儲介質根目錄下的/dpi/文件夾，否則設備升級或回滾特征庫會失敗。
· 當係統內存使用狀態處於告警門限狀態時，請勿進行特征庫升級或回滾，否則易造成設備特征庫升級或回滾失敗，進而影響URL過濾業務的正常運行。有關內存告警門限狀態的詳細介紹請參見“基礎配置指導”中的“設備管理”。
· 自動在線升級（包括定期自動在線升級和立即自動在線升級）URL過濾特征庫時，需要確保設備能通過靜態或動態域名解析方式獲得H3C官方網站的IP地址，並與之路由可達，否則設備升級URL過濾特征庫會失敗。有關域名解析功能的配置請參見“三層技術-IP業務配置指導”中的“域名解析”。
· 同一時刻隻能對一個特征庫進行升級，如果當前已有其他特征庫正在升級，請稍後再試。
如果設備可以訪問H3C官方網站上的特征庫服務專區，可以采用定期自動在線升級方式來對設備上的URL過濾特征庫進行升級。
(57) 進入係統視圖。
system-view
(58) 開啟定期自動在線升級URL過濾特征庫功能，並進入自動在線升級配置視圖。
url-filter signature auto-update
缺省情況下，定期自動在線升級URL過濾特征庫功能處於關閉狀態。
(59) 配置定期自動在線升級URL過濾特征庫的時間。
update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes
缺省情況下，設備在每天01:00:00至03:00:00之間自動升級URL過濾特征庫。
當管理員發現H3C官方網站上的特征庫服務專區中的URL過濾特征庫有更新時，可以選擇立即自動在線升級方式來及時升級URL過濾特征庫版本。
(60) 進入係統視圖。
system-view
(61) 立即自動在線升級URL過濾特征庫。
url-filter signature auto-update-now
如果設備不能訪問H3C官方網站上的特征庫服務專區，管理員可以采用如下幾種方式手動離線升級URL過濾特征庫版本。
· 本地升級：使用本地保存的特征庫文件升級係統上的URL過濾特征庫版本。
· FTP/TFTP升級：通過FTP或TFTP方式下載遠程服務器上保存的特征庫文件，並升級係統上的URL過濾特征庫版本。
使用本地升級方式離線升級特征庫版本時，特征庫文件隻能存儲在當前主用主控板上，否則設備升級特征庫會失敗。（獨立運行模式）
使用本地升級方式離線升級特征庫版本時，特征庫文件隻能存儲在當前全局主用主控板上，否則設備升級特征庫會失敗。（IRF模式）
(62) 進入係統視圖。
system-view
(63) 手動離線升級URL過濾特征庫。
url-filter signature update file-path
URL過濾特征庫版本每次回滾前，設備都會備份當前版本。多次回滾上一版本的操作將會在當前版本和上一版本之間反複切換。例如當前URL過濾特征庫版本是V2，上一版本是V1，第一次執行回滾到上一版本的操作後，特征庫替換成V1版本，再執行回滾上一版本的操作則特征庫重新變為V2版本。
(64) 進入係統視圖。
system-view
(65) 回滾URL過濾特征庫。
url-filter signature rollback { factory | last }
應用層檢測引擎日誌是為了滿足管理員審計需求。設備生成應用層檢測引擎日誌信息會交給信息中心模塊處理，信息中心模塊的配置將決定日誌信息的發送規則和發送方向。關於信息中心的詳細描述請參見“網絡管理和監控配置指導”中的“信息中心”。
(66) 進入係統視圖。
system-view
(67) 開啟應用層檢測引擎日誌信息功能。
url-filter log enable
缺省情況下，生成應用層檢測引擎日誌信息功能處於關閉狀態。
開啟URL過濾日誌功能後（即執行category action logging或default-action logging命令）會產生大量的日誌信息，不利於查看和分析。管理員可從以下方式中任選其一，對需要進行日誌記錄的資源進行篩選：
· 僅對網站根目錄下資源的訪問進行日誌記錄
· 對指定類型的網頁資源的訪問不進行日誌記錄
(68) 進入係統視圖。
system-view
(69) 配置URL過濾僅對網站根目錄下資源的訪問進行日誌記錄。
url-filter log directory root
缺省情況下，URL過濾對網站所有路徑下資源的訪問均進行日誌記錄。
(70) 進入係統視圖。
system-view
(71) 配置URL過濾不進行日誌記錄訪問的網頁資源類型。
¡ 配置URL過濾對指定預定義類型網頁資源的訪問不進行日誌記錄。
url-filter log except pre-defined { css | gif | ico | jpg | js | png | swf | xml }
¡ 配置URL過濾對指定自定義類型網頁資源的訪問不進行日誌記錄。
url-filter log except user-defined text
缺省情況下，URL過濾僅對預定義類型（即css、gif、ico、jpg、js、png、swf和xml類型）網頁資源的訪問不進行日誌記錄。
缺省情況下，設備在軟件快速轉發流程中通過URL過濾功能對報文進行URL審計，這種處理方式不僅可以對報文進行URL審計，還可以對報文進行阻斷或重定向等操作。但是，軟件快速轉發和URL過濾功能均需要CPU進行處理，當CPU負擔較重時，直接影響報文的轉發速度。
開啟URL加速審計功能後，報文直接通過硬件快速轉發流程進行轉發處理，同時把HTTP類型的報文鏡像到CPU進行URL過濾處理。這種處理方式下，當CPU負擔較重時，可以保障報文的快速轉發，隻能對報文進行URL審計，即對匹配了動作是logging的URL過濾規則的報文進行記錄日誌。
有關快速轉發的詳細介紹，請參見“三層技術-IP業務”中的“快速轉發”。
· 必須先配置完URL過濾功能和開啟硬件快速轉發功能後，此功能才會生效。
· 此功能適用於對設備轉發性能要求比較高，又需要進行URL審計但對安全性要求不高的應用場景。
· 此功能不能與需要進行四層以上業務處理的功能（如七層負載均衡、ALG等功能）同時使用，否則此功能將會失效。
· 開啟此功能後，DPI相關功能將會失效。
(72) 進入係統視圖。
system-view
(73) 開啟URL加速審計功能。
hardware audit url enable
缺省情況下，URL加速審計功能處於關閉狀態。
完成上述配置後，在任意視圖下執行display命令可以顯示URL過濾的配置信息和分類信息等。
在用戶視圖下執行reset命令可以清除URL過濾的統計信息。
表1-2 URL過濾顯示和維護
|
操作 |
命令 |
|
查看URL過濾緩存中的信息 |
display url-filter cache |
|
顯示URL過濾父分類或子分類信息 |
display url-filter { category | parent-category } [ verbose ] |
|
顯示URL過濾特征庫信息 |
display url-filter signature library |
|
查看URL過濾的統計信息 |
display url-filter statistics |
|
清除URL過濾的統計信息 |
reset url-filter statistics |
如圖1-3所示，Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現有組網需求如下：
· 配置URL過濾功能，允許Trust安全域的主機訪問Untrust安全域的Web Server上的www.sina.com。
· 配置預定義URL過濾分類Pre-Games的動作為丟棄並生成日誌。
· 配置URL過濾策略的缺省動作為丟棄和生成日誌。
圖1-3 在安全策略中引用URL過濾業務配置組網圖
(74) 配置各接口的IP地址（略）
(75) 創建安全域並將接口加入安全域
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/2。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(76) 配置對象組
# 創建名為urlfilter的IP地址對象組，並定義其子網地址為192.168.1.0/24。
[Device] object-group ip address urlfilter
[Device-obj-grp-ip-urlfilter] network subnet 192.168.1.0 24
[Device-obj-grp-ip-urlfilter] quit
(77) 配置URL過濾功能
# 創建名為news的URL過濾分類，並進入URL過濾分類視圖，設置該分類的嚴重級別為2000。
[Device] url-filter category news severity 2000
# 在URL過濾分類news中添加一條URL過濾規則，並使用字符串www.sina.com對主機名字段進行精確匹配。
[Device-url-filter-category-news] rule 1 host text www.sina.com
[Device-url-filter-category-news] quit
# 創建名為urlnews的URL過濾策略，並進入URL過濾策略視圖。
[Device] url-filter policy urlnews
# 在URL過濾策略urlnews中，配置URL過濾分類news綁定的動作為允許。
[Device-url-filter-policy-urlnews] category news action permit
# 在URL過濾策略urlnews中，配置預定義URL過濾分類Pre-Games綁定的動作為丟棄並生成日誌。
[Device-url-filter-policy-urlnews] category Pre-Games action drop logging
# 在URL過濾策略urlnews中，配置策略的缺省動作為丟棄和打印日誌。
[Device-url-filter-policy-urlnews] default-action drop logging
[Device-url-filter-policy-urlnews] quit
(78) 配置DPI應用profile
# 創建名為sec的DPI應用profile，並進入DPI應用profile視圖。
[Device] app-profile sec
# 在DPI應用profile sec中應用URL過濾策略urlnews。
[Device-app-profile-sec] url-filter apply policy urlnews
[Device-app-profile-sec] quit
# 激活URL過濾策略和規則配置。
[Device] inspect activate
(79) 配置安全策略引用URL過濾業務
# 進入IPv4安全策略視圖
[Device] security-policy ip
# 創建名為urlfilter的安全策略規則，過濾條件為：源安全域Trust、源IP地址對象組urlfilter、目的安全域Untrust。動作為允許，且引用的DPI應用profile為sec。
[Device-security-policy-ip] rule name urlfilter
[Device-security-policy-ip-13-urlfilter] source-zone trust
[Device-security-policy-ip-13-urlfilter] source-ip urlfilter
[Device-security-policy-ip-13-urlfilter] destination-zone untrust
[Device-security-policy-ip-13-urlfilter] action pass
[Device-security-policy-ip-13-urlfilter] profile sec
[Device-security-policy-ip-13-urlfilter] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
以上配置生效後，Trust安全域的主機A、主機B和主機C都可以訪問Untrust安全域的Web Server上的www.sina.com，但是都不能訪問遊戲類的網頁。Trust安全域的主機嚐試訪問遊戲類的URL請求將會被Device阻斷並且打印日誌。
如圖1-4所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源，以及DMZ安全域的FTP服務器。FTP服務器根目錄下保存了最新的URL過濾特征庫文件url-1.0.2-encrypt.dat，FTP服務器的登錄用戶名和密碼分別為url和123。現需要手動離線升級URL過濾特征庫，加載最新的URL過濾分類。
圖1-4 手動離線升級URL過濾特征庫配置組網圖
(80) 配置各接口的IP地址（略）
(81) 配置安全策略保證Device與DMZ安全域之間互通
# 向安全域DMZ中添加接口GigabitEthernet1/0/3。
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3
[Device-security-zone-DMZ] quit
# 進入IPv4安全策略視圖
[Device] security-policy ip
# 創建名為update的安全策略規則，過濾條件為：源安全域Local和DMZ、目的安全域DMZ和Local，動作為允許。
[Device-security-policy-ip]rule name update
[Device-security-policy-ip-11-update] source-zone local
[Device-security-policy-ip-11-update] source-zone dmz
[Device-security-policy-ip-11-update] destination-zone dmz
[Device-security-policy-ip-11-update] destination-zone local
[Device-security-policy-ip-11-update] action pass
[Device-security-policy-ip-11-update] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
(82) 手動升級URL過濾特征庫
# 采用FTP方式手動離線升級設備上的URL過濾特征庫，且被加載的URL特征庫文件名為url-1.0.2-encrypt.dat。
[Device] url-filter signature update ftp://url:[email protected]/url-1.0.2-encrypt.dat
URL過濾特征庫升級後，可以通過display url-filter signature library命令查看當前特征庫的版本信息。
如圖1-5所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源。現有組網需求如下：
· 配置每周六上午九點前後半小時內，定期自動在線升級設備的URL過濾特征庫。
圖1-5 定期自動在線升級URL過濾特征庫配置組網圖
(83) 配置各接口的IP地址（略）
(84) 配置設備解析H3C官方網站對應IP地址的域名解析功能（略）
(85) 配置安全策略保證Trust安全域的局域網用戶可以訪問Untrust安全域的Internet資源（略）
(86) 配置定期自動在線升級URL過濾特征庫
# 開啟自動在線升級URL過濾特征庫功能，並進入自動在線升級配置視圖。
<Device> system-view
[Device] url-filter signature auto-update
# 設置定期自動在線升級URL過濾特征庫計劃為：每周六上午9:00:00自動在線升級，抖動時間為60分鍾。
[Device-url-filter-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60
[Device-url-filter-autoupdate] quit
設置的定期自動在線升級URL過濾特征庫時間到達後，可以通過display url-filter signature library命令查看當前特征庫的版本信息。
如圖1-6所示，Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現有組網需求如下：
· 配置URL過濾功能，允許Trust安全域的主機訪問Untrust安全域的Web Server上的www.sina.com。
· 配置預定義URL過濾分類Pre-Games的動作為丟棄並生成日誌。
· 配置URL過濾策略的缺省動作為丟棄和生成日誌。
圖1-6 在對象策略中引用URL過濾業務配置組網圖
(87) 配置各接口的IP地址（略）
(88) 創建安全域並將接口加入安全域
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/2。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(89) 配置對象組
# 創建名為urlfilter的IP地址對象組，並定義其子網地址為192.168.1.0/24。
[Device] object-group ip address urlfilter
[Device-obj-grp-ip-urlfilter] network subnet 192.168.1.0 24
[Device-obj-grp-ip-urlfilter] quit
(90) 配置URL過濾功能
# 創建名news的URL過濾分類，並進入URL過濾分類視圖，設置該分類的嚴重級別為2000。
[Device] url-filter category news severity 2000
# 在URL過濾分類news中添加一條URL過濾規則，並使用字符串www.sina.com對主機名字段進行精確匹配。
[Device-url-filter-category-news] rule 1 host text www.sina.com
[Device-url-filter-category-news] quit
# 創建名為urlnews的URL過濾策略，並進入URL過濾策略視圖。
[Device] url-filter policy urlnews
# 在URL過濾策略urlnews中，配置URL過濾分類news綁定的動作為允許。
[Device-url-filter-policy-urlnews] category news action permit
# 在URL過濾策略urlnews中，配置預定義URL過濾分類Pre-Games綁定的動作為丟棄並生成日誌。
[Device-url-filter-policy-urlnews] category Pre-Games action drop logging
# 在URL過濾策略urlnews中，配置策略的缺省動作為丟棄和打印日誌。
[Device-url-filter-policy-urlnews] default-action drop logging
[Device-url-filter-policy-urlnews] quit
(91) 配置DPI應用profile
# 創建名為sec的DPI應用profile，並進入DPI應用profile視圖。
[Device] app-profile sec
# 在DPI應用profile sec中應用URL過濾策略urlnews。
[Device-app-profile-sec] url-filter apply policy urlnews
[Device-app-profile-sec] quit
# 激活URL過濾策略和規則配置。
[Device] inspect activate
(92) 配置對象策略
# 創建名為urlfilter的IPv4對象策略，並進入對象策略視圖。
[Device] object-policy ip urlfilter
# 對源IP地址對象組urlfilter對應的報文進行深度檢測，引用的DPI應用profile為sec。
[Device-object-policy-ip-urlfilter] rule inspect sec source-ip urlfilter destination-ip any
[Device-object-policy-ip-urlfilter] quit
(93) 配置安全域間實例並應用對象策略
# 創建源安全域Trust到目的安全域Untrust的安全域間實例，並應用對源IP地址對象組urlfilter對應的報文進行深度檢測的對象策略urlfilter。
[Device] zone-pair security source trust destination untrust
[Device-zone-pair-security-Trust-Untrust] object-policy apply ip urlfilter
[Device-zone-pair-security-Trust-Untrust] quit
以上配置生效後，Trust安全域的主機A、主機B和主機C都可以訪問Untrust安全域的Web Server上的www.sina.com，但是都不能訪問遊戲類的網頁。Trust安全域的主機嚐試訪問遊戲類的URL請求將會被Device阻斷並且打印日誌。
如圖1-7所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源，以及DMZ安全域的FTP服務器。FTP服務器根目錄下保存了最新的URL過濾特征庫文件url-1.0.2-encrypt.dat，FTP服務器的登錄用戶名和密碼分別為url和123。現有組網需求如下：
手動離線升級URL過濾特征庫，加載最新的URL過濾分類。
圖1-7 手動離線升級URL過濾特征庫配置組網圖
(94) 配置各接口的IP地址（略）
(95) 配置Device與FTP Server互通
# 配置ACL 2001，定義規則允許所有報文通過。
<Device> system-view
[Device] acl basic 2001
[Device-acl-ipv4-basic-2001] rule permit
[Device-acl-ipv4-basic-2001] quit
# 向安全域DMZ中添加接口GigabitEthernet1/0/3。
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3
[Device-security-zone-DMZ] quit
# 創建源安全域Local到目的安全域DMZ的安全域間實例，允許Local域用戶訪問DMZ域的報文可以通過。
[Device] zone-pair security source local destination dmz
[Device-zone-pair-security-Local-DMZ] packet-filter 2001
[Device-zone-pair-security-Local-DMZ] quit
# 創建源安全域DMZ到目的安全域Local的安全域間實例，允許DMZ域用戶訪問Local域的報文可以通過。
[Device] zone-pair security source dmz destination local
[Device-zone-pair-security-DMZ-Local] packet-filter 2001
[Device-zone-pair-security-DMZ-Local] quit
(96) 創建安全域並將接口加入安全域
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/2。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(97) 升級特征庫
# 采用FTP方式手動離線升級設備上的URL過濾特征庫，且被加載的URL特征庫文件名為url-1.0.2-encrypt.dat。
[Device] url-filter signature update ftp://url:[email protected]/url-1.0.2-encrypt.dat
URL過濾特征庫升級後，可以通過display url-filter signature library命令查看當前特征庫的版本信息。
如圖1-8所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源。現有組網需求如下：
配置每周六上午九點前後半小時內，定期自動在線升級設備的URL過濾特征庫。
圖1-8 定期自動在線升級URL過濾特征庫配置組網圖
(98) 配置各接口的IP地址（略）
(99) 配置設備解析H3C官方網站對應IP地址的域名解析功能（略）
(100)配置對象策略保證Trust安全域的局域網用戶可以訪問Untrust安全域的Internet資源（略）
(101)配置定期自動在線升級URL過濾特征庫
# 開啟自動在線升級URL過濾特征庫功能，並進入自動在線升級配置視圖。
<Device> system-view
[Device] url-filter signature auto-update
# 設置定期自動在線升級URL過濾特征庫計劃為：每周六上午9:00:00自動在線升級，抖動時間為60分鍾。
[Device-url-filter-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60
[Device-url-filter-autoupdate] quit
設置的定期自動在線升級URL過濾特征庫時間到達後，可以通過display url-filter signature library命令查看當前特征庫的版本信息。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
