目  錄

1 文件過濾

1.1 文件過濾簡介

1.1.1 基本概念

1.1.2 文件過濾的實現原理

1.2 文件過濾配置任務簡介

1.3 配置文件類型組

1.4 配置文件過濾策略

1.5 配置文件擴展名不匹配時動作

1.6 在DPI應用profile中引用文件過濾策略

1.7 激活文件過濾策略和規則配置

1.8 在安全策略中引用文件過濾業務

1.9 文件過濾配置舉例

1.9.1 在安全策略中引用文件過濾業務配置舉例

 

1 文件過濾

1.1  文件過濾簡介

文件過濾是一種根據文件擴展名信息對經設備傳輸的文件進行過濾的安全防護機製。采用文件過濾功能可以對指定類型的文件進行批量過濾。目前，文件過濾功能支持對基於HTTP、FTP、SMTP、IMAP、NFS、POP3、RTMP和SMB協議傳輸的文件進行檢測和過濾。

1.1.1  基本概念

1. 文件過濾特征

文件過濾特征是設備上定義的用於識別文件擴展名特征的字符串。

2. 文件類型組

文件類型組用來對文件過濾特征進行統一組織和管理。一個文件類型組中可以包含32個特征，且它們之間是或的關係。

3. 文件過濾規則

文件過濾規則是安全檢測條件及處理動作的集合。在一個規則中可配置的檢測條件包括文件類型組、報文方向、應用類型，可配置的處理動作包括丟棄、放行和生成日誌。隻有文件屬性（包括文件的應用類型、傳輸方向和擴展名）成功匹配規則中包含的所有檢測條件才算與此規則匹配成功。

1.1.2  文件過濾的實現原理

文件過濾功能是通過在DPI應用profile中引用文件過濾策略，並在安全策略中引用DPI應用profile實現的，設備對報文進行文件過濾處理的整體流程如下：

(1)     當設備收到基於HTTP、FTP、SMTP等協議傳輸的文件時，設備將對匹配了策略的報文進行文件過濾處理。‍有關安全策略的詳細介紹請參見“安全配置指導”中的“安全策略”。

(2)     設備提取文件的擴展名信息並記錄。

(3)     設備進一步識別文件真實類型，並將識別的結果與擴展名進行匹配：

¡     如果一致，則使用擴展名與文件過濾規則進行匹配，並進入步驟（4）處理；

¡     如果不一致，則查看文件擴展名不匹配時動作，如果動作為丟棄，則直接丟棄報文，不再進行文件過濾規則的匹配；如果動作為允許，則使用文件的真實類型與文件過濾規則進行匹配，並進入步驟（4）處理。

(4)     與文件過濾規則進行匹配，並根據匹配結果對報文執行以下動作：

¡     如果文件的擴展名信息/真實類型同時與多個文件過濾規則匹配成功，則執行這些規則中優先級最高的動作，動作優先級從高到低的順序為：丟棄 > 允許，但是對於生成日誌動作隻要匹配成功的規則中存在就會執行；

¡     如果文件的擴展名信息/真實類型隻與一個文件過濾規則匹配成功，則執行此規則中指定的動作；

¡     如果文件的擴展名信息/真實類型未與任何文件過濾規則匹配成功，則設備直接允許文件通過。

(5)     如果設備不能識別出文件真實類型，則根據文件擴展名與文件過濾規則進行匹配，並進入步驟（4）處理。

1.2  文件過濾配置任務簡介

文件過濾配置任務如下：

(1)     配置文件類型組

(2)     配置文件過濾策略

(3)     配置文件擴展名不匹配時動作

(4)     在DPI應用profile中引用文件過濾策略

(5)     （可選）激活文件過濾策略和規則配置

(6)     在安全策略中引用文件過濾業務

1.3  配置文件類型組

1. 功能簡介

一個文件類型組中可配置多個文件過濾特征，各特征之間是或的關係。定義文件過濾特征的方式為文本。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     創建文件類型組，並進入文件類型組視圖。

file-filter filetype-group group-name

(3)     （可選）配置文件類型組的描述信息。

description string

缺省情況下，未配置文件類型組的描述信息。

(4)     配置文件過濾特征。

pattern pattern-name text pattern-string

缺省情況下，未配置文件過濾特征。

1.4  配置文件過濾策略

1. 功能簡介

一個文件過濾策略中最多可以定義32個文件過濾規則，各規則之間是或的關係。每個規則中可配置一個文件類型組、多種應用層協議類型、一種報文方向以及多個動作。

2. 配置限製和指導

NFS協議僅支持NFSv3版本；SMB協議支持SMBv1和SMBv2版本。

當動作配置為logging時，設備將記錄日誌並支持如下兩種方式輸出日誌。

·     快速日誌：此方式生成的日誌信息直接發送到管理員指定的日誌主機。

·     係統日誌：此方式生成的日誌信息將發送到信息中心，由信息中心決定日誌的輸出方向。本業務產生的係統日誌不支持輸出到控製台和監視終端。如需快速獲取日誌信息，可通過執行display logbuffer命令進行查看。

係統日誌會對設備性能產生影響，建議采用快速日誌方式。

有關display logbuffer命令的詳細介紹，請參見“設備管理命令參考”中的“信息中心”；有關快速日誌的詳細介紹，請參見“網絡管理和監控配置指導”中的“快速日誌輸出”。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     創建文件過濾策略，並進入文件過濾策略視圖。

file-filter policy policy-name

(3)     （可選）配置文件過濾策略的描述信息。

description string

缺省情況下，未配置文件過濾策略的描述信息。

(4)     創建文件過濾規則，並進入文件過濾規則視圖。

rule rule-name

(5)     指定文件過濾規則采用的文件類型組。

filetype-group group-name

缺省情況下，未指定文件過濾規則采用的文件類型組。

(6)     配置文件過濾規則的應用層協議類型。

application { all | type { ftp | http | imap | nfs | pop3 | rtmp | smb | smtp } * }

缺省情況下，文件過濾規則中未指定應用層協議類型。

(7)     配置文件過濾規則的匹配方向。

direction { both | download | upload }

缺省情況下，文件過濾規則的匹配方向為上傳方向。

(8)     配置文件過濾規則的動作。

action { drop | permit } [ logging ]

缺省情況下，文件過濾規則的動作為丟棄。

1.5  配置文件擴展名不匹配時動作

1. 功能簡介

設備對報文進行文件過濾處理時，會將識別出的文件真實類型與文件擴展名進行對比，當二者不一致時，需要根據本配置進行判斷。如果配置動作為允許，則根據識別出的真實的文件類型與文件過濾規則進行匹配，並執行文件過濾規則中的動作；如果配置動作為丟棄，則直接丟棄報文，不再進行文件過濾規則的匹配。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     配置文件擴展名不匹配時動作

file-filter false-extension action { drop | permit }

缺省情況下，文件的真實類型與擴展名不匹配時執行的動作為允許。

1.6  在DPI應用profile中引用文件過濾策略

1. 功能簡介

DPI應用porfile是一個安全業務的配置模板，為實現文件過濾功能，必須在DPI應用porfile中引用指定的文件過濾策略。一個DPI應用profile中隻能引用一個文件過濾策略，如果重複配置，則新的配置會覆蓋已有配置。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入DPI應用profile視圖。

app-profile profile-name

關於該命令的詳細介紹請參見“DPI深度安全命令參考”中的“應用層檢測引擎”。

(3)     在DPI應用profile中引用文件過濾策略。

file-filter apply policy policy-name

缺省情況下，DPI應用profile中未引用文件過濾策略。

1.7  激活文件過濾策略和規則配置

1. 功能簡介

缺省情況下，當文件過濾業務發生配置變更時（即策略或規則被創建、修改和刪除），係統將會檢測在20秒的間隔時間內是否再次發生了配置變更，並根據判斷結果執行如下操作：

·     如果間隔時間內未發生任何配置變更，則係統將在下一個間隔時間結束時（即40秒時）執行一次激活操作，使這些策略和規則的配置生效。

·     如果間隔時間內再次發生了配置變更，則係統將繼續按照間隔時間周期性地檢測是否發生配置變更。

有關此功能的詳細介紹請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     激活文件過濾策略和規則配置。

inspect activate

缺省情況下，文件過濾策略和規則被創建、修改和刪除後，係統會自動激活配置使其生效。

 

1.8  在安全策略中引用文件過濾業務

(1)     進入係統視圖。

system-view

(2)     進入安全策略視圖。

security-policy { ip | ipv6 }

(3)     進入安全策略規則視圖。

rule { rule-id | [ rule-id ] name rule-name }

(4)     配置安全策略規則的動作為允許。

action pass

缺省情況下，安全策略規則動作是丟棄。

(5)     配置安全策略規則引用DPI應用profile。

profile app-profile-name

缺省情況下，安全策略規則中未引用DPI應用profile。

1.9  文件過濾配置舉例

1.9.1  在安全策略中引用文件過濾業務配置舉例

1. 組網需求

如圖1-1所示，AC與外網相連。為了降低機密信息泄露和病毒文件接入客戶端的風險，在AC上配置文件過濾功能，對指定文件類型進行批量過濾。具體要求如下：

·     拒絕擴展名為pptx和dotx的文件通過。

·     對以上被阻止的文件生成日誌信息。

2. 組網圖

圖1-1 在安全策略中引用文件過濾業務配置組網圖

 

3. 配置步驟

(1)     配置AC的接口

# 創建VLAN 100及其對應的VLAN接口，並為該接口配置IP地址。AP將獲取該IP地址與AC建立CAPWAP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 192.1.1.1 24

[AC-Vlan-interface100] quit

# 創建VLAN 200及其對應的VLAN接口，並為該接口配置IP地址。Client使用該VLAN接入無線網絡。

[AC] vlan 200

[AC-vlan200] quit

[AC] interface vlan-interface 200

[AC-Vlan-interface200] ip address 192.2.1.1 24

[AC-Vlan-interface200] quit

# 配置AC和Switch相連的接口GigabitEthernet1/0/1為Trunk類型，允許VLAN 100和VLAN 200通過。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[AC-GigabitEthernet1/0/1] quit

(2)     配置無線服務

# 創建無線服務模板1，並進入無線服務模板視圖。

[AC] wlan service-template 1

# 配置SSID為service。

[AC-wlan-st-1] ssid service

# 配置為集中式轉發。

[AC-wlan-st-1] client forwarding-location ac

# 配置無線客戶端上線後加入到VLAN 200。

[AC-wlan-st-1] vlan 200

# 使能無線服務模板。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(3)     配置AP

# 創建手工AP，名稱為ap1，型號為WA6320。

[AC] wlan ap ap1 model WA6320

# 設置AP序列號為219801A28N819CE0002T 。

[AC-wlan-ap-ap1] serial-id 219801A28N819CE0002T

# 進入AP的Radio 1視圖，並將無線服務模板1綁定到Radio 1上。

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] service-template 1

# 開啟Radio 1的射頻功能。

[AC-wlan-ap-ap1-radio-1] radio enable

[AC-wlan-ap-ap1-radio-1] quit

# 進入AP的Radio 2視圖，並將無線服務模板1綁定到Radio 2上。

[AC-wlan-ap-ap1] radio 2

[AC-wlan-ap-ap1-radio-2] service-template 1

# 開啟Radio 2的射頻功能。

[AC-wlan-ap-ap1-radio-2] radio enable

[AC-wlan-ap-ap1-radio-2] quit

[AC-wlan-ap-ap1] quit

(4)     配置對象組

# 創建名為filefilter的IP地址對象組，並定義其子網地址為192.2.1.0/24。

[AC] object-group ip address filefilter

[AC-obj-grp-ip-filefilter] network subnet 192.2.1.0 24

[AC-obj-grp-ip-filefilter] quit

(5)     配置文件類型組

# 創建文件類型組fg1，並進入文件類型組視圖。

[AC] file-filter filetype-group fg1

# 配置文件過濾特征為pptx和dotx。

[AC-file-filter-fgroup-fg1] pattern 1 text pptx

[AC-file-filter-fgroup-fg1] pattern 2 text dotx

[AC-file-filter-fgroup-fg1] quit

(6)     配置文件過濾策略

# 創建文件過濾策略p1，並進入文件過濾策略視圖。

[AC] file-filter policy p1

# 創建文件過濾規則r1，並進入文件過濾規則視圖。

[AC-file-filter-policy-p1] rule r1

# 在規則r1中應用文件類型組fg1，配置應用類型為HTTP，報文方向為會話的雙向，動作為丟棄並輸出日誌。

[AC-file-filter-policy-p1-rule-r1] filetype-group fg1

[AC-file-filter-policy-p1-rule-r1] application type http

[AC-file-filter-policy-p1-rule-r1] direction both

[AC-file-filter-policy-p1-rule-r1] action drop logging

[AC-file-filter-policy-p1-rule-r1] quit

[AC-file-filter-policy-p1] quit

(7)     在DPI應用profile中引用文件過濾策略

# 創建名稱為profile1的DPI應用profile，並進入DPI應用profile視圖。

[AC] app-profile profile1

# 在DPI應用profile1中應用文件過濾策略p1。

[AC-app-profile-profile1] file-filter apply policy p1

[AC-app-profile-profile1] quit

# 激活文件過濾策略和規則配置。

[AC] inspect activate

(8)     配置安全策略引用文件過濾業務

# 進入IPv4安全策略視圖

[AC] security-policy ip

# 創建名為inspect1的安全策略規則，過濾條件為源IP地址對象組filefilter，動作為允許，且引用的DPI應用profile為profile1。

[AC-security-policy-ip] rule name inspect1

[AC-security-policy-ip-14-inspect1] source-ip filefilter

[AC-security-policy-ip-14-inspect1] action pass

[AC-security-policy-ip-14-inspect1] profile profile1

[AC-security-policy-ip-14-inspect1] quit

# 激活安全策略的加速功能。

[AC-security-policy-ip] accelerate enhanced enable

[AC-security-policy-ip] quit

4. 驗證配置

完成上述配置後，設備會阻止擴展名為pptx和dotx的文件通過，並對被阻止的文件生成日誌信息。