- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
06-文件過濾配置
本章節下載： 06-文件過濾配置 (261.63 KB)
目 錄
文件過濾是一種根據文件擴展名信息對經設備傳輸的文件進行過濾的安全防護機製。采用文件過濾功能可以對指定類型的文件進行批量過濾。目前，文件過濾功能支持對基於HTTP、FTP、SMTP、IMAP、NFS、POP3、RTMP和SMB協議傳輸的文件進行檢測和過濾。
文件過濾特征是設備上定義的用於識別文件擴展名特征的字符串。
文件類型組用來對文件過濾特征進行統一組織和管理。一個文件類型組中可以包含32個特征，且它們之間是或的關係。
文件過濾規則是安全檢測條件及處理動作的集合。在一個規則中可配置的檢測條件包括文件類型組、報文方向、應用類型，可配置的處理動作包括丟棄、放行和生成日誌。隻有文件屬性（包括文件的應用類型、傳輸方向和擴展名）成功匹配規則中包含的所有檢測條件才算與此規則匹配成功。
文件過濾功能是通過在DPI應用profile中引用文件過濾策略，並在安全策略中引用DPI應用profile來實現的，設備對報文進行文件過濾處理的整體流程如下：
(1) 當設備收到基於HTTP、FTP、SMTP等協議傳輸的文件時，設備將對匹配了策略的報文進行文件過濾處理。有關安全策略的詳細介紹請參見“安全配置指導”中的“安全策略”。
(2) 設備提取文件的擴展名信息並記錄。
(3) 設備進一步識別文件真實類型，並將識別的結果與擴展名進行匹配：
¡ 如果一致，則使用擴展名與文件過濾規則進行匹配，並進入步驟（4）處理；
¡ 如果不一致，則查看文件擴展名不匹配時動作，如果動作為丟棄，則直接丟棄報文，不再進行文件過濾規則的匹配；如果動作為允許，則使用文件的真實類型與文件過濾規則進行匹配，並進入步驟（4）處理。
(4) 與文件過濾規則進行匹配，並根據匹配結果對報文執行以下動作：
¡ 如果文件的擴展名信息/真實類型同時與多個文件過濾規則匹配成功，則執行這些規則中優先級最高的動作，動作優先級從高到低的順序為：丟棄 > 允許，但是對於生成日誌動作隻要匹配成功的規則中存在就會執行；
¡ 如果文件的擴展名信息/真實類型隻與一個文件過濾規則匹配成功，則執行此規則中指定的動作；
¡ 如果文件的擴展名信息/真實類型未與任何文件過濾規則匹配成功，則設備直接允許文件通過。
(5) 如果設備不能識別出文件真實類型，則根據文件擴展名與文件過濾規則進行匹配，並進入步驟（4）處理。
文件過濾配置任務如下：
(1) 配置文件類型組
(2) 配置文件過濾策略
(3) 配置文件擴展名不匹配時動作
(5) （可選）激活文件過濾策略和規則配置
(6) 在安全策略中引用文件過濾業務
一個文件類型組中可配置多個文件過濾特征，各特征之間是或的關係。定義文件過濾特征的方式為文本。
(1) 進入係統視圖。
system-view
(2) 創建文件類型組，並進入文件類型組視圖。
file-filter filetype-group group-name
(3) （可選）配置文件類型組的描述信息。
description string
缺省情況下，未配置文件類型組的描述信息。
(4) 配置文件過濾特征。
pattern pattern-name text pattern-string
缺省情況下，未配置文件過濾特征。
一個文件過濾策略中最多可以定義32個文件過濾規則，各規則之間是或的關係。每個規則中可配置一個文件類型組、多種應用層協議類型、一種報文方向以及多個動作。
NFS協議僅支持NFSv3版本；SMB協議支持SMBv1和SMBv2版本。
若動作配置為logging，生成的日誌信息不會輸出到控製台和監視終端。如需獲取該日誌，可通過執行display logbuffer命令進行查看。有關display logbuffer命令的詳細介紹，請參見“網絡管理和監控命令參考”中的“信息中心”。
(1) 進入係統視圖。
system-view
(2) 創建文件過濾策略，並進入文件過濾策略視圖。
file-filter policy policy-name
(3) （可選）配置文件過濾策略的描述信息。
description string
缺省情況下，未配置文件過濾策略的描述信息。
(4) 創建文件過濾規則，並進入文件過濾規則視圖。
rule rule-name
(5) 指定文件過濾規則采用的文件類型組。
filetype-group group-name
缺省情況下，未指定文件過濾規則采用的文件類型組。
(6) 配置文件過濾規則的應用層協議類型。
application { all | type { ftp | http | imap | nfs | pop3 | rtmp | smb | smtp } * }
缺省情況下，文件過濾規則中未指定應用層協議類型。
(7) 配置文件過濾規則的匹配方向。
direction { both | download | upload }
缺省情況下，文件過濾規則的匹配方向為上傳方向。
(8) 配置文件過濾規則的動作。
action { drop | permit } [ logging ]
缺省情況下，文件過濾規則的動作為丟棄。
設備對報文進行文件過濾處理時，會將識別出的文件真實類型與文件擴展名進行對比，當二者不一致時，需要根據本配置進行判斷。如果配置動作為允許，則根據識別出的真實的文件類型與文件過濾規則進行匹配，並執行文件過濾規則中的動作；如果配置動作為丟棄，則直接丟棄報文，不再進行文件過濾規則的匹配。
(1) 進入係統視圖。
system-view
(2) 配置文件擴展名不匹配時動作
file-filter false-extension action { drop | permit }
缺省情況下，文件的真實類型與擴展名不匹配時執行的動作為允許。
DPI應用porfile是一個安全業務的配置模板，為實現文件過濾功能，必須在DPI應用porfile中引用指定的文件過濾策略。一個DPI應用profile中隻能引用一個文件過濾策略，如果重複配置，則新的配置會覆蓋已有配置。
(1) 進入係統視圖。
system-view
(2) 進入DPI應用profile視圖。
app-profile profile-name
關於該命令的詳細介紹請參見“DPI深度安全命令參考”中的“應用層檢測引擎”。
(3) 在DPI應用profile中引用文件過濾策略。
file-filter apply policy policy-name
缺省情況下，DPI應用profile中未引用文件過濾策略。
缺省情況下，當文件過濾業務發生配置變更時（即策略或規則被創建、修改和刪除），係統將會檢測在20秒的間隔時間內是否再次發生了配置變更，並根據判斷結果執行如下操作：
· 如果間隔時間內未發生任何配置變更，則係統將在下一個間隔時間結束時（即40秒時）執行一次激活操作，使這些策略和規則的配置生效。
· 如果間隔時間內再次發生了配置變更，則係統將繼續按照間隔時間周期性地檢測是否發生配置變更。
有關此功能的詳細介紹請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
(1) 進入係統視圖。
system-view
(2) 激活文件過濾策略和規則配置。
inspect activate
缺省情況下，文件過濾策略和規則被創建、修改和刪除後，係統會自動激活配置使其生效。
執行此命令會暫時中斷DPI業務的處理，可能導致其他基於DPI功能的業務同時出現中斷。例如，安全策略無法對應用進行訪問控製等。
(1) 進入係統視圖。
system-view
(2) 進入安全策略視圖。
security-policy { ip | ipv6 }
(3) 進入安全策略規則視圖。
rule { rule-id | [ rule-id ] name rule-name }
(4) 配置安全策略規則的動作為允許。
action pass
缺省情況下，安全策略規則動作是丟棄。
(5) 配置安全策略規則引用DPI應用profile。
profile app-profile-name
缺省情況下，安全策略規則中未引用DPI應用profile。
如圖1-1所示，Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現有以下組網需求：
· 拒絕擴展名為pptx和dotx的文件通過。
· 對以上被阻止的文件生成日誌信息。
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(4) 配置文件過濾功能
a. 創建文件類型組fg1，並配置文件過濾特征為pptx和dotx。
[Device] file-filter filetype-group fg1
[Device-file-filter-fgroup-fg1] pattern 1 text pptx
[Device-file-filter-fgroup-fg1] pattern 2 text dotx
[Device-file-filter-fgroup-fg1] quit
b. 創建文件過濾規則r1，引用文件類型組fg1，並配置應用類型為HTTP，報文方向為會話的雙向，動作為丟棄並輸出日誌。
[Device] file-filter policy p1
[Device-file-filter-policy-p1] rule r1
[Device-file-filter-policy-p1-rule-r1] filetype-group fg1
[Device-file-filter-policy-p1-rule-r1] application type http
[Device-file-filter-policy-p1-rule-r1] direction both
[Device-file-filter-policy-p1-rule-r1] action drop logging
[Device-file-filter-policy-p1-rule-r1] quit
(5) 配置DPI應用profile並激活文件過濾策略和規則配置
# 創建名稱為sec的DPI應用profile，在sec中引用文件過濾策略p1。
[Device] app-profile sec
[Device-app-profile-sec] file-filter apply policy p1
[Device-app-profile-sec] quit
# 激活文件過濾策略和規則配置。
[Device] inspect activate
(6) 配置安全策略
# 配置名稱為trust-untrust的安全策略規則，使內網用戶可以訪問外網，並對交互報文進行文件過濾檢測。具體配置步驟如下。
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] profile sec
[Device-security-policy-ip-10-trust-untrust] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
完成上述配置後，符合上述條件的文件將被丟棄，並輸出日誌信息。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
