- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
05-URL過濾配置
本章節下載： 05-URL過濾配置 (404.44 KB)
目 錄
1.6 在URL過濾策略中引用URL過濾告警動作參數profile
1.12.2 配置URL過濾僅對網站根目錄下資源的訪問進行日誌記錄
1.12.3 配置URL過濾對指定類型網頁資源的訪問不進行日誌記錄
URL過濾功能是指對用戶訪問的URL進行控製，即允許或禁止用戶訪問的Web資源，達到規範用戶上網行為的目的。
URL（Uniform Resource Locator，統一資源定位符）是互聯網上標準資源的地址。URL用來完整、精確的描述互聯網上的網頁或者其他共享資源的地址，URL格式為：“protocol://host[:port]/path/[;parameters][?query]#fragment”，格式示意如圖1-1所示：
圖1-1 URL格式示意圖
URL各字段含義如表1-1所示：
表1-1 URL各字段含義表
|
字段 |
描述 |
|
protocol |
表示使用的傳輸協議，例如HTTP |
|
host |
表示存放資源的服務器的主機名或IP地址 |
|
[:port] |
（可選）傳輸協議的端口號，各種傳輸協議都有默認的端口號 |
|
/path/ |
是路徑，由零或多個“/”符號隔開的字符串，一般用來表示主機上的一個目錄或文件地址 |
|
[parameters] |
（可選）用於指定特殊參數 |
|
[?query] |
（可選）表示查詢用於給動態網頁傳遞參數，可有多個參數，用“&”符號隔開，每個參數的名和值用“=”符號隔開 |
|
URI |
URI（Uniform Resource Identifier，統一資源標識符）是一個用於標識某一互聯網資源名稱的字符 |
URL過濾功能實現的前提條件是對URL的識別。可通過使用URL過濾規則匹配URL中主機名字段和URI字段的方法來識別URL。
URL過濾規則是指對用戶HTTP報文中的URL進行匹配的原則，且其分為兩種規則：
· 預定義規則：根據設備中的URL過濾特征庫自動生成，包括百萬級的主機名或URI。預定義規則能滿足多數情況下的URL過濾需求。
· 自定義規則：由管理員手動配置生成，可以通過使用正則表達式或者文本的方式配置規則中主機名或URI的內容。
URL過濾規則支持兩種匹配方式：
· 文本匹配：使用指定的字符串對主機名和URI字段進行匹配。
¡ 匹配主機名字段時，首先判斷主機名開頭或結尾位置是否含有通配符“*”，若均未出現，則URL中的主機名字段與規則中指定的主機名字符串必須完全一致，才能匹配成功；若“*”出現在開頭位置，則該字符串或以該字符串結尾的URL會匹配成功；若“*”出現在結尾位置，則該字符串或以該字符串開頭的URL會匹配成功。若“*”同時出現在開頭或結尾位置，則該字符串或含有該字符串的URL均會匹配成功。
¡ 匹配URI字段時，和主機名字段匹配規則一致。
· 正則表達式匹配：使用正則表達式對主機名和URI字段進行匹配。例如，規則中配置主機名的正則表達式為sina.*cn，則主機名為news.sina.com.cn的URL會匹配成功。
為便於管理員對數目眾多的URL過濾規則進行統一部署，URL過濾模塊提供了URL過濾分類功能，以便對具有相似特征的URL過濾規則進行歸納以及為匹配這些規則的URL統一指定處理動作。每個URL過濾分類具有一個嚴重級別屬性，該屬性值表示對屬於此過濾分類URL的處理優先級。
URL過濾分類包括兩種類型：
· 預定義分類：根據設備中的URL過濾特征庫自動生成，其名稱、內容和嚴重級別不可被修改。名稱以Pre-開頭。設備為預定義URL過濾分類保留的嚴重級別為最低，取值範圍為1～999。URL過濾支持兩級分類，包含父分類和子分類。僅支持預定義父分類，且父分類下僅包含預定義子分類。
· 自定義分類：由管理員手動配置，可修改其嚴重級別，可添加URL過濾規則。自定義分類嚴重級別的取值範圍為1000～65535。
可通過URL過濾黑/白名單規則快速篩選出不需要進行URL過濾的報文。如果報文中的URL與URL過濾策略中的黑名單規則匹配成功，則丟棄此報文；如果與白名單規則匹配成功，則允許此報文通過。
一個URL過濾策略中可以配置如下內容：
· URL過濾分類及其處理動作。其中，處理動作包括：丟棄、允許、阻斷、重置、重定向和生成日誌。
· URL過濾黑/白名單規則。
以及對於未匹配到URL過濾策略（包括URL過濾分類和URL過濾黑/白名單）時，設備對報文執行的缺省動作。
當用戶通過設備使用HTTP訪問某個網絡資源時，設備將對此HTTP報文進行URL過濾。URL過濾處理流程如圖1-2所示：
圖1-2 URL過濾實現流程圖
URL過濾功能是通過在DPI應用profile中引用URL過濾策略，並在安全策略中引用DPI應用profile實現的，URL過濾實現流程如下：
(2) 設備對報文進行規則（即安全策略規則）匹配：
如果規則引用了URL過濾業務，設備將對匹配了規則的報文進行URL過濾業務處理。設備將提取報文的URL字段，並與URL過濾規則進行匹配。
有關安全策略的詳細介紹請參見“安全配置指導”中的“安全策略”。
(3) 設備提取報文中的URL，並將其與URL過濾策略中的過濾規則進行匹配，如果匹配成功，則進行下一步處理；如果匹配失敗，則進入步驟（4）的處理。
(4) 首先判斷匹配的規則中是否存在URL過濾黑/白名單規則，如果存在白名單規則，設備將直接允許此報文通過；如果不存在白名單規則，則繼續判斷是否存在黑名單規則，如果存在，則設備將直接阻斷此報文。其中，如果開啟僅支持白名單功能，則僅判斷匹配的規則中是否存在白名單規則。如果存在，則允許此報文通過；如果不存在，則將此報文阻斷。不再進行後續流程的判斷。
(5) 如果匹配的規則中不存在URL過濾黑/白名單規則，則進行如下判斷：
a. 如果匹配的規則中存在自定義URL過濾分類規則，則根據各規則所屬分類中嚴重級別最高的分類的動作對報文進行處理。如果匹配的規則中不存在自定義URL過濾分類規則，則繼續進行下一步處理。
b. 如果匹配的規則中存在預定義URL過濾分類規則，則根據各規則所屬分類中嚴重級別最高的分類的動作對報文進行處理。
(6) 如果設備上配置了URL過濾的缺省動作，則根據配置的缺省動作對此報文進行處理；否則直接允許報文通過。
URL過濾特征庫是用來對經過設備的用戶訪問Web請求中的URL進行識別的資源庫。隨著互聯網業務的不斷變化和發展，需要及時升級設備中的URL過濾特征庫，同時設備也支持URL過濾特征庫回滾功能。
URL過濾特征庫的升級包括如下幾種方式：
· 定期自動在線升級：設備根據管理員設置的時間定期自動更新本地的URL過濾特征庫。
· 立即自動在線升級：管理員手工觸發設備立即更新本地的URL過濾特征庫。
· 手動離線升級：當設備無法自動獲取URL過濾特征庫時，需要管理員先手動獲取最新的URL過濾特征庫，再更新本地的URL過濾特征庫。
如果管理員發現設備當前URL過濾特征庫對用戶訪問Web的URL過濾的誤報率較高或出現異常情況，則可以將其回滾到出廠版本。
URL過濾配置任務如下：
(1) （可選）配置URL過濾分類
(2) 配置URL過濾策略
(3) （可選）複製URL過濾策略或分類
(4) （可選）在URL過濾策略中引用URL過濾告警動作參數profile
(6) （可選）激活URL過濾的策略和規則配置
(7) 在安全策略中引用URL過濾業務
(8) 配置URL過濾特征庫升級和回滾
(9) （可選）開啟應用層檢測引擎日誌信息功能
(10) （可選）配置URL過濾日誌信息篩選功能
當URL過濾特征庫中預定義的URL過濾分類和URL過濾規則不能滿足對URL的控製需求時，管理員可以自行創建URL過濾分類，並在分類中創建URL過濾規則。
不同URL過濾分類的嚴重級別不能相同，數值越大表示嚴重級別越高。
(1) 進入係統視圖。
system-view
(2) 創建URL過濾分類，並進入URL過濾分類視圖。
url-filter category category-name [ severity severity-level ]
缺省情況下，隻存在預定義的URL過濾分類，且分類名稱以字符串Pre-開頭。
自定義的URL過濾分類不能以字符串Pre-開頭。
(3) （可選）配置URL過濾分類的描述信息。
description text
(4) 配置URL過濾規則，請至少選擇其中一項進行配置。
¡ 配置自定義URL過濾規則。
rule rule-id host { regex regex | text string } [ uri { regex regex | text string } ]
¡ 添加預定義URL過濾分類中的規則。
include pre-defined category-name
缺省情況下，URL過濾分類中未添加預定義URL過濾分類中的規則。
URL過濾功能基於URL過濾策略實現，請選擇以下一項任務進行配置：
¡ 配置URL過濾分類動作
¡ 配置URL過濾分類缺省動作
¡ （可選）配置白名單/黑名單規則
在開啟DRS功能後，即配置wlan drs enable命令的情況下，URL過濾策略的名稱不能為drs，否則設備重啟後會出現配置變更等問題。有關DRS功能的詳細介紹請參見“WLAN安全配置指導”中的“WLAN DRS”。
當動作配置為logging時，設備將記錄日誌並支持如下兩種方式輸出日誌。
· 快速日誌：此方式生成的日誌信息直接發送到管理員指定的日誌主機。
· 係統日誌：此方式生成的日誌信息將發送到信息中心，由信息中心決定日誌的輸出方向。本業務產生的係統日誌不支持輸出到控製台和監視終端。如需快速獲取日誌信息，可通過執行display logbuffer命令進行查看。
係統日誌會對設備性能產生影響，建議采用快速日誌方式。
有關display logbuffer命令的詳細介紹，請參見“設備管理命令參考”中的“信息中心”；有關快速日誌的詳細介紹，請參見“網絡管理和監控配置指導”中的“快速日誌輸出”。
(1) 進入係統視圖。
system-view
(2) 創建URL過濾策略，並進入URL過濾策略視圖。
url-filter policy policy-name
(3) 配置URL過濾分類動作。
category category-name action { block-source [ parameter-profile parameter-name ] | drop | permit | redirect parameter-profile parameter-name | reset } [ logging [ parameter-profile parameter-name ] ]
缺省情況下，未配置URL過濾分類動作。
若報文成功匹配的URL過濾規則中存在多個URL過濾分類的規則，則根據嚴重級別最高的URL過濾分類中指定的動作對此報文進行處理。
(4) （可選）配置URL過濾策略的缺省動作。
default-action { block-source [ parameter-profile parameter-name ] | drop | permit | redirect parameter-profile parameter-name | reset } [ logging [ parameter-profile parameter-name ] ]
(5) （可選）向URL過濾策略中添加黑/白名單規則。
add { blacklist | whitelist } [ id ] host { regex host-regex | text host-name } [ uri { regex uri-regex | text uri-name } ]
(6) （可選）開啟內嵌白名單功能。
referer-whitelist enable
缺省情況下，內嵌白名單功能處於開啟狀態，用戶可以訪問白名單網頁下內嵌的其他網頁鏈接。
(7) （可選）重命名URL過濾策略，並進入新的URL過濾策略視圖。
rename new-name
當管理員隻希望通過配置白名單指定內部用戶可以訪問的網站，不想進行其他複雜配置時（例如配置URL過濾分類、URL過濾分類動作和URL過濾策略缺省動作），可以開啟僅支持URL過濾白名單功能。
開啟URL過濾白名單功能後，設備僅允許用戶訪問白名單規則中定義的網站，其他網站均不允許訪問。
開啟URL過濾白名單功能後，URL過濾僅支持發送快速日誌，不支持發送係統日誌。有關快速日誌的詳細介紹，請參見“網絡管理和監控配置指導”中的“快速日誌輸出”。
(1) 進入係統視圖。
system-view
(2) 創建URL過濾策略，並進入URL過濾策略視圖。
url-filter policy policy-name
(3) 向URL過濾策略中添加白名單規則。
add whitelist [ id ] host { regex host-regex | text host-name } [ uri { regex uri-regex | text uri-name } ]
(4) （可選）開啟內嵌白名單功能。
referer-whitelist enable
缺省情況下，內嵌白名單功能處於開啟狀態，用戶可以訪問白名單網頁下內嵌的其他網頁鏈接。
(5) 開啟僅支持URL過濾白名單功能。
whitelist-only enable
缺省情況下，僅支持URL過濾白名單功能處於關閉狀態。
此功能用來複製已存在的URL過濾策略，可以方便用戶快速創建URL過濾策略。
(1) 進入係統視圖
system-view
(2) 複製URL過濾策略
url-filter copy policy old-name new-name
此功能用來複製已存在的URL過濾分類，可以方便用戶快速創建URL過濾分類。
在複製URL過濾分類時，如果指定優先級與已經存在的分類優先級相同，則複製失敗。
(1) 進入係統視圖。
system-view
(2) 複製URL過濾分類。
url-filter copy category old-name new-name severity severity-level
當設備阻斷了客戶端訪問的URL後，會向客戶端瀏覽器返回告警信息。告警信息的具體內容可在URL過濾告警動作參數profile中配置。管理員可通過在URL過濾策略中引用指定的URL過濾告警動作參數profile，為設備提供相應的告警信息。有關URL過濾告警動作參數profile的詳細介紹，請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
(1) 進入係統視圖。
system-view
(2) 創建URL過濾策略，並進入URL過濾策略視圖。
url-filter policy policy-name
(3) 引用URL過濾告警動作參數profile。
warning parameter-profile profile-name
缺省情況下，URL過濾策略中未引用URL過濾告警動作參數profile，設備向客戶端返回缺省告警信息，具體內容請參見“DPI深度安全命令參考”中的“URL過濾”手冊中對本命令行缺省情況的詳細介紹。
DPI應用profile是一個安全業務的配置模板，為實現URL過濾功能，必須在DPI應用porfile中引用指定的URL過濾策略。
一個DPI應用profile中隻能引用一個URL過濾策略，如果重複配置，則後配置的覆蓋已有的。
(1) 進入係統視圖。
system-view
(2) 進入DPI應用profile視圖。
app-profile app-profile-name
關於該命令的詳細介紹請參見“DPI深度安全命令參考”中的“應用層檢測引擎”。
(3) 在DPI應用profile中引用URL過濾策略。
url-filter apply policy policy-name
缺省情況下，DPI應用profile中未引用URL過濾策略。
缺省情況下，當URL過濾業務發生配置變更時（即策略或規則被創建、修改和刪除），係統將會檢測在20秒的間隔時間內是否再次發生了配置變更，並根據判斷結果執行如下操作：
· 如果間隔時間內未發生任何配置變更，則係統將在下一個間隔時間結束時（即40秒時）執行一次激活操作，使這些策略和規則的配置生效。
· 如果間隔時間內再次發生了配置變更，則係統將繼續按照間隔時間周期性地檢測是否發生配置變更。
如果用戶希望對變更的配置立即進行激活，可執行inspect activate命令手工激活，使配置立即生效。
有關此功能的詳細介紹請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
(1) 進入係統視圖。
system-view
(2) 激活URL過濾策略和規則配置。
inspect activate
缺省情況下，URL過濾策略和規則被創建、修改和刪除後，係統會自動激活配置使其生效。
執行此命令會暫時中斷DPI業務的處理，可能導致其他基於DPI功能的業務同時出現中斷。例如，安全策略無法對應用進行訪問控製等。
(1) 進入係統視圖。
system-view
(2) 進入安全策略視圖。
security-policy { ip | ipv6 }
(3) 進入安全策略規則視圖。
rule { rule-id | [ rule-id ] name rule-name }
(4) 配置安全策略規則的動作為允許。
action pass
缺省情況下，安全策略規則動作是丟棄。
(5) 配置安全策略規則引用DPI應用profile。
profile app-profile-name
缺省情況下，安全策略規則中未引用DPI應用profile。
· 請勿刪除設備存儲介質根目錄下的/dpi/文件夾，否則設備升級或回滾特征庫會失敗。
· 當係統內存使用狀態處於告警門限狀態時，請勿進行特征庫升級或回滾，否則易造成設備特征庫升級或回滾失敗，進而影響URL過濾業務的正常運行。有關內存告警門限狀態的詳細介紹請參見“設備管理配置指導”中的“設備管理”。
· 自動在線升級（包括定期自動在線升級和立即自動在線升級）URL過濾特征庫時，需要確保設備能通過靜態或動態域名解析方式獲得官方網站的IP地址，並與之路由可達，否則設備升級URL過濾特征庫會失敗。有關域名解析功能的配置請參見“網絡互通配置指導”中的“域名解析”。
· 同一時刻隻能對一個特征庫進行升級，如果當前已有其他特征庫正在升級，請稍後再試。
如果設備可以訪問官方網站上的特征庫服務專區，可以采用定期自動在線升級方式來對設備上的URL過濾特征庫進行升級。
(1) 進入係統視圖。
system-view
(2) 開啟定期自動在線升級URL過濾特征庫功能，並進入自動在線升級配置視圖。
url-filter signature auto-update
缺省情況下，定期自動在線升級URL過濾特征庫功能處於關閉狀態。
(3) 配置定期自動在線升級URL過濾特征庫的時間。
update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes
缺省情況下，設備在每天01:00:00至03:00:00之間開始自動升級URL過濾特征庫。
當管理員發現官方網站上的特征庫服務專區中的URL過濾特征庫有更新時，可以選擇立即自動在線升級方式來及時升級URL過濾特征庫版本。
(1) 進入係統視圖。
system-view
(2) 立即自動在線升級URL過濾特征庫。
url-filter signature auto-update-now
如果設備不能訪問官方網站上的特征庫服務專區，管理員可以采用如下幾種方式手動離線升級URL過濾特征庫版本。
· 本地升級：使用本地保存的特征庫文件升級係統上的URL過濾特征庫版本。
· FTP/TFTP升級：通過FTP或TFTP方式下載遠程服務器上保存的特征庫文件，並升級係統上的URL過濾特征庫版本。
如果管理員希望手動離線升級特征庫時發送給TFTP、FTP服務器的請求報文的源IP地址是一個特定的地址時，可配置source參數。例如，當組網環境中設備發出的報文需要經過NAT地址轉換後才能訪問TFTP、FTP服務器時，則需要管理員通過source參數指定一個符合NAT地址轉換規則的源IP地址（其中，如果設備需要經過一台獨立的NAT設備進行地址轉換時，本命令指定的IP地址必須可以與NAT設備三層路由可達），使設備發出的報文可以進行NAT地址轉換等處理，正常訪問TFTP、FTP服務器。
(1) 進入係統視圖。
system-view
(2) 手動離線升級URL過濾特征庫。
url-filter signature update file-path [ source { ip | ipv6 } { ip-address | interface interface-type interface-number } ]
H3C官方網站上的特征庫服務專區根據設備的內存大小以及軟件版本為用戶提供了不同的特征庫。管理員需要根據設備實際情況獲取相應的特征庫，如果為小內存設備（8GB以下）升級了適用於大內存設備（8GB以上）的特征庫，可能會導致設備異常，請謹慎操作。
(1) 進入係統視圖。
system-view
(2) 回滾URL過濾特征庫。
url-filter signature rollback factory
應用層檢測引擎日誌是為了滿足管理員審計需求。設備生成應用層檢測引擎日誌信息會交給信息中心模塊處理，信息中心模塊的配置將決定日誌信息的發送規則和發送方向。關於信息中心的詳細描述請參見“設備管理配置指導”中的“信息中心”。
(1) 進入係統視圖。
system-view
(2) 開啟應用層檢測引擎日誌信息功能。
url-filter log enable
缺省情況下，生成應用層檢測引擎日誌信息功能處於關閉狀態。
開啟URL過濾日誌功能後（即執行category action logging或default-action logging命令）會產生大量的日誌信息，不利於查看和分析。管理員可從以下方式中任選其一，對需要進行日誌記錄的資源進行篩選：
· 僅對網站根目錄下資源的訪問進行日誌記錄
· 對指定類型的網頁資源的訪問不進行日誌記錄
(1) 進入係統視圖。
system-view
(2) 配置URL過濾僅對網站根目錄下資源的訪問進行日誌記錄。
url-filter log directory root
缺省情況下，URL過濾對網站所有路徑下資源的訪問均進行日誌記錄。
(1) 進入係統視圖。
system-view
(2) 配置URL過濾不進行日誌記錄訪問的網頁資源類型。
¡ 配置URL過濾對指定預定義類型網頁資源的訪問不進行日誌記錄。
url-filter log except pre-defined { css | gif | ico | jpg | js | png | swf | xml }
¡ 配置URL過濾對指定自定義類型網頁資源的訪問不進行日誌記錄。
url-filter log except user-defined text
缺省情況下，URL過濾僅對預定義類型（即css、gif、ico、jpg、js、png、swf和xml類型）網頁資源的訪問不進行日誌記錄。
完成上述配置後，在任意視圖下執行display命令可以顯示URL過濾的配置信息和分類信息等。
在用戶視圖下執行reset命令可以清除URL過濾的統計信息。
表1-2 URL過濾顯示和維護
|
操作 |
命令 |
|
顯示URL過濾父分類或子分類信息 |
display url-filter { category | parent-category } [ verbose ] |
|
顯示URL過濾特征庫信息 |
display url-filter signature library |
|
查看URL過濾的統計信息 |
display url-filter statistics |
|
清除URL過濾的統計信息 |
reset url-filter statistics |
如圖1-3所示，Switch作為DHCP服務器為AP和Client分配IP地址，其中AP與AC使用VLAN 100建立CAPWAP隧道，Client使用VLAN 200接入無線網絡。現要求：
· 配置URL過濾功能，允許Client訪問外網的www.sina.com。
· 配置預定義URL過濾分類Pre-Games的動作為丟棄並生成日誌。
· 配置URL過濾策略的缺省動作為丟棄和生成日誌。
圖1-3 在安全策略中引用URL過濾業務配置組網圖
(1) 配置AC的接口
# 創建VLAN 100及其對應的VLAN接口，並為該接口配置IP地址。AP將獲取該IP地址與AC建立CAPWAP隧道。
<AC> system-view
[AC] vlan 100
[AC-vlan100] quit
[AC] interface vlan-interface 100
[AC-Vlan-interface100] ip address 192.1.1.1 24
[AC-Vlan-interface100] quit
# 創建VLAN 200及其對應的VLAN接口，並為該接口配置IP地址。Client使用該VLAN接入無線網絡。
[AC] vlan 200
[AC-vlan200] quit
[AC] interface vlan-interface 200
[AC-Vlan-interface200] ip address 192.2.1.1 24
[AC-Vlan-interface200] quit
# 配置AC和Switch相連的接口GigabitEthernet1/0/1為Trunk類型，禁止VLAN 1報文通過，允許VLAN 100和VLAN 200通過，當前Trunk口的PVID為100。
[AC] interface gigabitethernet 1/0/1
[AC-GigabitEthernet1/0/1] port link-type trunk
[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1
[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200
[AC-GigabitEthernet1/0/1] port trunk pvid vlan 100
[AC-GigabitEthernet1/0/1] quit
(2) 配置無線服務
# 創建無線服務模板1，並進入無線服務模板視圖。
[AC] wlan service-template 1
# 配置SSID為service。
[AC-wlan-st-1] ssid service
# 配置無線客戶端上線後加入到VLAN 200。
[AC-wlan-st-1] vlan 200
# 使能無線服務模板。
[AC-wlan-st-1] service-template enable
[AC-wlan-st-1] quit
(3) 配置AP
# 創建手工AP，名稱為ap1，型號為WA6320。
[AC] wlan ap ap1 model WA6320
# 設置AP序列號為219801A28N819CE0002T。
[AC-wlan-ap-ap1] serial-id 219801A28N819CE0002T
# 進入AP的Radio 1視圖，並將無線服務模板1綁定到Radio 1上。
[AC-wlan-ap-ap1] radio 1
[AC-wlan-ap-ap1-radio-1] service-template 1
# 開啟Radio 1的射頻功能。
[AC-wlan-ap-ap1-radio-1] radio enable
[AC-wlan-ap-ap1-radio-1] quit
# 進入AP的Radio 2視圖，並將無線服務模板1綁定到Radio 2上。
[AC-wlan-ap-ap1] radio 2
[AC-wlan-ap-ap1-radio-2] service-template 1
# 開啟Radio 2的射頻功能。
[AC-wlan-ap-ap1-radio-2] radio enable
[AC-wlan-ap-ap1-radio-2] quit
[AC-wlan-ap-ap1] quit
(4) 配置對象組
# 創建名為urlfilter的IP地址對象組，並定義其子網地址為192.2.1.0/24。
[AC] object-group ip address urlfilter
[AC-obj-grp-ip-urlfilter] network subnet 192.2.1.0 24
[AC-obj-grp-ip-urlfilter] quit
(5) 配置URL過濾功能
# 創建名為news的URL過濾分類，並進入URL過濾分類視圖，設置該分類的嚴重級別為2000。
[AC] url-filter category news severity 2000
# 在URL過濾分類news中添加一條URL過濾規則，並使用字符串www.sina.com對主機名字段進行精確匹配。
[AC-url-filter-category-news] rule 1 host text www.sina.com
[AC-url-filter-category-news] quit
# 創建名為urlnews的URL過濾策略，並進入URL過濾策略視圖。
[AC] url-filter policy urlnews
# 在URL過濾策略urlnews中，配置URL過濾分類news綁定的動作為允許。
[AC-url-filter-policy-urlnews] category news action permit
# 在URL過濾策略urlnews中，配置預定義URL過濾分類Pre-Games綁定的動作為丟棄並生成日誌。
[AC-url-filter-policy-urlnews] category Pre-Games action drop logging
# 在URL過濾策略urlnews中，配置策略的缺省動作為丟棄和打印日誌。
[AC-url-filter-policy-urlnews] default-action drop logging
[AC-url-filter-policy-urlnews] quit
(6) 配置DPI應用profile
# 創建名為sec的DPI應用profile，並進入DPI應用profile視圖。
[AC] app-profile sec
# 在DPI應用profile sec中應用URL過濾策略urlnews。
[AC-app-profile-sec] url-filter apply policy urlnews
[AC-app-profile-sec] quit
# 激活URL過濾策略和規則配置。
[AC] inspect activate
(7) 配置安全策略引用URL過濾業務
# 進入IPv4安全策略視圖
[AC] security-policy ip
# 創建名為urlfilter的安全策略規則，過濾條件為：源IP地址對象組urlfilter。動作為允許，且引用的DPI應用profile為sec。
[AC-security-policy-ip] rule name urlfilter
[AC-security-policy-ip-13-urlfilter] source-ip urlfilter
[AC-security-policy-ip-13-urlfilter] action pass
[AC-security-policy-ip-13-urlfilter] profile sec
[AC-security-policy-ip-13-urlfilter] quit
# 激活安全策略的加速功能。
[AC-security-policy-ip] accelerate enhanced enable
[AC-security-policy-ip] quit
以上配置生效後，Client可以訪問外網的www.sina.com，但是不能訪問遊戲類的網頁。Client嚐試訪問遊戲類的URL請求將會被AC阻斷並且打印日誌。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
