防火墙通过安全策略实现过滤 HTTPS 网站配置方法

1.1      适用的产品系列

本案例适用于软件平台为 Comware V7 系列防火墙：F100-X-G2、F1000-X-G2、

F100-WiNet、F1000-AK、F10X0 等

注：本案例是在 F100-C-G2 的 Version 7.1.064, Release 9510P08 版本上进行配置和验证的。

1.2      配置需求及实现的效果

防火墙部署在互联网出口，需要实现通过安全策略限制访问 www.baidu.com 的目的。

2      组网图

3      配置步骤

3.1      防火墙连接互联网配置

上网配置略，请参考《轻轻松松配安全》2.1 章节防火墙连接互联网上网配置方法案例。

3.2      开启本地 DNS 代理

#开启设备本地 DNS 代理功能，用于解析域名。

3.3      配置安全策略

#在“策略”>“安全策略”中点击新建，创建名称为“denybaidu”的安全策略，源安全域为“trust”， 动作选择拒绝，目的地址位置点击下拉菜单后点击“添加IPV4 地址对象组”。

#新建对象组名为“baidu”的对象组，点击添加按钮。

#对象选择主机名，输入 www.baidu.com 点击确定完成配置。

#检查配置无误后点击确认按钮完成配置；

#在“策略”>“安全策略”中继续新建名称为“passany”的安全策略，源安全域为“trust”、目的安全域为“untrust”、动作选择允许。

3.4       保存配置

3.5      测试结果

使用浏览器打开 www.baidu.com,不能正常访问：

查看 pc 针对百度解析的地址为 39.156.66.18

查看设备的安全策略日志，可以看到针对改目的ip 已成功拒绝（第三条）