商务领航2-2 URL过滤典型配置

商务领航2-2 URL过滤典型配置

一、  组网需求：

某公司的内网网段为192.168.1.0/24，外网网段为192.168.100.0/22。在Navigator上配置URL过滤策略和规则，禁止内网用户在上午（8:30～12:00）访问网站www.h3c.com.cn/Training，其它时间可以访问。

二、  组网图：

三、  配置步骤：

1. 基本配置

1.1 配置WAN接口GE0/0

在左侧导航栏中点击“接口配置 > WAN接口设置”，配置GE0/0，连接模式选择“手动指定IP地址”，IP地址输入“192.168.102.136”，子网掩码为“22”，网关地址为“192.168.100.254”，然后点击< 应用 >按钮完成配置。

在左侧导航栏中点击“接口配置 > 高级设置”，查看当前接口配置结果：

1.2 引流策略

将Trust和Untrust之间匹配ACL 3000的流量都引到段4上。

首先需配置ACL，点击“高级配置 > ACL”，新建ID为3000的ACL，在其中添加规则，定义需要配置的流量。如下图：

再点击“IPS | AV | 应用控制 > 高级设置”，新建引流策略，将ACL3000的流量引到段4上。

2. URL过滤配置

点击导航栏“IPS | AV | 应用控制 > 高级设置”，点击“应用安全策略”，进入深度检测页面。

2.1 创建一个时间表“morning”。

在导航栏中选择“系统管理 > 时间表管理”，单击<创建时间表>按钮，在创建时间表的页面进行如下配置，在时间表格中选中“周一～周五”的“8:30～12:00”的时间段。

2.2 配置URL规则及说明

为缺省的URL过滤策略“URL Filter Policy”创建一个规则“h3c”。

在导航栏中选择“URL过滤 > 规则管理”，单击<创建规则>按钮，进行如下配置：

输入规则名称为h3c。

选择域名过滤的“固定字符串”前的单选按钮，输入“www.h3c.com.cn”。

选择URL路径过滤的“正则表达式”前的单选按钮，输入“/Training?”。

在时间表中选择“morning”，在动作集中选择“Block+Notify”。

在一条规则中，域名过滤是必须配置的，URI路径过滤可以不配置。设置该规则在不同的时间段内触发不同的动作集时，若指定的多个时间表中所定义的时间段有重叠，则执行页面上排在最前面的时间表对应的动作集。

可选的时间表在“系统管理 > 时间表管理”中配置；可选的动作集在“系统管理 > 动作管理”中配置。最多可以配置6个时间表和动作集的组合。

2.3 应用URL策略到段上

在导航栏中选择“URL过滤 > 段策略管理”，单击<新建段策略>按钮，进行如下配置。

2.4 激活配置

完成上述的配置后，页面跳转到段策略的显示页面。单击<激活>按钮，弹出确认对话框。在确认对话框中单击<确定>按钮后，将配置激活。

四、验证结果

内网用户（192.168.1.3）通过IE浏览器，访问http://www.h3c.com.cn没有问题，但访问http://www.h3c.com.cn/Training，无法显示网页。

选择“系统管理 > 设备管理 > 系统状态”界面，可以看到URL过滤的统计值。

四、配置关键点及注意事项：

(1)  已经应用到段上的URL过滤策略不能删除。

(2) 系统预定义的URL过滤策略和规则不能删除。

(3) 一个报文在一个段上只能匹配一条URL过滤段策略。当一个段上应用了多个URL过滤策略，则系统在对报文进行匹配时，会根据段策略中指定的IP地址范围的精确程度，越精确的（即IP地址范围越小的）段策略越优先匹配；当有多个段策略的IP地址范围精确程度相同时，则先配置的段策略优先匹配。