msr2600如何控制员工上网行为

您好，请知：

可以配置URL过滤对网站进行过滤。

以下是配置举例，请参考：

1.17  URL过滤典型配置举例

1.17.1  在对象策略中引用URL过滤业务配置举例

1. 组网需求

如图1-3所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有组网需求如下：

·     配置URL过滤功能，允许Trust安全域的主机访问Untrust安全域的Web Server上的***.***。

·     配置预定义URL过滤分类Pre-Games的动作为丢弃并生成日志。

·     配置URL过滤策略的缺省动作为丢弃和生成日志。

2. 组网图

图1-3 在对象策略中引用URL过滤业务配置组网图

‌

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

<Device> system-view

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(3)     配置对象组

# 创建名为urlfilter的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address urlfilter

[Device-obj-grp-ip-urlfilter] network subnet 192.168.1.0 24

[Device-obj-grp-ip-urlfilter] quit

(4)     配置URL过滤功能

# 创建名news的URL过滤分类，并进入URL过滤分类视图，设置该分类的严重级别为2000。

[Device] url-filter category news severity 2000

# 在URL过滤分类news中添加一条URL过滤规则，并使用字符串***.***对主机名字段进行精确匹配。

[Device-url-filter-category-news] rule 1 host text ***.***

[Device-url-filter-category-news] quit

# 创建名为urlnews的URL过滤策略，并进入URL过滤策略视图。

[Device] url-filter policy urlnews

# 在URL过滤策略urlnews中，配置URL过滤分类news绑定的动作为允许。

[Device-url-filter-policy-urlnews] category news action permit

# 在URL过滤策略urlnews中，配置预定义URL过滤分类Pre-Games绑定的动作为丢弃并生成日志。

[Device-url-filter-policy-urlnews] category Pre-Games action drop logging

# 在URL过滤策略urlnews中，配置策略的缺省动作为丢弃和打印日志。

[Device-url-filter-policy-urlnews] default-action drop logging

[Device-url-filter-policy-urlnews] quit

(5)     配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用URL过滤策略urlnews。

[Device-app-profile-sec] url-filter apply policy urlnews

[Device-app-profile-sec] quit

# 激活URL过滤策略和规则配置。

[Device] inspect activate

(6)     配置对象策略

# 创建名为urlfilter的IPv4对象策略，并进入对象策略视图。

[Device] object-policy ip urlfilter

# 对源IP地址对象组urlfilter对应的报文进行深度检测，引用的DPI应用profile为sec。

[Device-object-policy-ip-urlfilter] rule inspect sec source-ip urlfilter destination-ip any

[Device-object-policy-ip-urlfilter] quit

(7)     配置安全域间实例并应用对象策略

# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并应用对源IP地址对象组urlfilter对应的报文进行深度检测的对象策略urlfilter。

[Device] zone-pair security source trust destination untrust

[Device-zone-pair-security-Trust-Untrust] object-policy apply ip urlfilter

[Device-zone-pair-security-Trust-Untrust] quit

4. 验证配置

以上配置生效后，Trust安全域的主机A、主机B和主机C都可以访问Untrust安全域的Web Server上的***.***，但是都不能访问游戏类的网页。Trust安全域的主机尝试访问游戏类的URL请求将会被Device阻断并且打印日志。