F1000-AK125 如何做上网行为管理？

可以使用ACG功能来实现，但是需要授权。

以下是配置举例：

https://www.h3c.com/cn/d_201912/1249191_30005_0.htm#_Toc25845298 

1.10.2  应用审计与管理策略审计敏感信息典型配置举例

1. 组网需求

某公司内的各部门通过Device与Internet连接，通过配置应用审计与管理策略，当内网用户使用微软必应搜索查找的信息中包含“机密”或“恐怖袭击”关键字时，拒绝此次搜索，并记录日志。

2. 组网图

图1-3 应用审计与管理策略审计敏感信息典型配置组网图

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       创建安全域并将接口加入安全域（略）

(3)       配置相关的路由和安全策略，保证Trust安全域中的主机可以正常访Internet（略）

(4)       配置应用审计与管理策略

# 进入应用审计与管理视图。

<Device> system-view

[Device] uapp-control

[Device-uapp-control]

# 配置名称为keyword-bing的关键字组，以审计敏感信息。

[Device-uapp-control] keyword-group name keyword-bing

[Device-uapp-control-keyword-group-keyword-bing]

# 在关键字组keyword-bing中，添加关键字“机密”和“恐怖袭击”。

[Device-uapp-control-keyword-group-keyword-bing] keyword 机密

[Device-uapp-control-keyword-group-keyword-bing] keyword 恐怖袭击

[Device-uapp-control-keyword-group-keyword-bing] quit

# 创建一个名称为audit-bing的应用审计与管理策略，其类型为审计，并进入应用审计与管理策略视图。

[Device-uapp-control] policy name audit-bing audit

[Device-uapp-control-policy-audit-bing]

# 配置应用审计与管理审计策略audit-bing过滤条件的源安全域为Trust。

[Device-uapp-control-policy-audit-bing] source-zone trust

# 配置应用审计与管理审计策略audit-bing过滤条件的源安全域为Untrust。

[Device-uapp-control-policy-audit-bing] destination-zone untrust

# 配置审计规则，当内网用户使用微软必应搜索查找的信息中包含“机密”或“恐怖袭击”关键字时，拒绝此次搜索，并记录日志。

[Device-uapp-control-policy-audit-bing] rule 2 app Bing behavior Search bhcontent keyword keyword include keyword-bing action deny audit-logging

[Device-uapp-control-policy-audit-bing] quit

[Device-uapp-control] quit

(5)       激活应用审计与管理的策略和规则配置。

[Device] inspect activate

4. 验证配置

以上配置完成后，当内网用户使用微软必应搜索查找的信息中包含“机密”或“恐怖袭击”关键字时，此次搜索会没有响应，并会有审计日志信息输出。