msr-810

1.17  URL过滤典型配置举例

1.17.1  在对象策略中引用URL过滤业务配置举例

1. 组网需求

如图1-3所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有组网需求如下：

·     配置URL过滤功能，允许Trust安全域的主机访问Untrust安全域的Web Server上的***.***。

·     配置预定义URL过滤分类Pre-Games的动作为丢弃并生成日志。

·     配置URL过滤策略的缺省动作为丢弃和生成日志。

2. 组网图

图1-3 在对象策略中引用URL过滤业务配置组网图

‌

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

<Device> system-view

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(3)     配置对象组

# 创建名为urlfilter的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address urlfilter

[Device-obj-grp-ip-urlfilter] network subnet 192.168.1.0 24

[Device-obj-grp-ip-urlfilter] quit

(4)     配置URL过滤功能

# 创建名news的URL过滤分类，并进入URL过滤分类视图，设置该分类的严重级别为2000。

[Device] url-filter category news severity 2000

# 在URL过滤分类news中添加一条URL过滤规则，并使用字符串***.***对主机名字段进行精确匹配。

[Device-url-filter-category-news] rule 1 host text ***.***

[Device-url-filter-category-news] quit

# 创建名为urlnews的URL过滤策略，并进入URL过滤策略视图。

[Device] url-filter policy urlnews

# 在URL过滤策略urlnews中，配置URL过滤分类news绑定的动作为允许。

[Device-url-filter-policy-urlnews] category news action permit

# 在URL过滤策略urlnews中，配置预定义URL过滤分类Pre-Games绑定的动作为丢弃并生成日志。

[Device-url-filter-policy-urlnews] category Pre-Games action drop logging

# 在URL过滤策略urlnews中，配置策略的缺省动作为丢弃和打印日志。

[Device-url-filter-policy-urlnews] default-action drop logging

[Device-url-filter-policy-urlnews] quit

(5)     配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用URL过滤策略urlnews。

[Device-app-profile-sec] url-filter apply policy urlnews

[Device-app-profile-sec] quit

# 激活URL过滤策略和规则配置。

[Device] inspect activate

(6)     配置对象策略

# 创建名为urlfilter的IPv4对象策略，并进入对象策略视图。

[Device] object-policy ip urlfilter

# 对源IP地址对象组urlfilter对应的报文进行深度检测，引用的DPI应用profile为sec。

[Device-object-policy-ip-urlfilter] rule inspect sec source-ip urlfilter destination-ip any

[Device-object-policy-ip-urlfilter] quit

(7)     配置安全域间实例并应用对象策略

# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并应用对源IP地址对象组urlfilter对应的报文进行深度检测的对象策略urlfilter。

[Device] zone-pair security source trust destination untrust

[Device-zone-pair-security-Trust-Untrust] object-policy apply ip urlfilter

[Device-zone-pair-security-Trust-Untrust] quit

4. 验证配置

以上配置生效后，Trust安全域的主机A、主机B和主机C都可以访问Untrust安全域的Web Server上的***.***，但是都不能访问游戏类的网页。Trust安全域的主机尝试访问游戏类的URL请求将会被Device阻断并且打印日志。

1.17.2  手动离线升级URL过滤特征库配置举例

1. 组网需求

如图1-4所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源，以及DMZ安全域的FTP服务器。FTP服务器根目录下保存了最新的URL过滤特征库文件url-1.0.2-encrypt.dat，FTP服务器的登录用户名和密码分别为url和123。现有组网需求如下：

手动离线升级URL过滤特征库，加载最新的URL过滤分类。

2. 组网图

图1-4 手动离线升级URL过滤特征库配置组网图

‌

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     配置Device与FTP互通

# 配置ACL 2001，定义规则允许所有报文通过。

<Device> system-view

[Device] acl basic 2001

[Device-acl-ipv4-basic-2001] rule permit

[Device-acl-ipv4-basic-2001] quit

# 向安全域DMZ中添加接口GigabitEthernet1/0/3。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

# 创建源安全域Local到目的安全域DMZ的安全域间实例，允许Local域用户访问DMZ域的报文可以通过。

[Device] zone-pair security source local destination dmz

[Device-zone-pair-security-Local-DMZ] packet-filter 2001

[Device-zone-pair-security-Local-DMZ] quit

# 创建源安全域DMZ到目的安全域Local的安全域间实例，允许DMZ域用户访问Local域的报文可以通过。

[Device] zone-pair security source dmz destination local

[Device-zone-pair-security-DMZ-Local] packet-filter 2001

[Device-zone-pair-security-DMZ-Local] quit

(3)     升级URL过滤特征库

# 采用FTP方式手动离线升级设备上的URL过滤特征库，且被加载的URL特征库文件名为url-1.0.2-encrypt.dat。

[Device] url-filter signature update ftp://url:123@192.168.2.4/url-1.0.2-encrypt.dat

4. 验证配置

URL过滤特征库升级后，可以通过display url-filter signature library命令查看当前特征库的版本信息。

1.17.3  定期自动在线升级URL过滤特征库配置举例

1. 组网需求

如图1-5所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源。现有组网需求如下：

配置每周六上午九点前后半小时内，定期自动在线升级设备的URL过滤特征库。

2. 组网图

图1-5 定期自动在线升级URL过滤特征库配置组网图

‌

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     配置设备解析官方网站对应IP地址的域名解析功能（略）

(3)     配置对象策略保证Trust安全域的局域网用户可以访问Untrust安全域的Internet资源（略）

(4)     配置定期自动在线升级URL过滤特征库

# 开启自动在线升级URL过滤特征库功能，并进入自动在线升级配置视图。

<Device> system-view

[Device] url-filter signature auto-update

# 设置定期自动在线升级URL过滤特征库计划为：每周六上午9:00:00自动在线升级，抖动时间为60分钟。

[Device-url-filter-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60

[Device-url-filter-autoupdate] quit

4. 验证配置

设置的定期自动在线升级URL过滤特征库时间到达后，可以通过display url-filter signature library命令查看当前特征库的版本信息。