防火墙URL识别不到https
- 0关注
- 0收藏，94浏览
需要配置ssl解密才能解析https，参考：
缺省情况下，设备仅对HTTP流量进行URL过滤，如果需要对HTTPS流量进行URL过滤，则可以选择如下方式：
①：使用SSL解密功能：先对HTTPS流量进行解密，然后再进行URL过滤。有关SSL解密功能的详细介绍，请参见“DPI深度安全配置指导”中的“代理策略”。
②：开启HTTPS流量过滤功能：不对HTTPS流量进行解密，直接对客户端发送的HTTPS的Client HELLO报文中的SNI（Sever Name Indication extension）字段进行检测，从中获取用户访问的服务器域名，使用获取到的域名与URL过滤策略进行匹配。
由于SSL解密功能涉及大量的加解密操作，会对设备的转发性能会产生较大的影响，建议在仅需要对HTTPS流量进行URL过滤业务处理的场景下开启HTTPS流量过滤功能。
本案例介绍使用SSL解密方式，测试PC在trust域，运营商出口在untrust域
配置步骤
一、生成CA证书
具体可以参考我的另一个案例：https://zhiliao.h3c.com/theme/details/140116
需要注意的是，导入到防火墙的CA证书需要包含密钥对，且要配置密码
二、防火墙导入SSL解密证书
策略---应用代理---SSL证书---SSL解密证书
三、配置代理策略
策略---应用代理---代理策略
四、配置URL过滤配置文件
对象---应用安全---URL过滤---配置文件
五、安全策略调用URL过滤配置文件
策略---安全策略
六、激活DPI配置
对象---应用安全---高级---配置激活
七、PC安装前面的可信证书到“信任的根证书颁发机构”
八、验证
配置关键点
1、导入到防火墙的CA证书需要包含密钥对，且要配置密码
2、SSL解密功能涉及大量的加解密操作，会对设备的转发性能会产生较大的影响，建议在仅需要对HTTPS流量进行URL过滤业务处理的场景下开启HTTPS流量过滤功能
SSL解密功能和HTTPS流量过滤功能好像是互斥的，我这边开了HTTPS流量过滤功能，为什么拦截不到呢，我都把整个域名粘贴上去了
华三防火墙标准的URL过滤功能主要针对HTTP协议的明文URL进行识别。对于 https:// 开头的加密流量，需要额外开启特定功能才能解析。
请按照以下步骤逐一排查和配置：
1. 关键步骤：开启HTTPS过滤功能
对于HTTPS加密网站，防火墙无法直接看到URL中的路径和参数，必须开启HTTPS过滤功能才能对加密流量进行解析和匹配。
命令行配置（推荐）：
登录防火墙CLI，进入URL过滤策略视图，开启HTTPS过滤。url-filter policy <你的策略名称> https-filter enablesystem-view- Web界面配置：
在“对象”->“应用安全”->“URL过滤”->“策略”中，编辑当前使用的策略，找到并勾选 “HTTPS过滤使能” 或类似选项。
2. 检查URL自定义规则的配置方式
匹配模式：检查你配置的自定义URL规则。对于
openclaw.ai这个域名，建议使用 “主机名” 匹配类型，内容直接填写openclaw.ai。如果使用了“正则表达式”或路径匹配，可能因为不精确而失效。动作与日志：确认该规则的动作为 “丢弃” 并勾选了 “记录日志”。同时，检查策略的“缺省动作”，确保没有因为缺省动作为“允许”而放行了未匹配的流量。
3. 验证策略调用与激活
安全策略绑定：URL过滤不能独立工作，必须被安全策略引用。请检查调用该URL过滤策略的安全策略规则，其动作必须为 “允许”，因为内容安全功能是在“允许”通过的基础上进行检测的。
提交/激活配置：在H3C的Comware系统（尤其是Web界面）中，修改URL过滤配置后，通常需要点击 “提交” 或 “激活” 按钮，配置才会在真实流量中生效。请务必确认已完成此步骤。
4. 排查日志不显示的问题
如果配置都正确，流量也能匹配，但日志仍为空，请检查以下两点：
信息中心配置：通过CLI检查日志输出通道。确保
info-center enable已开启，并且logbuffer或loghost通道的日志级别允许记录URL过滤信息。可以尝试执行命令手动调整：info-center source URLF logbuffer level informational- 日志存储与查看位置：确认日志没有因为存储空间不足而被覆盖。并在正确的菜单下查看：“监控” > “安全日志” > “URL过滤日志”。
1. 确认HTTPS过滤功能已开启：
- 登录防火墙CLI，进入URL过滤策略视图，执行`system-view`和`url-filter policy <策略名称>`，然后执行`https-filter enable`。
- 或者在Web界面中，在“对象”->“应用安全”->“URL过滤”->“策略”中，编辑当前策略并勾选“HTTPS过滤使能”。
2. 检查URL自定义规则：
- 确保您已经创建了一个针对openclaw.ai的URL自定义规则，并且匹配模式设置为“主机名”。
- 规则的动作应设置为“丢弃”，并勾选“记录日志”。
3. 验证策略调用与激活：
- 确认URL过滤策略已被安全策略正确引用，并且安全策略的动作设置为“允许”。
4. 排查日志不显示的问题：
- 检查信息中心配置，确保`info-center enable`已开启，并且日志级别允许记录URL过滤信息。
- 确认日志存储位置正确，并检查是否有足够的存储空间。
如果以上步骤都已正确配置，但问题依旧存在，建议您检查防火墙的系统日志，看是否有关于URL过滤失败的错误信息。此外，也可以尝试重启防火墙或相关服务，以排除临时性的软件故障。
如有需要，请提供更多信息，例如防火墙型号、配置截图或错误日志，以便进一步分析。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
SSL解密功能和HTTPS流量过滤功能好像是互斥的，我这边开了HTTPS流量过滤功能，为什么拦截不到呢，我都把整个域名粘贴上去了