防火墙F100-C-G3配置文件过滤不生效

有授权吗

更新下最新版本的特征库

一、文件过滤必须满足的前提条件（不满足一定不生效）

1. 授权必须有：F100‑C‑G3 文件过滤属于 内容安全 / 深度检测授权，没授权功能不启用。
2. 版本支持：确保固件是 V7 版本（R8520/R8601 等），老版本不支持或有 bug。
3. 流量必须走防火墙：不能旁挂，必须 内网→外网 / 服务器 流量经过防火墙转发。
4. 安全策略必须正确引用：文件过滤要绑定在 域间安全策略（允许动作） 里，不是单独放着。
5. 应用层协议必须识别：
   • 支持：HTTP、FTP、SMTP、IMAP、NFS、POP3、RTMP、SMB。
   • HTTPS 必须做 SSL 卸载，否则加密流量无法解析，文件过滤无效。
6. 非标准端口要手动映射：
   plaintext

   port-mapping application http port 8080 port-mapping application ftp port 2121
7. 配置后必须激活 DPI：
   plaintext

   inspect active
   改完不激活，规则不生效。

二、你要的：禁止所有文件上传（所有协议、所有后缀）

目标

1）Web 配置（推荐）

① 创建文件过滤策略

1. 进入：策略 → 内容安全 → 文件过滤。
2. 新建策略：
   • 名称：deny-all-upload
   • 缺省动作：允许（后面靠规则拒绝）

② 加一条 “拒绝所有上传” 规则

• 规则名称：block-all-upload
• 文件类型组：*新建 → 包含所有常见后缀（ 或全选）**
• 方向：上传（Client→Server）
• 应用：全选（HTTP、FTP、SMTP、SMB…）
• 动作：丢弃 + 记录日志

③ 在安全策略里引用（关键）

1. 进入：策略 → 安全策略 → IPv4 策略。
2. 找到 内网（Trust）→ 外网（Untrust） 允许策略。
3. 编辑 → 内容安全 → 文件过滤 → 选择 deny-all-upload。
4. 提交策略。

④ 激活生效

2）命令行完整配置（可直接复制）

三、为什么你现在不生效？（90% 是这几条）

1. 没授权：Web 界面能配置，但实际不检测。
2. HTTPS 没卸载：全是加密流量，文件过滤抓不到文件。
3. 安全策略没引用：文件过滤要挂在 允许流量的那条安全策略上。
4. 方向搞反：选成 “下载” 了，上传当然不拦。
5. 没激活 DPI：改完规则不执行 inspect active。
6. 端口不识别：用了 8080/4433 等非标准端口，没做 port‑mapping。

四、测试方法（确认是否生效）

1. HTTP 上传：内网访问一个上传测试网站，选任意文件上传，应直接失败。
2. FTP 上传：内网 ftp 服务器，put 一个文件，提示 “被防火墙丢弃”。
3. 查看日志：监控 → 日志 → 内容安全 → 文件过滤，能看到大量 block-all-upload 命中日志。

配置文件过滤不生效，通常和授权、特征库、配置逻辑等几个前置条件有关。比如，需要通过 display dpi signature information 等信息确认特征库有效且已激活确保全局文件过滤功能已开启（CLI下使用 undo file-filter disable），并检查策略是否已正确绑定并激活。

要最终实现所有文件都不能通过任何方式上传的目标，需要完成以下三个层层递进的配置步骤：

 1. 核心配置：创建文件过滤策略

你需要创建一个专门用于阻止上传的文件过滤策略，并确保其覆盖所有应用层协议和所有文件类型。

• 命令行配置（推荐）：
  登录设备后，按以下步骤操作：

  1. 创建文件过滤策略和规则：

     # 创建并进入文件过滤策略视图（filefilter为自定义名称）

     [H3C] file-filter policy filefilter # 创建文件过滤规则（blockall为自定义规则名） [H3C-file-filter-policy-filefilter] rule blockall # 配置规则动作为丢弃（drop） [H3C-file-filter-policy-filefilter-rule-blockall] action drop # 配置规则匹配所有支持的应用层协议 [H3C-file-filter-policy-filefilter-rule-blockall] application all # 配置规则匹配的文件类型为任意（即所有文件） [H3C-file-filter-policy-filefilter-rule-blockall] file-type any # 配置规则的文件传输方向为上传（upload） [H3C-file-filter-policy-filefilter-rule-blockall] direction upload

  2. 退出规则和策略视图：

     [H3C-file-filter-policy-filefilter-rule-blockall] quit

     [H3C-file-filter-policy-filefilter] quit

• Web界面配置：
  Web界面配置更为直观，你可以参考这个思路：在 对象 > 应用安全 > 文件过滤 > 配置文件 下新建一个配置文件，然后配置相应的文件过滤规则。

 2. 关联策略：将文件过滤“绑定”到安全策略

单独的文件过滤策略不会生效，它必须像“插件”一样，被一条具体的安全策略调用。

• 命令行配置：

  1. 创建DPI应用Profile，关联文件过滤策略：

     # 创建DPI应用Profile（dpi_filefilter为自定义名称）

     [H3C] dpi app-profile dpi_filefilter # 在Profile中引用第一步创建的文件过滤策略 [H3C-dpi-appprofile-dpi_filefilter] file-filter policy filefilter

  2. 将DPI应用Profile绑定到安全策略：
     你需要找到或创建一条控制内网用户访问外网的策略（通常是从 Trust 域到 Untrust 域），并在此策略下应用该Profile-1。示例命令如下：

     # 进入安全策略视图

     [H3C] security-policy ip # 进入控制内网到外网流量的安全策略规则视图（假设规则名为Trust-to-Untrust） [H3C-security-policy-ip] rule name Trust-to-Untrust # 引用第一步创建的DPI应用Profile [H3C-security-policy-ip-rule-Trust-to-Untrust] dpi app-profile dpi_filefilter

 3. 最后一步：激活配置

完成以上所有配置后，最后一步也最关键：激活配置。

以Web界面配置为例，你需要在页面顶部找到并点击 “提交” 按钮，系统才会将你的配置正式下发到设备中。系统也支持定时自动提交，默认是40秒后。