AK135

在安全策略中引用URL过滤业务配置举例

1. 组网需求

如图1-3所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有组网需求如下：

·            配置URL过滤功能，允许Trust安全域的主机访问Untrust安全域的Web Server上的***.***。

·            配置预定义URL过滤分类Pre-Games的动作为丢弃并生成日志。

·            配置URL过滤策略的缺省动作为丢弃和生成日志。

2. 组网图

图1-3 在安全策略中引用URL过滤业务配置组网图

‌

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

<Device> system-view

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(3)       配置对象组

# 创建名为urlfilter的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address urlfilter

[Device-obj-grp-ip-urlfilter] network subnet 192.168.1.0 24

[Device-obj-grp-ip-urlfilter] quit

(4)       配置URL过滤功能

# 创建名为news的URL过滤分类，并进入URL过滤分类视图，设置该分类的严重级别为2000。

[Device] url-filter category news severity 2000

# 在URL过滤分类news中添加一条URL过滤规则，并使用字符串***.***对主机名字段进行精确匹配。

[Device-url-filter-category-news] rule 1 host text ***.***

[Device-url-filter-category-news] quit

# 创建名为urlnews的URL过滤策略，并进入URL过滤策略视图。

[Device] url-filter policy urlnews

# 在URL过滤策略urlnews中，配置URL过滤分类news绑定的动作为允许。

[Device-url-filter-policy-urlnews] category news action permit

# 在URL过滤策略urlnews中，配置预定义URL过滤分类Pre-Games绑定的动作为丢弃并生成日志。

[Device-url-filter-policy-urlnews] category Pre-Games action drop logging

# 在URL过滤策略urlnews中，配置策略的缺省动作为丢弃和打印日志。

[Device-url-filter-policy-urlnews] default-action drop logging

[Device-url-filter-policy-urlnews] quit

(5)       配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用URL过滤策略urlnews。

[Device-app-profile-sec] url-filter apply policy urlnews

[Device-app-profile-sec] quit

# 激活URL过滤策略和规则配置。

[Device] inspect activate

(6)       配置安全策略引用URL过滤业务

# 进入IPv4安全策略视图

[Device] security-policy ip

# 创建名为urlfilter的安全策略规则，过滤条件为：源安全域Trust、源IP地址对象组urlfilter、目的安全域Untrust。动作为允许，且引用的DPI应用profile为sec。

[Device-security-policy-ip] rule name urlfilter

[Device-security-policy-ip-13-urlfilter] source-zone trust

[Device-security-policy-ip-13-urlfilter] source-ip urlfilter

[Device-security-policy-ip-13-urlfilter] destination-zone untrust

[Device-security-policy-ip-13-urlfilter] action pass

[Device-security-policy-ip-13-urlfilter] profile sec

[Device-security-policy-ip-13-urlfilter] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

4. 验证配置

以上配置生效后，Trust安全域的主机A、主机B和主机C都可以访问Untrust安全域的Web Server上的***.***，但是都不能访问游戏类的网页。Trust安全域的主机尝试访问游戏类的URL请求将会被Device阻断并且打印日志。