目  录

1 URL过滤

1.1 URL过滤简介

1.1.1 URL简介

1.1.2 URL过滤基本概念

1.1.3 URL过滤实现流程

1.1.4 URL过滤特征库升级与回滚

1.2 URL过滤配置任务简介

1.3 配置URL过滤分类

1.4 配置URL过滤分类云端查询

1.5 配置URL过滤策略

1.6 复制URL过滤策略或分类

1.7 在DPI应用profile中引用URL过滤策略

1.8 激活URL过滤的策略和规则配置

1.9 基于对象策略应用URL过滤业务

1.10 配置URL过滤特征库升级和回滚

1.10.1 配置限制和指导

1.10.2 配置定期自动在线升级URL过滤特征库

1.10.3 立即自动在线升级URL过滤特征库

1.10.4 手动离线升级URL过滤特征库

1.10.5 回滚URL过滤特征库

1.11 开启应用层检测引擎日志信息功能

1.12 配置URL过滤日志信息筛选功能

1.12.1 功能简介

1.12.2 配置URL过滤仅对网站根目录下资源的访问进行日志记录

1.12.3 配置URL过滤对指定类型网页资源的访问不进行日志记录

1.13 URL过滤显示和维护

1.14 URL过滤典型配置举例

1.14.1 基于对象策略的URL过滤基本组网配置举例

1.14.2 基于对象策略的手动离线升级URL过滤特征库配置举例

1.14.3 基于对象策略的定期自动在线升级URL过滤特征库配置举例

1 URL过滤

1.1  URL过滤简介

URL过滤功能是指对用户访问的URL进行控制，即允许或禁止用户访问的Web资源，达到规范用户上网行为的目的。

目前，仅支持对基于HTTP协议的URL进行过滤。

1.1.1  URL简介

URL（Uniform Resource Locator，统一资源定位符）是互联网上标准资源的地址。URL用来完整、精确的描述互联网上的网页或者其他共享资源的地址，URL格式为：“protocol://host[:port]/path/[;parameters][?query]#fragment”，格式示意如图1-1所示：

图1-1 URL格式示意图

URL各字段含义如表1-1所示：

表1-1 URL各字段含义表

1.1.2  URL过滤基本概念

1. URL过滤规则

URL过滤功能实现的前提条件是对URL的识别。可通过使用URL过滤规则匹配URL中主机名字段和URI字段的方法来识别URL。

URL过滤规则是指对用户HTTP报文中的URL进行匹配的原则，且其分为两种规则：

·     预定义规则：根据设备中的URL过滤特征库自动生成，包括百万级的主机名或URI。预定义规则能满足多数情况下的URL过滤需求。

·     自定义规则：由管理员手动配置生成，可以通过使用正则表达式或者文本的方式配置规则中主机名或URI的内容。

URL过滤规则支持两种匹配方式：

·     文本匹配：使用指定的字符串对主机名和URI字段进行精确匹配。

¡     匹配主机名字段时，URL中的主机名字段与规则中指定的主机名字符串必须完全一致，才能匹配成功。例如，规则中配置主机名字符串为abc.com.cn，则主机名为abc.com.cn的URL会匹配成功，而主机名为dfabc.com.cn的URL将与该规则匹配失败。

¡     匹配URI字段时，从URL中URI字段的首字符开始，只要URI字段中连续若干个字符与规则中指定的URI字符串完全一致，就算匹配成功。例如，规则中配置URI字符串为/sina/news，则URI为/sina/news、/sina/news/sports或/sina/news_sports的URL会匹配成功，而URI为/sina的URL将与该规则匹配失败。

·     正则表达式匹配：使用正则表达式对主机名和URI字段进行模糊匹配。例如，规则中配置主机名的正则表达式为sina.*cn，则主机名为news.sina.com.cn的URL会匹配成功。

2. URL过滤分类

为便于管理员对数目众多的URL过滤规则进行统一部署，URL过滤模块提供了URL过滤分类功能，以便对具有相似特征的URL过滤规则进行归纳以及为匹配这些规则的URL统一指定处理动作。每个URL过滤分类具有一个严重级别属性，该属性值表示对属于此过滤分类URL的处理优先级。

URL过滤分类包括两种类型：

·     预定义分类：根据设备中的URL过滤特征库自动生成，其内容和严重级别不可被修改。名称以Pre-开头。

·     自定义分类：由管理员手动配置，可修改其严重级别，可添加URL过滤规则。

3. URL过滤策略

一个URL过滤策略中可以配置URL过滤分类和处理动作的绑定关系，以及缺省动作（即对未匹配上任何URL过滤规则的报文采取的动作）。URL过滤支持的处理动作包括：丢弃、允许、阻断、重置、重定向和生成日志。

4. URL过滤黑/白名单规则

可通过URL过滤黑/白名单规则快速筛选出不需要进行URL过滤的报文。如果用户HTTP报文中的URL与URL过滤策略中的黑名单规则匹配成功，则丢弃此报文；如果与白名单规则匹配成功，则允许此报文通过。

1.1.3  URL过滤实现流程

当用户通过设备使用HTTP访问某个网络资源时，设备将对此HTTP报文进行URL过滤。URL过滤处理流程如图1-2所示：

图1-2 URL过滤实现流程图

URL过滤实现流程如下：

(1)     设备对报文进行对象策略规则匹配：

如果规则引用了URL过滤业务，设备将对匹配了规则的报文进行URL过滤业务处理。设备将提取报文的URL字段，并与URL过滤规则进行匹配。

有关对象策略的详细介绍请参见“安全配置指导”中的“对象策略”。

(2)     设备将报文与URL过滤策略中的过滤规则进行匹配，如果匹配成功，则进行下一步处理；如果匹配失败，则进入步骤（5）的处理。

(3)     首先判断此URL过滤规则是否属于URL过滤的黑/白名单规则，如果属于URL过滤白名单规则则直接允许此报文通过，如果属于URL过滤的黑名单规则则直接将此报文阻断。

(4)     如果此URL过滤规则既不属于URL过滤白名单规则也不属于URL过滤黑名单规则，则设备将进一步判断该规则是否同时属于多个URL过滤分类。

¡     如果此URL过滤规则同时属于多个URL过滤分类，则根据严重级别最高的URL过滤分类的动作对此报文进行处理。

¡     如果此URL过滤规则只属于一个URL过滤分类，则根据该规则所属的URL过滤分类的动作对此报文进行处理。

(5)     如果分类云端查询功能已开启，则将报文中的URL发向云端URL过滤分类服务器进行查询，否则进入步骤（7）的处理。

(6)     如果URL云端查询成功，云端URL过滤分类服务器将向设备端返回查询结果（该结果中包含了URL过滤规则及其所属的分类名称），并进入步骤（4）的处理，否则进入步骤（7）的处理。

(7)     如果设备上配置了URL过滤的缺省动作，则根据配置的缺省动作对此报文进行处理；否则直接允许报文通过。

1.1.4  URL过滤特征库升级与回滚

URL过滤特征库是用来对经过设备的用户访问Web请求中的URL进行识别的资源库。随着互联网业务的不断变化和发展，需要及时升级设备中的URL过滤特征库，同时设备也支持URL过滤特征库回滚功能。

1. URL过滤特征库升级

URL过滤特征库的升级包括如下几种方式：

·     定期自动在线升级：设备根据管理员设置的时间定期自动更新本地的URL过滤特征库。

·     立即自动在线升级：管理员手工触发设备立即更新本地的URL过滤特征库。

·     手动离线升级：当设备无法自动获取URL过滤特征库时，需要管理员先手动获取最新的URL过滤特征库，再更新本地的URL过滤特征库。

2. URL过滤特征库回滚

如果管理员发现设备当前URL过滤特征库对用户访问Web的URL过滤的误报率较高或出现异常情况，则可以将其回滚到出厂版本和上一版本。

1.2  URL过滤配置任务简介

表1-2 URL过滤配置任务简介

1.3  配置URL过滤分类

1. 功能简介

当URL过滤特征库中预定义的URL过滤分类和URL过滤规则不能满足对URL的控制需求时，可以配置URL过滤分类，并在分类中创建URL过滤规则。

2. 配置限制和指导

每个URL过滤规则可以同时属于多个URL过滤分类。

不同URL过滤分类的严重级别不能相同，数值越大表示严重级别越高。

系统为预定义URL过滤分类保留的严重级别为最低，取值范围为1～999。

3. 配置步骤

表1-3 配置URL过滤分类

1.4  配置URL过滤分类云端查询

1. 功能简介

在URL过滤策略中开启URL过滤分类云端查询功能后，可提高设备识别HTTP报文的准确率，实现对报文的准确控制。

从云端URL过滤分类服务器学习到的URL过滤规则会被缓存在设备上，并在一定时间间隔内下发给应用层检测引擎进行报文匹配。URL过滤缓存的记录上限、规则的最短保留时间和下发时间间隔都可以根据实际组网环境进行调整。

2. 配置步骤

表1-4 配置URL过滤分类云端查询

1.5  配置URL过滤策略

1. 功能简介

在一个URL过滤策略中可以配置多个URL过滤分类动作，也可以在URL过滤策略中为其定义缺省动作。

若报文成功匹配的URL过滤规则同属于多个URL过滤分类，则根据严重级别最高的URL过滤分类中指定的动作对此报文进行处理。

2. 配置步骤

表1-5 配置URL过滤策略

1.6  复制URL过滤策略或分类

1. 功能简介

此功能用来复制已存在的URL过滤策略或分类，可以方便用户快速创建URL过滤策略或分类。

在复制URL过滤分类时，如果指定优先级与已经存在的分类优先级相同，则复制失败。

2. 配置步骤

表1-6 复制URL过滤策略或分类

1.7  在DPI应用profile中引用URL过滤策略

1. 功能简介

DPI应用profile是一个安全业务的配置模板，为实现URL过滤功能，必须在DPI应用porfile中引用指定的URL过滤策略。

2. 配置限制和指导

一个DPI应用profile中只能引用一个URL过滤策略，如果重复配置，则后配置的覆盖已有的。

3. 配置步骤

表1-7 在DPI应用profile下引用URL过滤策略

1.8  激活URL过滤的策略和规则配置

1. 功能简介

当URL过滤策略和规则被创建、修改和删除后，需要配置此功能使其策略和规则配置生效。

2. 配置限制和指导

配置此功能会暂时中断所有DPI业务的处理，为避免重复配置此功能对DPI业务造成影响，请完成部署DPI各业务模块的策略和规则后统一配置此功能。

有关此功能的详细介绍请参见“DPI深度安全配置指导”中的“应用层检测引擎”。

3. 配置步骤

表1-8 激活URL过滤策略和规则配置

1.9  基于对象策略应用URL过滤业务

表1-9 基于对象策略应用URL过滤业务

1.10  配置URL过滤特征库升级和回滚

1.10.1  配置限制和指导

·     请勿删除设备存储介质根目录下的/dpi/文件夹，否则设备升级或回滚特征库会失败。

·     当系统内存使用状态处于告警门限状态时，请勿进行特征库升级或回滚，否则易造成设备特征库升级或回滚失败，进而影响URL过滤业务的正常运行。有关内存告警门限状态的详细介绍请参见"基础配置指导"中的"设备管理"。

·     自动在线升级（包括定期自动在线升级和立即自动在线升级）URL过滤特征库时，需要确保设备能通过静态或动态域名解析方式获得H3C官方网站的IP地址，并与之路由可达，否则设备升级URL过滤特征库会失败。有关域名解析功能的配置请参见“三层技术-IP业务配置指导”中的“域名解析”。

1.10.2  配置定期自动在线升级URL过滤特征库

1. 功能简介

如果设备可以访问H3C官方网站上的特征库服务专区，可以采用定期自动在线升级方式来对设备上的URL过滤特征库进行升级。

2. 配置步骤

表1-10 配置定期自动在线升级URL过滤特征库

1.10.3  立即自动在线升级URL过滤特征库

1. 功能简介

当管理员发现H3C官方网站上的特征库服务专区中的URL过滤特征库有更新时，可以选择立即自动在线升级方式来及时升级URL过滤特征库版本。

2. 配置步骤

表1-11 立即自动在线升级URL过滤特征库

1.10.4  手动离线升级URL过滤特征库

1. 功能简介

如果设备不能访问H3C官方网站上的特征库服务专区，管理员可以采用如下几种方式手动离线升级URL过滤特征库版本。

·     本地升级：使用本地保存的特征库文件升级系统上的URL过滤特征库版本。

¡     特征库文件只能存储在当前主用设备上，否则设备升级特征库会失败。（集中式设备-IRF模式）

¡     特征库文件只能存储在当前主控板上，否则设备升级特征库会失败。（分布式设备-独立运行模式）

¡     特征库文件只能存储在当前全局主用主控板上，否则设备升级特征库会失败。（分布式设备-IRF模式）

·     FTP/TFTP升级：通过FTP或TFTP方式下载远程服务器上保存的特征库文件，并升级系统上的URL过滤特征库版本。

2. 配置步骤

表1-12 手动离线升级URL过滤特征库

1.10.5  回滚URL过滤特征库

1. 功能简介

URL过滤特征库版本每次回滚前，设备都会备份当前版本。多次回滚上一版本的操作将会在当前版本和上一版本之间反复切换。例如当前URL过滤特征库版本是V2，上一版本是V1，第一次执行回滚到上一版本的操作后，特征库替换成V1版本，再执行回滚上一版本的操作则特征库重新变为V2版本。

2. 配置步骤

表1-13 回滚URL过滤特征库

1.11  开启应用层检测引擎日志信息功能

1. 功能简介

应用层检测引擎日志是为了满足管理员审计需求。设备生成应用层检测引擎日志信息会交给信息中心模块处理，信息中心模块的配置将决定日志信息的发送规则和发送方向。关于信息中心的详细描述请参见“网络管理和监控配置指导”中的“信息中心”。

2. 配置步骤

表1-14 开启应用层检测引擎日志信息功能

1.12  配置URL过滤日志信息筛选功能

1.12.1  功能简介

开启URL过滤日志功能后（即执行category action logging或default-action logging命令）会产生大量的日志信息，不利于查看和分析。管理员可从以下方式中任选其一，对需要进行日志记录的资源进行筛选：

·     仅对网站根目录下资源的访问进行日志记录

·     对指定类型的网页资源的访问不进行日志记录

1.12.2  配置URL过滤仅对网站根目录下资源的访问进行日志记录

表1-15 配置URL过滤仅对网站根目录下资源的访问进行日志记录

1.12.3  配置URL过滤对指定类型网页资源的访问不进行日志记录

表1-16 配置URL过滤对指定类型网页资源的访问不进行日志记录

1.13  URL过滤显示和维护

完成上述配置后，在任意视图下执行display命令可以显示URL过滤的配置信息和分类信息等。

在用户视图下执行reset命令可以清除URL过滤的统计信息。

表1-17 URL过滤显示和维护

1.14  URL过滤典型配置举例

1.14.1  基于对象策略的URL过滤基本组网配置举例

1. 组网需求

如图1-3所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有组网需求如下：

·     配置URL过滤功能，允许Trust安全域的主机访问Untrust安全域的Web Server上的www.sina.com。

·     配置预定义URL过滤分类Pre-Games的动作为丢弃并生成日志。

·     配置URL过滤策略的缺省动作为丢弃和生成日志。

2. 组网图

图1-3 基于对象策略URL过滤分类配置组网图

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

<Device> system-view

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(3)     配置对象组

# 创建名为urlfilter的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address urlfilter

[Device-obj-grp-ip-urlfilter] network subnet 192.168.1.0 24

[Device-obj-grp-ip-urlfilter] quit

(4)     配置URL过滤功能

# 创建名news的URL过滤分类，并进入URL过滤分类视图，设置该分类的严重级别为2000。

[Device] url-filter category news severity 2000

# 在URL过滤分类news中添加一条URL过滤规则，并使用字符串www.sina.com对主机名字段进行精确匹配。

[Device-url-filter-category-news] rule 1 host text www.sina.com

[Device-url-filter-category-news] quit

# 创建名为urlnews的URL过滤策略，并进入URL过滤策略视图。

[Device] url-filter policy urlnews

# 在URL过滤策略urlnews中，配置URL过滤分类news绑定的动作为允许。

[Device-url-filter-policy-urlnews] category news action permit

# 在URL过滤策略urlnews中，配置预定义URL过滤分类Pre-Games绑定的动作为丢弃并生成日志。

[Device-url-filter-policy-urlnews] category Pre-Games action drop logging

# 在URL过滤策略urlnews中，配置策略的缺省动作为丢弃和打印日志。

[Device-url-filter-policy-urlnews] default-action drop logging

[Device-url-filter-policy-urlnews] quit

(5)     配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用URL过滤策略urlnews。

[Device-app-profile-sec] url-filter apply policy urlnews

[Device-app-profile-sec] quit

# 激活URL过滤策略和规则配置。

[Device] inspect activate

(6)     配置对象策略

# 创建名为urlfilter的IPv4对象策略，并进入对象策略视图。

[Device] object-policy ip urlfilter

# 对源IP地址对象组urlfilter对应的报文进行深度检测，引用的DPI应用profile为sec。

[Device-object-policy-ip-urlfilter] rule inspect sec source-ip urlfilter destination-ip any

[Device-object-policy-ip-urlfilter] quit

(7)     配置安全域间实例并应用对象策略

# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并应用对源IP地址对象组urlfilter对应的报文进行深度检测的对象策略urlfilter。

[Device] zone-pair security source trust destination untrust

[Device-zone-pair-security-Trust-Untrust] object-policy apply ip urlfilter

[Device-zone-pair-security-Trust-Untrust] quit

4. 验证配置

以上配置生效后，Trust安全域的主机A、主机B和主机C都可以访问Untrust安全域的Web Server上的www.sina.com，但是都不能访问游戏类的网页。Trust安全域的主机尝试访问游戏类的URL请求将会被Device阻断并且打印日志。

1.14.2  基于对象策略的手动离线升级URL过滤特征库配置举例

1. 组网需求

如图1-4所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源，以及DMZ安全域的FTP服务器。FTP服务器根目录下保存了最新的URL过滤特征库文件url-1.0.2-encrypt.dat，FTP服务器的登录用户名和密码分别为url和123。现有组网需求如下：

·     手动离线升级URL过滤特征库，加载最新的URL过滤分类。

·     采用预定义的URL过滤分类Pre-Games，禁止Trust安全域的主机访问Untrust安全域内关于游戏类的互联网Web资源。

2. 组网图

图1-4 基于对象策略手动离线升级URL过滤特征库配置组网图

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     配置Device与FTP互通

# 配置ACL 2001，定义规则允许所有报文通过。

<Device> system-view

[Device] acl basic 2001

[Device-acl-ipv4-basic-2001] rule permit

[Device-acl-ipv4-basic-2001] quit

# 向安全域DMZ中添加接口GigabitEthernet1/0/3。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

# 创建源安全域Local到目的安全域DMZ的安全域间实例，允许Local域用户访问DMZ域的报文可以通过。

[Device] zone-pair security source local destination dmz

[Device-zone-pair-security-Local-DMZ] packet-filter 2001

[Device-zone-pair-security-Local-DMZ] quit

# 创建源安全域DMZ到目的安全域Local的安全域间实例，允许DMZ域用户访问Local域的报文可以通过。

[Device] zone-pair security source dmz destination local

[Device-zone-pair-security-DMZ-Local] packet-filter 2001

[Device-zone-pair-security-DMZ-Local] quit

(3)     创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置对象组

# 创建名为urlfilter的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address urlfilter

[Device-obj-grp-ip-urlfilter] network subnet 192.168.1.0 24

[Device-obj-grp-ip-urlfilter] quit

(5)     配置URL过滤功能

# 采用FTP方式手动离线升级设备上的URL过滤特征库，且被加载的URL特征库文件名为url-1.0.2-encrypt.dat。

[Device] url-filter signature update ftp://url:[email protected]/url-1.0.2-encrypt.dat

# 创建名为urlnews的URL过滤策略，并进入URL过滤策略视图。

[Device] url-filter policy urlnews

# 在URL过滤策略urlnews中，配置预定义URL过滤分类Pre-Games绑定的动作为丢弃并且生成日志。

[Device-url-filter-policy-urlnews] category Pre-Games action drop logging

[Device-url-filter-policy-urlnews] quit

(6)     配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用URL过滤策略urlnews。

[Device-app-profile-sec] url-filter apply policy urlnews

[Device-app-profile-sec] quit

# 激活URL过滤策略和规则配置。

[Device] inspect activate

(7)     配置对象策略

# 创建名为urlfilter的IPv4对象策略，并进入对象策略视图。

[Device] object-policy ip urlfilter

# 对源IP地址对象组urlfilter对应的报文进行深度检测，引用的DPI应用profile为sec。

[Device-object-policy-ip-urlfilter] rule inspect sec source-ip urlfilter destination-ip any

[Device-object-policy-ip-urlfilter] quit

(8)     配置安全域间实例并应用对象策略

# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并应用对源IP地址对象组urlfilter对应的报文进行深度检测的对象策略urlfilter。

[Device] zone-pair security source trust destination untrust

[Device-zone-pair-security-Trust-Untrust] object-policy apply ip urlfilter

[Device-zone-pair-security-Trust-Untrust] quit

4. 验证配置

以上配置生效后，Trust安全域的主机A、主机B和主机C都无法访问Untrust安全域内的游戏类的互联网Web资源。尝试访问Untrust安全域内的游戏类的互联网Web资源URL请求将会被Device阻断并且记录日志。日志形式。

URL过滤特征库升级后，可以通过display url-filter signature information命令查看当前特征库的版本信息。

1.14.3  基于对象策略的定期自动在线升级URL过滤特征库配置举例

1. 组网需求

如图1-5所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源。现有组网需求如下：

·     配置每周六上午九点前后半小时内，定期自动在线升级设备的URL过滤特征库。

2. 组网图

图1-5 基于对象策略定期自动在线升级URL过滤特征库配置组网图

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     配置设备解析H3C官方网站对应IP地址的域名解析功能（略）

(3)     配置对象策略保证Trust安全域的局域网用户可以访问Untrust安全域的Internet资源（略）

(4)     配置定期自动在线升级URL过滤特征库

# 开启自动在线升级URL过滤特征库功能，并进入自动在线升级配置视图。

<Device> system-view

[Device] url-filter signature auto-update

# 设置定期自动在线升级URL过滤特征库计划为：每周六上午9:00:00自动在线升级，抖动时间为30分钟。

[Device-url-filter-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 30

[Device-url-filter-autoupdate] quit

4. 验证配置

设置的定期自动在线升级URL过滤特征库时间到达后，可以通过display url-filter signature information命令查看当前特征库的版本信息。