- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
06-数据过滤配置
本章节下载： 06-数据过滤配置 (263.83 KB)
目 录
数据过滤是一种对流经设备的报文的应用层信息进行过滤的安全防护机制。采用数据过滤功能可以有效防止内网机密信息泄露，禁止内网用户在Internet上浏览、发布和传播违规或违法信息。目前，数据过滤功能支持对基于HTTP、FTP、SMTP、IMAP、NFS、POP3、RTMP和SMB协议传输的应用层信息进行检测和过滤。
数据过滤特征是设备上定义的用于识别应用层信息特征的字符串，包括以下类型：
· 预定义特征：系统预先定义配置，包括手机号、银行卡号、信用卡号和身份证号。
· 自定义特征：用户自定义配置，支持文本匹配方式和正则表达式匹配方式。
关键字组用来对数据过滤特征进行统一组织和管理。
数据过滤规则是报文应用层信息安全检测条件及处理动作的集合。在一个规则中可设置关键字组、报文方向、应用类型和动作（丢弃、放行、生成日志）。只有报文成功匹配规则中包含的所有检测条件才算与此规则匹配成功。
数据过滤功能是通过在DPI应用profile中引用数据过滤策略，并在安全策略中引用DPI应用profile实现的，设备对报文进行数据过滤处理的整体流程如下：
(1) 当设备收到报文时，将对匹配了策略的报文进行数据过滤处理。有关安全策略的详细介绍请参见“安全配置指导”中的“安全策略”。
(2) 设备提取报文中的应用层信息与数据过滤规则进行匹配，并根据匹配结果对报文执行动作：
¡ 如果报文同时与多个规则匹配成功，则执行这些规则中优先级最高的动作，动作优先级从高到低的顺序为：丢弃 > 放行，但是对于生成日志动作只要匹配成功的规则中存在就会执行。
¡ 如果报文只与一个规则匹配成功，则执行此规则中指定的动作。
¡ 如果报文未与任何数据过滤规则匹配成功，则设备直接允许报文通过。
数据过滤配置任务如下：
(1) 配置关键字组
(2) 配置数据过滤策略
(4) （可选）激活数据过滤策略和规则配置
(5) 在安全策略中引用数据过滤业务
一个关键字组中可配置多个数据过滤特征用于定义过滤报文应用层信息的字符串，各特征之间是或的关系。定义数据过滤特征的方式为正则表达式和文本两种。
(1) 进入系统视图。
system-view
(2) 创建关键字组，并进入关键字组视图。
data-filter keyword-group keywordgroup-name
(3) （可选）配置关键字组的描述信息。
description string
缺省情况下，未配置关键字组的描述信息。
(4) 配置数据过滤特征。
¡ 配置自定义数据过滤特征。
pattern pattern-name { regex | text } pattern-string
缺省情况下，未配置自定义数据过滤特征。
¡ 启用预定义数据过滤特征。
pre-defined-pattern name { bank-card-number | credit-card-number | id-card-number | phone-number }
缺省情况下，未启用预定义数据过滤特征。
一个数据过滤策略中最多可以定义32个数据过滤规则，各规则之间是或的关系。每个规则中可配置一个关键字组、多种应用层协议类型、一种报文方向以及多个动作。
NFS协议仅支持NFSv3版本；SMB协议支持SMBv1和SMBv2版本。
当动作配置为logging时，设备将记录日志并支持如下两种方式输出日志。
· 快速日志：此方式生成的日志信息直接发送到管理员指定的日志主机。
· 系统日志：此方式生成的日志信息将发送到信息中心，由信息中心决定日志的输出方向。本业务产生的系统日志不支持输出到控制台和监视终端。如需快速获取日志信息，可通过执行display logbuffer命令进行查看。
系统日志会对设备性能产生影响，建议采用快速日志方式。
有关display logbuffer命令的详细介绍，请参见“设备管理命令参考”中的“信息中心”；有关快速日志的详细介绍，请参见“网络管理和监控配置指导”中的“快速日志输出”。
(1) 进入系统视图。
system-view
(2) 创建数据过滤策略，并进入数据过滤策略视图。
data-filter policy policy-name
(3) （可选）配置数据过滤策略的描述信息。
description string
缺省情况下，未配置数据过滤策略的描述信息。
(4) 创建数据过滤规则，并进入数据过滤规则视图。
rule rule-name
(5) 指定数据过滤规则采用的关键字组。
keyword-group keywordgroup-name
缺省情况下，未指定数据过滤规则采用的关键字组。
(6) 配置数据过滤规则的应用层协议类型。
application { all | type { ftp | http | imap | nfs | pop3 | rtmp | smb | smtp } * }
缺省情况下，数据过滤规则未指定应用层协议类型。
(7) 配置数据过滤规则的匹配方向。
direction { both | download | upload }
缺省情况下，数据过滤规则的匹配方向为会话的上传方向。
(8) 配置数据过滤规则的动作。
action { drop | permit } [ logging ]
缺省情况下，数据过滤规则的动作为丢弃。
DPI应用porfile是一个安全业务的配置模板，为实现数据过滤功能，必须在DPI应用porfile中引用指定的数据过滤策略。一个DPI应用profile中只能引用一个数据过滤策略，如果重复配置，则新的配置会覆盖已有配置。
(1) 进入系统视图。
system-view
(2) 进入DPI应用profile视图。
app-profile profile-name
关于该命令的详细介绍请参见“DPI深度安全命令参考”中的“应用层检测引擎”。
(3) 在DPI应用profile中引用数据过滤策略。
data-filter apply policy policy-name
缺省情况下，DPI应用profile中未引用数据过滤策略。
缺省情况下，当数据过滤业务发生配置变更时（即策略或规则被创建、修改和删除），系统将会检测在20秒的间隔时间内是否再次发生了配置变更，并根据判断结果执行如下操作：
· 如果间隔时间内未发生任何配置变更，则系统将在下一个间隔时间结束时（即40秒时）执行一次激活操作，使这些策略和规则的配置生效。
· 如果间隔时间内再次发生了配置变更，则系统将继续按照间隔时间周期性地检测是否发生配置变更。
如果用户希望对变更的配置立即进行激活，可执行inspect activate命令手工激活，使配置立即生效。
有关此功能的详细介绍请参见“DPI深度安全配置指导”中的“应用层检测引擎”。
(1) 进入系统视图。
system-view
(2) 激活数据过滤策略和规则配置。
inspect activate
缺省情况下，数据过滤策略和规则被创建、修改和删除后，系统会自动激活配置使其生效。
执行此命令会暂时中断DPI业务的处理，可能导致其他基于DPI功能的业务同时出现中断。例如，安全策略无法对应用进行访问控制等。
(1) 进入系统视图。
system-view
(2) 进入安全策略视图。
security-policy { ip | ipv6 }
(3) 进入安全策略规则视图。
rule { rule-id | [ rule-id ] name rule-name }
(4) 配置安全策略规则的动作为允许。
action pass
缺省情况下，安全策略规则动作是丢弃。
(5) 配置安全策略规则引用DPI应用profile。
profile app-profile-name
缺省情况下，安全策略规则中未引用DPI应用profile。
如图1-1所示，AC与外网相连。为防止客户端信息泄露，在AC上配置数据过滤功能，对关键信息进行过滤。现有如下要求：
· 阻止URI或者Body字段含有“uri”或“abc.*abc”关键字的HTTP报文通过。
· 阻止下载文件内容中含有“www.abcd.com”关键字的FTP报文通过。
· 对以上被阻止的报文生成日志信息。
(1) 配置AC的接口
# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AP将获取该IP地址与AC建立CAPWAP隧道。
<AC> system-view
[AC] vlan 100
[AC-vlan100] quit
[AC] interface vlan-interface 100
[AC-Vlan-interface100] ip address 192.1.1.1 24
[AC-Vlan-interface100] quit
# 创建VLAN 200及其对应的VLAN接口，并为该接口配置IP地址。Client使用该VLAN接入无线网络。
[AC] vlan 200
[AC-vlan200] quit
[AC] interface vlan-interface 200
[AC-Vlan-interface200] ip address 192.2.1.1 24
[AC-Vlan-interface200] quit
# 配置AC和Switch相连的接口GigabitEthernet1/0/1为Trunk类型，允许VLAN 100和VLAN 200通过。
[AC] interface gigabitethernet 1/0/1
[AC-GigabitEthernet1/0/1] port link-type trunk
[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200
[AC-GigabitEthernet1/0/1] quit
(2) 配置无线服务
# 创建无线服务模板1，并进入无线服务模板视图。
[AC] wlan service-template 1
# 配置SSID为service。
[AC-wlan-st-1] ssid service
# 配置为集中式转发。
[AC-wlan-st-1] client forwarding-location ac
# 配置无线客户端上线后加入到VLAN 200。
[AC-wlan-st-1] vlan 200
# 使能无线服务模板。
[AC-wlan-st-1] service-template enable
[AC-wlan-st-1] quit
(3) 配置AP
# 创建手工AP，名称为ap1，型号为WA6320。
[AC] wlan ap ap1 model WA6320
# 设置AP序列号为219801A28N819CE0002T 。
[AC-wlan-ap-ap1] serial-id 219801A28N819CE0002T
# 进入AP的Radio 1视图，并将无线服务模板1绑定到Radio 1上。
[AC-wlan-ap-ap1] radio 1
[AC-wlan-ap-ap1-radio-1] service-template 1
# 开启Radio 1的射频功能。
[AC-wlan-ap-ap1-radio-1] radio enable
[AC-wlan-ap-ap1-radio-1] quit
# 进入AP的Radio 2视图，并将无线服务模板1绑定到Radio 2上。
[AC-wlan-ap-ap1] radio 2
[AC-wlan-ap-ap1-radio-2] service-template 1
# 开启Radio 2的射频功能。
[AC-wlan-ap-ap1-radio-2] radio enable
[AC-wlan-ap-ap1-radio-2] quit
[AC-wlan-ap-ap1] quit
(4) 配置对象组
# 创建名为datafilter的IP地址对象组，并定义其子网地址为192.2.1.0/24。
[AC] object-group ip address datafilter
[AC-obj-grp-ip-datafilter] network subnet 192.2.1.0 24
[AC-obj-grp-ip-datafilter] quit
(5) 配置数据过滤功能
# 创建关键字组kg1，并进入关键字组视图。
[AC] data-filter keyword-group kg1
# 配置关键字文本uri和正则表示式abc.*abc。
[AC-data-filter-kgroup-kg1] pattern 1 text uri
[AC-data-filter-kgroup-kg1] pattern 2 regex abc.*abc
[AC-data-filter-kgroup-kg1] quit
# 创建关键字组kg2，并进入关键字组视图。
[AC] data-filter keyword-group kg2
# 配置匹配关键字文本www.abcd.com。
[AC-data-filter-kgroup-kg2] pattern 1 text www.abcd.com
[AC-data-filter-kgroup-kg2] quit
(6) 配置数据过滤策略
# 创建数据过滤策略p1，并进入数据过滤策略视图。
[AC] data-filter policy p1
# 创建数据过滤规则r1，并进入数据过滤规则视图。
[AC-data-filter-policy-p1] rule r1
# 在规则r1中应用关键字组kg1，配置应用类型为HTTP，报文方向为会话的双向，动作为丢弃并输出日志。
[AC-data-filter-policy-p1-rule-r1] keyword-group kg1
[AC-data-filter-policy-p1-rule-r1] application type http
[AC-data-filter-policy-p1-rule-r1] direction both
[AC-data-filter-policy-p1-rule-r1] action drop logging
[AC-data-filter-policy-p1-rule-r1] quit
# 创建数据过滤规则r2，并进入数据过滤策略视图。
[AC-data-filter-policy-p1] rule r2
# 在规则r2中应用关键字组kg2，配置应用类型为FTP，报文方向为会话的下载方向，动作为丢弃并输出日志。
[AC-data-filter-policy-p1-rule-r2] keyword-group kg2
[AC-data-filter-policy-p1-rule-r2] application type ftp
[AC-data-filter-policy-p1-rule-r2] direction download
[AC-data-filter-policy-p1-rule-r2] action drop logging
[AC-data-filter-policy-p1-rule-r2] quit
[AC-data-filter-policy-p1] quit
(7) 在DPI应用profile中引用数据过滤策略
# 创建名称为profile1的DPI应用profile，并进入DPI应用profile视图。
[AC] app-profile profile1
# 在DPI应用profile1中应用数据过滤策略p1。
[AC-app-profile-profile1] data-filter apply policy p1
[AC-app-profile-profile1] quit
# 激活数据过滤策略和规则配置。
[AC] inspect activate
(8) 配置安全策略引用数据过滤业务
# 进入IPv4安全策略视图
[AC] security-policy ip
# 创建名为inspect1的安全策略规则，过滤条件为源IP地址对象组datafilter，动作为允许，且引用的DPI应用profile为profile1。
[AC-security-policy-ip] rule name inspect1
[AC-security-policy-ip-14-inspect1] source-ip datafilter
[AC-security-policy-ip-14-inspect1] action pass
[AC-security-policy-ip-14-inspect1] profile profile1
[AC-security-policy-ip-14-inspect1] quit
# 激活安全策略的加速功能。
[AC-security-policy-ip] accelerate enhanced enable
[AC-security-policy-ip] quit
完成上述配置后，设备会阻止URI或者Body字段含有“uri”或“abc.*abc”关键字的HTTP报文通过，阻止下载文件内容中含有“www.abcd.com”关键字的FTP报文通过，并对被阻止的报文生成日志信息。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
