- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
09-文件过滤配置
本章节下载： 09-文件过滤配置 (267.96 KB)
目 录
文件过滤是一种根据文件扩展名信息对经设备传输的文件进行过滤的安全防护机制。采用文件过滤功能可以对指定类型的文件进行批量过滤。目前，文件过滤功能支持对基于HTTP、FTP、SMTP、IMAP、NFS、POP3、RTMP和SMB协议传输的文件进行检测和过滤。
文件过滤特征是设备上定义的用于识别文件扩展名特征的字符串。
文件类型组用来对文件过滤特征进行统一组织和管理。一个文件类型组中可以包含32个特征，且它们之间是或的关系。
文件过滤规则是安全检测条件及处理动作的集合。在一个规则中可配置的检测条件包括文件类型组、报文方向、应用类型，可配置的处理动作包括丢弃、放行和生成日志。只有文件属性（包括文件的应用类型、传输方向和扩展名）成功匹配规则中包含的所有检测条件才算与此规则匹配成功。
文件过滤功能是通过在DPI应用profile中引用文件过滤策略，并在安全策略或对象策略中引用DPI应用profile来实现的，设备对报文进行文件过滤处理的整体流程如下：
(1) 当设备收到基于HTTP、FTP、SMTP等协议传输的文件时，设备将对匹配了策略的报文进行文件过滤处理。有关安全策略的详细介绍请参见“安全配置指导”中的“安全策略”；有关对象策略规则的详细介绍请参见“安全配置指导”中的“对象策略”。
(2) 设备提取文件的扩展名信息并记录。
(3) 设备进一步识别文件真实类型，并将识别的结果与扩展名进行匹配：
¡ 如果一致，则使用扩展名与文件过滤规则进行匹配，并进入步骤（4）处理；
¡ 如果不一致，则查看文件扩展名不匹配时动作，如果动作为丢弃，则直接丢弃报文，不再进行文件过滤规则的匹配；如果动作为允许，则使用文件的真实类型与文件过滤规则进行匹配，并进入步骤（4）处理。
(4) 与文件过滤规则进行匹配，并根据匹配结果对报文执行以下动作：
¡ 如果文件的扩展名信息/真实类型同时与多个文件过滤规则匹配成功，则执行这些规则中优先级最高的动作，动作优先级从高到低的顺序为：丢弃 > 允许，但是对于生成日志动作只要匹配成功的规则中存在就会执行；
¡ 如果文件的扩展名信息/真实类型只与一个文件过滤规则匹配成功，则执行此规则中指定的动作；
¡ 如果文件的扩展名信息/真实类型未与任何文件过滤规则匹配成功，则设备直接允许文件通过。
(5) 如果设备不能识别出文件真实类型，则根据文件扩展名与文件过滤规则进行匹配，并进入步骤（4）处理。
文件过滤配置任务如下：
(1) 配置文件类型组
(2) 配置文件过滤策略
(3) 配置文件扩展名不匹配时动作
(5) （可选）激活文件过滤策略和规则配置
(6) 在对象策略中引用文件过滤业务
一个文件类型组中可配置多个文件过滤特征，各特征之间是或的关系。定义文件过滤特征的方式为文本。
(1) 进入系统视图。
system-view
(2) 创建文件类型组，并进入文件类型组视图。
file-filter filetype-group group-name
(3) （可选）配置文件类型组的描述信息。
description string
缺省情况下，未配置文件类型组的描述信息。
(4) 配置文件过滤特征。
pattern pattern-name text pattern-string
缺省情况下，未配置文件过滤特征。
一个文件过滤策略中最多可以定义32个文件过滤规则，各规则之间是或的关系。每个规则中可配置一个文件类型组、多种应用层协议类型、一种报文方向以及多个动作。
NFS协议仅支持NFSv3版本；SMB协议支持SMBv1和SMBv2版本。
当动作配置为logging时，设备将记录日志并支持如下两种方式输出日志。
· 快速日志：此方式生成的日志信息直接发送到管理员指定的日志主机。
· 系统日志：此方式生成的日志信息将发送到信息中心，由信息中心决定日志的输出方向。本业务产生的系统日志不支持输出到控制台和监视终端。如需快速获取日志信息，可通过执行display logbuffer命令进行查看。
系统日志会对设备性能产生影响，建议采用快速日志方式。
有关display logbuffer命令的详细介绍，请参见“网络管理和监控命令参考”中的“信息中心”；有关快速日志的详细介绍，请参见“网络管理和监控配置指导”中的“快速日志输出”。
(1) 进入系统视图。
system-view
(2) 创建文件过滤策略，并进入文件过滤策略视图。
file-filter policy policy-name
(3) （可选）配置文件过滤策略的描述信息。
description string
缺省情况下，未配置文件过滤策略的描述信息。
(4) 创建文件过滤规则，并进入文件过滤规则视图。
rule rule-name
(5) 指定文件过滤规则采用的文件类型组。
filetype-group group-name
缺省情况下，未指定文件过滤规则采用的文件类型组。
(6) 配置文件过滤规则的应用层协议类型。
application { all | type { ftp | http | imap | nfs | pop3 | rtmp | smb | smtp } * }
缺省情况下，文件过滤规则中未指定应用层协议类型。
(7) 配置文件过滤规则的匹配方向。
direction { both | download | upload }
缺省情况下，文件过滤规则的匹配方向为上传方向。
(8) 配置文件过滤规则的动作。
action { drop | permit } [ logging ]
缺省情况下，文件过滤规则的动作为丢弃。
设备对报文进行文件过滤处理时，会将识别出的文件真实类型与文件扩展名进行对比，当二者不一致时，需要根据本配置进行判断。如果配置动作为允许，则根据识别出的真实的文件类型与文件过滤规则进行匹配，并执行文件过滤规则中的动作；如果配置动作为丢弃，则直接丢弃报文，不再进行文件过滤规则的匹配。
(1) 进入系统视图。
system-view
(2) 配置文件扩展名不匹配时动作
file-filter false-extension action { drop | permit }
缺省情况下，文件的真实类型与扩展名不匹配时执行的动作为允许。
DPI应用porfile是一个安全业务的配置模板，为实现文件过滤功能，必须在DPI应用porfile中引用指定的文件过滤策略。一个DPI应用profile中只能引用一个文件过滤策略，如果重复配置，则新的配置会覆盖已有配置。
(1) 进入系统视图。
system-view
(2) 进入DPI应用profile视图。
app-profile profile-name
关于该命令的详细介绍请参见“DPI深度安全命令参考”中的“应用层检测引擎”。
(3) 在DPI应用profile中引用文件过滤策略。
file-filter apply policy policy-name
缺省情况下，DPI应用profile中未引用文件过滤策略。
缺省情况下，当文件过滤业务发生配置变更时（即策略或规则被创建、修改和删除），系统将会检测在20秒的间隔时间内是否再次发生了配置变更，并根据判断结果执行如下操作：
· 如果间隔时间内未发生任何配置变更，则系统将在下一个间隔时间结束时（即40秒时）执行一次激活操作，使这些策略和规则的配置生效。
· 如果间隔时间内再次发生了配置变更，则系统将继续按照间隔时间周期性地检测是否发生配置变更。
有关此功能的详细介绍请参见“DPI深度安全配置指导”中的“应用层检测引擎”。
(1) 进入系统视图。
system-view
(2) 激活文件过滤策略和规则配置。
inspect activate
缺省情况下，文件过滤策略和规则被创建、修改和删除后，系统会自动激活配置使其生效。
执行此命令会暂时中断DPI业务的处理，可能导致其他基于DPI功能的业务同时出现中断。例如，安全策略无法对应用进行访问控制等。
(1) 进入系统视图。
system-view
(2) 进入安全策略视图。
security-policy { ip | ipv6 }
(3) 进入安全策略规则视图。
rule { rule-id | [ rule-id ] name rule-name }
(4) 配置安全策略规则的动作为允许。
action pass
缺省情况下，安全策略规则动作是丢弃。
(5) 配置安全策略规则引用DPI应用profile。
profile app-profile-name
缺省情况下，安全策略规则中未引用DPI应用profile。
(1) 进入系统视图。
system-view
(2) 进入对象策略视图。
object-policy { ip | ipv6 } object-policy-name
(3) 在对象策略规则中引用DPI应用profile。
rule [ rule-id ] inspect app-profile-name
缺省情况下，在对象策略规则中未引用DPI应用profile。
(4) 退回系统视图。
quit
(5) 创建安全域间实例，并进入安全域间实例视图。
zone-pair security source source-zone-name destination destination-zone-name
缺省情况下，不存在安全域间实例。
有关安全域间实例的详细介绍请参见“基础配置指导”中的“安全域”。
(6) 应用对象策略。
object-policy apply { ip | ipv6 } object-policy-name
缺省情况下，安全域间实例内不应用对象策略。
如图1-1所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有以下组网需求：
· 拒绝扩展名为pptx和dotx的文件通过。
· 对以上被阻止的文件生成日志信息。
(1) 配置各接口的IP地址（略）
(2) 创建安全域并将接口加入安全域
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/2。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(3) 配置对象组
# 创建名为filefilter的IP地址对象组，并定义其子网地址为192.168.1.0/24。
[Device] object-group ip address filefilter
[Device-obj-grp-ip-filefilter] network subnet 192.168.1.0 24
[Device-obj-grp-ip-filefilter] quit
(4) 配置文件过滤功能
a. 配置文件类型组
# 创建文件类型组fg1，并进入文件类型组视图。
[Device] file-filter filetype-group fg1
# 配置文件过滤特征为pptx和dotx。
[Device-file-filter-fgroup-fg1] pattern 1 text pptx
[Device-file-filter-fgroup-fg1] pattern 2 text dotx
[Device-file-filter-fgroup-fg1] quit
b. 配置文件过滤策略
# 创建文件过滤策略p1，并进入文件过滤策略视图。
[Device] file-filter policy p1
# 创建文件过滤规则r1，并进入文件过滤规则视图。
[Device-file-filter-policy-p1] rule r1
# 在规则r1中应用文件类型组fg1，配置应用类型为HTTP，报文方向为会话的双向，动作为丢弃并输出日志。
[Device-file-filter-policy-p1-rule-r1] filetype-group fg1
[Device-file-filter-policy-p1-rule-r1] application type http
[Device-file-filter-policy-p1-rule-r1] direction both
[Device-file-filter-policy-p1-rule-r1] action drop logging
[Device-file-filter-policy-p1-rule-r1] quit
(5) 配置DPI应用profile
# 创建名称为profile1的DPI应用profile，并进入DPI应用profile视图。
[Device] app-profile profile1
# 在DPI应用profile1中应用文件过滤策略p1。
[Device-app-profile-profile1] file-filter apply policy p1
[Device-app-profile-profile1] quit
# 激活文件过滤策略和规则配置。
[Device] inspect activate
(6) 配置对象策略
# 创建名为inspect1的对象策略，并进入对象策略视图。
[Device] object-policy ip inspect1
# 对源IP地址对象组filefilter对应的报文进行深度检测，引用的DPI应用profile为profile1。
[Device-object-policy-ip-inspect1] rule inspect profile1 source-ip filefilter destination-ip any
[Device-object-policy-ip-inspect1] quit
(7) 配置安全域间实例并应用对象策略
# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并应用对源IP地址对象组filefilter对应的报文进行深度检测的对象策略inspect1。
[Device] zone-pair security source trust destination untrust
[Device-zone-pair-security-trust-untrust] object-policy apply ip inspect1
[Device-zone-pair-security-trust-untrust] quit
完成上述配置后，符合上述条件的文件将被丢弃，并输出日志信息。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
