- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
06-文件过滤配置
本章节下载： 06-文件过滤配置 (258.29 KB)
目 录
文件过滤是一种根据文件扩展名信息对经设备传输的文件进行过滤的安全防护机制。采用文件过滤功能可以对指定类型的文件进行批量过滤。目前，文件过滤功能支持对基于HTTP、FTP、SMTP、IMAP、NFS、POP3、RTMP和SMB协议传输的文件进行检测和过滤。
文件过滤特征是设备上定义的用于识别文件扩展名特征的字符串。
文件类型组用来对文件过滤特征进行统一组织和管理。一个文件类型组中可以包含32个特征，且它们之间是或的关系。
文件过滤规则是安全检测条件及处理动作的集合。在一个规则中可配置的检测条件包括文件类型组、报文方向、应用类型，可配置的处理动作包括丢弃、放行和生成日志。只有文件属性（包括文件的应用类型、传输方向和扩展名）成功匹配规则中包含的所有检测条件才算与此规则匹配成功。
文件过滤功能是通过在DPI应用profile中引用文件过滤策略，并在安全策略或对象策略中引用DPI应用profile来实现的，设备对报文进行文件过滤处理的整体流程如下：
(1) 当设备收到基于HTTP、FTP、SMTP等协议传输的文件时，设备将对匹配了策略的报文进行文件过滤处理。有关安全策略的详细介绍请参见“安全配置指导”中的“安全策略”；有关对象策略规则的详细介绍请参见“安全配置指导”中的“对象策略”。
(2) 设备提取文件的扩展名信息并记录。
(3) 设备进一步识别文件真实类型，并将识别的结果与扩展名进行匹配：
¡ 如果一致，则使用扩展名与文件过滤规则进行匹配，并进入步骤（4）处理；
¡ 如果不一致，则查看文件扩展名不匹配时动作，如果动作为丢弃，则直接丢弃报文，不再进行文件过滤规则的匹配；如果动作为允许，则使用文件的真实类型与文件过滤规则进行匹配，并进入步骤（4）处理。
(4) 与文件过滤规则进行匹配，并根据匹配结果对报文执行以下动作：
¡ 如果文件的扩展名信息/真实类型同时与多个文件过滤规则匹配成功，则执行这些规则中优先级最高的动作，动作优先级从高到低的顺序为：丢弃 > 允许，但是对于生成日志动作只要匹配成功的规则中存在就会执行；
¡ 如果文件的扩展名信息/真实类型只与一个文件过滤规则匹配成功，则执行此规则中指定的动作；
¡ 如果文件的扩展名信息/真实类型未与任何文件过滤规则匹配成功，则设备直接允许文件通过。
(5) 如果设备不能识别出文件真实类型，则根据文件扩展名与文件过滤规则进行匹配，并进入步骤（4）处理。
本特性的支持情况与设备型号有关，请以设备的实际情况为准。
|
设备型号 |
业务板类型 |
说明 |
|
M9006 M9010 M9014 |
Blade IV防火墙业务板 |
支持 |
|
Blade V防火墙业务板 |
支持 |
|
|
NAT业务板 |
不支持 |
|
|
应用交付业务板 |
支持 |
|
|
异常流量清洗业务板 |
不支持 |
|
|
M9010-GM |
加密业务板 |
支持 |
|
M9016-V |
Blade V防火墙业务板 |
支持 |
|
M9008-S M9012-S |
Blade IV防火墙业务板 |
支持 |
|
应用交付业务板 |
支持 |
|
|
入侵防御业务板 |
支持 |
|
|
视频网关业务板 |
支持 |
|
|
异常流量清洗业务板 |
不支持 |
|
|
M9008-S-6GW |
IPv6业务板 |
支持 |
|
M9008-S-V |
Blade IV防火墙业务板 |
支持 |
|
M9000-AI-E8 |
Blade V防火墙业务板 |
支持 |
|
应用交付业务板 |
支持 |
|
|
M9000-AI-E16 |
Blade V防火墙业务板 |
支持 |
文件过滤配置任务如下：
(1) 配置文件类型组
(2) 配置文件过滤策略
(3) 配置文件扩展名不匹配时动作
(5) （可选）激活文件过滤策略和规则配置
(6) 在安全策略中引用文件过滤业务
(7) 在对象策略中引用文件过滤业务
一个文件类型组中可配置多个文件过滤特征，各特征之间是或的关系。定义文件过滤特征的方式为文本。
(1) 进入系统视图。
system-view
(2) 创建文件类型组，并进入文件类型组视图。
file-filter filetype-group group-name
(3) （可选）配置文件类型组的描述信息。
description string
缺省情况下，未配置文件类型组的描述信息。
(4) 配置文件过滤特征。
pattern pattern-name text pattern-string
缺省情况下，未配置文件过滤特征。
一个文件过滤策略中最多可以定义32个文件过滤规则，各规则之间是或的关系。每个规则中可配置一个文件类型组、多种应用层协议类型、一种报文方向以及多个动作。
NFS协议仅支持NFSv3版本；SMB协议支持SMBv1和SMBv2版本。
若动作配置为logging，生成的日志信息不会输出到控制台和监视终端。如需获取该日志，可通过执行display logbuffer命令进行查看。有关display logbuffer命令的详细介绍，请参见“网络管理和监控命令参考”中的“信息中心”。
(1) 进入系统视图。
system-view
(2) 创建文件过滤策略，并进入文件过滤策略视图。
file-filter policy policy-name
(3) （可选）配置文件过滤策略的描述信息。
description string
缺省情况下，未配置文件过滤策略的描述信息。
(4) 创建文件过滤规则，并进入文件过滤规则视图。
rule rule-name
(5) 指定文件过滤规则采用的文件类型组。
filetype-group group-name
缺省情况下，未指定文件过滤规则采用的文件类型组。
(6) 配置文件过滤规则的应用层协议类型。
application { all | type { ftp | http | imap | nfs | pop3 | rtmp | smb | smtp } * }
缺省情况下，文件过滤规则中未指定应用层协议类型。
(7) 配置文件过滤规则的匹配方向。
direction { both | download | upload }
缺省情况下，文件过滤规则的匹配方向为上传方向。
(8) 配置文件过滤规则的动作。
action { drop | permit } [ logging ]
缺省情况下，文件过滤规则的动作为丢弃。
设备对报文进行文件过滤处理时，会将识别出的文件真实类型与文件扩展名进行对比，当二者不一致时，需要根据本配置进行判断。如果配置动作为允许，则根据识别出的真实的文件类型与文件过滤规则进行匹配，并执行文件过滤规则中的动作；如果配置动作为丢弃，则直接丢弃报文，不再进行文件过滤规则的匹配。
(1) 进入系统视图。
system-view
(2) 配置文件扩展名不匹配时动作
file-filter false-extension action { drop | permit }
缺省情况下，文件的真实类型与扩展名不匹配时执行的动作为允许。
DPI应用porfile是一个安全业务的配置模板，为实现文件过滤功能，必须在DPI应用porfile中引用指定的文件过滤策略。一个DPI应用profile中只能引用一个文件过滤策略，如果重复配置，则新的配置会覆盖已有配置。
(1) 进入系统视图。
system-view
(2) 进入DPI应用profile视图。
app-profile profile-name
关于该命令的详细介绍请参见“DPI深度安全命令参考”中的“应用层检测引擎”。
(3) 在DPI应用profile中引用文件过滤策略。
file-filter apply policy policy-name
缺省情况下，DPI应用profile中未引用文件过滤策略。
缺省情况下，当文件过滤业务发生配置变更时（即策略或规则被创建、修改和删除），系统将会检测在20秒的间隔时间内是否再次发生了配置变更，并根据判断结果执行如下操作：
· 如果间隔时间内未发生任何配置变更，则系统将在下一个间隔时间结束时执行一次激活操作，使这些策略和规则的配置生效。
· 如果间隔时间内再次发生了配置变更，则系统将继续按照间隔时间周期性地检测是否发生配置变更。
配置此功能会暂时中断所有DPI业务的处理，为避免重复配置此功能对DPI业务造成影响，请完成部署DPI各业务模块的策略和规则后统一配置此功能。
有关此功能的详细介绍请参见“DPI深度安全配置指导”中的“应用层检测引擎”。
(1) 进入系统视图。
system-view
(2) 激活文件过滤策略和规则配置。
inspect activate
缺省情况下，文件过滤策略和规则被创建、修改和删除后，系统会自动激活配置使其生效。
(1) 进入系统视图。
system-view
(2) 进入安全策略视图。
security-policy { ip | ipv6 }
(3) 进入安全策略规则视图。
rule { rule-id | name name } *
(4) 配置安全策略规则的动作为允许。
action pass
缺省情况下，安全策略规则动作是丢弃。
(5) 配置安全策略规则引用DPI应用profile。
profile app-profile-name
缺省情况下，安全策略规则中未引用DPI应用profile。
(1) 进入系统视图。
system-view
(2) 进入对象策略视图。
object-policy { ip | ipv6 } object-policy-name
(3) 在对象策略规则中引用DPI应用profile。
rule [ rule-id ] inspect app-profile-name
缺省情况下，在对象策略规则中未引用DPI应用profile。
(4) 退回系统视图。
quit
(5) 创建安全域间实例，并进入安全域间实例视图。
zone-pair security source source-zone-name destination destination-zone-name
缺省情况下，不存在安全域间实例。
有关安全域间实例的详细介绍请参见“基础配置指导”中的“安全域”。
(6) 应用对象策略。
object-policy apply { ip | ipv6 } object-policy-name
缺省情况下，安全域间实例内不应用对象策略。
如图1-1所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有以下组网需求：
· 拒绝扩展名为pptx和dotx的文件通过。
· 对以上被阻止的文件生成日志信息。
(1) 配置接口IP地址
# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
请参考以上步骤配置其他接口的IP地址，具体配置步骤略。
(2) 配置静态路由
本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。
# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(4) 配置文件过滤功能
a. 创建文件类型组fg1，并配置文件过滤特征为pptx和dotx。
[Device] file-filter filetype-group fg1
[Device-file-filter-fgroup-fg1] pattern 1 text pptx
[Device-file-filter-fgroup-fg1] pattern 2 text dotx
[Device-file-filter-fgroup-fg1] quit
b. 创建文件过滤规则r1，引用文件类型组fg1，并配置应用类型为HTTP，报文方向为会话的双向，动作为丢弃并输出日志。
[Device] file-filter policy p1
[Device-file-filter-policy-p1] rule r1
[Device-file-filter-policy-p1-rule-r1] filetype-group fg1
[Device-file-filter-policy-p1-rule-r1] application type http
[Device-file-filter-policy-p1-rule-r1] direction both
[Device-file-filter-policy-p1-rule-r1] action drop logging
[Device-file-filter-policy-p1-rule-r1] quit
(5) 配置DPI应用profile并激活文件过滤策略和规则配置
# 创建名称为sec的DPI应用profile，在sec中引用文件过滤策略p1。
[Device] app-profile sec
[Device-app-profile-sec] file-filter apply policy p1
[Device-app-profile-sec] quit
# 激活文件过滤策略和规则配置。
[Device] inspect activate
(6) 配置安全策略
# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网，并对交互报文进行文件过滤检测。具体配置步骤如下。
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] profile sec
[Device-security-policy-ip-10-trust-untrust] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
完成上述配置后，符合上述条件的文件将被丢弃，并输出日志信息。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
