CiscoASA高级配置之URL过滤

现在呢&＃xff0c;有很多管理上网行为的软件&＃xff0c;那么ASA作为状态化防火墙&＃xff0c;它也可以进行管理上网行为&＃xff0c;我们可以利用ASA防火墙iOS的特性实施URL过滤可以对访问的网站域名进行控制&＃xff0c;从而达到某种管理目的。
实施URL过滤一般分成以下三个步骤&＃xff1a;
1、创建class-map&＃xff08;类映射&＃xff09;&＃xff0c;识别传输流量。
2、创建policy-map&＃xff08;策略映射&＃xff09;&＃xff0c;关联class-map。
3、应用policy-map到接口上。

配置实例&＃xff1a;

使用下面简单的网络拓扑图&＃xff0c;在内网主机上编辑hosts文件&＃xff0c;添加如下记录&＃xff08;若是生产环境&＃xff0c;DNS服务器等齐全&＃xff0c;则可省略这步&＃xff09;&＃xff1a;

172.16.1.1 &＃xff1a;www.kkgame.com 。
172.16.1.1 &＃xff1a;www.163.com 。
实现内网网段192.168.1.0/24中的主机禁止访问网站www.kkgame.com 但允许访问其他网站&＃xff08;如www.163.com &＃xff09;。

配置步骤如下&＃xff08;接口等基本配置省略&＃xff09;&＃xff1a;
&＃xff08;1&＃xff09;、创建class-map&＃xff0c;识别传输流量&＃xff1a;

ciscoasa(config)# access-list tcp_filter1 permit tcp 192.168.1.0 255.255.255.0 any eq www

ciscoasa(config)# class-map tcp_filter_class1

ciscoasa(config-cmap)# match access-list tcp_filter1 #在class-map中定义允许的流量。

ciscoasa(config-cmap)# exit

ciscoasa(config)# regex url1 “.kkgame.com” #定义名称为urll的正则表达式&＃xff0c;
表示URL扩展名是“.kkgame.com”

ciscoasa(config)# class-map type regex match-any url_class1 #创建名称为
url_class1的clas-map&＃xff0c;类型为regex。关键字match-any表示匹配任何一个。

ciscoasa(config-cmap)# match regex url1

ciscoasa(config)# class-map type inspect http http_url_class1 #创建
名为http-url-class1的class-map&＃xff0c;类型为inspect http&＃xff08;检查http流量&＃xff09;

ciscoasa(config-cmap)# match request header host regex class url_class1 #匹配http请求
报文头中的host域中的URL扩展名“.kkgame.com”&＃xff0c;url_class1表示调用名称为url_class1的class-map。

ciscoasa(config-cmap)# exit
&＃xff08;2&＃xff09;、创建policy-map&＃xff0c;关联class-map。

ciscoasa(config)# policy-map type inspect http http_url_policy1
#创建名称为 http_url_policy1的policy-map&＃xff0c;类型为inspect http&＃xff08;检查http流量&＃xff09;

ciscoasa(config-pmap)# class http_url_class1 #调用之前创建的class-map

ciscoasa(config-pmap-c)# drop-connection log #drop数据包并关闭连接&＃xff0c;并发送系统日志。
ciscoasa(config-pmap-c)# exit
ciscoasa(config-pmap)# exit

ciscoasa(config)# policy-map inside_http_url_policy #创建名称为 inside_http_url_policy 的policy-map&＃xff0c;
它将被应用到接口上。

ciscoasa(config-pmap)# class tcp_filter_class1 #调用之前创建的class-map

ciscoasa(config-pmap-c)# inspect http http_url_policy1 #检查http流量
ciscoasa(config-pmap-c)# exit
ciscoasa(config-pmap)# exit
&＃xff08;3&＃xff09;、应用policy-map到接口上&＃xff1a;

ciscoasa(config)# service-policy inside_http_url_policy interface inside
至此&＃xff0c;已经实现了需求&＃xff0c;需要注意的是&＃xff0c;一个接口只能应用一个policy-map。