02. 静态URL过滤器 - 详解 ❀ 飞塔 (Fortinet6.2) 防火墙

　　【简介】在上一篇文章中，我们已经了解了静态URL过滤器的基本用法，现在我们再来了解静态URL过滤器的完整功能。

---

静态URL过滤器的功能

　　我们可以通过将特定URL添加到静态URL过滤器列表来允许或阻止对特定URL的访问。过滤器允许使用包含文本、正则表达式或通配符的模式来阻断、允许或监视URL。FortiGate设备允许或阻断匹配任何指定URL的网页，并显示替换消息。

　　URL阻断不会阻止用户可以使用Web浏览器访问的其他服务的访问权限。例如，URL阻断不会阻止对 ftp://ftp.sina.com.cn 的访问。但是可以使用使用防火墙策略来拒绝FTP连接。

静态URL过滤器的规则

　　将URL添加到URL过滤器列表时，需要遵循以下规则：

　　【1】键入顶级URL或IP地址以控制对网站上所有页面的访问。例如，www.sina.com.cn或123.126.55.41控制对此网站上所有页面的访问。

　　① Ping新浪域名，可以知道新浪网站的IP地址。

 　　② URL过滤器中阻断新浪网站的IP地址。

 　　③ 除了sina.com.cn域名外，所有加了前缀的域名都被阻断了。

　　【2】输入顶级URL，后跟路径和文件名，以控制对网站上单个页面的访问。例如，www.sina.com.cn/products.html 或123.126.55.41/products.html，控制对此网站上产品页面的访问。

　　① 这里我们设置对新浪里的一篇新闻网页做阻断。

 　　② 可以看到在http模式下网页是被阻断了。

 　　③ 但是在https模式，阻断是无效的。

　　【3】要使用以sina.com.cn结尾的URL控制对所有页面的访问，请添加sina.com.cn到过滤器列表。例如，添加sina.com.cn可控制对www.sina.com.cn，news.sina.com.cn，www.sports.sina.com.cn等的访问。

　　① URL过滤器中阻断sina.com.cn的域名。

 　　② 即使是https，也无法打开网页。

　　【4】使用文本和正则表达式（或通配符）控制对匹配模式的所有URL的访问。例如，sina.com.*匹配sina.com.tw，sina.com.hk等。

　　① URL过滤器中用通配符阻断sina.com.*的域名。

 　　② http模式下网页被阻断了。

 　　③ https模式下网页也被阻断了。

静态URL过滤器的操作

　　可以选择以下四种操作之一，以便在尝试访问列表中的网站时如何处理流量。

　　【例外】默认情况下，例外允许受信任的流量绕过反病毒和DLP代理操作，但它的功能略有不同。通常，如果你不确定是否需要使用例外，就使用监视器。

　　【阻断】尝试访问与URL模式匹配的任何URL都将被拒绝，并向用户显示替换消息。

　　【允许】允许任何尝试访问与带有允许操作的URL模式匹配的URL。流量将传递给后面的反病毒代理操作，包括FortiGuard Web过滤器、Web内容过滤器、Web脚本过滤器和反病毒扫描。

　　【监视器】与允许的操作方式相同，不同之处在于，每次建立匹配的流量会话时都会生成一条日志消息。这些请求还将受到通常应用于流量的所有其他安全配置文件检查的约束。