【控制篇 / 应用】(5.6) ❀ 01. NGFW 模式下使用应用控制 ❀ FortiGate 防火墙

        【简介】飞塔防火墙5.6版本，可以通过策略直接使用应用控制功能。

---

  启用下一代防火墙模式

        下一代防火墙（NGFW）模式只能是基于流的检测模式下使用。

        ① 选择菜单【系统管理】-【设定】，在〖System Operation Settings〗下选择检测模式为【基于流的】，NGFW模式为【基于策略】，SSL/SSH检测下拉选择【certificate-inspection】。

  建立禁止使用百度的策略

        NGFW模式将应用控制与策略绑定，这里我们禁止使用百度的所有功能。

        ① 选择菜单【策略&对象】-【IPv4策略】，新建一条上网策略，这时可以看到，和原来的策略相比，多出了〖应用〗和〖URL类别〗两项选择，在应用选项下〖应用程序〗里，我们输入baidu，找到所有关于百度的应用签名。

        ② 选择所有的百度签名后，我们将动作选择为【拒绝】，并启用【记录拒绝流量】。

        ③ 新建立的拒绝策略按顺序排在最下面，我们需要把拒绝策略放在允许上网策略的最上面。鼠标按住策略最前面数字，拖动鼠标，可以调整策略顺序。

       ④ 将策略2拖到策略1上方，顺序调整完成，我们可以看到，原有的上网策略NAT显示自定义，而且网络都断开了。

  建立中央SNAT

        中映SNAT是定义源NAT的另一种方法，这使得网络地址转换在控制IP地址、协议和端口转换方面具有更大的粒度。

        ① 选择菜单【系统管理】-【中央SNAT】，象建立上网策略一样，输入上网策略的正常参数，启用【启用NAT】。

        ② 中央SNAT建立完成。需要注意的是，看上去和上网策略设置有些相同，但这里只是设置NAT，原来的上网策略仍然有效，只是NAT转到这里了。

  效果测试

        配置完成后，我们可以测试一下应用控制的效果。由于除了百度自己的网站，还有很多和其它网站的链接，所以我们测试最主要的，那就是百度官网和搜索。

       ① 用浏览器打开 www.baidu.com 网站，一直没有反应。在基于流模式下，象这样的类似Web过滤的情况下，都不会出现反馈提示。

        ② 再试一下百度的其它功能，比如百度地图。

        ③ 出现了应用被防火墙阻止的提示，说明防火墙的应用控制起了作用，通过Baidu.Services签名，在流量中找到并阻止了百度地图的使用。

       ④ 选择菜单【日志&报表】-【转发流量】，可以看到Baidu.Services被UTM阻断的日志。

  FortiCloud报告

        如果有配置FortiCloud，我们可以在FortiCloud查看百度被阻止的情况。

       ① 选择菜单【日志&报表】-【日志设置】，可以启用【发送日志FortiCloud】，FortiCloud可以申请和购买。 

        ② 选择菜单【日志&报表】-【FortiCloud报告】，点击【登录Portal】。

        ③ 在FortiCloud，首先选择【FortiView】，然后选择菜单【Traffic Analysis】- 【Application】，可以看到最后60分钟内的应用，双击baidu.services。

       ④ 显示有哪些IP使用了这个应用，双击指定IP。

       ⑤ 就可以看到百度被阻止的详细记录了。

​​​​​​​飞塔技术-老梅子   QQ：57389522

---