ASA防火墻上做基于域名的URL過濾

實驗

實驗拓撲圖：

實驗環境：

在server2008服務器上搭建WEB網站和DNS服務，分別創建域名為benet.com和accp.com兩個網站。

實驗要求：

首先客戶端可以訪問服務器上的兩個網站，成功后在防火墻上做URL過濾使客戶端無法訪問accp.com網站。

實驗步驟：

首先在ASA防火墻上配置各區域名稱和IP地址：

ciscoasa(config)# int e0/0

ciscoasa(config-if)# nameif inside

ciscoasa(config-if)# ip add 192.168.10.1 255.255.255.0

ciscoasa(config-if)# no shut

ciscoasa(config-if)# int e0/1

ciscoasa(config-if)# nameif outside

ciscoasa(config-if)# ip add 13.0.0.1 255.255.255.0

ciscoasa(config-if)# no shut

在服務器上創建兩個網站，指定網站存放位置和域名：

創建accp.com網站：

創建benet.com網站：

指定DNS主機A記錄：

測試用客戶端訪問者兩個網站：

測試訪問成功：

接下來在防火墻上做URL過濾使客戶端無法訪問accp.com網站。

ASA上的配置：

做URL過濾需要下面三個步驟;

url過濾

一， 創建class-map (類映射),識別傳輸流量。

ciscoasa(config)# access-list aclfile permit tcp 192.168.10.0 255.255.255.0 an$   //定義ACL訪問控制列表aclfile。

ciscoasa(config)# class-map aclclass   //建立類映射aclclass。

ciscoasa(config-cmap)# match access-list aclfile  //匹配訪問控制列表。

ciscoasa(config-cmap)# regex url "\.accp\.com"  //定義正則表達式，過濾不允許訪問的網站。

ciscoasa(config)# class-map type regex match-any urlclass  //建立類映射urlclass，關鍵字match-any表示匹配任何一個。

ciscoasa(config-cmap)# match regex url  //調用匹配正則表達式。

ciscoasa(config-cmap)# ex

ciscoasa(config)# class-map type inspect http httpclass  //建立檢查流量的類映射

ciscoasa(config-cmap)# match request header host regex class urlclass  //調用之前已配置好的urlclass。

二， 創建policy-map (策略映射)，關聯class-map

ciscoasa(config)# policy-map type inspect http httppolicy  //建立策略映射。

ciscoasa(config-pmap)# class httpclass  //調用已經做好的檢查http頭部的類映射。

ciscoasa(config-pmap-c)# drop-connection log   //丟棄并記錄日志。

ciscoasa(config-pmap-c)# policy-map insidepolicy  //對訪問控制列表進行操作，定義相應策略。

ciscoasa(config-pmap)# class aclclass  //調用訪問控制列表的類映射。

ciscoasa(config-pmap-c)# inspect http httppolicy  //檢查定義好的策略映射。

三， 應用class-map到接口上。

ciscoasa(config)# service-policy insidepolicy interface inside //應用在端口。

測試使用客戶端訪問accp.com網站：

結果顯示為無法訪問：

實驗完成