飞塔防火墙utm配置

飞塔使用正则表达式Web过滤设置白名单
(2011-07-17 12:43:00)
转载▼
分类：Fortigate防火墙
标签：
防火墙
fortigate
正则表达式
web
过滤
设置
白名单
it
此次配置为FG200B 系统软件版本为v4.0,build0313,110301 (MR2 Patch 4)
本次配置目的为只允许内网访问特定的几个网站，可能财务部门会用到此类过滤，如只开放银行类和报税类网站。

首先展开UTM→Web过滤器→网址过滤
新建名为白名单的内容：
其中创建新的URL地址如下：
此处用的是正则表达式，“.*\”意思为包括以及 以下的所有链接。

“.*.”基本可以视为所有网站了。

此处一定要将放行的策略放在最上面，和防火墙策略中的配置意思一样，策略优先级是从上至下的顺序。

接下来依次展开UTM→Web过滤器→Profile：
新建名为白名单，并在Web URL过滤器的选项中选择我们刚才建立的白名单：
最后应用到策略中，开启UTM选项：
最后我们来看看测试结果：
如果想替换以上提示信息请在配置→替换信息：
展开HTTP，编辑其中的URL屏蔽信息即可：。

1、虚拟域（VDOMS）----虚拟防火墙配置：（1）首先web 登陆防火墙（真机https://+ip，虚拟机http://+ip），虚拟机用户名：admin，密码：没（空的）。

登陆到管理面板找到虚拟域，默认禁用，点击启用为启动。

（2）然后启动虚拟域后，虚拟重新登陆，用户名和密码不变。

点开VDOM 界面，上面可以新建一个虚拟域（就是新的虚拟防火墙）。

防火墙名和模式，NAT为3层，透明为2层。

3、在左手边系统菜单下面有当前VDOM角色，有全局和VDOM可以选。

2、VDOM 启用后，点击全局配置模式---------网络----接口，可以把接口分配给不同的虚拟域（1）全局点开接口后，选择着需要更改虚拟域的接口，选择上方编辑（2）点开端口编辑，能配置端口IP和相应管理协议还可以设置端口监控，web 代理、分片等。

附加IP地址就是例如一个公网24位的地址，运营商给了10个可以用IP：10.10.10.1 -10地址模式上填写：10.10.10.1 ，剩余10.10.10.2-10就可以通过附加IP地址填写。

3、除了对现有接口进行编辑，也能新建接口，新建接口后能选择接口类型，（根据深信服上端口配置，均为3层口，这次配置具体端口是什么类型，需要客户确认）其余配置和编辑端口时一样。

4、需要对虚拟防火墙进行路由、策略配置需要寻找当前VDOM角色：静态路由配置，配置完静态路由后，能点开当前路由查看路由表：5、防火墙object 虚地址（为外网访问内网服务器做的端口转换）6、policy 这边所做的就是NAT 和其他放通的策略。

可以完成参照深信服防火墙的策略来做。

7、全局模式下，配置HA（1）集群设置：群名和密码，主备要完全一致，启动会话交接（就是主挂了的时候，被会直接把会话复制过去，然后起来运行）（2）主备设置，设备优先级默认128，优先级高的，设备为主，记得勾选储备管理端口集群成员(这样就能对集群的设备进行单个管理)(3)选择端口作为心跳线，例如选择PORT4口,然后把心跳线对接，同步配置就可以。

如何登陆到启用
AV,IPS,WF,AS试用
版本 1.0
时间2013年4月
支持的版本N/A
状态已审核
反馈support_cn@
1，用浏览器打开网站：，在“Support Login”位置输入产品注册时设置的用户名密码，如下图：
2，登陆进去后点击左上方的“View Product”，之后系统会把您所有注册的设备都列出来，如下图：
3，从列出的产品序列号里面点击选中您想启用试用的那台产品，如下图所示：
4，如果此产品没有开始过FortiGuard服务试用，那么在新开的网页上方FortiGuard Subscription Trial中列出的服务前面可以打上勾，并点“Try it！”开始试用，注意：从开始试用到FortiGate真正可以从网上在线下载升级包的过程大约需要4个小时时间：
5，点开对应产品的时候同时可以看到此产品目前的所有服务状态，包括FortiCare服务和FortiGuard服务：。

FortiGate 80C設定UTM控管1.設定 Web Filiter.w ​, 完成後按採用切換至下列頁面, 萬用字元就是可以用*.*, 簡單比對就直接輸入完整的網址 ​接下來就在防火牆看是那一個規則, 啟用網頁過濾的功能, 參考下圖缺點: 我發現這只有在 IE 有效, 在Chrome 時, 他會自動變成https 的方式去連線, 所以就得要搭配下一章節, 一併設定網頁過濾2.由於web 過濾功能只針對​h ttp ​的連線​, 所以我們轉而去過濾https的功能, 請先參考下圖, 打勾過濾https 443的功能3. 如果有些類別, 我們不過濾, 請到下圖地方打勾,4.最後再回到防火牆策略, 把ssl深層檢查打勾, 他就會連https 也一併檢查了, 所以他基本上是搭配​網頁過濾控制表一起使用的缺點: 我發現除了你限定的網站外, *.facebook.* 等, 其餘的網站只要是https 的, 都會出現警告訊息, 說沒有憑證, 所h ttps://以就連奇摩都會跳, 因為奇摩的網站是​​2. 第二部分是要說明如何控制應用程式不能使用, 例如bt, line, skype 等等, 請先至下圖, 查看目前有紀錄的應用程式, 預設是全部都是 Monitor , 但是不進行阻擋(Block)的動件Create New 一個新的, 此例, 我們不允許使用者使用Soical Network 的應用軟體,例如 twitter or facebook 等最重要的是規則是有優先順序的, 所以要將建好的規則上移至所有應用程式監視之前, 不然都會被允許, 請看下圖最後一樣回到防火牆策略中, 將應用程式控制的功能開啟 此時你就會發現skype or line or FB 的網站無法使用了AAA。