关于限制外网访问内网url的问题

新手692898 1751

{{ttag.title}}
AF7.4 内网服务器有个域名abc.def.com

希望限制外网访问内网指定url(abc.def.com/123/gk/),仅限指定的白名单IP访问。

同时我还有个应用策略是允许所有源地址访问服务器的80和443。

不知道以上能不能在AF上实现,还请大佬现身不吝指教!新手发帖,万分感谢!

解决该疑问,预计可以帮助到 17953 人!

回帖即可获得
2S豆
,被楼主采纳即奖励20S豆+10分钟内回帖奖励10S豆 [已过期] ,了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

小鱼儿 发表于 2023-4-13 17:45
  
本帖最后由 小鱼儿 于 2023-4-13 17:54 编辑

可以的   能实现哦     
8.0.7通过  应用控制策略支持目的添加域名,通过配置应用控制策略进行域名的拦截

您这边是7.4的 需要配置自定义应用来实现了

AF限制内网用户访问某些域名可以通过如下方式
1、从标准版本8.0.7开始,应用控制策略支持目的添加域名,通过配置应用控制策略进行域名的拦截。
2、从标准版本8.0.32-8.0.48,黑名单支持添加域名进行封堵。
3、可以通过配置URL过滤进行放通或拦截;
应用控制策略基于域名配置如下
1、新架构版本从AF标准版本8.0.59开始支持域名应用控制策略:
【对象】-【网络对象】点击【新增域名】,在【策略】-【访问控制】-【应用控制策略】对域名进行引用
2、从AF标准版本8.0.7到8.0.48版本,AF应用控制策略可以直接针对域名做策略。需要先在【系统】-【通用设置】-【网络参数】勾选【应用控制支持域名】,然后在去应用控制策略配置域名策略
3、在AF标准版本8.0.7之前,AF应用控制策略不能直接针对域名做策略。可以解析出对应域名的IP地址,在应用控制策略里针对解析后的IP地址做策略。



配置自定义应用   
配置完成了在应用控制策略调用即可







AF本身有应用识别规则库,数据包流量经过AF,会根据数据包特征来匹配应用识别规则库,从而识别不同的应用,AF应用识别库没有的应用需要做策略限制,可以收集相关信息进行自定义应用。
①以标准版本AF7.4-8.0.69版本操作路径示例:在【对象】-【内容识别库】-【应用识别库】-【自定义应用】新增,自定义应用里面填写的IP是目的IP地址以标准版本AF7.3版本操作路径示例:在【对象定义】-【自定义应用】新增,自定义应用里面填写的IP是目的IP地址

注意:不要将应用放在二级目录下,然后将应用对应的域名写好,[color=rgba(0, 0, 0, 0.65)]自定义应用的应用类型根据应用判断,可以选择归属在已有应用下,也可以手动填写新的应用类型
ps:AF默认内置应用优先级高,也支持调整为用户自定义应用规则优先。 具体切换路径为: ①以标准版本AF7.3版本操作路径示例:可在【对象定义】-【自定义应用】中切换 ②以标准版本AF7.4-8.0.69版本操作路径示例:可在【对象】-【应用识别库】-【自定义应用】中切换,AF内置的应用识别库没有对应的应用规则,就会识别成其他应用。


自定义服务:
以标准版本AF7.4-8.0.69版本操作路径示例:在【对象】-【服务】-【自定义服务】新增
注意:服务的源端口为0-65535,目的端口为对应所需端口


百度之外650001 发表于 2023-4-19 13:47
  
AF的URL过滤是根据获取内网DNS解析对应域名的数据经过设备时所记录的目标IP,以及访问服务器的HOST字段 为依据实现URL过滤的,不建议使用URL过滤对外网访问内网服务器的的拦截

1、要实现拦截外网访问服务器可通过在【应用控制策略】中新增应用控制策略,源区域选外网、目的区域选内网来限制服务器IP以及端口,实现拦截外网访问服务器的数据

①以标准版本AF7.3版本操作路径示例:可在【内容安全】-【应用控制策略】中配置

②以标准版本AF7.4-8.0.69版本操作路径示例:可在【策略】-【访问控制】-【应用控制策略】中配置

2、若需要实现针对外网访问某个内网服务器的URL拦截,【WEB应用防护】中针对对应服务器IP地址以及端口新建策略,对应策略中【防护功能】-【权限控制】需勾选,【高级配置】-【权限控制】-勾选【URL防护】并配置对应URL的拒绝访问策略

①以标准版本AF7.3版本操作路径示例:可在【服务器保护】-【WEB应用防护】中对应策略中配置

②以标准版本AF7.4-8.0.69版本操作路径示例:可在【对象】-【安全策略模版】-【WEB应用防护】中对应模版中配置

然后在【策略】-【安全策略】-【安全防护策略】里面新增【业务防护策略】,在【防御】-【增强功能】选择【对应模版】,然后点击确定
neo_huang 发表于 2024-3-1 14:46
  
如果端口不同,可以分两条应用控制策略

等我来答:

换一批

发表新帖
热门标签
全部标签>
西北区每日一问
干货满满
每日一问
技术盲盒
技术笔记
产品连连看
GIF动图学习
技术咨询
标准化排查
新版本体验
安装部署配置
功能体验
信服课堂视频
2023技术争霸赛专题
自助服务平台操作指引
每周精选
解决方案
设备维护
秒懂零信任
升级
高手请过招
升级&主动服务
答题自测
玩转零信任
信服圈儿
通用技术
技术晨报
社区新周刊
畅聊IT
专家问答
技术圆桌
在线直播
MVP
网络基础知识
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
高频问题集锦

本版版主

396
140
63

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人