Erweiterte Webfilterung

Benutzernachrichten und Weiterleitungs-URLs für die erweiterte Webfilterung (EWF)

Ab Junos OS Version 15.1X49-D110 wird eine neue Option, custom-message, für den Befehl hinzugefügt, mit der custom-objects Sie Benutzernachrichten und Umleitungs-URLs konfigurieren können, um Benutzer zu benachrichtigen, wenn eine URL für jede EWF-Kategorie blockiert oder unter Quarantäne gestellt wird. Die custom-message Option hat die folgenden obligatorischen Attribute:

• Name: Name der benutzerdefinierten Nachricht; Die maximale Länge beträgt 59 Byte.

• Typ: Typ der benutzerdefinierten Nachricht: user-message oder redirect-url.

• Inhalt: Inhalt der benutzerdefinierten Nachricht; Die maximale Länge beträgt 1024 Byte.

Sie konfigurieren eine Benutzernachricht oder Umleitungs-URL als benutzerdefiniertes Objekt und weisen das benutzerdefinierte Objekt einer EWF-Kategorie zu.

• Benutzernachrichten weisen darauf hin, dass der Zugriff auf die Website durch die Zugriffsrichtlinie einer Organisation blockiert wurde. Um eine Benutzernachricht zu konfigurieren, fügen Sie die type user-message content message-text Anweisung auf Hierarchieebene [edit security utm custom-objects custom-message message] ein.

• Umleitungs-URLs: Leiten eine blockierte oder unter Quarantäne gestellte URL auf eine benutzerdefinierte URL um. Um eine Umleitungs-URL zu konfigurieren, fügen Sie die type redirect-url content redirect-url Anweisung auf Hierarchieebene [edit security utm custom-objects custom-message message] ein.

Die custom-message Option bietet die folgenden Vorteile:

• Sie können für jede EWF-Kategorie eine separate benutzerdefinierte Nachricht oder Umleitungs-URL konfigurieren.

• Mit dieser custom-message Option können Sie Nachrichten fein abstimmen, um Ihre Richtlinien zu unterstützen, damit sie wissen, welche URL blockiert oder unter Quarantäne gestellt wird.

  Für jede Kategorie wird nur eine custom-message Konfigurationsoption angewendet. Die custom-message Konfiguration wird nur bei der erweiterten Webfilterung (Enhanced Web Filtering, EWF) unterstützt. Daher wird nur der EWF-Engine-Typ von Juniper unterstützt.

Ab Junos OS Version 17.4R1 ist die Unterstützung für die Konfiguration benutzerdefinierter Kategorien für lokale und Websense-Umleitungsprofile verfügbar.

Funktionale Anforderungen für die erweiterte Webfilterung

Die folgenden Elemente sind erforderlich, um Enhanced Web Filtering (EWF) zu verwenden:

• License key— Sie müssen eine neue Lizenz installieren, um auf die EWF-Lösung zu aktualisieren.

  Sie können die Warnmeldung "erfordert 'wf_key_websense_ewf'-Lizenz" ignorieren, da sie durch die routinemäßige EWF-Lizenzvalidierungsprüfung generiert wird.

  Nach Ablauf des Lizenzschlüssels wird für die EWF-Funktion eine Nachfrist von 30 Tagen gewährt, die mit anderen Content Security-Funktionen übereinstimmt.

  Für diese Funktion ist eine Lizenz erforderlich. Allgemeine Informationen zum Lizenzmanagement finden Sie im Lizenzierungshandbuch . Weitere Informationen entnehmen Sie bitte den Produktdatenblättern unter Firewalls der SRX-Serie oder wenden Sie sich an Ihr Juniper Account-Team oder Ihren Juniper Partner.

  Wenn der Kulanzzeitraum für die EWF-Funktion verstrichen ist (oder wenn die Funktion nicht installiert wurde), wird die Webfilterung deaktiviert, alle HTTP-Anforderungen umgehen die Webfilterung und alle Verbindungen zum TSC werden deaktiviert. Wenn Sie eine gültige Lizenz installieren, werden die Verbindungen zum Server wieder hergestellt.

• Der debug Befehl stellt die folgenden Informationen für jede TCP-Verbindung bereit, die auf dem Gerät verfügbar ist:

  • Anzahl der bearbeiteten Anfragen

  • Anzahl der ausstehenden Anfragen

  • Anzahl der Fehler (verworfene oder zeitgesteuerte Anforderungen)

• TCP connection between a Web client and a webserver—Ein APPID-Modul (Application Identification) wird verwendet, um eine HTTP-Verbindung zu identifizieren. Die EWF-Lösung identifiziert eine HTTP-Verbindung, nachdem das Gerät das erste SYN-Paket empfangen hat. Wenn ein HTTP-Request blockiert werden muss, sendet EWF eine Blockierungsnachricht vom Gerät an den Web-Client. EWF sendet außerdem eine TCP FIN-Anfrage an den Client und einen TCP-Reset (RST) an den Server, um die Verbindung zu deaktivieren. Das Gerät sendet alle Nachrichten über die Flow-Sitzung. Die Nachrichten folgen der gesamten Servicekette.

• HTTP request interception- EWF fängt die erste HTTP-Anfrage auf dem Gerät ab und führt eine URL-Filterung für alle in HTTP 1.0 und HTTP 1.1 definierten Methoden durch. Das Gerät speichert die ursprüngliche Anforderung, während es auf eine Antwort vom TSC wartet. Wenn das erste Paket in der HTTP-URL fragmentiert ist oder das Gerät die URL aus irgendeinem Grund nicht extrahieren kann, wird die Ziel-IP-Adresse für die Kategorisierung verwendet. Wenn Sie diese Option aktivieren http-reassemble, kann EWF die gesamte Anforderung aus dem Fragment wiederherstellen und die URL abrufen.

  Bei persistenten HTTP 1.1-Verbindungen werden die nachfolgenden Anforderungen für diese Sitzung vom EWF-Modul ignoriert.

  Wenn das Gerät die ursprüngliche Anforderung über einen längeren Zeitraum speichert, überträgt der Client die Anforderung erneut. Der URL-Filtercode erkennt die erneut übertragenen Pakete. Wenn die ursprüngliche HTTP-Anfrage bereits weitergeleitet wurde, leitet EWF das erneut übertragene Paket an den Server weiter. Wenn sich EWF jedoch mitten in der Verarbeitung des ersten Pakets befindet oder die Berechnung zum Blockieren der Sitzung durchführt, verwirft die Lösung das erneut übertragene Paket. Ein Zähler verfolgt die Anzahl der erneut übertragenen Pakete, die vom Gerät empfangen wurden.

  Wenn der TSC nicht rechtzeitig auf die Kategorisierungsanforderung vom Gerät reagiert, wird die ursprüngliche Clientanforderung gemäß der Timeout-Fallbackeinstellung blockiert oder zugelassen.

• HTTPS request interception—Ab Junos OS 15.1X49-D40 und Junos OS Release 17.3R1 fängt EWF HTTPS-Datenverkehr ab, der die Firewall der SRX-Serie passiert. Der Sicherheitskanal vom Gerät wird aufgeteilt in einen SSL-Kanal zwischen dem Client und dem Gerät und einen weiteren SSL-Kanal zwischen dem Gerät und dem HTTPS-Server. Der SSL-Forward-Proxy fungiert als Terminal für beide Kanäle und leitet den Klartextverkehr an die Content Security weiter. Content Security extrahiert die URL aus der HTTP-Anforderungsnachricht.

• Blocking message—Die an den Webclient gesendete Blockierungsnachricht ist vom Benutzer konfigurierbar und weist folgende Typen auf:

  • Die Sperrmeldung von Juniper Networks ist die auf dem Gerät definierte Standardmeldung, die vom Benutzer geändert werden kann. Die standardmäßige Blockierungsmeldung enthält den Grund, warum die Anforderung blockiert ist, und den Kategorienamen (wenn sie aufgrund einer Kategorie blockiert ist).

  • Syslog-Meldung.

  Wenn Sie z. B. die Aktion für Enhanced_Search_Engines_and_Portals zum Blockieren festgelegt haben und versuchen, auf www.example.com zuzugreifen, hat die Blockierungsmeldung das folgende Format: Juniper Web Filtering:Juniper Web Filtering has been set to block this site. CATEGORY: Enhanced_Search_Engines_and_Portals REASON: BY_PRE_DEFINED . Die entsprechende Syslog-Meldung auf dem zu testenden Gerät (DUT) lautet jedoch: WEBFILTER_URL_BLOCKED: WebFilter: ACTION="URL Blocked" 56.56.56.2(59418)->74.125.224.48(80) CATEGORY="Enhanced_Search_Engines_and_Portals" REASON="by predefined category" PROFILE="web-ewf" URL=www.example.com OBJ=/ .

• Monitoring the Websense server—Das URL-Filtermodul verwendet zwei Methoden, um zu bestimmen, ob der TSC aktiv ist: Socket-Verbindungen und Heartbeat. EWF verwaltet persistente TCP-Sockets für den TSC. Der Server antwortet mit einer TCP-ACK, wenn er aktiviert ist. EWF sendet einen NOOP-Keepalive auf Anwendungsebene an den TSC. Wenn das Gerät in einem bestimmten Zeitraum keine Antworten auf drei aufeinanderfolgende NOOP-Keepalives empfängt, wird festgestellt, dass der Socket inaktiv ist. Das EWF-Modul versucht, eine neue Verbindung zum TSC herzustellen. Wenn alle Steckdosen inaktiv sind, gilt der TSC als inaktiv. Daher tritt ein Fehler auf. Der Fehler wird angezeigt und protokolliert. Nachfolgende Anforderungen und ausstehende Anforderungen werden entsprechend der Fallbackeinstellung für die Serverkonnektivität entweder blockiert oder übergeben, bis neue Verbindungen zum TSC wieder geöffnet werden.

• HTTP protocol communication with the TSC—EWF verwendet das HTTP 1.1-Protokoll, um mit dem TSC zu kommunizieren. Dies gewährleistet eine dauerhafte Verbindung und Übertragung mehrerer HTTP-Anfragen über dieselbe Verbindung. Eine einzelne HTTP-Anforderung oder -Antwort wird für die Client- oder Serverkommunikation verwendet. Der TSC kann Anforderungen verarbeiten, die sich in der Warteschlange befinden. Für eine optimale Leistung wird ein asynchroner Anforderungs- oder Antwortmechanismus verwendet. Die Anforderungen werden über TCP gesendet, daher wird die TCP-Neuübertragung verwendet, um die Zustellung von Anforderungen oder Antworten sicherzustellen. TCP stellt außerdem sicher, dass gültige, nicht erneut übertragene HTTP-Streamdaten in der richtigen Reihenfolge an den HTTP-Client auf dem Gerät gesendet werden.

• Responses– Die Antworten entsprechen den grundlegenden HTTP-Konventionen. Zu den erfolgreichen Antworten gehört ein 20-facher Antwortcode (in der Regel 200). Eine Fehlerantwort enthält den Code 4xx oder 5xx. Fehlerantworten in der 4xx-Serie weisen auf Probleme im benutzerdefinierten Code hin. Fehlermeldungen in der 5xx-Serie weisen auf Probleme mit dem Dienst hin.

  Fehlercodes und -bedeutungen lauten wie folgt:

  • 400–Ungültige Anfrage

  • 403–Verboten

  • 404–Nicht gefunden

  • 408 – Anfrage abgebrochen oder Nullantwort

  • 500 – Interner Serverfehler

  Fehler in der Serie 400 weisen auf Probleme mit der Anforderung hin. Fehler in der Serie 500 weisen auf Probleme mit dem TSC-Dienst hin. Websense wird automatisch über diese Fehler informiert und reagiert entsprechend.

  Sie können die Standardfallback-Einstellung konfigurieren, um zu bestimmen, ob die Anforderung bestanden oder blockiert werden soll: set security utm feature-profile web-filtering juniper-enhanced profile juniper-enhanced fallback-settings default ?

  Die Antwort enthält auch die Informationen zur Websitekategorisierung und zur Websitereputation.

• Categories—Auf dem Gerät ist eine Kategorieliste verfügbar. Diese Liste besteht aus Kategorien, die jeweils einen Kategoriecode, einen Namen und eine übergeordnete ID enthalten. Kategorien können auch benutzerdefiniert werden. Jede Kategorie besteht aus einer Liste von URLs oder IP-Adressen. Kategorien werden nicht dynamisch aktualisiert und sind an die Junos OS-Version gebunden, da sie in das Junos OS-Image kompiliert werden müssen. Alle Updates in Kategorien müssen mit dem Junos OS-Releasezyklus synchronisiert werden.

  Ab Junos OS Version 17.4R1 können Sie neue EWF-Kategorien herunterladen und dynamisch laden. Für den Download und das dynamische Laden der neuen EWF-Kategorien ist kein Software-Upgrade erforderlich. Websense veröffentlicht gelegentlich neue EWF-Kategorien. EWF klassifiziert Websites nach Host, URL oder IP-Adresse in Kategorien und führt eine Filterung basierend auf den Kategorien durch.

  Wenn die Dateiübertragung der Kategorie zwischen dem primären und dem sekundären Gerät fehlschlägt, führt die Dateiübertragung zu einem Aktualisierungsfehler, und es wird ein Fehlerprotokoll erstellt.

  Wenn bei der Installation einer neuen Kategoriedatei der Kategoriedateiname geändert wird, überschreibt die neue Kategoriedatei die alte Kategoriedatei im internen System, und alle zugehörigen Ausgabeinformationen werden durch den neuen Kategorienamen ersetzt.

  Ab Junos OS Version 17.4R1 werden vordefinierte Basisfilter, die in einer Kategoriedatei definiert sind, für einzelne EWF-Kategorien unterstützt. Jede EWF-Kategorie verfügt über eine Standardaktion in einem Basisfilter, der an das Benutzerprofil angehängt ist und als Backup-Filter fungiert. Wenn die Kategorien nicht im Benutzerprofil konfiguriert sind, führt der Basisfilter die Aktion aus.

  Ein Basisfilter ist ein Objekt, das ein Kategorie-Aktions-Paar für alle in der Kategoriedatei definierten Kategorien enthält. Ein Basisfilter ist ein strukturiertes Objekt und wird mit Hilfe eines Filternamens und eines Arrays von Kategorie-Aktions-Paaren definiert.

  Im Folgenden finden Sie ein Beispiel für einen Basisfilter mit einem Array von Kategorie-Aktions-Paaren. Für die Kategorie Enhanced_Adult_Material ist die Aktion blockiert. Für die Kategorie Enhanced_Blog_Posting ist die Aktion zulässig. Und so weiter.

  EWF unterstützt bis zu 16 Basisfilter. Junos OS Version 17.4R1 unterstützt auch die Online-Aktualisierung von Basisfiltern.

  Wenn das Benutzerprofil denselben Namen wie der Basisfilter hat, verwendet der Webfilter das falsche Profil.

• Caching—Erfolgreich kategorisierte Antworten werden auf dem Gerät zwischengespeichert. Nicht kategorisierte URLs werden nicht zwischengespeichert. Die Größe des Caches kann vom Benutzer konfiguriert werden.

• Safe search (HTTP support only, not HTTPS)—Eine Lösung für die sichere Suche wird verwendet, um sicherzustellen, dass die eingebetteten Objekte, z. B. Bilder auf den von den Suchmaschinen empfangenen URLs, sicher sind und dass keine unerwünschten Inhalte an den Client zurückgegeben werden.

  Dem TSC wird eine URL zur Verfügung gestellt, um Kategorisierungsinformationen bereitzustellen. Wenn es sich um eine Such-URL handelt, gibt der TSC auch eine Zeichenfolge für die sichere Suche zurück. Die Zeichenfolge für die sichere Suche lautet safe=activez. B. . Diese Zeichenfolge für die sichere Suche wird an die URL angehängt, und eine Umleitungsantwort zum Umleiten der Clientabfrage mit der sicheren Suche wird aktiviert. Dadurch wird sichergestellt, dass keine unsicheren Inhalte an den Client zurückgegeben werden. Wenn der TSC angibt, dass es sicher durchsucht werden muss, können Sie die Safe-Search-Umleitung durchführen.

  Beispiel: Der Client stellt eine Anfrage an die URL https://www.google.com/search?q=test, was vom EWF-Profil zugelassen wird. Im Paketmodus generiert die EWF auf dem Prüfling eine HTTP 302-Antwort mit der Umleitungs-URL: https://www.google.com/search?q=test&safe=active. Diese Antwort wird an den Client zurückgegeben. Der Client sendet nun eine sichere Umleitungsanforderung an diese URL. Im Stream-Modus schreibt die EWF auf dem Prüfling die URL in https://www.google.com/search?q=test&safe=active um und leitet sie weiter.

  Anmerkung:

  Die Safe-Search-Umleitung unterstützt nur HTTP. Sie können die URL für HTTPS nicht extrahieren. Daher ist es nicht möglich, eine Weiterleitungsantwort für HTTPS-Such-URLs zu generieren. Weiterleitungen für die sichere Suche können mithilfe der CLI-Option no-safe-searchdeaktiviert werden.

• Site reputation– Der TSC stellt Informationen zur Standortreputation bereit. Basierend auf diesen Reputationen können Sie eine Blockierungs- oder eine Genehmigungsaktion auswählen. Wenn die URL nicht von einer Zulassungs- oder Sperrliste behandelt wird und nicht in einen Benutzer oder eine vordefinierte Kategorie fällt, kann die Reputation verwendet werden, um eine Entscheidung über die URL-Filterung durchzuführen.

  Ab Junos OS Version 17.4R1 sind die Reputationsbewertungen konfigurierbar. Benutzer können globale Reputationswerte anwenden, die von der Websense ThreatSeeker Cloud (TSC) bereitgestellt werden. Für die Nicht-Kategorie-URLs wird der globale Reputationswert verwendet, um die Filterung durchzuführen.

  Die Reputationswerte sind wie folgt:

  • 100-90 – Die Website gilt als sehr sicher.

  • 80-89–Der Standort gilt als mäßig sicher.

  • 70-79 – Die Website gilt als ziemlich sicher.

  • 60-69 – Die Website gilt als verdächtig.

  • 0-59–Die Website wird als schädlich angesehen.

  Das Gerät führt ein Protokoll für URLs, die basierend auf den Reputationsbewertungen der Website blockiert oder zugelassen werden.

• Profiles—Ein URL-Filterprofil ist als eine Liste von Kategorien definiert, wobei jedem Profil ein Aktionstyp (Zulassen, Protokollieren und Zulassen, Blockieren, Quarantäne) zugeordnet ist. Ein vordefiniertes Profil junos-wf-enhanced-default wird Benutzern zur Verfügung gestellt, wenn sie kein eigenes Profil definieren möchten.

  Sie können auch eine Aktion basierend auf der Site-Reputation in einem Profil definieren, um die Aktion anzugeben, wenn die eingehende URL zu keiner der im Profil definierten Kategorien gehört. Wenn Sie die Informationen zur Verarbeitung der Site-Reputation nicht konfigurieren, können Sie eine Standardaktion definieren. Alle URLs, die keine definierte Kategorie oder definierte Reputationsaktion in ihrem Profil haben, werden blockiert, zugelassen, protokolliert und unter Quarantäne gestellt, je nachdem, wie die Blockierungs- oder Genehmigungsbehandlung für die im Profil explizit definierte Standardaktion erfolgt. Wenn Sie keine Standardaktion angeben, werden die URLs zugelassen. Wenn es bei Suchmaschinenanfragen keine explizite benutzerdefinierte Konfiguration gibt und die URL-Anfrage ohne die Option für die sichere Suche ist, generiert EWF eine Umleitungsantwort und sendet sie an den Client. Der Client generiert eine neue Suchanforderung, bei der die Option für die sichere Suche aktiviert ist.

  Ein URL-Filterprofil kann die folgenden Elemente enthalten:

  • Mehrere benutzerdefinierte und vordefinierte Kategorien, jeweils mit einer Genehmigungs- oder Blockierungsaktion

  • Mehrere Kategorien für den Umgang mit der Website-Reputation, jede mit einer Genehmigungs- oder Blockierungsaktion

  • Eine Standardaktion mit einer Genehmigungs- oder Blockierungsaktion

  Die Reihenfolge der Suche ist Sperrliste, Zulassungsliste, benutzerdefinierte Kategorie, vordefinierte Kategorie, sichere Suche, Websitereputation und Standardaktion.

Cache-Vorabladung für erweiterte Webfilterung

Ab Junos OS Version 23.2R1 wird der Cache beim Systemstart mit der am besten bewerteten, häufig besuchten URL-Liste zusammen mit den Klassifizierungsinformationen geladen. Dies ist nützlich für Benutzer mit einer langsamen Internetverbindung, die aufgrund des Remotekategorisierungsdiensts eine hohe Latenz beim Zugriff auf das Web erleben. Dadurch wird sichergestellt, dass es auch bei der ersten Anforderung keine Verzögerung gibt, da die Entscheidung über die Webfilterrichtlinie auf den URL-Kategorieinformationen basiert, die im Cache vorab geladen sind.

Der Cache ist standardmäßig nicht aktiviert. Stellen Sie sicher, dass die Zwischenspeicherung aktiviert ist, um diese Funktion verwenden zu können. Die folgenden Konfigurationen sind erforderlich, um das Caching für Enhanced Web Filtering (EWF) zu aktivieren, und sie sind in Firewalls der SRX-Serie verfügbar.

• security utm default-configuration web-filtering juniper-enhanced cache timeout

• security utm default-configuration web-filtering juniper-enhanced cache size

Verwenden Sie die folgenden CLI-Konfigurationsanweisungsoptionen für das Vorabladen des Caches für die erweiterte Webfilterung:

In der CLI sind neue Betriebsbefehle für die Funktion "Enhanced Web Filtering Cache Preload" verfügbar.

Sie können die Betriebsbefehle verwenden, um den URL-Feed Ihrer Wahl vom Remote-Server herunterzuladen. Die Option Feed-URL ist nützlich, um eine alternative Datei anstelle der standardmäßigen hartcodierten Datei herunterzuladen. Auch bei den Optionen "Feed-URL", "server-names-feed" und "abs-urls-feed" müssen Sie den Feed-Typ angeben, der in dem von Ihnen angegebenen Paket verfügbar ist.

• request security utm web-filtering cache-preload download abs-urls-feed

• request security utm web-filtering cache-preload download server-names-feed

• request security utm web-filtering cache-preload download server-names-feed feed-url https://update.juniper-updates.net/EWF-CACHE-PRELOAD/server_names_fp_feed.tgz

• request security utm web-filtering cache-preload download abs-urls-feed feed-url https://update.juniper-updates.net/EWF-CACHE-PRELOAD/abs_urls_fp_feed.tgz

Im Folgenden sind die hartcodierten Links aufgeführt. Das Programm wählt einen Link basierend auf dem Feed-Typ aus.

https://update.juniper-updates.net/EWF-CACHE-PRELOAD/abs_urls_feed.tgz

https://update.juniper-updates.net/EWF-CACHE-PRELOAD/server_names_feed.tgz

Verwenden Sie die folgenden Betriebsbefehle, um das Vorabladen des Caches mithilfe des vorhandenen URL-Feeds im System auszulösen. Mit diesen Befehlen wird der Cache geladen, wenn das Paket bereits mit den Befehlen zum Herunterladen installiert wurde. Verwenden Sie die Option server-names-feed, um kategorisierte Servernamen vorab zu laden. Verwenden Sie abs-urls-feed, um den kategorisierten URL-Feed vorab zu laden.

• request security utm web-filtering cache-preload load-active-local server-names-feed

• request security utm web-filtering cache-preload load-active-local abs-urls-feed

Verwenden Sie Folgendes, um den Standard-URL-Feed vom Remote-Server herunterzuladen, zu installieren und den Cache zu laden. Verwenden Sie die Option server-names-feed, um kategorisierte Servernamen herunterzuladen. Verwenden Sie abs-urls-feed, um den kategorisierten URL-Feed herunterzuladen.

• request security utm web-filtering cache-preload load-active server-names-feed

• request security utm web-filtering cache-preload load-active abs-urls-feed

Verwenden Sie den folgenden Befehl, um den Status der Cache-Preload-Funktion zu überprüfen:

Benutzernachrichten und Weiterleitungs-URLs für die erweiterte Webfilterung (EWF)

Ab Junos OS Version 15.1X49-D110 wird eine neue Option, custom-message, für die Anweisung hinzugefügt, mit der custom-objects Sie Benutzernachrichten und Umleitungs-URLs konfigurieren können, um Benutzer zu benachrichtigen, wenn eine URL für jede EWF-Kategorie blockiert oder unter Quarantäne gestellt wird. Die custom-message Option hat die folgenden obligatorischen Attribute:

• Name: Name der benutzerdefinierten Nachricht; Die maximale Länge beträgt 59 ASCII-Zeichen.

• Typ: Typ der benutzerdefinierten Nachricht: user-message oder redirect-url.

• Inhalt: Inhalt der benutzerdefinierten Nachricht; Die maximale Länge beträgt 1024 ASCII-Zeichen.

Sie konfigurieren eine Benutzernachricht oder Umleitungs-URL als benutzerdefiniertes Objekt und weisen das benutzerdefinierte Objekt einer EWF-Kategorie zu.

• Benutzernachrichten weisen darauf hin, dass der Zugriff auf die Website durch die Zugriffsrichtlinie einer Organisation blockiert wurde. Um eine Benutzernachricht zu konfigurieren, fügen Sie die type user-message content message-text Anweisung auf Hierarchieebene [edit security utm custom-objects custom-message message] ein.

• Umleitungs-URLs: Leiten eine blockierte oder unter Quarantäne gestellte URL auf eine benutzerdefinierte URL um. Um eine Umleitungs-URL zu konfigurieren, fügen Sie die type redirect-url content redirect-url Anweisung auf Hierarchieebene [edit security utm custom-objects custom-message message] ein.

Die custom-message Option bietet die folgenden Vorteile:

• Sie können für jede EWF-Kategorie eine separate benutzerdefinierte Nachricht oder Umleitungs-URL konfigurieren.

• Mit dieser custom-message Option können Sie Nachrichten fein abstimmen, um Ihre Richtlinien zu unterstützen, damit sie wissen, welche URL blockiert oder unter Quarantäne gestellt wird.

  Für jede Kategorie wird nur eine custom-message Konfigurationsoption angewendet. Die custom-message Konfiguration wird nur bei der erweiterten Webfilterung (Enhanced Web Filtering, EWF) unterstützt. Daher wird nur der EWF-Engine-Typ von Juniper unterstützt.

Ab Junos OS Version 17.4R1 ist die Unterstützung für die Konfiguration benutzerdefinierter Kategorien für lokale und Websense-Umleitungsprofile verfügbar.

Intelligente Webfilterung Profilauswahl

Ab Junos OS Version 23.2R1 werden dynamische App-Informationen aus JDPI verwendet, um Richtlinieninformationen abzurufen, bevor der endgültige Richtlinienabgleich durchgeführt wird. Das Webfilterprofil wird nach der endgültigen Richtlinienauswahl basierend auf der endgültigen Übereinstimmung mit der Anwendung erneut aktualisiert.

Das Content Security-Profil, das basierend auf den dynamischen App-Informationen abgerufen wird, ist genauer als das Anwenden des Standardprofils, was der frühere Ansatz war.

Die dynamische App-basierte Richtlinienerkennung ist jetzt das Standardverhalten. Der folgende Knopf wird in der Standardkonfigurationshierarchie der Webfilterung hinzugefügt, um die Funktion zur Erkennung dynamischer App-Profile bei Bedarf zu deaktivieren.

set security utm default-configuration web-filtering disable-dynapp-profile-selection

Um eine der Content Security-Richtlinien als Standard festzulegen, wird der folgende Befehl eingeführt:

set security utm default-policy <pol_name>

Mit diesem Befehl können Sie eine beliebige Content Security-Richtlinie als Standardrichtlinie auswählen. Wenn die Standardrichtlinie in einem einheitlichen Konfigurationsszenario mit mehreren Richtlinien konfiguriert ist, wird die standardmäßige Content Security Web Filtering-Richtlinie verwendet. Wenn sie nicht konfiguriert ist, wird junos-default-utm-policy als Standardrichtlinie verwendet.

Der folgende CLI-Befehl wird verwendet, um die Konfiguration von dynapp-profile-selection anzuzeigen:

show security utm web-filtering status

Status der Inhaltssicherheit Webfilterung:

Verwenden Sie den folgenden Befehl, um die Debugindikatorwerte für Richtliniensuchaktivitäten anzuzeigen:

show security utm l7-app-policy statistics

Den Webfilterstatistiken werden neue Leistungsindikatoren für das Debuggen hinzugefügt.

Benutzernachrichten und Weiterleitungs-URLs für die erweiterte Webfilterung (EWF)

Ab Junos OS Version 15.1X49-D110 wird eine neue Option, custom-message, für die Anweisung hinzugefügt, mit der custom-objects Sie Benutzernachrichten und Umleitungs-URLs konfigurieren können, um Benutzer zu benachrichtigen, wenn eine URL für jede EWF-Kategorie blockiert oder unter Quarantäne gestellt wird. Die custom-message Option hat die folgenden obligatorischen Attribute:

• Name: Name der benutzerdefinierten Nachricht; Die maximale Länge beträgt 59 ASCII-Zeichen.

• Typ: Typ der benutzerdefinierten Nachricht: user-message oder redirect-url.

• Inhalt: Inhalt der benutzerdefinierten Nachricht; Die maximale Länge beträgt 1024 ASCII-Zeichen.

Sie konfigurieren eine Benutzernachricht oder Umleitungs-URL als benutzerdefiniertes Objekt und weisen das benutzerdefinierte Objekt einer EWF-Kategorie zu.

• Benutzernachrichten weisen darauf hin, dass der Zugriff auf die Website durch die Zugriffsrichtlinie einer Organisation blockiert wurde. Um eine Benutzernachricht zu konfigurieren, fügen Sie die type user-message content message-text Anweisung auf Hierarchieebene [edit security utm custom-objects custom-message message] ein.

• Umleitungs-URLs: Leiten eine blockierte oder unter Quarantäne gestellte URL auf eine benutzerdefinierte URL um. Um eine Umleitungs-URL zu konfigurieren, fügen Sie die type redirect-url content redirect-url Anweisung auf Hierarchieebene [edit security utm custom-objects custom-message message] ein.

Die custom-message Option bietet die folgenden Vorteile:

• Sie können für jede EWF-Kategorie eine separate benutzerdefinierte Nachricht oder Umleitungs-URL konfigurieren.

• Mit dieser custom-message Option können Sie Nachrichten fein abstimmen, um Ihre Richtlinien zu unterstützen, um zu wissen, welche URL blockiert oder unter Quarantäne gestellt wurde.

• Für jede Kategorie wird nur eine benutzerdefinierte Nachrichtenkonfigurationsoption angewendet. Die benutzerdefinierte Nachrichtenkonfiguration wird nur bei der erweiterten Webfilterung (Enhanced Web Filtering, EWF) unterstützt. Daher wird nur der EWF-Engine-Typ von Juniper unterstützt.

Ab Junos OS Version 17.4R1 ist die Unterstützung für die Konfiguration benutzerdefinierter Kategorien für lokale und Websense-Umleitungsprofile verfügbar.