ローカル Web フィルタリング
Web フィルタリングを使用すると、不適切な Web コンテンツへのアクセスを防止して、インターネットの使用を管理できます。Web フィルタリング ソリューションには 4 つのタイプがあります。詳細については、次のトピックを参照してください。
ローカル Web フィルタリングについて
ローカルWebフィルタリングを使用して、SRXシリーズファイアウォールで評価されるブロックリストおよび許可リストに含めることができるカスタムURLカテゴリを定義できます。ブロックリスト内の各カテゴリのすべての URL は拒否されますが、許可リスト内の各カテゴリのすべての URL は許可されます。
ローカルWebフィルタリングでは、ファイアウォールがTCP接続内のすべてのHTTPおよびHTTPSリクエストを傍受し、URLを抽出します。決定は、ユーザーが定義したカテゴリに基づいて許可リストまたはブロックリストに含まれるかどうかを判断するためにURLを検索した後にデバイスによって行われます。URL は、最初にブロックリストの URL と比較されます。一致が見つかった場合、要求はブロックされます。一致するものが見つからない場合、URL は許可リストと比較されます。一致が見つかった場合、要求は許可されます。URL がどちらのリストにもない場合は、カスタム カテゴリ (ブロック、ログと許可、または許可) が使用されます。URL がカスタム カテゴリにない場合は、定義された既定のアクション (ブロック、ログと許可、または許可) が実行されます。Web フィルタリングプロファイルをファイアウォールポリシーにバインドすることで、要求されたサイトへのアクセスを許可またはブロックできます。ローカル Web フィルタリングは、追加のライセンスや外部カテゴリ サーバーを必要とせずに、基本的な Web フィルタリングを提供します。
このトピックは、以下のセクションで構成されています。
- ローカル Web フィルタリング プロセス
- ユーザー定義のカスタム URL カテゴリ
- ローカル Web フィルタリング プロファイル
- Webフィルタリング用のユーザーメッセージとリダイレクトURL
- プロファイル照合の優先順位
ローカル Web フィルタリング プロセス
次のセクションでは、WebフィルタリングモジュールによってWebトラフィックがどのように傍受され、処理されるかについて説明します。
デバイスが TCP 接続をインターセプトします。
-
デバイスは、TCP 接続内の各 HTTP および HTTPS 要求をインターセプトします。
-
デバイスは、HTTP および HTTPS リクエストの各 URL を抽出し、ユーザー定義の許可リストとブロックリストと照合して URL を確認します。
-
URL がブロックリストに見つかった場合、要求は許可されず、拒否ページが http または https クライアントに送信されます。URL が許可リストに含まれている場合、リクエストは許可されます。
URL が許可リストまたはブロックリストに見つからない場合は、構成された既定のフォールバック アクションが適用されます。フォールバック アクションが定義されていない場合、要求は許可されます。
ユーザー定義のカスタム URL カテゴリ
ローカル Web フィルタリングを実行するには、プロファイルに適用できるブロックリストと許可リストの内容を定義する必要があります。
独自の URL カテゴリを定義する場合は、URL をグループ化し、ニーズに固有のカテゴリを作成できます。各カテゴリには、最大 20 個の URL を含めることができます。カテゴリを作成するときに、サイトの URL または IP アドレスを追加できます。ユーザー定義カテゴリにURLを追加すると、デバイスはDNSルックアップを実行し、ホスト名をIPアドレスに解決し、この情報をキャッシュします。ユーザーがサイトの IP アドレスを使用してサイトにアクセスしようとすると、デバイスはキャッシュされた IP アドレスのリストを確認し、ホスト名の解決を試みます。多くのサイトには動的IPアドレスがあり、IPアドレスは定期的に変更されます。サイトにアクセスしようとするユーザーが、デバイスのキャッシュされたリストにない IP アドレスを入力できます。したがって、カテゴリに追加するサイトの IP アドレスがわかっている場合は、サイトの URL と IP アドレスの両方を入力します。
URL パターンリストとカスタム URL カテゴリリストカスタムオブジェクトを使用して、独自のカテゴリを定義します。定義したら、カテゴリをグローバル ユーザ定義の URL ブロックリスト (ブロック) カテゴリまたは URL 許可リスト (許可) カテゴリに割り当てます。
Web フィルタリングは、HTTP 1.0 および HTTP 1.1 で定義されているすべてのメソッドに対して実行されます。
ローカル Web フィルタリング プロファイル
定義されたカスタム カテゴリに従って URL を許可またはブロックする Web フィルタリング プロファイルを設定します。Web フィルタリング プロファイルは、次のいずれかのアクションが割り当てられた URL カテゴリのグループで構成されます。
ブロックリスト — デバイスは常にこのリスト内の Web サイトへのアクセスをブロックします。ユーザー定義のカテゴリのみがローカル Web フィルタリングで使用されます。
許可リスト — デバイスは常にこのリスト内の Web サイトへのアクセスを許可します。ユーザー定義のカテゴリのみがローカル Web フィルタリングで使用されます。
Webフィルタリングプロファイルには、1つのブロックリストまたは複数のユーザー定義カテゴリを持つ1つの許可リストを含めることができます。それぞれに許可アクションまたはブロックアクションがあります。着信 URL がプロファイルで定義されているどのカテゴリにも属していない場合の既定のフォールバック アクションを定義できます。既定のカテゴリのアクションが [ブロック] の場合、受信 URL は、プロファイルで明示的に定義されているカテゴリのいずれとも一致しない場合にブロックされます。デフォルトアクションのアクションが指定されていない場合、許可のデフォルトアクションは、どのカテゴリにも一致しない着信URLに適用されます。
Junos OSリリース17.4R1以降、ローカルWebフィルタリングでカスタムカテゴリ設定がサポートされています。このオプションは custom-message 、ローカル Web フィルタリングおよび Websense リダイレクト プロファイルのカテゴリでもサポートされています。ユーザーは、複数の URL リスト(カスタム カテゴリ)を作成し、許可、許可とログ記録、ブロック、隔離などのアクションを使用してコンテンツ セキュリティ Web フィルタリング プロファイルに適用できます。グローバル許可リストまたはブロックリストを作成するには、ローカルWebフィルタリングプロファイルをコンテンツセキュリティポリシーに適用し、グローバルルールにアタッチします。
Webフィルタリング用のユーザーメッセージとリダイレクトURL
Junos OS Release 17.4R1以降、新しいオプションである がステートメントに追加custom-objectsされ、custom-messageEWFカテゴリごとにURLがブロックまたは隔離されたときにユーザーメッセージとリダイレクトURLを設定してユーザーに通知することができます。このオプションにはcustom-message、以下の必須属性があります。
名前: カスタムメッセージの名前。最大長は 59 文字の ASCII 文字です。
タイプ: カスタム メッセージの種類:
user-messageまたはredirect-url.コンテンツ: カスタムメッセージの内容。最大長は 1024 ASCII 文字です。
ユーザメッセージまたはリダイレクトURLをカスタムオブジェクトとして設定し、カスタムオブジェクトをEWFカテゴリに割り当てます。
ユーザーメッセージは、Web サイトへのアクセスが組織のアクセスポリシーによってブロックされていることを示します。ユーザーメッセージを設定するには、階層レベルでステート
type user-message content message-textメントを含めます[edit security utm custom-objects custom-message message]。リダイレクト URL は、ブロックまたは検疫された URL をユーザー定義の URL にリダイレクトします。リダイレクトURLを設定するには、階層レベルでステート
type redirect-url content redirect-urlメントを含めます[edit security utm custom-objects custom-message message]。
このオプション custom-message には、次の利点があります。
EWF カテゴリごとに個別のカスタム メッセージまたはリダイレクト URL を構成できます。
このオプション
custom-messageを使用すると、メッセージを微調整してポリシーをサポートし、どの URL がブロックまたは検疫されているかを把握できます。
プロファイル照合の優先順位
プロファイルで URL 一致に複数のカテゴリが使用されている場合、それらのカテゴリの一致は次の順序でチェックされます。
存在する場合は、グローバル ブロックリストが最初にチェックされます。一致した場合、URL はブロックされます。一致するものが見つからない場合は...
次に、グローバル許可リストがチェックされます。一致した場合、URL は許可されます。一致するものが見つからない場合は...
次に、ユーザー定義のカテゴリがチェックされます。一致した場合、URL はブロックされるか、指定されたとおりに許可されます。
関連項目
例:ローカル Web フィルタリングの設定
この例では、Web サイト アクセスを管理するためのローカル Web フィルタリングを構成する方法を示します。
要件
この例では、以下のハードウェアとソフトウェアのコンポーネントを使用しています。
SRX1500デバイス
Junos OS リリース 12.1X46-D10 以降
開始する前に、Web フィルタリングの詳細をご確認ください。 Web フィルタリングの概要を参照してください。
概要
この例では、ローカル Web フィルタリング カスタム オブジェクト、ローカル Web フィルタリング機能プロファイル、およびローカル Web フィルタリング コンテンツ セキュリティ ポリシーを設定します。また、ローカルWebフィルタリングコンテンツセキュリティポリシーをセキュリティポリシーに付加します。 表 1 に、この例で使用されるローカル Web フィルタリングの設定タイプ、手順、およびパラメータに関する情報を示します。
構成タイプ |
設定手順 |
設定パラメータ |
|---|---|---|
URL pattern and custom objects |
バイパスする URL またはアドレスの URL パターン リストを設定します。 パターンを含むurllis1というカスタムオブジェクトを作成します[http://www.example1.net 192.0.2.0] パターンを含むurllist2というカスタムオブジェクトを作成します[http://www.example2.net 192.0.2.3] パターンを含むurllist3というカスタムオブジェクトを作成します[http://www.example3.net 192.0.2.9] パターンを含むurllist4というカスタムオブジェクトを作成します[http://www.example4.net 192.0.2.8] |
|
urllist1 と urllist2 のカスタムオブジェクトは、それぞれカスタム URL カテゴリのカストブロックリストとカスト許可リストに追加されます。 |
|
|
Feature profiles |
Web フィルタリング機能プロファイルを設定します。 |
|
|
|
|
|
|
|
|
|
|
Content Security policies |
コンテンツセキュリティポリシー |
|
構成
- ローカル Web フィルタリングのカスタム オブジェクトと URL パターンの構成
- フィーチャ プロファイルへのカスタム オブジェクトの適用
- Webフィルタリングコンテンツセキュリティポリシーのセキュリティポリシーのセキュリティポリシーの適用
- ローカルWebフィルタリングコンテンツセキュリティポリシーのセキュリティポリシーのセキュリティポリシーのアタッチ
ローカル Web フィルタリングのカスタム オブジェクトと URL パターンの構成
CLIクイック構成
この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルで CLI [edit] にコピー アンド ペーストして、設定モードから を入力します commit 。
set security utm custom-objects url-pattern urllist1 value http://www.example1.net set security utm custom-objects url-pattern urllist1 value 192.0.2.0 set security utm custom-objects url-pattern urllist2 value http://www.example2.net set security utm custom-objects url-pattern urllist2 value 192.0.2.3 set security utm custom-objects url-pattern urllist3 value http://www.example3.net set security utm custom-objects url-pattern urllist3 value 192.0.2.9 set security utm custom-objects url-pattern urllist4 value http://www.example4.net set security utm custom-objects url-pattern urllist4 value 192.0.2.8 set security utm custom-objects custom-url-category cust-black-list value urllist1 set security utm custom-objects custom-url-category cust-permit-list value urllist2 set security utm custom-objects custom-url-category custurl3 value urllist3 set security utm custom-objects custom-url-category custurl4 value urllist4
Junos OS リリース 15.1X49-D110 以降、URL パターン Web フィルタリングプロファイルに使用されるワイルドカード構文の「* 」は、すべてのサブドメインに一致します。たとえば、*.example.net は以下と一致します。
http://a.example.net
http://example.net
aaa.example.net
手順
CLI を使用してローカル Web フィルタリングを設定するには、次の手順に従います。
URL パターンリストカスタムオブジェクトを設定するには、リスト名を作成し、次のように値を追加します。
メモ：URL パターン リストを使用してカスタム URL カテゴリ リストを作成するため、カスタム URL カテゴリ リストを設定する前に、URL パターン リストのカスタム オブジェクトを設定する必要があります。
[edit] user@host# set security utm custom-objects url-pattern urllist1 value [http://www.example1.net 192.0.2.0] user@host# set security utm custom-objects url-pattern urllist2 value [http://www.example2.net 192.0.2.3] user@host# set security utm custom-objects url-pattern urllist3 value [http://www.example3.net 192.0.2.9] user@host# set security utm custom-objects url-pattern urllist4 value [http://www.example4.net 192.0.2.8]
メモ：URL パターンのワイルドカードを使用するためのガイドラインは次のとおりです。\ *\.[] を使用します。\?* を使用し、すべてのワイルドカード URL の前に http:// を付けます。"*" を使用できるのは、URL の先頭に "." が続く場合のみです。"?" は URL の末尾でのみ使用できます。
次のワイルドカード構文がサポートされています: http://*。example.net, http://www.example.ne?, http://www.example.n??.次のワイルドカード構文はサポートされていません: *.example.???, http://*example.net, http://?。
URL パターンをカスタム URL カテゴリに適用する。
[edit] user@host# set security utm custom-objects custom-url-category cust-black-list value urllist1 user@host# set security utm custom-objects custom-url-category cust-permit-list value urllist2 user@host# set security utm custom-objects custom-url-category custurl3 value urllist3 user@host# set security utm custom-objects custom-url-category custurl4 value urllist4
結果
設定モードから、 コマンドを入力して show security utm custom-objects 設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
[edit]
userhost#show security utm custom-objects
url-pattern {
urllist1 {
value [ http://www.example1.net 192.0.2.0 ];
}
urllist2 {
value [ http://www.example2.net 192.0.2.3 ];
}
urllist3 {
value [ http://www.example3.net 192.0.2.9 ];
}
urllist4 {
value [ http://www.example4.net 192.0.2.8 ];
}
}
custom-url-category {
cust-black-list {
value urllist1;
}
cust-permit-list {
value urllist2;
}
custurl3 {
value urllist3;
}
custurl4 {
value urllist4;
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
フィーチャ プロファイルへのカスタム オブジェクトの適用
CLIクイック構成
この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルで CLI [edit] にコピー アンド ペーストして、設定モードから を入力します commit 。
set security utm feature-profile web-filtering juniper-local profile localprofile1 category cust-black-list action block set security utm feature-profile web-filtering juniper-local profile localprofile1 category cust-permit-list action log-and-permit set security utm feature-profile web-filtering juniper-local profile localprofile1 block-message type custom-redirect-url set security utm feature-profile web-filtering juniper-local profile localprofile1 block-message url http://192.0.2.10 set security utm feature-profile web-filtering juniper-local profile localprofile1 custom-block-message "Access to this site is not permitted." set security utm feature-profile web-filtering juniper-local profile localprofile1 default log-and-permit set security utm feature-profile web-filtering juniper-local profile localprofile1 fallback-settings default block set security utm feature-profile web-filtering juniper-local profile localprofile1 fallback-settings too-many-requests block
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 CLIユーザー ガイドの 設定モードでのCLIエディターの使用を参照してください。
プロファイル名を作成し、含まれている許可カテゴリとブロックリスト カテゴリからカテゴリを選択します。カスタム カテゴリ アクションには、ブロック、許可、ログと許可、および検疫があります。
[edit security utm feature-profile web-filtering] user@host# set juniper-local profile localprofile1 category cust-black-list action block user@host# set juniper-local profile localprofile1 category cust-permit-list action log-and-permit
デバイスがプレーンテキストHTMLを含むブロックページを送信する代わりに、デバイスがHTTPリダイレクトロケーションフィールドに埋め込まれた特別な変数を使用してこのリダイレクトサーバーにHTTP 302リダイレクトを送信するように、リダイレクトURLサーバーを定義します。これらの特殊変数はリダイレクトサーバーによって解析され、画像とクリアテキスト形式でクライアントへの特別なブロックページとして機能します。
[edit security utm feature-profile web-filtering] user@host# set security utm feature-profile web-filtering juniper-local profile localprofile1 block-message type custom-redirect-url user@host# set security utm feature-profile web-filtering juniper-local profile localprofile1 block-message url http://192.0.2.10
-
HTTP または HTTPS 要求がブロックされたときに送信されるカスタム メッセージを入力します。
[edit security utm feature-profile web-filtering] user@host# set juniper-local profile localprofile1 custom-block-message “Access to this site is not permitted”
明示的に設定された他のアクション(ブロックリスト、許可リスト、カスタムカテゴリ、定義済みカテゴリアクション、またはサイトレピュテーションアクション)が一致しない場合のプロファイルのデフォルトアクション(許可、ログと許可、ブロック、または隔離)を指定します。
[edit security utm feature-profile web-filtering] user@host# set juniper-local profile localprofile1 default log-and-permit
このプロファイルのフォールバック設定 (ブロックまたはログと許可) を構成します。
[edit security utm feature-profile web-filtering] user@host# set juniper–local profile localprofile1 fallback-settings default block user@host# set juniper–local profile localprofile1 fallback-settings too-many-requests block
結果
設定モードから、 コマンドを入力して show security utm feature-profile 設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
[edit]
userhost#show security utm feature-profile
web-filtering {
juniper-local {
profile localprofile1 {
default log-and-permit;
category {
cust-black-list {
action block;
}
cust-permit-list {
action log-and-permit;
}
}
custom-block-message "Access to this site is not permitted.";
block-message {
type custom-redirect-url;
url http://192.0.2.10;
}
fallback-settings {
default block;
too-many-requests block;
}
}
}
}
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
Webフィルタリングコンテンツセキュリティポリシーのセキュリティポリシーのセキュリティポリシーの適用
CLIクイック構成
この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルで CLI [edit] にコピー アンド ペーストして、設定モードから を入力します commit 。
set security utm utm-policy utmp5 web-filtering http-profile localprofile1
手順
コンテンツセキュリティポリシーを設定するには:
-
プロファイルを参照するコンテンツセキュリティポリシーを作成します。Webフィルタリングプロファイルをコンテンツセキュリティポリシーに適用します。
[edit] user@host# set security utm utm-policy utmp5 web-filtering http-profile localprofile1
結果
設定モードから、 コマンドを入力して show security utm 設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
簡潔にするために、この show コマンド出力には、この例に関連する設定のみ含まれています。システム上のその他の設定はすべて省略記号(...)で置き換えられています。
[edit]
userhost# show security utm
utm-policy utmp5 {
web-filtering {
http-profile localprofile1;
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
ローカルWebフィルタリングコンテンツセキュリティポリシーのセキュリティポリシーのセキュリティポリシーのアタッチ
CLIクイック構成
この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルで CLI [edit] にコピー アンド ペーストして、設定モードから を入力します commit 。
set security policies from-zone trust to-zone untrust policy p5 match source-address any set security policies from-zone trust to-zone untrust policy p5 match destination-address any set security policies from-zone trust to-zone untrust policy p5 match application junos-http set security policies from-zone trust to-zone untrust policy p5 then permit application-services utm-policy utmp5
手順
コンテンツセキュリティポリシーをセキュリティポリシーにアタッチするには:
セキュリティポリシーを作成して設定します。
[edit security policies from-zone trust to-zone untrust policy p5] user@host# set match source-address any user@host# set match destination-address any user@host# set match application junos-http
-
コンテンツセキュリティポリシーをセキュリティポリシーに適用します。
[edit security policies from-zone trust to-zone untrust policy p5] user@host# set then permit application-services utm-policy utmp5
結果
設定モードから、 コマンドを入力して show security policies 設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
[edit]
userhost# show security policies
from-zone trust to-zone untrust {
policy p5 {
match {
source-address any;
destination-address any;
application junos-http;
}
then {
permit {
application-services {
utm-policy utmp5;
}
}
}
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
検証
設定が正しく機能していることを確認するには、以下のタスクを実行します。
コンテンツ セキュリティ Web フィルタリングの統計情報の検証
目的
許可リストとブロックリストのヒット、カスタム カテゴリのヒットなど、接続の Web フィルタリング統計を確認します。
アクション
動作モードから コマンド show security utm web-filtering statistics を入力します。
サンプル出力
コマンド名
user@host>show security utm web-filtering statistics
UTM web-filtering statistics:
Total requests: 0
white list hit: 0
Black list hit: 0
Custom category permit: 0
Custom category block: 0
Custom category quarantine: 0
Custom category qurantine block: 0
Custom category quarantine permit: 0
Web-filtering sessions in total: 0
Web-filtering sessions in use: 0
Fallback: log-and-permit block
Default 0 0
Timeout 0 0
Connectivity 0 0
Too-many-requests 0 0
custom-message 、ローカル Web フィルタリングおよび Websense リダイレクト プロファイルのカテゴリでもサポートされています。ユーザーは、複数の URL リスト(カスタム カテゴリ)を作成し、許可、許可とログ記録、ブロック、隔離などのアクションを使用してコンテンツ セキュリティ Web フィルタリング プロファイルに適用できます。グローバル許可リストまたはブロックリストを作成するには、ローカルWebフィルタリングプロファイルをコンテンツセキュリティポリシーに適用し、グローバルルールにアタッチします。
custom-objectsされ、
custom-messageEWFカテゴリごとにURLがブロックまたは隔離されたときにユーザーメッセージとリダイレクトURLを設定してユーザーに通知することができます。