香港某大学防火墙课件-22-WebSherlock v6.pptVIP

* PowerStation 技術教育訓練 課程 22 : WebSherlock Introduction to WebSherlock WebSherlock 提供網頁過濾功能。 代理伺服器模式 個人化網頁過濾設定 網頁過濾功能則是透過詢問 SurfControl URL 資料庫，取得該網址的類別 ID，來決定是否放行, 如 成人或色情相關的 ? 90 Web介面電子信箱 ? 7507 The Example of WebSherlock PowerStation URL DB What is the id of playboy website? id = 90 2 1 3 3 1 2 3 Browser 送出 HTTP Request WebSherlock 查詢 URL Db 決定 放行/禁止 網頁過濾 WebSherlock特色 避免詢問URL資料庫的動作太頻繁，造成使用者存取網頁時，速度緩慢，因此內建3000筆快取URL 對於PowerStation中的DNS Client設定與URL資料庫的IP位址作了防呆設定，因此使用者不會因為PowerStation 中的 WebSherlock 設定錯誤，而無法上網 WebSherlock 功能介紹 Access Control 可限制誰可以使用 WebSherlock。採First Match的規則符合方式 URL Block List 選擇要限制的網站類別，約有40種類別 Parameters 設定URL資料庫主機的IP位址。若為空則表示不使用網頁過濾功能。 標準設定程序 (1/2) 啟動Bind 9 DNS 設定過濾URL類別 設定ACL 標準設定程序 (2/2) 設定URL資料庫 啟動WebSerlock 設定Transparent Proxy 深入探討 為什麼要先啟動DNS？ DNS 設定防呆 URL資料庫設定 Transparent Proxy Proxy Restriction 為什麼要先啟動 DNS？ 若是在 PowerStation 本身中有設定 DNS Client 為外部其它的 DNS，就可以不必啟動 Bind 9 DNS 服務 但 PowerStation 的原廠設定值是將DNS Client設為127.0.01，若是不啟動 DNS服務 的話，就會造成 WebSherlock 無法解析域名 DNS 設定防呆 這個功能只有在 DNS Client 設定錯誤的時候才會啟動 一般設定錯誤時，會造成底下的使用者無法瀏灠網頁，所以PowerStation會對管理者所設DNS作檢查的動作，若無法解析域名，會以 Hinet 或 Seednet 的DNS來代替 Hinet Seednet 44 URL資料庫設定 在”WebSherlock”-”Parameters”中的URL DB Host要設為URL資料庫主機所在IP位址 如果不設的話，則表示不使用網頁過濾的功能 萬一設錯的話，PowerStation會檢查其IP位址是否為URL資料庫主機，並秀出警告視窗 一般建議，若是錯誤的話，最好保持空白 Transparent Proxy (1/4) 在先前的SOP中，必須將WebSherlock Server，成為Transparent Proxy 在使用者端不需設定網際網路的Proxy選項，自動就會將網頁的request與reply經由PowerStation主機 Transparent Proxy (2/4) 設定Transparent Proxy後，需手動在Inbound Policy中加入下列規則 All-Ex-PStop：所有位址除了PS本身 Redirect-Dst：所有位址除了本機、區域網路位址 Hgiga-PStop：如果剛才所設的，這裡為，也就是本機 PStop-Service：Proxy Server經常使用的Port 3128 所以它會自動將我們對外的HTTP Traffic導到PS上的3128埠，交由Proxy Server來幫我們抓網頁 依照需求, 可能需設定 All-Ex-PStop 及 Redirect-Dst 物件內容 Transparent Proxy (3/4) 如果WebSherlock Server的IP位址設錯時，我們也會偵測到，自動將上述的重導規則刪除 也可將WebSherlock Server的IP位址指向該企業網路本身已有的 Transparent Proxy Server，如 Squid Proxy Server Transparent Proxy (4/4) PS具有MultiHoming的功能，所以可能會透過多條線路出去，因此必須在NAT下這樣子的規則： Source：l