![如何在 ASA 5520 防火墙上阻止某些网站?](https://linux22.com/image/719786/%E5%A6%82%E4%BD%95%E5%9C%A8%20ASA%205520%20%E9%98%B2%E7%81%AB%E5%A2%99%E4%B8%8A%E9%98%BB%E6%AD%A2%E6%9F%90%E4%BA%9B%E7%BD%91%E7%AB%99%EF%BC%9F.png)
请帮我解决这个问题。我有 ASA 5520 系列防火墙,我想屏蔽高带宽消耗网站,以便我的网络获得更好的性能,例如:- • 我想屏蔽所有色情网站。 • 根据时间表屏蔽一些网站。 • 屏蔽所有聊天但允许 Skype。非常感谢。
答案1
屏蔽网站
您肯定不会想用防火墙来处理阻止网站的事情。
别误会我的意思,你可以这样做,但维护起来很麻烦,因为这不是防火墙的本意,你必须一直手动更新配置。问题是色情网站和其他流量密集型网站的数量惊人,而过去二十年来,正则表达式已被证明不适合完成这项任务。
简而言之:可能但不切实际。
正式地,思科可以使用正则表达式和手动输入来做到这一点,这里是指南: https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/100535-asa-8x-regex-config.html
更好的方法是使用透明代理,例如 Squid,它支持文本格式的黑名单。此外,网上有许多维护黑名单的提供商,这些黑名单大多按黑名单类别分类(例如“色情”、“社交媒体”等)。
一些例子:
以下是有关如何在 squid 中使用黑名单的指南: http://sharadchhetri.com/2014/03/20/squid-proxy-server-to-block-websites-listed-in-file/
通用安装指南可在网上找到,其中一个适用于 CentOS/RHEL 7 上 squid 透明代理配置的指南如下: http://broexperts.com/how-to-configure-squid-3-x-as-transparent-proxy-on-centos-7-rhel-7/
这当然需要大量的工作,但从长远来看效率更高。
简单的色情屏蔽方法不受你控制
如果您只是想屏蔽成人内容,请使用 openDNS 作为 DNS 服务器(当然是在您的 DNS 之后): https://www.opendns.com/home-internet-security/#family
缺点:不受您的控制,仅阻止色情内容,对您不透明。
屏蔽通讯应用
您可以使用防火墙和/或代理来实现这一点,这取决于即时通讯程序,有些使用集中式系统,有些是分散式系统,有些使用固定端口,有些则不使用。不可能编写一个通用指南来“阻止除 Skype 之外的所有即时通讯程序”,因为它们不仅数量众多,而且它们是可配置的(即它们使用哪些端口等),因此您基本上需要数据包检查来阻止某些协议(例如 XMPP)。
答案2
虽然您可以使用 Cisco ASA 5520 做很多事情,但它们并未捆绑到硬件中,并且您没有提供有关许可或模块的任何规范。您可能需要额外的许可证才能启用所有安全上下文需要,而且可能很难获得,例如 ASA 5520已 终止销售自 2013 年 9 月以来新服务附件结束自 2014 年 9 月起。由于所有支持将于 2018 年 9 月结束,因此您现在不应计划任何新功能。
此外,您已经提到了三种不同的用例,它们都需要不同的方法:
屏蔽所有色情网站。您需要按内容类型过滤网页内容。这意味着有人必须保存网站及其内容的列表。这不是设备,而是一项服务。可以使用设备执行此操作,但设备需要利用此类服务。
ASA 5520URL 过滤功能仅支持静态黑/白名单,并支持 Websense 和 Smartfilter;两者都是外部商业服务。
一些网站按照时间表进行。可以通过 URL 过滤来实现。对于 HTTP 来说很容易,但对于 HTTPS,您只能根据 DNS 解析 IP 来阻止连接,或者解密流量。
阻止所有聊天但允许 Skype。这可能意味着内容类型过滤,但更可能意味着基于端口阻止协议。对于后者,您的 ASA 5520 是一个正确的工具,但如今许多通信系统使用基于 HTTPS 端口的替代方法
443
。
您主要担心的是带宽消耗,内容过滤可能不是唯一的方法。ASA 5520 还具有QoS 功能喜欢流量监管,流量整形和优先级排队. 在处理当前情况的同时,请映射您的需求,以便根据您的需求获得合适的防火墙 /IDS/IPS/UTM 解决方案,因为您很快就需要更换 EOL 设备。