要求

IP地址范围在192.168.0.1-192.168.0.15中的主机只能访问www.163.com，不能访问其它任何网站。

实施URL过滤分为3个步骤

创建class-map(类映射)，识别传输流量

创建policy-map(策略映射)，关联class-map

应用policy-map到接口上

任务一：IP地址范围在192.168.0.1-192.168.0.15中的主机只能访问www.163.com，

不能访问其它任何网站。

创建class-map，识别传输流量

创建类映射之前，一定要创建一个访问控制列表，

asa802(config)#

access-list tcp_filter permit tcp 192.168.0.0 255.255.255.240 any

eq www

这个访问控制列表定义了对传输层协议的匹配，源是192.168.0.1-192.168.0.15的主机可以访问任意的www服务。这个访问控制列表并没有准确定位到www.163.com.所以仅用访问控制列表是无法完成其需求。

asa802(config)# class-map

tcp_filter_class

创建了一个名字为tcp_filter_class的类映射。

asa802(config-cmap)# match

access-list tcp_filter

在这个类映射中调用了刚才定义的访问控制列表tcp_filter，这个调用还是不能准确定位到达www.163..com的流量。

asa802(config-cmap)#exit

asa802(config)# regex url1

"\.163\.com"

因为以上的类映射不能准确定位到达www.163.com，所以需要声明一个正则表达式，要求以正则表达式的方式去匹配有 .163

.com的url地址，regex就是用来匹配URL地址的。正则表达式的名字是URL1,即URL1要去匹配含有.163

.com的URL地址。

asa802(config)# class-map

type regex match-any url_class

创建了一个url_class的类映射，并且指出这个类映射的类型是用来匹配正则表达式的。匹配所有正则表达式，如URL1.

asa802(config-cmap)# match

regex url1

asa802(config-cmap)#

exit

url_class表示要在流量当中去匹配.163.com。而且以上创建的两个类映射是独立的，目前还是不能准确的定位流量。

asa802(config)# class-map

type inspect http

http_url_class

创建了一个查阅类型的类映射，名字叫http_url_class，在创建查阅类型的类映射时一定要指出查阅的协议，在这里查阅HTTP.

asa802(config-cmap)# match

not request header host regex class url_class

匹配http主机头部中不包含.163.com的信息。

asa802(config-cmap)#

exit

小结：创建了三种映射只是在抓取相应的感兴趣流，并没有说明对感兴趣流做允许还是拒绝。下面开始创建策略映射。

创建policy-map，关联class-map

，共创建两个类映射，

asa802(config)# policy-map

type inspect http http_url_policy

创建了一个策略映射，是查阅类型的，而且查阅的应用层协议是http协议。策略映射的名字是http_url_policy.

asa802(config-pmap)# class

http_url_class

策略映射匹配的是http_url_class的类映射，也就是指那些非

.163.com的http请求,

asa802(config-pmap-c)#

drop-connection log

如果是非.163.com的http请求，直接拒绝连接，并做日志记录。

asa802(config-pmap-c)#

exit

asa802(config-pmap)#exit

(创建接口应用策略)上面的策略只是说出拒绝所有非.163.com的请求，并没有说出源地址是哪些地址。所以我们还要创建一个策略映射，只需创建一个普通类型的策略映射即可。

asa802(config)# policy-map

inside_http_url_policy

创建一个策略映射，名字为inside_http_url_policy

asa802(config-pmap)# class

tcp_filter_class

匹配tcp_filter_class,而tcp_filter_class匹配的就是我们创建的第一个访问控制列表，允许192.168.0.1-192.168.0.15的主机可以访问任意的www服务。

asa802(config-pmap-c)#

inspect http http_url_policy

还要查阅http协议，并调用http_url_policy

asa802(config-pmap-c)#

exit

asa802(config-pmap)#exit

没有被明确拒绝的，都是允许的。最后真正生效的是inside_http_utl_policy

3、应用policy-map到接口上

asa802(config)#

service-policy inside_http_url_policy interface

inside

创建class-map，识别传输流量

asa802(config)#

access-list tcp_filter2 permit tcp any any eq

www

asa802(config)# class-map

tcp_filter_class2

asa802(config-cmap)# match

access-list tcp_filter2

asa802(config-cmap)#exit

asa802(config)# regex url2

"\.kkgame\.com"

asa802(config)# class-map

type regex match-any url_class2

asa802(config-cmap)# match

regex url2

asa802(config-cmap)#

exit

asa802(config)# class-map

type inspect http http_url_class2

asa802(config-cmap)# match

request header host regex class url_class2

asa802(config-cmap)#

exit

2、创建policy-map，关联class-map

asa802(config)# policy-map

type inspect http http_url_policy2

asa802(config-pmap)# class

http_url_class2

asa802(config-pmap-c)#

drop-connection log

asa802(config-pmap-c)#

exit

asa802(config-pmap)#exit

asa802(config)# policy-map

inside_http_url_policy

asa802(config-pmap)# class

tcp_filter_class2

asa802(config-pmap-c)#

inspect http http_url_policy2

asa802(config-pmap-c)#

exit

asa802(config-pmap)#exit

3、应用policy-map到接口上

asa802(config)#

service-policy inside_http_url_policy interface

inside

4、验证

将PC1的IP改为192.168.0.20，则不能访问www.kkgame.com。

提示：

若增加主机，需添加ACL表项；

若增加URL，需定义新的正则表达式(即regex

url2)，并添加到class-map中(match-any)