UTM / Webコントロール

Webコントロール（URLフィルタリング）機能は、クライアントがアクセスしようとしているWebサイトをカテゴリーに分類し、カテゴリーごとにアクセスの禁止・許可を制御する機能です。

Note - Webコントロール（URLフィルタリング）機能はAT-AR2050Vでは使用できません。

Note - Webコントロール（URLフィルタリング）機能を使用するにはサブスクリプションライセンスが必要です。

Note - Webコントロール（URLフィルタリング）機能の対象となるのは、本製品のルーティング用インターフェースを通過するTCP 80番ポート宛ての通信（HTTP通信）です。本機能はこれらの通信に対する透過型プロキシーとして動作します。

Webコントロール（URLフィルタリング）機能では、デジタルアーツ社が提供する最新のURLカテゴリーデータベースにもとづいて、アクセス先のURL（Webサイト）を約100種類のカテゴリーに分類します。

初期設定ではデフォルト拒否（ホワイトリスト方式：指定したサイトのみ許可）の動作をするため、すべてのWebアクセスが遮断されますが、ルールを設定することで、「アクセス元クライアント」と「アクセス先Webサイトのカテゴリー」の組み合わせごとにpermit（許可）、deny（拒否）の選択が可能です。また、デフォルト許可（ブラックリスト方式：指定したサイトのみ禁止）に設定を変更することもできます。

Note - Webコントロール機能が使用するURLカテゴリーデータベースは、本製品にダウンロードするのではなく、必要に応じて本製品がインターネット上のサーバーに問い合わせる形で使用するため、データベースの更新は不要です。

基本動作

Webコントロール（URLフィルタリング）機能の処理フローは次のとおりです。

基本設定

Webコントロール（URLフィルタリング）の設定は、Webコントロールモード（web-controlコマンド）で行います。
provider digitalartsコマンドでURLカテゴリーデータベースの提供元を指定した後、actionコマンドでデフォルトアクションを、categoryコマンドとmatchコマンドでカスタムカテゴリーの定義を、ruleコマンドでURLカテゴリーごとのアクションを指定し、protectコマンドで有効化します。

ホワイトリスト方式（指定したサイトのみ許可）

ここでは、初期設定のデフォルトアクション「拒否」をそのまま使い、指定したカテゴリーのサイトだけを許可する「ホワイトリスト方式」の動作をさせる場合の基本的な設定手順を示します。

Webコントロール（URLフィルタリング）機能の設定を行うため、Webコントロールモードに移行します。これにはweb-controlコマンドを使います。
awplus(config)# web-control ↓
URLカテゴリーデータベースの提供元を指定します。これにはprovider digitalartsコマンドを使います。
このデータベースに含まれるURLカテゴリーをプロバイダーカテゴリーと呼びます。
一方、ユーザーが定義するカテゴリーはカスタムカテゴリーと呼びます。
awplus(config-web-control)# provider digitalarts ↓
Note - Webコントロール（URLフィルタリング）機能とファイアウォール機能を併用する場合は、URLカテゴリーデータベースに問い合わせるため、本製品からインターネットへのDNS通信とHTTP通信を許可する必要があります。

カスタムカテゴリーを定義します。これには、categoryコマンドとmatchコマンドを使います。
ここでは、URLのホスト名かパス部分に、「tech-news」か「play-scala」という文字列が含まれているWebサイトを「Technical」（技術系）というカテゴリーに分類するよう設定しています。
また、同様に「xxxx」、「zzzzzz」という文字列が含まれているWebサイトを「TimeWasting」（時間の無駄）というカテゴリーに分類するよう設定しています。

awplus(config-web-control)# category Technical ↓ awplus(config-category)# match tech-news ↓ awplus(config-category)# match play-scala ↓ awplus(config-category)# exit ↓ awplus(config-web-control)# category TimeWasting ↓ awplus(config-category)# match xxxx ↓ awplus(config-category)# match zzzzzz ↓ awplus(config-category)# exit ↓

Webコントロールルールを作成します。これにはruleコマンドを使います。
Webコントロールルールは、「アクセス元クライアント」と「アクセス先Webサイトのカテゴリー」の組み合わせごとにアクションを指定するものです。

アクセス元クライアントは、「エンティティー（通信主体）定義」によって指定します。詳細は「UTM」/「エンティティー定義」をご覧ください。

アクションには次の2つがあります。

permit（アクセスを許可）
deny（アクセスを拒否し、エラーページを返す）

本例では初期設定のデフォルトアクション「拒否」をそのまま使っているため、どのカテゴリーにも分類されなかったサイト、および、どのルールにもマッチしなかったカテゴリーのサイトへのアクセスは拒否されます。そのため、許可ルールを追加しないままWebコントロール機能を有効化すると、すべてのWebアクセスが遮断されることとなります。

なお、ruleコマンドで指定するカテゴリー名は、show web-control categoriesコマンドで確認できます。

awplus(config-web-control)# do show web-control categories ↓ Category Category Hits Custom Custom Matches -------------------------------------------------------------------------------- Advocacy 0 "Alcohol, Tobacco" 0 "Amusement Facilities" 0 "Audio Streaming" 0 Blogs 0 "Browser Crashing Sites" 0 "Celebrities, Entertainment" 0 Chat 0 "Comics, Animation" 0 "Consumer Lending" 0 "Coupon Sites" 0 "Credit Cards, Online Payment, E-Money" 0 "Crime, Weapons" 0 ... Technical 0 yes play-scala tech-news "Terrorism, Extremism" 0 TimeWasting 0 yes xxxx zzzzzz "Town Pages" 0 ...

ここでは、ゾーン「private」（内部ネットワーク）から「Government」（政府）、「IT Forum」（ITフォーラム）、「Portals」（ポータル）、「Providers」（プロバイダー）カテゴリーに分類されたWebサイトへのアクセスを許可しています。

ただし、これら許可カテゴリーのサイトでも、手順3で定義したカスタムカテゴリー「TimeWasting」（時間の無駄）にマッチするURLであれば例外的に禁止するよう設定しています。

また、上記の許可カテゴリー以外であっても、同じく手順3で定義したカスタムカテゴリー「Technical」（技術系）にマッチするURLであれば例外的にアクセスを認めるよう設定しています。

デフォルトアクションが「拒否」であるため、ルールで明示的に許可していないカテゴリーのサイトや、どのカテゴリーにも分類されなかったサイトへのアクセスはすべて禁止されます。

awplus(config-web-control)# rule permit Technical from private ↓ awplus(config-web-control)# rule deny TimeWasting from private ↓ awplus(config-web-control)# rule permit Government from private ↓ awplus(config-web-control)# rule permit "IT Forum" from private ↓ awplus(config-web-control)# rule permit Portals from private ↓ awplus(config-web-control)# rule permit Providers from private ↓

5．Webコントロール（URLフィルタリング）機能を有効化します。これにはprotectコマンドを使います。

awplus(config-web-control)# protect ↓

設定は以上です。

ブラックリスト方式（指定したサイトのみ禁止）

Webコントロール機能の初期設定ではデフォルトアクションが「拒否」のため、指定したカテゴリーのサイトだけを許可する「ホワイトリスト方式」の動作をしますが、デフォルトアクションを「許可」に変更することで、指定したカテゴリーのサイトだけを禁止する「ブラックリスト方式」の動作をさせることも可能です。

以下、Webコントロール（URLフィルタリング）機能を「ブラックリスト」方式で動作させる場合の基本的な設定手順を示します。

Webコントロール（URLフィルタリング）機能の設定を行うため、Webコントロールモードに移行します。これにはweb-controlコマンドを使います。
awplus(config)# web-control ↓
URLカテゴリーデータベースの提供元を指定します。これにはprovider digitalartsコマンドを使います。
このデータベースに含まれるURLカテゴリーをプロバイダーカテゴリーと呼びます。
一方、ユーザーが定義するカテゴリーはカスタムカテゴリーと呼びます。
awplus(config-web-control)# provider digitalarts ↓
Note - Webコントロール（URLフィルタリング）機能とファイアウォール機能を併用する場合は、URLカテゴリーデータベースに問い合わせるため、本製品からインターネットへのDNS通信とHTTP通信を許可する必要があります。
Webコントロール（URLフィルタリング）機能のデフォルトアクションを拒否から許可に変更します。これには、actionコマンドを使います。
awplus(config-web-control)# action permit ↓
カスタムカテゴリーを定義します。これには、categoryコマンドとmatchコマンドを使います。
ここでは、URLのホスト名かパス部分に、「chat-for-work」か「work-blog」という文字列が含まれているWebサイトを「Work」（仕事）というカテゴリーに分類するよう設定しています。
awplus(config-web-control)# category Work ↓ awplus(config-category)# match chat-for-work ↓ awplus(config-category)# match work-blog ↓ awplus(config-category)# exit ↓

permit（アクセスを許可）
deny（アクセスを拒否し、エラーページを返す）

本例では手順3でデフォルトアクションを許可に設定しているため、どのカテゴリーにも分類されなかったサイト、および、どのルールにもマッチしなかったカテゴリーのサイトへのアクセスは許可されます。

なお、ruleコマンドで指定するカテゴリー名は、show web-control categoriesコマンドで確認できます。

ここでは、ゾーン「private」（内部ネットワーク）から「Blogs」（ブログ）、「Chat」（チャット）、「Crimes, Weapons」（犯罪、武器）カテゴリーに分類されたWebサイトへのアクセスを禁止しています。

ただし、ブログサイトやチャットサイトでも、手順4で定義したカスタムカテゴリー「Work」（仕事）にマッチするURLであれば例外的に許可するよう設定しています。

デフォルトアクションが「許可」であるため、ここで指定していないカテゴリーのサイトや、どのカテゴリーにも分類されなかったサイトへのアクセスはすべて許可されます。

awplus(config-web-control)# rule permit Work from private ↓ awplus(config-web-control)# rule deny Blogs from private ↓ awplus(config-web-control)# rule deny Chat from private ↓ awplus(config-web-control)# rule deny "Crime, Weapons" from private ↓

6．Webコントロール（URLフィルタリング）機能を有効化します。これにはprotectコマンドを使います。

awplus(config-web-control)# protect ↓

設定は以上です。

設定や状態の確認

■ Webコントロール（URLフィルタリング）機能の有効・無効、デフォルトアクション、URLカテゴリーデータベースの提供元、および、各種統計情報は、show web-controlコマンドで確認できます。

awplus# show web-control ↓ Web Control protection is enabled Web Control default action is deny Categorization provider is Digital Arts Server URL: www.mydigital_arts_server_url.com Username: my_user_name Password: my_password Statistics: Categorization hits: 40/40 (100.0%) Rule hits: 20/40 (50.0%) Cache hits: 30/40 (75.0%) Cache size: 40

■ Webコントロール（URLフィルタリング）ルールの情報は、show web-control rulesコマンドで確認できます。

#show web-control rules ID Action Category From Hits -------------------------------------------------------------------------- 10 deny "Online Trading" r&d.test.qa 0 20 permit "Browser Crashing Sites" market.sales 1 25 permit suspicious_sites r&d 2

PN: 613-002107 Rev.F