[index] AT-AR3050S/AT-AR4050S/AT-AR4050S-5G コマンドリファレンス 5.5.4

UTM / Webコントロール

Note

サブネットベースNAT（netmapアクション）とは併用できません。

Note

Webコントロール（URLフィルタリング）機能を使用するにはアニュアルライセンスが必要です。
ライセンスのインストール方法については「運用・管理」/「システム」の「ライセンスキーのインストール」をご参照ください。

Note

UTMバンドルライセンス「UTM-01：アプリケーションコントロール、Webコントロール」を適用している場合、Webコントロール（URLフィルタリング）は以下の機能と併用できません。
バンドルでない従来の単体ライセンスを適用している場合、この制限はありません。

• マルウェアプロテクション（ストリーム型アンチウイルス）
  
• アンチウイルス（プロキシー型アンチウイルス）
  

Note

URLカテゴリーデータベースの提供元をデジタルアーツ社からOpenText社に切り替えるときは、providerコマンドでopentextを指定した後、いったん設定を保存して再起動してください。

Note

Webコントロール（URLフィルタリング）機能とDPI Webカテゴライズ機能は同時に使用できません。

Note

Webコントロール（URLフィルタリング）機能の対象となるのは、本製品のルーティング用インターフェースを通過するTCP 80/443番ポート宛ての通信（HTTP/HTTPS通信）です。

Note

HTTPSの通信では暗号化されたTLSセッション上でHTTPリクエストが送信されるため、アクセス先URLそのものを検査することはできません。ただし通常、TLSセッション開始時のClientHelloメッセージには接続先サーバーのドメイン名がSNIとして含まれるため、HTTPS通信に対してはこのドメイン名の情報を利用して処理を行います。

Note

Webコントロール（URLフィルタリング）とURLフィルター（URLブラックリスト）は別の機能です。Webコントロールでは、アクセス先のWebサイト（URL）をカテゴリーに分類し、カテゴリー単位でアクセスの拒否・許可を制御します。一方、URLフィルターは、個々のアクセス先URLを、ブラックリスト、ホワイトリストに記述されたパターンと照合して拒否・許可を制御します。また、もう一つの違いとして、Webコントロールではアクセス元クライアントごとの制御を行いますが、URLフィルターの制御はすべてのWebアクセスに適用されます。なお、両機能は併用が可能です。併用時は両機能で許可されたときだけWebアクセスが可能です。

Note

Webコントロール機能が使用するURLカテゴリーデータベースは、本製品にダウンロードするのではなく、必要に応じて本製品がインターネット上のサーバーに問い合わせる形で使用するため、データベースの更新は不要です。

基本動作

Note

WebサイトのURLカテゴリーが判明するまでのクライアントとWebサイト間の通信は転送されますが、URLカテゴリーが判明した後は、ルールリストに基づいた動作をします。

基本設定

ホワイトリスト方式（指定したサイトのみ許可）

1. Webコントロール（URLフィルタリング）機能の設定を行うため、Webコントロールモードに移行します。これにはweb-controlコマンドを使います。
   

   awplus(config)# web-control ↓
   

   
   
2. URLカテゴリーデータベースの提供元を指定します。これにはproviderコマンドを使います。
   このデータベースに含まれるURLカテゴリーをプロバイダーカテゴリー（一覧）と呼びます。
   一方、ユーザーが定義するカテゴリーはカスタムカテゴリーと呼びます。
   

   awplus(config-web-control)# provider opentext ↓
   

   Note

   Webコントロール（URLフィルタリング）機能とファイアウォール機能を併用する場合は、URLカテゴリーデータベースに問い合わせるため、本製品からインターネットへのDNS通信、HTTP通信およびHTTPS通信を許可する必要があります。

   
   
3. カスタムカテゴリーを定義します。これには、categoryコマンドとmatchコマンドを使います。
   ここでは、URLのホスト名かパス部分に、「tech-news」か「play-scala」という文字列が含まれているWebサイトを「Technical」（技術系）というカテゴリーに分類するよう設定しています。
   また、同様に「xxxx」、「zzzzzz」という文字列が含まれているWebサイトを「TimeWasting」（時間の無駄）というカテゴリーに分類するよう設定しています。
   

   awplus(config-web-control)# category Technical ↓
   awplus(config-category)# match tech-news ↓
   awplus(config-category)# match play-scala ↓
   awplus(config-category)# exit ↓
   awplus(config-web-control)# category TimeWasting ↓
   awplus(config-category)# match xxxx ↓
   awplus(config-category)# match zzzzzz ↓
   awplus(config-category)# exit ↓
   

   
   
4. Webコントロールルールを作成します。これにはruleコマンドを使います。
   Webコントロールルールは、「アクセス元クライアント」と「アクセス先Webサイトのカテゴリー」の組み合わせごとにアクションを指定するものです。
   
   アクセス元クライアントは、「エンティティー（通信主体）定義」によって指定します。詳細は「UTM」/「エンティティー定義」をご覧ください。
   
   アクセス先Webサイトのカテゴリーとしては、プロバイダーカテゴリー（一覧）かカスタムカテゴリーを指定します。
   
   アクションには次の2つがあります。
   
   • permit（アクセスを許可）
     
   • deny（アクセスを拒否し、エラーページを返す）
     
   
   本例では初期設定のデフォルトアクション「拒否」をそのまま使っているため、どのカテゴリーにも分類されなかったサイト、および、どのルールにもマッチしなかったカテゴリーのサイトへのアクセスは拒否されます。そのため、許可ルールを追加しないままWebコントロール機能を有効化すると、すべてのWebアクセスが遮断されることとなります。
   
   なお、ruleコマンドで指定するカテゴリー名は、show web-control categoriesコマンドで確認できます。
   

   awplus(config-web-control)# do show web-control categories ↓
   Category                                                  Category Hits  Custom
       Custom Matches
   --------------------------------------------------------------------------------
   abortion                                                              0
   alcohol-tobacco                                                       0
   auctions                                                              0
   botnets                                                               0
   business-economy                                                   3023
   cheating                                                              0
   computer-internet-info                                             2469
   computer-security                                                   705
   ...
   Technical                                                             0     yes
       play-scala
       tech-news
   "Terrorism, Extremism"                                                0
   TimeWasting                                                           0     yes
       xxxx
       zzzzzz
   "Town Pages"                                                          0
   ...
   

   
   ここでは、ゾーン「private」（内部ネットワーク）から「government」（政府）、「computer-internet-info」（コンピューター/インターネット）、「internet-portals」（ポータル）カテゴリーに分類されたWebサイトへのアクセスを許可しています。
   
   ただし、これら許可カテゴリーのサイトでも、手順3で定義したカスタムカテゴリー「TimeWasting」（時間の無駄）にマッチするURLであれば例外的に禁止するよう設定しています。
   
   また、上記の許可カテゴリー以外であっても、同じく手順3で定義したカスタムカテゴリー「Technical」（技術系）にマッチするURLであれば例外的にアクセスを認めるよう設定しています。
   
   デフォルトアクションが「拒否」であるため、ルールで明示的に許可していないカテゴリーのサイトや、どのカテゴリーにも分類されなかったサイトへのアクセスはすべて禁止されます。
   

   awplus(config-web-control)# rule permit Technical from private ↓
   awplus(config-web-control)# rule deny TimeWasting from private ↓
   awplus(config-web-control)# rule permit government from private ↓
   awplus(config-web-control)# rule permit computer-internet-info from private ↓
   awplus(config-web-control)# rule permit internet-portals from private ↓
   

   
   5．Webコントロール（URLフィルタリング）機能を有効化します。これにはprotectコマンドを使います。
   

   awplus(config-web-control)# protect ↓
   

ブラックリスト方式（指定したサイトのみ禁止）

1. Webコントロール（URLフィルタリング）機能の設定を行うため、Webコントロールモードに移行します。これにはweb-controlコマンドを使います。
   

   awplus(config)# web-control ↓
   

   
   
2. URLカテゴリーデータベースの提供元を指定します。これにはproviderコマンドを使います。
   このデータベースに含まれるURLカテゴリーをプロバイダーカテゴリーと呼びます。
   一方、ユーザーが定義するカテゴリーはカスタムカテゴリーと呼びます。
   

   awplus(config-web-control)# provider opentext ↓
   

   Note

   Webコントロール（URLフィルタリング）機能とファイアウォール機能を併用する場合は、URLカテゴリーデータベースに問い合わせるため、本製品からインターネットへのDNS通信、HTTP通信およびHTTPS通信を許可する必要があります。

   
   
3. Webコントロール（URLフィルタリング）機能のデフォルトアクションを拒否から許可に変更します。これには、actionコマンドを使います。
   

   awplus(config-web-control)# action permit ↓
   

   
   
4. カスタムカテゴリーを定義します。これには、categoryコマンドとmatchコマンドを使います。
   ここでは、URLのホスト名かパス部分に、「chat-for-work」か「work-blog」という文字列が含まれているWebサイトを「Work」（仕事）というカテゴリーに分類するよう設定しています。
   

   awplus(config-web-control)# category Work ↓
   awplus(config-category)# match chat-for-work ↓
   awplus(config-category)# match work-blog ↓
   awplus(config-category)# exit ↓
   

   
   
5. Webコントロールルールを作成します。これにはruleコマンドを使います。
   Webコントロールルールは、「アクセス元クライアント」と「アクセス先Webサイトのカテゴリー」の組み合わせごとにアクションを指定するものです。
   
   アクセス元クライアントは、「エンティティー（通信主体）定義」によって指定します。詳細は「UTM」/「エンティティー定義」をご覧ください。
   
   アクションには次の2つがあります。
   
   • permit（アクセスを許可）
     
   • deny（アクセスを拒否し、エラーページを返す）
     
   
   本例では手順3でデフォルトアクションを許可に設定しているため、どのカテゴリーにも分類されなかったサイト、および、どのルールにもマッチしなかったカテゴリーのサイトへのアクセスは許可されます。
   
   なお、ruleコマンドで指定するカテゴリー名は、show web-control categoriesコマンドで確認できます。
   

   awplus(config-web-control)# do show web-control categories ↓
   Category                                                  Category Hits  Custom
       Custom Matches
   --------------------------------------------------------------------------------
   abortion                                                              0
   alcohol-tobacco                                                       0
   auctions                                                              0
   botnets                                                               0
   business-economy                                                   3023
   cheating                                                              0
   computer-internet-info                                             2469
   computer-security                                                   705
   ...
   Work                                                                  0     yes
       chat-for-work
       work-blog
   

   
   ここでは、ゾーン「private」（内部ネットワーク）から「personal-sites-blogs」（個人サイト・ブログ）、「weapons」（武器）カテゴリーに分類されたWebサイトへのアクセスを禁止しています。
   
   ただし、これらのサイトでも、手順4で定義したカスタムカテゴリー「Work」（仕事）にマッチするURLであれば例外的に許可するよう設定しています。
   
   デフォルトアクションが「許可」であるため、ここで指定していないカテゴリーのサイトや、どのカテゴリーにも分類されなかったサイトへのアクセスはすべて許可されます。
   

   awplus(config-web-control)# rule permit Work from private ↓
   awplus(config-web-control)# rule deny personal-sites-blogs from private ↓
   awplus(config-web-control)# rule deny weapons from private ↓
   

   
   6．Webコントロール（URLフィルタリング）機能を有効化します。これにはprotectコマンドを使います。
   

   awplus(config-web-control)# protect ↓
   

設定や状態の確認

awplus# show web-control ↓
Web Control protection is enabled
Web Control default action is permit
Categorization provider is OpenText
Categorization provider is licensed
Statistics:
 Categorization hits: 42488/43283  (98.2%)
 Rule hits:   6/43283  (0.0%)
 Cache hits:  40019/43283  (92.5%)
 Cache size:  128

awplus# show web-control rules ↓
ID     Action  Category                  From                         Hits
--------------------------------------------------------------------------
10     deny    questionable              r&d.test.qa                  0
20     permit  stock-advice              market.sales                 1
25     permit  suspicious_sites          r&d                          2

awplus# web-control categorize www.google.com https://www.facebook.com ↓
http://www.google.com: search-engines
https://www.facebook.com: social-media

ログ

awplus(config)# log buffered level informational facility local5 ↓

プロバイダーカテゴリー一覧

• デジタルアーツ社
  
• OpenText社
  

デジタルアーツ社（provider digitalarts）

OpenText社（provider opentext）

Note

利用可能なカテゴリーは追加されることがあります。最新のカテゴリー一覧はshow web-control categoriesコマンドでご確認ください

(C) 2015 - 2025 アライドテレシスホールディングス株式会社

PN: 613-002107 Rev.BE