员工用HTTPS绕过上网过滤？华为不解密方式的URL过滤照样管

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

不少企业配了上网行为过滤后发现一个漏洞：现在的网站基本都是HTTPS加密流量，URL过滤根本看不到用户访问的是哪个网址，规则形同虚设。传统解法是在网关上做解密，但解密部署复杂、还涉及证书分发，中小企业玩不转。华为设备提供了不解密方式的HTTPS流量过滤：不碰加密内容，直接从握手报文里把用户要访问的域名读出来做过滤。

加密流量过滤功能不对HTTPS流量进行解密，而是通过从客户端Client Hello报文的SNI（Server Name Indication）字段、服务器Certificate报文的CN（Common Name）字段中获取用户访问的网站域名（hostname）实现URL过滤的。也就是说，用户访问哪个域名这件事在握手阶段就是明文的，设备抓住这个信息做匹配即可。配置思路：把设备切到安全转发模式，创建URL过滤配置文件并在其中开启加密流量过滤，最后提交配置激活。

第一步，进入系统视图，配置设备的业务性能模式。需要开启安全业务时，建议将设备业务性能模式切换到安全转发模式（security）或安全增强模式（security-enhance）：

system-view

forward performance mode { routing | security | security-enhance }

配置前可用命令display forward performance mode查看设备当前的业务性能模式。注意部分款型不支持该命令或部分参数，详细支持情况请查看对应机型的命令参考。

第二步，创建URL过滤配置文件：

profile type url-filter name name

第三步，在该配置文件中开启加密流量过滤功能：

https-filter enable

要注意，加密流量过滤功能的生效范围仅为所在的URL过滤配置文件，不是全局生效的。

第四步，返回系统视图并提交配置。创建或修改URL过滤配置文件后，配置内容不会立即生效，需要执行提交操作来激活：

quit

engine configuration commit

配好怎么验证：配置生效后，用内网终端访问一个在过滤名单里的HTTPS网站，确认访问被拦截且日志里能看到命中的域名；再访问一个名单外的正常网站，确认放行不受影响。还有一个关键点：此处仅开启了URL过滤配置文件中的加密流量检测过滤，实际使用过程中还需要配置黑名单、白名单或URL分类，然后在安全策略中引用URL过滤配置文件，该功能才会完整生效——很多同事配完没效果就是漏了引用这一环。加密流量时代的上网管理不必上重型解密方案，欢迎搜索关注贵州诚鑫致达科技，获取更多企业上网行为管理的轻量做法。

企业存储选型参考｜贵州诚鑫致达

做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。