"URL 继续" 选项在数据包级别上的工作方式
Resolution
详细
对于本文档中的方案, 正在使用 "" 社交网络 "类别的" URL 筛选 "配置文件的示例。已在客户端上获取了数据包捕获。对于使用 URL 配置文件访问安全策略的 HTTP/HTTPS 通信, 在 web 浏览器中显示 "继续" 响应 (在下面显示的示例中, 它是 http://facebook.com页):
当建立 TCP 会话 (数据包 268-270) 时, 由于 HTTP 通信量与配置为 "继续" 操作的 URL 类别匹配, 帕洛阿尔托网络设备发送 HTTP 302 重定向消息, 如下所示 (数据包 272)。此数据包中指定的重定向位置为: "http://173.252.110.27:6080/php/urlblock.php？vsys=1&cat=10014&title=social-networking&rulename=permit-all&uid=16&url=http://facebook.com%2f" (在 web 中看到的相同 URI上面示例中的浏览器). 此 URI 包含 url 类别和原始 url。当 web 浏览器接收到此数据包时, 现有的 TCP 会话将被拆下 (数据包编号为 276):
接下来, 浏览器使用端口6080启动新的 TCP 会话 (数据包 277-279), 这是从帕洛阿尔托网络设备发送的 HTTP 302 消息中指定的。数据包编号280显示了从 web 浏览器发送的 HTTP 请求。此数据包中的 http 获取消息包含从 HTTP 302 消息的位置字段获取的路径:
在下面显示的会话中, 帕洛阿尔托网络设备发送 HTTP 200 OK 消息 (包号 284)。此数据包包含 "继续" 按钮的 HTML 代码, 当 web 浏览器收到此数据包时, 它显示 "继续" 页 (此文档顶部的第一个图像):
使用以下 CLI 命令可以查看在帕洛阿尔托网络设备中被识别为 "帕诺斯-web 接口" 的会话:
>> 显示会话所有筛选器源192.168.193。3
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
ID 应用程序状态类型标志 Src [体育]/区域/原始 (已翻译的 ip [端口])Vsys Dst [Dport]/区域 (已翻译的 ip [端口])
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
1192 帕诺斯 - 网络接动流和 192 . 168 . 193 . 3 [ 2569 ] / 信任 / 6 ( 192 . 168 . 193 . 3 [ 2569 ] ) vsys 1173 . 252 . 110 . 27 [ 6080 ] / 圈养门 ( 127 . 131 . 1 . 1 [ 6180 ] )
[...]
当客户端按下 "继续" 按钮时, 帕洛阿尔托网络设备将 web 浏览器重定向到最终目标。数据包388显示了最终用户按下 "继续" 按钮的时刻, 而数据包390显示了帕洛阿尔托网络 web 服务器生成的 HTTP 302 消息 (此数据包的原始 http://facebook.com URL 设置在此数据包的位置字段):
最后, web 浏览器直接启动一个新的 TCP 连接到 facebook.com web 服务器:
所有者: gbogojevic