Esercitazione: Configurare il filtro URL e le pagine di blocco personalizzate

Il filtro URL è un tipo avanzato di filtro contenuto Web basato su un URL completo o parziale. A differenza del filtro basato su nomi di dominio completi (FQDN) visibili nell'intestazione del traffico, il filtro URL richiede l'ispezione TLS (Transport Layer Security) per visualizzare la destinazione specifica a cui un utente sta tentando di accedere. Ad esempio, www.bing.com è visibile senza ispezione TLS, ma www.bing.com/images non lo è. Il filtro URL offre filtri di contenuto Web con granularità fine e migliora l'accuratezza del filtro dei contenuti Web per categoria.

In questa esercitazione apprenderai a:

Prerequisiti

Completa il tutorial Configura l'ispezione TLS. L'ispezione TLS è un prerequisito per il filtro URL.

Concetti chiave

Comprendere la differenza tra FQDN e filtro URL è fondamentale per una progettazione efficace dei criteri.

Obiettivo

Questa esercitazione si basa sulle esercitazioni precedenti. Nell'esercitazione sul filtro FQDN è stato bloccato l'accesso a Bing e si è ricevuto un errore che non è amichevole per l'utente. Nel tutorial sull'ispezione TLS, hai abilitato l'ispezione TLS, che è un prerequisito per il filtro URL. In questa esercitazione, imparerai a:

• Consentire in modo granulare URL Bing specifici lasciando altri bloccati per illustrare il filtro dei contenuti Web con granularità fine (elenco di elementi consentiti granulari).
• Creare un criterio per bloccare un URL specifico, www.youtube.com/shorts, lasciando il resto dello spazio di dominio consentito (elenco di blocchi granulare).
• Configurare un messaggio di errore personalizzato visualizzato dagli utenti quando vengono bloccati.

Video dimostrativi

Il video seguente illustra come configurare il filtro URL.

Il video seguente illustra come configurare pagine di errore personalizzate.

Il video seguente illustra l'esperienza utente del filtro URL.

Passaggio 1: Creare criteri di filtro dei contenuti Web

Creare un criterio per bloccare gli shorts di YouTube

1. Dal Microsoft Entra admin center passare a Global Secure Access>Secure>Crite di filtro dei contenuti Web.
2. Selezionare Crea politica.
   • Nome: Selezionare Blocca short YouTube.
   • Azione: selezionare Blocca.
3. Seleziona Avanti.
4. Seleziona Aggiungi regola.
   • Nome: selezionare YouTube Shorts.
   • Tipo di destinazione: selezionare fqdn.
   • Destinazione: selezionare www.youtube.com/shorts,youtube.com/shorts.
5. Seleziona Aggiungi.
6. Selezionare Avanti e quindi Crea criterio.

Creare una politica per permettere Bing Maps

1. Selezionare Crea politica.
   • Name: selezionare Consenti Bing Maps.
   • Azione: selezionare Consenti.
2. Seleziona Avanti.
3. Seleziona Aggiungi regola.
   • Name: selezionare Bing Maps.
   • Tipo di destinazione: selezionare l'URL.
   • Destinazione: selezionare *.bing.com/maps,bing.com/maps.
4. Seleziona Aggiungi.
5. Selezionare Avanti e quindi Crea criterio.

Passaggio 2: Collegare i criteri di filtro del contenuto Web a un profilo di sicurezza

1. Passare al riquadro Profili di sicurezza .
2. Selezionare il profilo di sicurezza dall'esercitazione sull'ispezione TLS (non il profilo di sicurezza di base) e poi selezionare il riquadro Collega politiche.
3. Selezionare Collega un criterio e quindi selezionare Criteri di filtro Web esistenti.
4. In Nome criterio selezionare Blocca short YouTube e assegnargli una priorità pari a 200. Lo stato deve essere Abilitato. Seleziona Aggiungi.
5. Selezionare Collega un criterio e quindi selezionare di nuovo Criteri di filtro Web esistenti .
6. Nel Nome criteri, selezionare Consenti Bing Maps e assegnargli la priorità 150. Lo stato deve essere Abilitato. Seleziona Aggiungi.
7. Seleziona Avanti.
8. Selezionare Crea un profilo.

Passaggio 3: Configurare un messaggio di errore personalizzato

1. Passare a Global Secure Access>Impostazioni>Gestione sessioni.
2. Selezionare la scheda Pagina blocco personalizzata .
3. Impostare Messaggio corpo personalizzatosu Sì.
4. Immettere un messaggio di corpo personalizzato e selezionare Salva.

Potete usare markdown limitato nel testo personalizzato del messaggio. Ad esempio, è possibile includere un collegamento di supporto, ad esempio Need access? [Contact support](https://support.contoso.com) to request an exception.

Passaggio 4: Verificare il filtro URL e l'errore personalizzato

1. Nel dispositivo di test aprire un browser e passare a www.bing.com. Verificare di essere bloccati e che venga visualizzato il messaggio di errore personalizzato.

   

2. Passare a www.bing.com. Verificare che l'accesso sia ancora bloccato dall'esercitazione sul filtro FQDN.

3. Passare a www.bing.com/maps. Verificare che l'accesso sia consentito.

4. Passare a www.youtube.com. Verificare che l'accesso sia consentito.

5. Passare a www.youtube.com/shorts. Verificare che l'accesso sia bloccato.

Ordine di valutazione dei criteri

Nell'esempio di questa esercitazione, la valutazione dei criteri funziona nel modo seguente:

User navigates to bing.com:

1. Custom Security Profile (assigned via Conditional Access)
   └─ Allow Bing Maps (priority 100) → Does NOT match bing.com → Continue...
2. Baseline Profile (priority 65000)
   └─ Block Bing → Matches bing.com → BLOCK ✗

User navigates to bing.com/maps

1. Custom Security Profile (assigned via Conditional Access)
   └─ Allow Bing Maps (priority 100) → Matches bing.com/maps → ALLOW ✓

User navigates to youtube.com (homepage):

1. Custom Security Profile (assigned via Conditional Access)
   └─ Block YouTube Shorts (priority 100) → Does NOT match youtube.com/shorts → Continue...
2. Baseline Profile (priority 65000)
   └─ No YouTube rules → ALLOW ✓

User navigates to youtube.com/shorts:

1. Custom Security Profile (assigned via Conditional Access)
   └─ Block YouTube Shorts (priority 100) → Matches youtube.com/shorts → BLOCK ✗

In questo esempio viene illustrato il modo in cui il filtro URL abilita il blocco selettivo o l'autorizzazione.

Che cosa si è appreso

In questa esercitazione sono state eseguite le attività seguenti:

• Implementazione del filtro URL con granularità fine: Hai bloccato gli Shorts di YouTube mentre consenti il resto di YouTube. Questa azione illustra il modo in cui il filtro URL consente un controllo preciso sulle destinazioni Web.
• Regole di eccezione create: Hai consentito Bing Maps mentre Bing rimane bloccato dal profilo di base. Questa azione illustra come stratificare i criteri per un controllo di accesso sfumato.
• Messaggi di blocco personalizzati configurati: Gli utenti visualizzano ora una pagina di errore utile anziché un messaggio generico di "reimpostazione della connessione". Questa azione migliora l'esperienza utente e riduce i ticket helpdesk.
• Precedenza dei criteri riconosciuta: I numeri con priorità più bassa vengono valutati per primi, consentendo ai profili personalizzati di creare eccezioni alle regole di base.

Perché il filtro URL richiede l'ispezione TLS

Without TLS inspection:              With TLS inspection:
┌───────────────────┐             ┌───────────────────┐
│ TLS handshake     │             │ Decrypted traffic │
│                   │             │                   │
│ SNI: youtube.com  │  ← Visible  │ GET /shorts/abc   │  ← Now visible!
│                   │             │ Host: youtube.com │
│ [Encrypted data]  │  ← Hidden   │ Cookie: ...       │
│                   │             │ User-Agent: ...   │
└───────────────────┘             └───────────────────┘

Il percorso (/shorts) fa parte della richiesta HTTP, che si trova all'interno del tunnel TLS crittografato. Solo terminando TLS, il proxy può visualizzare e filtrare in base all'URL completo.

Passo successivo