Samouczek: konfigurowanie filtrowania adresów URL i niestandardowych stron blokowych

Filtrowanie adresów URL to zaawansowany typ filtrowania zawartości internetowej na podstawie pełnego lub częściowego adresu URL. W przeciwieństwie do filtrowania na podstawie w pełni kwalifikowanych nazw domen (FQDN), które są widoczne w nagłówku ruchu, filtrowanie adresów URL wymaga inspekcji protokołu Transport Layer Security (TLS), aby zobaczyć określone miejsce docelowe, do którego użytkownik próbuje uzyskać dostęp. Na przykład, www.bing.com jest widoczny bez inspekcji protokołu TLS, ale www.bing.com/images nie jest. Filtrowanie adresów URL zapewnia szczegółowe filtrowanie zawartości internetowej i zwiększa dokładność filtrowania zawartości internetowej według kategorii.

W tym poradniku nauczysz się, jak:

Wymagania wstępne

Ukończ samouczek Konfigurowanie inspekcji protokołu TLS. Inspekcja protokołu TLS jest wymaganiem wstępnym dla filtrowania adresów URL.

Kluczowe pojęcia

Zrozumienie różnicy między nazwą FQDN i filtrowaniem adresów URL ma kluczowe znaczenie dla efektywnego projektowania zasad.

Objective

Ten samouczek opiera się na poprzednich samouczkach. W samouczku filtrowania nazw FQDN zablokowano dostęp do usługi Bing i wystąpił błąd, który nie jest przyjazny dla użytkownika. W samouczku inspekcji protokołu TLS włączono inspekcję protokołu TLS, która jest wymaganiem wstępnym dla filtrowania adresów URL. W tym samouczku nauczysz się następujących rzeczy:

• Szczegółowe zezwalanie na określone adresy URL Bing przy jednoczesnym pozostawieniu innych zablokowanych w celu zademonstrowania szczegółowego filtrowania zawartości internetowej (szczegółowa lista dozwolonych).
• Utwórz zasady, aby zablokować określony adres URL, www.youtube.com/shorts, pozostawiając pozostałą część dozwolonego obszaru domeny (szczegółowa lista bloków).
• Skonfiguruj dostosowany komunikat o błędzie, który użytkownicy widzą po zablokowaniu.

Przykładowe filmy instruktażowe

W poniższym filmie wideo pokazano, jak skonfigurować filtrowanie adresów URL.

W poniższym filmie wideo pokazano, jak skonfigurować niestandardowe strony błędów.

Poniższe wideo demonstruje doświadczenie użytkownika podczas filtrowania adresów URL.

Krok 1. Tworzenie zasad filtrowania zawartości internetowej

Utwórz zasadę blokowania Shorts w serwisie YouTube

1. W centrum administracyjnym Microsoft Entra przejdź do Globalnego Bezpiecznego Dostępu>, Bezpieczeństwa> i zasad filtrowania treści sieciowych.
2. Wybierz Utwórz politykę.
   • Nazwa: wybierz pozycję Blokuj szorty YouTube.
   • Akcja: wybierz pozycję Blokuj.
3. Wybierz Dalej.
4. Wybierz Dodaj regułę.
   • Nazwa: wybierz pozycję Szorty YouTube.
   • Typ docelowy: Wybierz FQDN.
   • Miejsce docelowe: wybierz pozycję www.youtube.com/shorts,youtube.com/shorts.
5. Wybierz opcję Dodaj.
6. Wybierz przycisk Dalej, a następnie wybierz pozycję Utwórz zasady.

Tworzenie zasad zezwalających na mapy Bing

1. Wybierz Utwórz politykę.
   • Name: Wybierz Allow Bing Maps.
   • Akcja: wybierz pozycję Zezwalaj.
2. Wybierz Dalej.
3. Wybierz Dodaj regułę.
   • Name: Wybierz Bing Maps.
   • Typ miejsca docelowego: wybierz adres URL.
   • Miejsce docelowe: wybierz pozycję *.bing.com/maps,bing.com/maps.
4. Wybierz opcję Dodaj.
5. Wybierz przycisk Dalej, a następnie wybierz pozycję Utwórz zasady.

Krok 2. Łączenie zasad filtrowania zawartości internetowej z profilem zabezpieczeń

1. Przejdź do okienka Profile zabezpieczeń .
2. Wybierz profil zabezpieczeń z samouczka inspekcji protokołu TLS (a nie bazowy profil zabezpieczeń), następnie przejdź do okienka Połącz polityki.
3. Wybierz pozycję Połącz zasady, a następnie wybierz pozycję Istniejące zasady filtrowania sieci Web.
4. W obszarze Nazwa zasad wybierz pozycję Blokuj skróty YouTube i nadaj mu priorytet 200. Stan powinien być włączony. Wybierz opcję Dodaj.
5. Wybierz pozycję Połącz zasady, a następnie ponownie wybierz pozycję Istniejące zasady filtrowania sieci Web .
6. W obszarze Policy name wybierz pozycję Allow Bing Maps i nadaj mu priorytet 150. Stan powinien być włączony. Wybierz opcję Dodaj.
7. Wybierz Dalej.
8. Wybierz pozycję Utwórz profil.

Krok 3. Konfigurowanie niestandardowego komunikatu o błędzie

1. Przejdź do pozycji Globalny Bezpieczny Dostęp>Ustawienia>Zarządzanie sesjami.
2. Wybierz kartę Niestandardowa Strona Bloku.
3. Ustaw niestandardową wiadomość treści na włączone.
4. Wprowadź niestandardową treść wiadomości i wybierz pozycję Zapisz.

W wiadomości o niestandardowej treści można użyć ograniczonego formatu Markdown. Możesz na przykład dołączyć link do pomocy technicznej, taki jak Need access? [Contact support](https://support.contoso.com) to request an exception.

Krok 4. Weryfikowanie filtrowania adresów URL i błędu niestandardowego

1. Na urządzeniu testowym otwórz przeglądarkę i przejdź do www.bing.com. Sprawdź, czy jesteś zablokowany i czy jest wyświetlany niestandardowy komunikat o błędzie.

   

2. Przejdź do www.bing.com. Sprawdź, czy dostęp jest nadal zablokowany zgodnie z instrukcjami filtrowania nazw FQDN zawartymi w samouczku.

3. Przejdź do www.bing.com/maps. Sprawdź, czy dostęp jest dozwolony.

4. Przejdź do www.youtube.com. Sprawdź, czy dostęp jest dozwolony.

5. Przejdź do www.youtube.com/shorts. Sprawdź, czy dostęp jest zablokowany.

Kolejność oceny zasad

W tym przykładzie samouczka ewaluacja polityki działa w następujący sposób:

User navigates to bing.com:

1. Custom Security Profile (assigned via Conditional Access)
   └─ Allow Bing Maps (priority 100) → Does NOT match bing.com → Continue...
2. Baseline Profile (priority 65000)
   └─ Block Bing → Matches bing.com → BLOCK ✗

User navigates to bing.com/maps

1. Custom Security Profile (assigned via Conditional Access)
   └─ Allow Bing Maps (priority 100) → Matches bing.com/maps → ALLOW ✓

User navigates to youtube.com (homepage):

1. Custom Security Profile (assigned via Conditional Access)
   └─ Block YouTube Shorts (priority 100) → Does NOT match youtube.com/shorts → Continue...
2. Baseline Profile (priority 65000)
   └─ No YouTube rules → ALLOW ✓

User navigates to youtube.com/shorts:

1. Custom Security Profile (assigned via Conditional Access)
   └─ Block YouTube Shorts (priority 100) → Matches youtube.com/shorts → BLOCK ✗

W tym przykładzie pokazano, jak filtrowanie adresów URL umożliwia selektywne blokowanie lub zezwalanie.

Czego się nauczyłeś

W tym samouczku wykonałeś następujące zadania:

• Zaimplementowano szczegółowe filtrowanie adresów URL: Zablokowano YouTube Shorts, a pozwolono na resztę YouTube. Ta akcja pokazuje, jak filtrowanie adresów URL umożliwia dokładną kontrolę nad miejscami docelowymi sieci Web.
• Utworzone reguły wyjątków: Zezwoliłeś na Bing Maps, podczas gdy sam Bing pozostaje zablokowany przez profil bazowy. Ta akcja pokazuje, jak warstwować zasady dla zniuansowanej kontroli dostępu.
• Skonfigurowane niestandardowe komunikaty o zablokowaniu: Użytkownicy mogą teraz zobaczyć pomocną stronę informującą o błędzie zamiast ogólnego komunikatu „resetowania połączenia”. Ta akcja poprawia środowisko użytkownika i zmniejsza liczbę biletów pomocy technicznej.
• Zrozumiałe pierwszeństwo zasad: Liczby o niższym priorytcie są oceniane jako pierwsze, co umożliwia profilom niestandardowym tworzenie wyjątków od reguł punktu odniesienia.

Dlaczego filtrowanie adresów URL wymaga inspekcji protokołu TLS

Without TLS inspection:              With TLS inspection:
┌───────────────────┐             ┌───────────────────┐
│ TLS handshake     │             │ Decrypted traffic │
│                   │             │                   │
│ SNI: youtube.com  │  ← Visible  │ GET /shorts/abc   │  ← Now visible!
│                   │             │ Host: youtube.com │
│ [Encrypted data]  │  ← Hidden   │ Cookie: ...       │
│                   │             │ User-Agent: ...   │
└───────────────────┘             └───────────────────┘

Ścieżka (/shorts) jest częścią żądania HTTP, który znajduje się wewnątrz szyfrowanego tunelu TLS. Tylko przez zakończenie protokołu TLS serwer proxy może wyświetlać i filtrować na podstawie pełnego adresu URL.

Następne kroki