【Fortigate】Webフィルタの除外設定と動作確認　FortiOS6.4.3

FortiGuard のカテゴリで Web フィルタをかけるとき、カテゴリとしてはブロックしたいけれど、そのカテゴリに含まれる特定の URL だけは許可したい、という場面があります。

この場合の方法は2つあります。Web フィルタのプロファイルで URL を静的に「除外」する方法と、Web レーティングオーバーライドで URL のカテゴリを置き換える方法です。この記事では、それぞれの設定と動作を確認します。検証時の FortiOS は 6.4.3 です。

検証の内容と2つの方法

今回は、FortiGuard カテゴリの「ストリーミングメディアとダウンロード」をブロックし、例外として YouTube（youtube.com）だけを許可します。

Web フィルタは、まずスタティック URL フィルタで URL を照合し、その後に FortiGuard のカテゴリで判定します。URL フィルタのアクションと、カテゴリの置き換えによって、youtube.com の結果は次のように変わります。

カテゴリでブロックする

セキュリティプロファイル ›› Webフィルタ で、ファイアウォールポリシーに適用しているプロファイル（default）を開き、ストリーミングメディアとダウンロード のアクションをブロックにします。

FortiGate 管理画面画面イメージ

Webフィルタ ›› Webフィルタプロファイルの編集（default）

FortiGuardカテゴリベースのフィルタ：ON

✔ 許可モニタ⊘ ブロック警告認証

名前	アクション
⋮（中略）
フリーウェアとソフトウェアの…	✔ 許可
ファイル共有とストレージ	✔ 許可
1ストリーミングメディアとダウンロード	⊘ ブロック
ピアツーピアファイル共有	✔ 許可
インターネットラジオとテレビ	✔ 許可
インターネット電話	✔ 許可
⊟ セキュリティリスクの高いサイト
悪意のあるWebサイト	⊘ ブロック
フィッシング詐欺	⊘ ブロック

この状態で、端末から YouTube とニコニコ動画にアクセスすると、どちらもブロック画面が表示されます。

端末のブラウザ画面イメージ

https://www.youtube.com/

Web Page BlockedYou have tried to access a web page that is in violation of your Internet usage policy.1Category：ストリーミングメディア.ダウンロード

https://www.nicovideo.jp/

Web Page BlockedYou have tried to access a web page that is in violation of your Internet usage policy.Category：ストリーミングメディア.ダウンロード

ブロック画面の Category に、ブロックの理由になったカテゴリが表示されます。

方法1：Web フィルタのプロファイルで除外する

URL フィルタで youtube.com を除外する

同じプロファイルの スタティックURLフィルタ にある URLフィルタ を ON にし（初期状態は OFF）、新規作成 をクリックします。除外するサイトの URL を次のように設定します。

FortiGate 管理画面画面イメージ

Webフィルタプロファイルの編集 ›› 新規URLフィルタ

1URL	youtube.com
2タイプ	◉ シンプル○ 正規表現○ ワイルドカード
3アクション	◉ 除外(exempt)○ ブロック○ 許可○ モニタ
4ステータス	◉ 有効○ 無効

OKキャンセル

No.	項目	設定する内容
1	URL	除外したいサイトの URL です。今回は youtube.com を入力します。
2	タイプ	シンプル を選びます。ほかに、正規表現とワイルドカードも使えます。
3	アクション	除外(exempt) を選びます。
4	ステータス	有効 にします。

URL フィルタのアクションで選べる動作は、次のとおりです。

アクション	動作
除外（exempt）	一致した通信は、このあとの FortiGuard Web フィルタ（カテゴリ判定）、Web コンテンツフィルタ、アンチウイルス、DLP などの検査を飛ばして通します。
ブロック	一致した URL へのアクセスをブロックします。
許可	一致した通信を、このあとの FortiGuard Web フィルタやアンチウイルスなどの検査に回します。検査を通過すれば許可されます。
モニタ	許可と同じ動作で、一致するたびにログを記録します。

OK をクリックすると、リストに登録されます。続けて、プロファイルの画面下の OK をクリックして保存します。

FortiGate 管理画面画面イメージ

Webフィルタプロファイルの編集 ›› スタティックURLフィルタ

URL	タイプ	アクション	ステータス
1youtube.com	シンプル	除外(exempt)	✔ 有効

2OKキャンセル

動作を確認する

端末から YouTube とニコニコ動画にアクセスすると、YouTube にはアクセスできるようになり、ニコニコ動画は引き続きブロックされます。ログ＆レポート ›› Webフィルタ を確認すると、YouTube が通過（passthrough）、ニコニコ動画がブロックになっています。

FortiGate 管理画面画面イメージ

ログ＆レポート ›› Webフィルタ

送信元	アクション	URL	カテゴリ説明
（伏せています）	1passthrough	https://www.youtube.com/
（伏せています）	2blocked	https://www.nicovideo.jp/	ストリーミングメディア.ダウンロード

ログ詳細（https://www.youtube.com/ の行）

アクション	passthrough
ポリシーID	2
サービス	HTTPS
プロファイル名	default
URLフィルタインデックス	1
URLフィルタリスト	Auto-webfilter-urlfilter_pat6x6n9h
3メッセージ	URL was exempted because it is in the URL filter list

No.	表示	意味
1	passthrough	YouTube へのアクセスが通過したことを示します。
2	blocked	ニコニコ動画は、これまでどおりカテゴリでブロックされています。
3	メッセージ	URL フィルタのリスト（インデックス 1 の行）で除外されたことを示します。

除外を使うと、カテゴリ判定だけでなく、アンチウイルスなどのセキュリティ検査も飛ばされ、除外したことがログに残ります。検査を飛ばさず、通過のログも不要な場合は、次の Web レーティングオーバーライドを使います。

URL フィルタを「許可」にした場合

図4 のアクションを 許可 にすると、YouTube へのアクセスはブロックされます。

FortiGate 管理画面画面イメージ

Webフィルタプロファイルの編集 ›› URLフィルタの編集

URL	youtube.com
タイプ	◉ シンプル○ 正規表現○ ワイルドカード
1アクション	○ 除外(exempt)○ ブロック◉ 許可○ モニタ
ステータス	◉ 有効○ 無効

端末のブラウザ画面イメージ

https://www.youtube.com/

Web Page BlockedYou have tried to access a web page that is in violation of your Internet usage policy.Category：ストリーミングメディア.ダウンロード

URL フィルタの許可は、一致した通信をこのあとの FortiGuard のカテゴリ判定に回す動作です。そのため、YouTube はカテゴリ判定で「ストリーミングメディアとダウンロード」と判定され、ブロックされます（図1 の2段目）。カテゴリでブロックしているサイトを URL フィルタで通すときは、許可ではなく除外を使います。

方法2：Web レーティングオーバーライド

Web レーティングオーバーライドを使うと、特定の URL の FortiGuard カテゴリを、別のカテゴリに置き換えられます。今回は、YouTube をローカルカテゴリ（自分で作るカテゴリ）に置き換え、そのカテゴリのアクションを許可にします。

ローカルカテゴリを作る

セキュリティプロファイル ›› Webレーティングオーバーライド を開き、カスタムカテゴリ をクリックします。新規作成 をクリックし、名前に Allowed-Custom を入力して OK をクリックします。

FortiGate 管理画面画面イメージ

Webレーティングオーバーライド ›› カスタムカテゴリ

名前	オーバーライドURLの数	Webフィルタプロファイルのリファレンス
1Allowed-Custom	0	0
custom1	0	1
custom2	0	0

プロファイルでローカルカテゴリを許可にする

セキュリティプロファイル ›› Webフィルタ で適用しているプロファイルを開くと、ローカルカテゴリ に Allowed-Custom が追加されています。アクションを 許可 にし、OK をクリックします。

FortiGate 管理画面画面イメージ

Webフィルタ ›› Webフィルタプロファイルの編集（default）

名前	アクション
⊟ ローカルカテゴリ
1Allowed-Custom	Disable → ✔ 許可
custom1	✔ 許可
custom2	Disable
⊟ 違法性の高いサイト
⋮（以下略）

2OKキャンセル

youtube.com のカテゴリを置き換える

セキュリティプロファイル ›› Webレーティングオーバーライド で 新規作成 をクリックします。URL に youtube.com を入力して レーティングのルックアップ をクリックすると、今のカテゴリを確認できます。オーバーライド先に、ローカルカテゴリ（Custom Categories）の Allowed-Custom を選び、OK をクリックします。

FortiGate 管理画面画面イメージ

Webレーティングオーバーライド ›› 新規Webレーティングオーバーライド

1URL	youtube.com レーティングのルックアップ
2カテゴリ	Bandwidth Consuming
サブカテゴリ	Streaming Media and Download

オーバーライド先

3カテゴリ	Custom Categories
サブカテゴリ	Allowed-Custom

OKキャンセル

No.	項目	内容
1	URL	カテゴリを置き換える URL です。
2	カテゴリ	ルックアップの結果です。youtube.com は Bandwidth Consuming の Streaming Media and Download と判定されています。
3	オーバーライド先	カテゴリに Custom Categories、サブカテゴリに Allowed-Custom を選びます。

OK をクリックすると、次のように登録されます。

FortiGate 管理画面画面イメージ

セキュリティプロファイル ›› Webレーティングオーバーライド

URL	ステータス
⊟ Allowed-Custom　(1)
1youtube.com	✔ 有効

動作を確認する

端末から YouTube とニコニコ動画にアクセスすると、YouTube にはアクセスできるようになり、ニコニコ動画はブロックされます。ログ＆レポート ›› Webフィルタ を見ると、ニコニコ動画がブロックされたログは出ていますが、YouTube を通過したログは出ていません。

FortiGate 管理画面画面イメージ

ログ＆レポート ›› Webフィルタ

送信元	アクション	URL	カテゴリ説明
（伏せています）	1blocked	https://www.nicovideo.jp/	ストリーミング…
（伏せています）	2blocked	https://r1—sn-oguesnz7.googlevideo.com/	ストリーミング…
（伏せています）	blocked	https://r1—sn-oguesnz7.googlevideo.com/	ストリーミング…

No.	表示	意味
1	nicovideo.jp	ニコニコ動画は、これまでどおりカテゴリでブロックされています。
2	googlevideo.com	YouTube にアクセスしたときに、動画の配信元の googlevideo.com にもアクセスがあり、こちらはストリーミングのカテゴリでブロックされています。youtube.com だけを置き換えたためです。

YouTube の通過ログが出ないのは、ローカルカテゴリのアクションを GUI で「許可」にすると、ログを記録しないモニタ（CLI の set action monitor と set log disable）として設定されるためです。

まとめ

方法	結果	セキュリティ検査	通過のログ
URL フィルタ：除外	通過	飛ばす（カテゴリ、アンチウイルスなど）	出る（passthrough、exempted）
URL フィルタ：許可	ブロック	カテゴリ判定に回る	―
Web レーティングオーバーライド	通過	カテゴリを置き換えて判定する	出ない（ローカルカテゴリの許可）

カテゴリでブロックしたサイトを例外で通すときは、検査を飛ばしてよいなら URL フィルタの除外、検査は残してカテゴリだけ変えたいなら Web レーティングオーバーライドを使います。どちらの方法でも、動画の配信元など別のドメインは個別に考える必要があります。

参考：URL filter – FortiOS 6.4 ／ Web rating override – FortiOS 6.4
FortiGate の関連記事：Webフィルタ、URLフィルタ ／ URLフィルタのスタティック設定 ／ SSLインスペクション（certificate-inspection）