Webfilter功能的介绍和部署
Webfilter功能的介绍和部署
FortiClient Web Filter 根据 FortiGuard 网站分类和管理员配置的 URL 规则，对终端的 HTTP/HTTPS 请求执行允许、监控、警告或阻止。规则随 Endpoint Policy 下发，即使终端不在公司网络内也能继续执行。
功能组成和动作
Web filter包括以下功能：
| 功能 | 作用 |
|---|---|
| Site Categories | 按 FortiGuard 类别控制网站 |
| Exclusion List / Custom URL Filter | 按 URL、域名、通配符或正则表达式精确覆写类别动作 |
| Scheduling | 只在指定日期和时间应用过滤，非计划时段执行 Fallback Action |
| Safe Search | 对受支持搜索引擎和 YouTube 强制安全搜索级别 |
| Browser Plugin | 改善 Windows Chrome、Edge 和 Firefox 的 HTTPS/HTTP3 识别及阻断体验 |
| HTTPS Deep Inspection | 在受支持的 macOS/Linux 终端代理 HTTPS，以识别完整 URL |
| Events and Logs | 在终端、FortiAnalyzer 和 EMS 中记录相应访问事件 |
| Web Filter 支持以下处理动作： |
| 动作 | 行为 | 使用建议 |
|---|---|---|
| Allow | 允许访问，通常不生成类别阻断事件 | 可信业务类别 |
| Monitor | 允许访问并记录 | 上线前观察、生产力类网站基线 |
| Warn | 显示警告，用户确认后可继续 | 有风险但业务可能需要的网站 |
| Block | 拒绝访问 | 恶意、钓鱼、代理规避及明确禁止类别 |
先决条件
- EMS 正常运行，目标终端已连接 EMS，并安装 Web Filter 组件。
- Windows、macOS 和 Linux 的 System Settings 配置中已启用 FortiProxy (Disable Only When Troubleshooting)；否则 Web Filter 选项不能正常生效。
- EMS/FortiClient 版本、操作系统和许可证兼容。
- 终端可以解析并访问 FortiGuard Web Filtering 服务；使用代理时已允许相应流量。
- 已确定组织的上网行为、日志留存、个人信息和员工告知要求。
- 已建立测试组，覆盖办公网、VPN、家庭网络和移动热点等位置。
部署步骤
1. 创建 Web Filter 配置文件
- 登录 EMS，进入 Endpoint Profiles > Web Filter。
- 单击Add按钮新建或More>Clone Profile按钮复制配置文件
- 填写命名，本例命名为
Pilot-Windows-WebFilter。切换到 Advanced，打开 Web Filter。
- 开关眼睛图标控制终端用户是否能看到该功能。
2. 配置生效位置和时间
配置 Schedule（时间计划）
Scheduling 用于指定当前 Web Filter 配置文件的执行时间。计划时段内按照 Site Categories 和 Exclusion List 处理访问，计划时段外切换到 Fallback Action。该设置作用于配置文件，不是为某个网站类别单独设置时间。
| 字段 | 配置说明 |
|---|---|
| Days of Week | 选择每周生效的星期，例如 Monday 至 Friday；未选择的星期属于计划时段外 |
| All Day | 启用后，在所选星期全天应用过滤规则，不代表整周全天生效 |
| Start At | 关闭 All Day 后设置每天开始执行过滤规则的时间 |
| End At | 关闭 All Day 后设置每天结束执行过滤规则的时间 |
| Fallback Action | 指定计划时段外的处理方式，可选择 Allow 或 Block |
- 根据业务要求选择 Fallback Action：
- Allow：计划时段外允许 Web 访问，包括计划时段内被类别规则阻止的网站。
- Block：计划时段外阻止 Web 访问，但保留 URL 列表中明确配置为允许的例外。需要访问的业务域名应在后续 Exclusion List 步骤中配置并验证。
注
Schedule 根据 EMS 系统时间 执行，修改终端本地时间不会改变计划。配置前应确认 EMS 的系统时间、时区和时间同步状态；跨时区部署时，应把业务时段换算为 EMS 所使用的时间。
示例：工作日 09:00–18:00 执行过滤
假设测试终端仅允许在办公时段按照类别规则访问网站，其他时间只允许必要的业务 URL，可以使用以下配置：
| 配置项 | 示例值 |
|---|---|
| Enable WebFiltering on FortiClient | Always On |
| Scheduling | 启用 |
| Days of Week | Monday、Tuesday、Wednesday、Thursday、Friday |
| All Day | 关闭 |
| Start At | 09:00 |
| End At | 18:00 |
| Fallback Action | Block |
工作日 09:00–18:00 内执行配置的类别和 URL 规则；工作日其他时间及周六、周日执行 Block，仅保留明确允许的 URL 例外。业务网站可能依赖登录、认证和静态资源域名，应一并测试，避免只放行首页后仍无法使用。
如果业务要求非办公时间开放 Web 访问，可将 Fallback Action 改为 Allow，但这也会放开原本被类别规则阻止的网站。需要全天持续执行恶意网站、钓鱼网站等类别限制时，应关闭 Scheduling，使类别规则持续生效。
警告
Fallback Action 不是“恢复默认类别策略”，也不是 FortiGuard 评级失败时的处理动作。不能依靠本计划实现“下班仅放开娱乐类别，同时继续按原类别规则阻止恶意网站”。Web Filter 的 Allow 也不代表其他安全模块或上游网关一定放行。
配置生效位置
在 Enable WebFiltering on FortiClient 中选择执行过滤的网络位置：
- Always On：无论 on-fabric 或 off-fabric 都执行客户端过滤；启用 Scheduling 后，仍按计划时段和 Fallback Action 处理。
- Only When Endpoint is Off-Fabric：只在终端离开受信网络时执行，企业网络内由 FortiGate 等网关过滤。
3. 配置日志和 HTTPS 行为
配置webfilter的其他行为，下面是对各个行为的详细说明。
- Log All URLs：记录全部 URL。会增加日志量和隐私影响；关闭时只记录类别或 URL 规则指定的事件。
- Log User Initiated Traffic：只记录用户发起的请求，减少后台应用噪声。
- Action On HTTPS Site Blocking：选择浏览器内消息、连接失败并显示气泡通知，或仅使连接失败。
- Enable Web Browser Plugin for HTTPS Web Filtering：Windows 上为 Chrome、Edge 和 Firefox 提升 HTTPS/HTTP3 识别。首次启用后用户可能需要在浏览器中批准扩展。
- Sync Mode：浏览器等待当前 HTTPS 请求判定后再继续，执行更严格但可能增加延迟。
- Check User Initiated Traffic Only：只让插件检查用户发起的请求，以降低处理开销。
- Enable HTTPS Deep Inspection：受支持的 macOS/Linux 使用代理检查完整 HTTPS URL；未启用时通常只能按域名评级。
FortiClient 会检查所有 Web 流量，而不仅是浏览器，因此 Outlook 等应用也可能出现证书警告或通知。测试时必须包含业务客户端和后台更新程序。
4. 配置类别策略
- 打开 Categories。
- 对整个大类或具体子类配置 Allow、Monitor、Warn 或 Block。
- 一般基线建议：
- Security Risk：恶意网站、钓鱼和垃圾邮件网址使用 Block；动态 DNS 先核对业务依赖，新近观测/注册域名按下一条处理。
- Proxy Avoidance、Potentially Unwanted Program、Crypto Mining：Block。
- Newly Observed/Registered Domain：先 Monitor，评估误报后在高安全组 Block。
- Bandwidth Consuming 和 Social Networking：按业务需求 Monitor、Warn 或设置计划。
- Unrated：先 Monitor；高安全组可 Block 并建立例外审批。
- 按需开启 Rate IP Addresses。
5. 配置 Safe Search
该功能可屏蔽搜索结果中不雅或露骨的图片。安全搜索功能有助于避免浏览大多数成人内容。FortiClient EMS支持Google、Yahoo 和 Bing的安全搜索功能。 Safe Search 可能修改终端 hosts 记录以重定向搜索请求。应验证企业 DNS、安全 DNS、VPN 分流和浏览器 DoH 策略不会相互冲突。
6. 配置 URL 例外
在 Exclusion List 中添加规则：
| 设置 | 说明 |
|---|---|
| URL | 完整 URL 或域名 |
| Referrer/Host | 只有从指定来源访问目标时才匹配；仅部分平台支持 |
| Type | Simple、Wildcard 或 Regular Expression |
| Action | Allow、Block、Monitor 或 Warn；Referrer/Host 支持的动作以界面为准 |
| Rule order | 多条规则同时匹配时，使用第一条适用规则 |
规则应从具体到宽泛排列。不要使用过度宽泛的 *、根域或正则表达式绕过整个云平台；EMS 8.0 中应把排除列表控制在远低于 1000 条，并定期合并和清理。
7. 保存并下发
- 保存 Web Filter 配置文件。
- 进入 Endpoint Policy & Components > Manage Policies。
- 编辑/确认在测试终端组使用的已启用策略中选择/引用该WebFilter配置文件。
- 检查策略优先级并保存。
- 等待终端完成下一次 Telemetry 通信。可以看到FortiClient上网页&视频过滤菜单开启，可以看到明细配置。
- 在 Endpoints > All Endpoints > Summary > Configuration 中确认终端实际命中预期策略。
完整策略下发方法请参阅客户端配置的推送。
安装浏览器插件
在完成下发之后FortiClient会显示网页&视频过滤选项卡。
点击网页&视频过滤选项卡之后，如果配置中要求添加扩展，在FortiClient中也会要求安装，需要单击对应按钮安装扩展。（本例以Microsoft Edge为例，安装Edge网页过滤扩展）。
在点击安装扩展之后，会弹出扩展界面。单击获取按钮添加扩展。
在点击获取按钮后显示添加扩展信息，单击添加扩展按钮后完成扩展安装。
在安装完扩展，因为浏览器无痕窗口/隐私窗口需要授权，如果没有授权FortiClient就会一直弹出气泡。单击气泡进入扩展配置。
进入扩展配置后，打开在InPrivate允许按钮，以授权扩展在无痕窗口使用。
完成操作后FortiClient不再弹出气泡。
验证与验收
在配置下发后打开阻止网页会弹出信息。
在报告中能看到相关阻拦消息
在违规行为中也能看到阻止网页信息
其他确认验证：
| 检查项 | 通过标准 |
|---|---|
| HTTP/HTTPS | Allow、Monitor、Warn、Block 分别符合配置 |
| HTTPS 提示 | 浏览器插件、阻断页面或气泡提示符合设计，无异常证书循环 |
| HTTP/3 | Chrome/Edge 使用 QUIC 时仍能执行策略；否则按组织策略禁用 HTTP/3 |
| 私密浏览 | 浏览器扩展已获必要权限，或明确接受该模式的限制 |
| 网络位置 | on-fabric/off-fabric 切换后策略符合配置 |
| 计划 | 工作日、非工作时段和跨午夜边界正确 |
| 例外 | 只允许目标 URL，不会连带放行子域或相似域 |
| 日志 | EMS Web Filter Events、终端日志及 FortiAnalyzer 记录一致 |
| 故障 | FortiGuard、DNS 或代理不可达时的行为符合风险设计 |
FortiGuard网站分类类别
FortiGuard 类别用于描述网站内容或风险属性，EMS 中的 Categories / Site Categories 用于为这些类别指定访问动作。以下按主要分类列出英文名称、中文含义和办公终端的配置建议，便于对照界面选择。
注
下表的“建议动作”是部署参考，不是 EMS 出厂默认值。 新建、克隆或升级后的配置文件应逐项检查当前动作；实际访问结果还受 URL 例外、Scheduling 和其他安全模块影响。类别清单及界面名称以所用 EMS/FortiClient 版本为准，不能仅根据 FortiGate 支持某个类别就推断终端版本同样支持。
Monitor 表示允许并记录；Warn 允许用户确认后继续，因此不适合替代恶意网站、钓鱼网站的 Block。涉及个人兴趣、宗教、健康等内容时，应按组织实际使用政策配置，不应仅因所属大类就认定网站存在安全威胁。
Adult/Mature Content（成人及成熟内容）
| 详细分类 | 中文名称与内容范围 | 默认动作及配置建议 |
|---|---|---|
| Abortion | 人工流产相关内容 | Block；医疗、健康咨询场景按需允许 |
| Advocacy Organizations | 倡议组织 | Block；按组织内容政策评估 |
| Alcohol | 酒类 | Block；酒类行业业务可 Allow |
| Alternative Beliefs | 非主流信仰 | Block；按内容政策管理 |
| Dating | 交友约会 | Block；禁止私人交友服务时 Block |
| Gambling | 赌博博彩 | Block；有授权的研究场景单独建立例外 |
| Lingerie and Swimsuit | 内衣与泳装 | Allow；服装、电商业务避免整类阻断 |
| Marijuana | 大麻相关内容 | Block；医疗或研究用途按审批放行 |
| Nudity and Risque | 裸露与性暗示内容 | Block；艺术、医学等业务需核对具体 URL |
| Other Adult Materials | 其他成人内容 | Block；结合日志检查例外需求 |
| Pornography | 色情内容 | Block |
| Sex Education | 性教育 | Allow；不宜直接等同于色情内容 |
| Sports Hunting and War Games | 运动狩猎与战争游戏 | Allow；按办公使用政策限制 |
| Tobacco | 烟草 | Block；按组织政策调整 |
| Weapons (Sales) | 武器销售 | Block；相关行业业务按需审批 |
Bandwidth Consuming（带宽消耗）
| 详细分类 | 中文名称与内容范围 | 默认动作及配置建议 |
|---|---|---|
| File Sharing and Storage | 文件共享与存储 | Allow；区分企业网盘与个人网盘，结合数据外发要求控制 |
| Freeware and Software Downloads | 免费软件与软件下载 | Allow；保留受信软件分发和更新需求 |
| Internet Radio and TV | 网络广播与电视 | Allow；有直播、媒体业务需求时允许 |
| Internet Telephony | 网络电话 | Allow；先确认企业语音业务依赖 |
| Peer-to-peer File Sharing | 点对点文件共享（P2P） | Allow；业务确需使用时单独放行 |
| Streaming Media and Download | 流媒体与媒体下载 | Allow；培训视频、线上课程可能依赖该类 |
类别过滤控制访问权限，不等同于带宽限速；需要限制吞吐量时，应在网络侧配合流量整形。Scheduling 作用于整个 Web Filter 配置文件，不能用同一配置文件为单个娱乐类别单独设置时间。
General Interest - Business（一般兴趣—商务）
| 详细分类 | 中文名称与内容范围 | 默认动作及配置建议 |
|---|---|---|
| Armed Forces | 军队与武装力量 | Allow；按业务和内容政策调整 |
| Artificial Intelligence Technology | 人工智能技术 | Allow；按组织 AI 使用和数据保护要求放行批准的平台 |
| Business | 商业与企业 | Allow；需要访问审计时用 Monitor |
| Charitable Organizations | 慈善组织 | Allow |
| Cryptocurrency | 加密货币 | Allow；禁止相关交易或服务时 Block，与 Crypto Mining 分开配置 |
| Finance and Banking | 金融与银行 | Allow；验证网银、支付和认证依赖 |
| General Organizations | 一般组织与协会 | Allow |
| Government and Legal Organizations | 政府与法律机构 | Allow；保留政务、税务等业务访问 |
| Information Technology | 信息技术 | Allow；关注软件服务和更新依赖 |
| Information and Computer Security | 信息与计算机安全 | Allow；避免阻断安全产品服务及技术资料 |
| Online Meeting | 在线会议 | Allow；批准的会议平台可 Allow |
| Remote Access | 远程访问 | Allow；限制未经批准的远程控制服务，保留授权运维工具 |
| Search Engines and Portals | 搜索引擎与门户 | Allow；按需配合 Safe Search |
| Secure Websites | 受访问保护的网站 | Allow；该名称不代表网站已通过安全认证，也不等同于所有 HTTPS 网站 |
| URL Shortening | 短链接服务 | Allow；不能仅因短链接域名获准访问就信任最终目标 |
| Web Analytics | 网站访问分析 | Allow；阻断前验证业务页面、统计及运营功能 |
| Web Hosting | 网站托管 | Allow；避免整类阻断影响托管在公共平台上的业务网站 |
| Web-based Applications | Web 应用程序 | Allow；按企业 SaaS 使用清单调整 |
General Interest - Personal（一般兴趣—个人）
| 详细分类 | 中文名称与内容范围 | 默认动作及配置建议 |
|---|---|---|
| Advertising | 广告 | Allow；需要拦截广告时先测试页面及业务依赖 |
| Arts and Culture | 艺术与文化 | Allow |
| Auction | 拍卖与竞拍 | Allow；按采购及私人使用政策调整 |
| Brokerage and Trading | 经纪与交易 | Allow；金融业务按需允许 |
| Child Education | 儿童教育 | Allow |
| Content Servers | 内容服务器 | Allow；整类阻断可能影响页面资源加载 |
| Digital Postcards | 电子贺卡 | Allow |
| Domain Parking | 域名停放 | Allow；无业务需要时 Block |
| Dynamic Content | 动态内容 | Allow；不能与 Dynamic DNS 混为一类 |
| Education | 教育 | Allow |
| Entertainment | 娱乐 | Allow；按办公使用政策改为 Warn 或 Block |
| Folklore | 民俗与民间传说 | Allow |
| Games | 游戏 | Allow；无业务需要时 Block |
| Global Religion | 世界宗教 | Allow；按组织内容政策调整 |
| Health and Wellness | 健康与保健 | Allow |
| Instant Messaging | 即时通讯 | Allow；验证企业协作工具后再限制个人服务 |
| Job Search | 求职与招聘 | Allow；人力资源岗位按需允许 |
| Meaningless Content | 无明确意义或内容不足的页面 | Allow；不等同于未评级或已确认恶意 |
| Medicine | 药品与医药信息 | Allow；医药相关业务按需审计 |
| News and Media | 新闻与媒体 | Allow |
| Newsgroups and Message Boards | 新闻组与论坛 | Allow；保留技术支持及行业交流需求 |
| Personal Privacy | 个人隐私相关内容 | Allow；不能仅按类别名称认定为代理规避工具 |
| Personal Vehicles | 个人车辆 | Allow |
| Personal Websites and Blogs | 个人网站与博客 | Allow；技术博客可能属于此类 |
| Political Organizations | 政治组织 | Allow；按组织内容政策调整 |
| Real Estate | 房地产 | Allow |
| Reference | 参考资料 | Allow |
| Restaurant and Dining | 餐厅与餐饮 | Allow |
| Shopping | 购物 | Allow；保留采购及电商业务需求 |
| Social Networking | 社交网络 | Allow；市场、客服等岗位按需允许 |
| Society and Lifestyles | 社会与生活方式 | Allow |
| Sports | 体育 | Allow；直播流量还可能涉及流媒体类别 |
| Travel | 旅行 | Allow；保留差旅预订需求 |
| Web Chat | 网页聊天 | Allow；验证在线客服等业务依赖 |
| Web-based Email | 网页邮箱 | Allow；按企业邮件及数据外发政策限制个人邮箱 |
Potentially Liable（潜在责任风险）
| 详细分类 | 中文名称与内容范围 | 默认动作及配置建议 |
|---|---|---|
| Child Sexual Abuse | 儿童性虐待内容 | Block |
| Crypto Mining | 加密货币挖矿 | Block；与加密货币资讯、交易类分别配置 |
| Discrimination | 歧视内容 | Block |
| Drug Abuse | 毒品滥用 | Block |
| Explicit Violence | 露骨暴力内容 | Block |
| Extremist Groups | 极端主义团体 | Block |
| Hacking | 黑客攻击相关内容 | Block；授权安全研究所需站点单独审批，不宜整类放开 |
| Illegal or Unethical | 非法或不道德内容 | Block |
| Plagiarism | 剽窃与学术作弊 | Block |
| Potentially Unwanted Program | 潜在不受欢迎程序（PUP） | Block；避免将整类加入允许列表 |
| Proxy Avoidance | 代理规避 | Block；企业批准的代理服务使用精确例外 |
| Terrorism | 恐怖主义内容 | Block |
Security Risk（安全风险）
| 详细分类 | 中文名称与内容范围 | 默认动作及配置建议 |
|---|---|---|
| Dynamic DNS | 动态 DNS | Block；先确认远程接入及设备管理是否依赖 DDNS，类别本身不代表已确认恶意 |
| Malicious Websites | 恶意网站 | Block；误分类应核验并申请重分类 |
| Newly Observed Domain | 新近观测到的域名 | Allow；试点 Monitor，高安全组 Block；可能是旧域名近期开始活跃 |
| Newly Registered Domain | 新近注册的域名 | Allow；试点 Monitor，高安全组 Block；为新上线的业务域名建立必要例外 |
| Phishing | 网络钓鱼 | Block；不建议使用允许用户继续的 Warn |
| Spam URLs | 垃圾邮件中的网址 | Block；按实际 URL 核查业务误报 |
新近观测、新近注册与动态 DNS 属于风险信号，不能直接等同于已确认恶意。对这些类别采用严格阻断前，应先整理业务依赖和例外流程；恶意网站及钓鱼类别则应保持阻断基线。
Unrated（未评级）
| 详细分类 | 中文名称与内容范围 | 默认动作及配置建议 |
|---|---|---|
| Not Rated / Unrated | 未评级：尚未获得明确内容分类的网站 | Allow；高安全组可 Block，并为必要业务配置精确例外 |
未评级不表示安全，也不等于 FortiGuard 服务不可达。排错时应先区分“成功查询并返回未评级”和“评级查询失败”，再检查对应的类别动作或故障处理设置。
分类查询和重新评级申请
分类名称及定义可查阅 FortiGuard Web Filter Categories。 遇到误分类时，使用 FortiGuard Web Filter Lookup 查询目标 URL 并提交重分类申请。
常见问题
| 问题现象 | 排查方向 |
|---|---|
| 策略已下发但不生效 | 检查 Web Filter 组件、System Settings 中的 FortiProxy、Endpoint Policy 优先级、on-fabric 判断和计划时段。然后确认 FortiGuard 连通性及浏览器插件状态。 |
| 正常网站被阻止 | 先在 FortiGuard Web Filter Lookup 核对类别，再查看事件中的模块来源。Malware Protection 或 Application Firewall 的阻断可能优先于 Web Filter 动作。确认误分类后可提交重分类申请，并使用精确、限时的 URL 例外过渡。 |
| HTTPS 出现证书警告 | 检查浏览器插件是否安装并获授权、Action On HTTPS Site Blocking 的选择，以及 macOS/Linux 深度检查证书是否受信任。不要通过全局忽略证书错误解决问题。 |
| FortiGuard 不可达时所有网站被阻止 | FortiClient 默认可能在无法评级时阻止 Web 流量。检查 DNS、代理、TLS 检查和 FortiGuard 服务地址；如业务要求故障时放行，应在风险批准后使用对应版本支持的 Fallback/XML 设置，并同步加强本地恶意网站防护。 |
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.0 | First Complete | ysheng | tanga | 2026.10.31 |
| 0.1 | Draft Version | - | - | 2026.08.04 |