Протокол HTTP работает, используя модель клиент-сервер: HTTP клиенты открывают соединение, посылая сообщение запроса на HTTP-сервер. HTTP-сервер формирует сообщение ответа, направленное обратно клиенту HTTP (данное ответное сообщение обычно запрашивается источником в сообщении запроса). После получения ответа HTTP-сервер закрывает соединение, транзакция считается выполненной. Поля заголовка HTTP несут информацию о HTTP-запросах и сообщениях ответа. Протокол HTTP имеет множество полей заголовка. Дополнительная информация по полям заголовка HTTP находится в разделе 14 документа RFC 2616. Документ доступен по адресу:
http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html Средство NBAR имеет возможность классифицировать следующие поля HTTP-заголовка: • Для сообщений запроса (от клиента к серверу), следующие поля HTTP-заголовка могут быть идентифицированы с помощью NBAR: – User-Agent – Referer – From • Для ответных сообщений (от сервера к клиенту), с помощью NBAR могут быть идентифицированы следующие поля: – Server – Location – Content-Base – Content-Encoding В средстве NBAR с помощью команды match protocol http c-header-field можно указать определение сообщений запроса средством NBAR («c» в части команды c-header-field относится к клиенту).
Команда match protocol http s-header-field используется для определения сообщений ответа («s» в части s-header-field команды для сервера). Примеры В следующем примере любые сообщения запроса, содержащие строку «somebody@cisco.com» в полях «User-Agent», «Referer» или «From», будут классифицированы средством NBAR. Обычно элемент в формате, подобном «somebody@cisco.com», обнаруживается в поле «From» заголовка HTTP-сообщения запроса: match protocol http c-header-field *somebody@cisco.com* В следующем примере, любые сообщения запроса, содержащие «http://www.cisco.com/routers» в полях «User-Agent», «Referer» или «From», будут классифицированы с помощью средства NBAR.
Обычно элемент в формате, подобном «http://www.cisco.com/routers», обнаруживается в поле Referer заголовка HTTP-сообщения запроса: match protocol http c-header-field *http://www.cisco.com/routers* В следующем примере, любые сообщения запроса, содержащие «CERN-LineMode/2.15» в полях «User-Agent», «Referer» или «From», будут классифицироваться с помощью средства NBAR. Обычно элемент в формате, подобном «CERN- LineMode/2.15», обнаруживается в поле «User-Agent» заголовка HTTP-сообщения запроса: