現在呢，有很多管理上網行爲的軟件，那麼ASA作爲狀態化防火牆，它也可以進行管理上網行爲，我們可以利用ASA防火牆iOS的特性實施URL過濾可以對訪問的網站域名進行控制，從而達到某種管理目的。
實施URL過濾一般分成以下三個步驟：
1、創建class-map（類映射），識別傳輸流量。
2、創建policy-map（策略映射），關聯class-map。
3、應用policy-map到接口上。
配置實例：
使用下面簡單的網絡拓撲圖，在內網主機上編輯hosts文件，添加如下記錄（若是生產環境，DNS服務器等齊全，則可省略這步）：
- 172.16.1.1 ：www.kkgame.com 。
-
172.16.1.1 ：www.163.com 。
實現內網網段192.168.1.0/24中的主機禁止訪問網站www.kkgame.com 但允許訪問其他網站（如www.163.com ）。![Cisco ASA 高級配置之URL過濾]()
配置步驟如下（接口等基本配置省略）：
（1）、創建class-map，識別傳輸流量：
ciscoasa(config)# access-list tcp_filter1 permit tcp 192.168.1.0 255.255.255.0 any eq www
ciscoasa(config)# class-map tcp_filter_class1
ciscoasa(config-cmap)# match access-list tcp_filter1 #在class-map中定義允許的流量。
ciscoasa(config-cmap)# exit
ciscoasa(config)# regex urll "\.kkgame\.com" #定義名稱爲urll的正則表達式，表示URL擴展名是“.kkgame.com”
ciscoasa(config)# class-map type regex match-any url_class1 #創建名稱爲
url_class1的clas-map，類型爲regex。關鍵字match-any表示匹配任何一個。
ciscoasa(config-cmap)# match regex urll
ciscoasa(config)# class-map type inspect http http_url_class1 #創建
名爲http-url-class1的class-map，類型爲inspect http（檢查http流量）
ciscoasa(config-cmap)# match request header host regex class url_class1 #匹配http請求
報文頭中的host域中的URL擴展名“.kkgame.com”，url_class1表示調用名稱爲url_class1的class-map。
ciscoasa(config-cmap)# exit（2）、創建policy-map，關聯class-map。
ciscoasa(config)# policy-map type inspect http http_url_policy1
#創建名稱爲 http_url_policy1的policy-map，類型爲inspect http（檢查http流量）
ciscoasa(config-pmap)# class http_url_class1 #調用之前創建的class-map
ciscoasa(config-pmap-c)# drop-connection log #drop數據包並關閉連接，併發送系統日誌。
ciscoasa(config-pmap-c)# exit
ciscoasa(config-pmap)# exit
ciscoasa(config)# policy-map inside_http_url_policy #創建名稱爲 inside_http_url_policy 的policy-map，它將被應用到接口上。
ciscoasa(config-pmap)# class tcp_filter_class1 #調用之前創建的class-map
ciscoasa(config-pmap-c)# inspect http http_url_policy1 #檢查http流量
ciscoasa(config-pmap-c)# exit
ciscoasa(config-pmap)# exit（3）、應用policy-map到接口上：
ciscoasa(config)# service-policy inside_http_url_policy interface inside至此，已經實現了需求，需要注意的是，一個接口只能應用一個policy-map。