搜索
上网行为管理设备部署培训部署模式介绍深信服公司简介典型部署模式与配置其它功能介绍SANGFOR访问控制SANGFORAC部署模式介绍•部署模式_简介1、部署模式是指设备以什么样的工作模式部署到客户网络中去，不同的部署方式对客户的网络影响各有不同，具体以何种部署方式需要综合客户具体的网络环境和客户的功能需求而定，不同的部署模式对客户原有网络的影响各有不同。2、AC支持路由、网桥、旁路三种工作模式。SANGFORAC部署模式介绍•路由模式_简介1、路由模式时AC的工作层次基本与路由器相当，具备基本的路由转发及NAT功能，一般在客户原有网络环境中添加部署AC设备时不采用这种模式，因为这种部署模式需要对客户的网络环境作较大的改动。2、一般此种部署模式是客户想用AC替换原有部署的防火墙或者是路由器，或者是客户在规划新网络建设时将AC部署为路由模式。3、路由模式下支持AC所有的功能模式。4、一般客户如果需要作NAT、VPN、DHCP等功能时，AC必须是路由模式，其它工作模式不支持实现这些功能。SANGFORAC部署模式介绍•网桥模式_简介1、AC以网桥模式部署时对客户原有网络基本没有改动，不需要更改客户原有的网络设备配置。2、网桥模式时AC不支持NAT（代理上网和端口映射）、VPN、DHCP等功能，除此之外AC的其它功能如URL过滤、流控等其它功能均可实现。3、网桥模式部署AC时，对客户原有网络是透明的，因此当网络因为AC的原因而中断时可以马上绕开AC，即可恢复客户原有的网络。SANGFORAC部署模式介绍•网桥模式_3种类型1、单网桥，这种部署模式是最常见的。AC部署在出口网关设备（防火墙或者路由器）和内网的主交换机中间。常见于客户原有的网络是单核心交换机、单出口防火墙（路由器）的情况下。2、多网桥，一般情况下两进两出是最常见的。AC部署在出口网关设备（防火墙或者路由器）和内网的主交换机存在多个核心链路之间。常见于客户原有的网络有可能是多核心交机或者是多出口防火墙（路由器）的情况下。3、网桥多网口，这种部署相对比较少。是指支持将多于两个以上的网口来组成单个网桥。SANGFORAC部署模式介绍•旁路模式_简介1、旁路模式是AC三种工作模式中最简单的一种，但也是所能实现功能较弱的一种部署方式，此种部署模式对客户原有网络无任何影响，即使设备宕机也不影响客户网络。2、旁路模式AC只支持审计和基于TCP应用的控制功能，无法对任何基于UDP协议的应用作任何的控制。3、旁路模式一般AC使用一个监听口单接部署在核心交换机或者是核心出口路由器上，需要路由器或者是核心交换机支持镜像功能，将流量上下行镜像到AC上来。部署模式介绍深信服公司简介典型部署模式与配置其它功能介绍SANGFOR访问控制路由模式旁路模式网桥模式典型部署模式与配置典型部署模式与配置路由模式_部署指导1、首选需要了解客户的实际需求，客户是否必须要用到AC的VPN、NAT（代理上网和端口映射）、DHCP这几个功能。如果客户网络中已经有其它设备实现了这些功能或者是客户根本用不到这些功能则应首先考虑网桥模式部署。2、客户新规划建设的网络中来部署AC，相当于一个全新的网络规划，客户想把AC当作一台防火墙部署在出口上，可以部署成为路由模式。3、客户网络中原有防火墙或者路由器了，出于某方面的原因想用AC替换掉原有出口的防火墙或者路由器。典型部署模式与配置三层交换机IP:192.168.1.1/24IP:192.168.1.2/24192.168.2.0/24192.168.3.0/24172.16.1.0/24WAN：拨号\固定IP\DHCP二层交换机IP:192.168.1.1/24192.168.1.0/24WAN：拨号\固定IP\DHCP典型部署模式与配置路由模式配置思路1、网口配置：确定设备外网口（WAN1口）是固定IP或者是ADSL拨号方式，取得相应运营商给的IP地址信息或者是拨号的帐号密码；确定内网口（LAN口）的IP地址信息；2、确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机；典型部署模式与配置路由模式配置截图典型部署模式与配置网桥模式_部署指导1、网桥模式部署相比路由模式对客户的网络影响比较小，当客户确定不需要使用AC的VPN、NAT、DHCP功能时，则应考虑部署网桥模式。2、根据客户原有网络结构决定AC采用是单网桥、双网桥、网桥多网口等方式。典型的网络环境和部署方式：客户原有网络是单核心交换机、单出口防火墙情况下，AC用单网桥；客户原有网络是单核心交换机、两台出口防火墙情况下，AC用双网桥；客户原有网络是两台核心交换机、单台出口防火墙情况下，AC用双网桥；典型部署模式与配置三层交换机路由器（FW）ACIP:192.168.1.1/24网桥IP:192.168.1.3/24IP:192.168.1.2/24192.168.2.0/24192.168.3.0/24172.16.1.0/24三层交换机路由器（FW）AC192.168.2.0/24192.168.3.0/24172.16.1.0/24路由器（FW）典型部署模式与配置网桥模式配置思路1、网桥模式部署时需要考虑AC串接在前面防火墙和下面的核心交换机之间网段是否存在空闲的主机IP地址，如果有则分配一个该网段的IP地址给AC作为网桥的IP地址，如果没有空闲IP的话则配置管理口（DMZ）进行管理。2、典型的前端防火墙和下面的核心交换机之间的链路配置了点到点的IP地址段，则AC串接进去后也无可用主机IP地址分配，因此这种情况下AC只能配置管理口（DMZ）进行管理。典型部署模式与配置网桥模式配置截图典型部署模式与配置旁路模式_部署指导1、旁路模式是所有部署模式中最简单的一种，但也是功能实现较弱的一种部署方式。当客户的需求只是上网审计和基于TCP的应用过滤时，可以考虑此种部署方式，常见于高校、大型国有企业专门用于AC作审计；2、旁路部署时一般设备是接在核心交换机上，核心交换机通过将镜像功能将需要审计的流量镜像过来；3、管理时采用管理口（DMZ）配置IP地址进行管理，其它所有接口均可作为监听口，可使用一个口或者是多个口同时作为监听口，监听口无需任何配置的。典型部署模式与配置三层交换机路由器（FW）DMZ（管理口）IP:192.168.1.2/24监听口镜像192.168.1.0/24192.168.2.0/24192.168.3.0/24典型部署模式与配置旁路模式部署配置思路1、一般AC旁路接在核心交换机的镜像口上，核心交换机需要将上下行流量镜像到AC过来。2、旁路模式部署时必须配置管理口IP地址进行管理，可以分配内网任意网段空闲IP地址进行管理，监听口可以接任意网口（除了配置为管理口接口之外），可以同时接多个进行监听。3、需要确认内网所有需要进行审计的内网网段（监控网段），需要确认内网是否有服务器提供访问时需要也进行记录。4、管理口不仅用于管理，还用于包括和外置数据中心同步、作TCP控制时发reset包使用。部署模式介绍深信服公司简介典型部署模式与配置其它功能介绍SANGFORAC访问控制三、访问控制1、组织结构管理2、上网策略管理3、流量管理3.1、AC组织结构管理-概念组织结构：管理用户、设置分组和关联策略组织用户：用户组一般情况下，每个用户都必须有个所属组子组父组root根组上网策略一级组二级组用户用户组关联三、访问控制3.1、AC组织结构管理-新建用户组以“财务部”为例，财务部为一级组，下属有“回款部”和“统计部”两个子部门可以同时建立多个子组显示所属组路径，即父组路径，同时也是AC中组的表达方式。三、访问控制3.1、AC组织结构管理-新增子组建好“财务部”组后，建立其子组：“回款部”和“统计部”三、访问控制3.1、AC组织结构管理-新增用户可以同时新增多个用户，但只能编辑公共属性用于在用户在线列表等地方显示三、访问控制3.1、AC组织结构管理-移动对象对已经设置好的用户或者组，可以进行移动，移动在组织结构中的位置。三、访问控制3.1、AC组织结构管理—查询对象在“组成员列表”中进行查询，查询当前组包含的所有用户和子组。可以查询当前组以及其子组的成员列表。三、访问控制3.2、上网策略管理—概念访问控制：对内网用户访问外网的数据进行控制。通过什么实现：上网策略对象怎样进行控制：用户组或用户关联相关策略三、访问控制策略对象：用于设置详细的上网策略。包括：上网权限、网页过滤、邮件过滤、应用审计、流量统计与上网计时、准入系统。一条策略中包含这六种控制方式，通过勾选，使此方式生效并进行设置。接下来的章节将对这六种控制方式进行详细讲解策略名称策略描述掌握：能做到什么？控制的原理？设置步骤？3.2、上网策略管理-策略对象设置3.2.1、上网权限a、应用服务控制：对数据包的协议和特征字段等进行分析，判断数据类型。b、网络服务控制：对数据包的IP和端口进行分析控制，相当于传统防火墙。c、高级配置：控制使用代理等数据。3.2、上网策略管理-策略对象设置3.2.1、上网权限a、应用服务控制：根据分析数据包特征字段，获取应用类型，内置大量规则，由研发根据目前常见应用分析出来的，并会进行实时更新。选择应用类型对应用类型下的子类进行选择细分子类应用类型应用类型应用名称规则名称策略匹配顺序：由上至下，当涉及相同的规则时，注意将较细的规则放在前面。策略叠加时，缺省动作以此条为准，还是继续往下匹配，如果以此条为准，则执行缺省动作，下面策略中的应用服务控制不再匹配到了3.2、上网策略管理-策略对象设置3.2.1、上网权限b、网络服务控制：根据目标IP、端口和时间来控制上网数据。功能和前面类似，不再赘述。功能和前面类似，不再赘述。3.2、上网策略管理-策略对象设置3.2.1、上网权限c、高级配置：检测代理数据，控制是否可以使用代理上网识别某些使用http和SSL标准端口的非标准协议，例如QQ等。3.2、上网策略管理-策略对象设置3.2.2、网页过滤a、URL过滤：对访问网页的URL进行过滤，内置研发收集的URL库，并可以进行定时更新。b、关键字过滤：拒绝某些在搜索引擎或通过http协议上传的关键字。c、文件类型过滤：拒绝通过http或FTP下载和上传的文件类型。d、SSL控制：通过证书控制，保证访问SSL协议的安全性。3.2、上网策略管理-策略对象设置3.2.2、网页过滤a、URL过滤：根据访问网页的URL进行过滤策略叠加时，缺省动作以此条为准，还是继续往下匹配，如果以此条为准，则执行缺省动作，下面策略中的URL控制不再匹配到了URL组3.2、上网策略管理-策略对象设置3.2.2、网页过滤a、URL过滤：URL组设置（自定义URL组过滤）内置URL由研发收集并提供网上定时更新，内置URL无法编辑，导出等操作用户根据自身情况自定义URL组查询内置和外置url，不支持模糊查询支持一级通配符3.2、上网策略管理-策略对象设置3.2.2、网页过滤b、关键字过滤：搜索引擎：对知名搜索引擎上搜索关键字进行控制HTTP上传：对通过HTTP协议上传的其他关键字进行控制，包括发贴、webmail等。3.2、上网策略管理-策略对象设置3.2.2、网页过滤b、关键字过滤：关键字组设置关键字：一行一个，不支持通配符和权重等。3.2、上网策略管理-策略对象设置3.2.2、网页过滤c、文件类型过滤：过滤通过HTTP协议上传和下载的文件类型勾选是否同时适用于FTP传输的文件类型3.2、上网策略管理-策略对象设置3.2.2、网页过滤c、文件类型过滤：文件类型组设置根据文件后缀名进行控制3.2、上网策略管理-策略对象设置3.2.2、网页过滤d、SSL控制SSL证书的颁发机构受信任的根证书，应用于证书链控制导入受信任的根证书3.2、上网策略管理-策略对象设置3.2.3、邮件过滤邮件过滤用于过滤使用SMTP和POP3协议收发的邮件，对webmail无效。发邮件收邮件3.2、上网策略管理-策略对象设置3.2.3、邮件过滤邮件延迟审计：设