深信服上网行为管理部署方式及功能实现配置说明.docx
《深信服上网行为管理部署方式及功能实现配置说明.docx》由会员分享，可在线阅读，更多相关《深信服上网行为管理部署方式及功能实现配置说明.docx（44页珍藏版）》请在冰点文库上搜索。
深信服上网行为管理部署方式及功能实现配置说明
深信服上网行为管理部署方式及功能实现配置说明（标化院）
设备出厂的默认IP见下表：
接口
IP地址
ETH0（LAN）
10.251.251.251/24
ETH1（DMZ）
10.252.252.252/24
ETH2（WAN1）
200.200.20.61/24
AC支持安全的HTTPS登录，使用的是HTTPS协议的标准端口登录。
如果初始登录从LAN口登录，那么登录的URL为：
，默认情况下的用户名和密码均为admin。
设备正常工作时POWER灯常亮，WAN口和LAN口LINK灯长亮，ACT灯在有数据流量时会不停闪烁。
ALARM红色指示灯只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。
如果在安装时此红灯长亮，请将设备掉电重启，重启之后若红灯一直长亮不能熄灭，请与我们联系。
『部署模式』用于设置设备的工作模式，可设定为路由模式、网桥模式或旁路模式。
选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。
路由模式：
设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；
网桥模式：
可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能；
旁路模式：
设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。
选择【导航菜单】中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，会出现『路由模式』、『网桥模式』、『旁路模式』的选项，选择想要配置的网关模式。
路由模式：
是把设备作为一个路由设备使用，一般是把设备放在内网网关出口的位置，代理局域网上网；或者把设备放在路由器后面，再代理局域网上网。
配置方法：
第一步：
先配置设备，通过默认IP登录设备，比如通过LAN口登录设备，LAN口的默认IP是10.251.251.251/24，在电脑上配置一个此网段的IP地址，通过登录设备，默认登录用户名/密码是：
admin/admin。
第二步：
在【导航菜单】页面中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，出现以下页面：
配置设备模式为路由模式，点击下一步
第三步：
定义LAN区网口和WAN区网口，选择空闲网口，点击增加，将空闲网口移动到对应的网口列表。
设备默认的LAN口区网口是eth0，DMZ口区网口是eth1，WAN口区网口是eth2，这些网口位置建议不要随便修改，和设备面板的图示接口保持一致。
其他空闲接口可以自定义其所属的区域。
第四步：
完成网口定义，点击下一步，配置LAN区网口IP地址，此例中LAN口区的网口是eth0，此处配置eth0的地址是：
192.168.1.12/255.255.255.0
第五步：
配置WAN区网口，此例中WAN口区的网口是eth2。
WAN口支持以太网和ADSL拨号两种类型，此例中公网线路是光纤接入，固定分配公网IP地址的，所以选择[以太网]。
1、如果线路是ADSL拨号，需要将WAN口和modem相连。
勾选[自动拨号]作用是在拨号线路异常断开后自动重新拨号，或者是重启设备后自动拨号。
分别在[账号]和[密码]中输入拨号的账号和密码。
第六步：
配置DMZ区网口，此例中DMZ区的网口是eth1，配置[IP地址]和[子网掩码]。
第七步：
NAT配置，用于设置代理上网规则，当设备做网关，直接接公网线路时，需要在设备上做代理上网设置，以代理内网用户正常上网。
设置完成后，会在『NAT代理上网』中新增一条代理规则“代理LAN口上网”。
第八步：
配置完毕，检查配置无误后，点击提交
设置完毕需要重启设备才可以生效，在弹出的提示框中点击是。
第九步：
此例中由于内网网段跟设备LAN口不在同一网段，需要加上设备到内网的系统路由，在【导航菜单】页面中的『网络配置』→『静态路由』，右边进入【静态路由】编辑页面，点击新增则可以添加路由。
当内网有多个网段时需要相应的添加多条系统路由。
第十步：
基本配置完毕后，将设备接入网络中，WAN口接外网线路，LAN口接内网交换机。
并且将内网交换机的上网路由指向AC设备的LAN口。
1．设备工作在路由模式时，局域网内电脑的网关都是指向设备的LAN口IP或指向三层交换机，三层交换机的网关再指向设备。
上网数据由设备做NAT或路由转发出去。
2．WAN、LAN、DMZ网口应设置不同网段的IP地址。
3．如果设置路由模式为有前置设备，请在第五步配置WAN口IP为与前置设备LAN口同网段IP，其他操作一样。
网桥模式
网桥模式：
是把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用。
把设备接在原有网关及内网用户之间，在原网关及内网用户不需做任何配置改变的情况下，对设备进行一些配置即可使用。
对原网关及内网用户而言，亦不知设备的存在，即所谓对原网关及内网用户透明。
网桥模式的主要特点是：
网桥模式对用户做到完全透明。
网桥模式分为网桥多网口和多网桥两种模式。
网桥多网口
网桥多网口是指设备只做一个网桥，但内外网口不是一一对应的，可能内网口需要接多个网口，也可能外网口需要接多个网口，各个网口之间的数据都可以设置转发，设备的ARP表只维持一份。
网桥多网口一般用于以下环境：
运行环境1：
交换机连接到外网两条线路FW1、FW2上，在交换机和防火墙之间接入设备，设备网桥模式部署，单进双出做网桥多网口模式：
运行环境2：
为了加强网络的稳定性，减少单点故障，内网核心交换和路由器都采用双机方案，这种环境下可以加入两台设备做网桥，双进单出做多网桥模式部署，如下图所示：
网桥多网口部署配置案例
客户环境和要求：
如下是客户需要部署的拓扑，设备做网桥多网口模式，内网接三层交换机，内网网段有192.168.2.0/255.255.255.0、192.168.3.0/255.255.255.0两个网段。
公网出口的两个防火墙分别承担流量用户的上网流量。
配置方法:
第一步：
先配置设备，通过默认IP登录设备，比如通过LAN口登录设备，LAN口的默认IP是10.251.251.251/24，在电脑上配置一个此网段的IP地址，通过登录设备，默认登录用户名/密码是：
admin/admin。
第二步：
在【导航菜单】页面中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，出现以下页面：
配置设备模式为网桥模式，点击下一步
第三步：
选择网桥模式：
网桥多网口模式
第四步：
定义网桥接口，以及允许数据转发的方向。
LAN区网口和WAN区网口，选择空闲网口，点击增加，将空闲网口移动到对应的网口列表。
设备默认的LAN口区网口是eth0，WAN口区网口是eth2，这些网口位置建议不要随便修改，和设备面板的图示接口保持一致。
定义[允许数据转发方向]，此处定义eth0<->eth2、eth0<->eth3之间可以转发数据，即内网口和两个外网口之间可以转发数据。
第五步：
完成网口定义，点击下一步，配置网桥IP、网桥网关等，此例中配置网桥IP为192.168.1.254，网关指向其中一个FW。
注意：
这里只能指定一个网关地址。
第六步：
[启用VLAN]，如果设备做网桥，有VLAN数据穿过设备，这里需要设置VLAN的相关信息。
此例中没有VLAN，所以这里不勾选[启用VLAN]。
第七步：
配置DMZ口以及防火墙规则：
[选择管理网口]选择空闲的网口做为管理网口，用户可以通过此网口连接设备，默认情况下设备的管理网口是eth1口。
配置[IP地址]和[子网掩码]，注意：
管理网口和网桥IP不能属于同一网段。
勾选[自动放通防火墙规则]：
用于放通WAN<->LAN方向所有数据的防火墙规则。
第八步：
配置完毕，查看各个配置项是否正确，如果正确，点击提交，
设置完毕需要重启设备才可以生效，在弹出的提示框中点击是。
第九步：
此例中由于内网网段跟设备LAN口不在同一网段，需要加上设备到内网的系统路由，在【导航菜单】页面中的『网络配置』→『静态路由』，右边进入【静态路由】编辑页面，点击新增则可以添加路由。
当内网有多个网段时需要相应的添加多条系统路由。
本例中要添加到192.168.2.0/255.255.255.0、192.168.3.0/255.255.255.0两个网段的路由，路由下一跳指向内网的三层交换机：
第十步：
基本配置完毕后，将设备接入网络中，WAN1口、WAN2口接FW，LAN口接内网交换机。
多网桥
多网桥是指一台AC设备可以做多个网桥，相当于多个交换机，和网桥多网口的区别是：
设备的ARP表维持多份；内外网口是一一对应的；网口属于同一个网桥才能进行数据转发，不同网桥接口之间的数据不能转发。
多网桥一般适用于以下几种情况：
运行环境一：
设备一进一出做单网桥
运行环境二：
适用于客户内网有VRRP或HSRP环境，架上设备做多网桥实现基本审计控制功能的同时，不影响客户原有主备的切换。
如图所示的两种运行环境：
多网桥部署配置案例
客户环境和需求：
客户的两个FW和交换机之间走VRRP协议，FW对应的虚拟IP是192.168.1.1，设备双进双出做双网桥部署在交换机和FW之间。
配置方法：
第一步：
先配置设备，通过默认IP登录设备。
第二步：
在【导航菜单】页面中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，出现以下页面：
配置设备模式为网桥模式，点击下一步
第三步：
选择网桥模式：
多网桥模式。
第四步：
分别选择LAN区网口和WAN区网口，组成两对网桥，如图所示：
[LAN网口选择]用于选择内网接口。
[WAN网口选择]用于选择外网接口。
[网桥列表]用于定义网桥，每对网桥接口之间允许转发数据，非一对网桥接口之间的数据是不允许转发的。
勾选[开启多网桥链路同步]，通常用于在冗余网络环境中通知对端设备该链路正发生了故障或已从故障中恢复。
建议开启。
第五步：
分别配置两个网桥的IP，默认网关，首选DNS以及备用DNS，和是否启用VLAN。
在『网桥配置』中配置设备的两个网桥IP、默认网关和DNS地址。
此例中两个网桥是处于同一网段的，网桥IP可以设置同一网段的IP但是不能设置相同的IP，按照网络中空闲的IP地址分配两个地址用做网桥IP，默认网关指向前置FW的虚拟IP地址，DNS设置网络运营商分配的公网DNS地址。
[启用VLAN]用于设备做网桥，有VLAN数据穿过设备，才需要设置VLAN的相关信息。
此例中没有VLAN，所以这里不勾选[启用VLAN]。
1、此处如果没有多余的空闲地址分配做网桥IP，不会影响内网上网的数据，但此时设备没有有效的IP和内网、外网进行通讯，某些功能会受到影响，比如：
内置库更新、WEB认证、准入等）
第六步：
配置管理网口和防火墙规则
管理网口DMZ口，选择一个设备空闲的的网口（非网桥口）做为管理网口。
勾选[自动放通防火墙规则]：
用于放通WAN<->LAN方向所有数据的防火墙规则。
第七步：
确认配置信息，确认无误后，点击提交
设置完毕需要重启设备才可以生效，在弹出的提示框中点击是。
第八步：
基本配置完毕后，将设备接入网络中，WAN1口、WAN2口分别接FW1、FW2，LAN1口、LAN2口接内网交换机。
旁路模式
旁路模式：
实现监控控制的功能的同时，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险。
用于把设备接在交换机的镜像口或者接在HUB上，保证内网用户上网的数据经过此交换机或者HUB，并且设置镜像口的时候需要同时镜像上下行的数据，从而实现对上网数据的监控与控制。
这种模式对用户的网络环境完全没有影响，即使宕机也不会对用户的网络造成中断。
常见的应用环境有以下两种：
旁路模式部署配置案例
客户环境和需求：
客户网络环境如下图所示，客户需要监控内网各个网段的上网数据，需要设备可以自动更新内置规则库，内网用户使用WEB认证，并且能够在内网随时登录设备控制台进行管理，希望通过旁路模式部署配置实现。
综合客户的需求和特殊的网络拓扑，采用如下部署方式：
因为需要设备可以上外网，同时和内网通信正常，AC设备旁路模式下，通过镜像口是不能上网的，解决办法是将设备的管理网口（DMZ口）连接到内网的交换机上，并且分配一个可以使用的IP地址，设备通过此地址完成和公网和内网的通信。
同时将DMZ接到内网的交换机上。
配置方法：
第一步：
先配置设备，通过默认IP登录设备。
第二步：
在【导航菜单】页面中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，出现以下页面：
配置设备模式为旁路模式，点击下一步
第二步：
配置管理网口地址：
旁路模式下，管理网口默认是eth1口，并且不可修改。
[IP地址]填写分配给设备管理口（DMZ接口）的IP地址，此例中需要将DMZ口接到内网交换机上，所以填写一个可以和交换机以及内网通信的IP地址。
[默认网关]指的是设备的网关，此例中填写和DMZ口连接的交换机的网口地址。
在[首选DNS]和[备用DNS]中填写公网可以使用的DNS地址。
第三步：
配置监控网段和监控服务器列表：
『监控网段与排除IP地址列表』中填写需要监控的网段，以及需要排除监控的地址。
此处填写内网网段192.168.1.0/255.255.255.0，则此时这个网段访问其他网段的数据都会被监控，这个网段之间的访问不会被监控。
排除网段用“-192.168.1.1-192.168.1.10”表示，填入后表示192.168.1.1-192.168.1.10这个范围内的IP访问其他网段（外网）的数据不会被监控。
『高级配置』中用于设置[监控服务器列表]，填入列表中的地址，在被监控网段中的IP访问时，数据也会被监控。
例如内网有一台web服务器，用户想要记录内网用户访问这台服务器的数据，因为同一网段的访问是不会被监控的，此时，将web服务器的IP地址填写到[监控服务器列表]中即可。
以上说的是监控的设置，因为旁路模式下可以实现部分TCP控制功能，控制功能是在监控的基础上实现的，也就是说能监控的数据才能被控制。
第四步：
确认配置信息，点击提交
设置完毕需要重启设备才可以生效，在弹出的提示框中点击是。
1.用户必须使用HUB或者交换机具有镜像口的情况。
如果交换机没有镜像口，可以在交换机前加接HUB实现。
2.旁路模式下，TCP的控制是通过DMZ口发送reset包实现的，因此要保证DMZ口发送的reset包都能被PC和公网服务器收到。
3．旁路模式下很多功能不能实现，比如VPN、DHCP等。
4．旁路模式主要起监控的作用，限制的功能没有路由模式和网桥模式那么全面。
只能对TCP的连接进行限制，比如URL过滤，关键字过滤，邮件过滤等。
对UDP不做限制，比如P2P软件，QQ的登录等。
基本功能配置
封堵P2P应用配置案例
客户需求：
禁止所有用户在上班时间使用P2P软件。
配置方法：
第一步：
在【导航菜单】页面中的『对象定义』→『时间计划组』，右边进入【时间计划组】编辑页面定义上班时间：
在【时间计划组】页面点新增，则弹出【时间组计划设置】页面。
点击[新增时间段]可以设置具体的时间周期以及时间范围。
如图：
如果需要设置几个不连续的时间段，可以新增多个时间段。
第二步:
【导航菜单】→『用户与策略管理』→『上网策略』，右边进入【上网策略】编辑页面。
然后点击新增按钮，选择上网权限策略，进入【上网权限策略】编辑界面。
填写策略名称，描述信息。
第三步:
勾选『策略设置』→『上网权限策略』→『应用控制』，右边进入【应用控制】窗口。
点击添加按钮。
第四步:
点击应用下方的
，进入【选择应用】窗口。
第五步:
在应用列表中找到p2p相关的所有应用，并勾选。
第六步:
点击确定按钮。
回到应用控制页面。
生效时间选择上班时间，动作选择为拒绝。
点击确定按钮，完成p2p应用拒绝设置。
第七步:
选择『适用组和用户』选项，进行策略与用户/组关联。
第八步:
点击提交按钮，完成整个策略设置。
审计用户上网行为配置案例
客户需求：
开启审计，记录所有内网用户上班时间访问网站的URL地址，和用户通过WEBBBS发帖，WEBMAIL邮件的内容及所有通过微博发送的内容（包括图片、视频、音乐）。
配置方法：
第一步:
【导航菜单】→『用户与策略管理』→『上网策略』，右边进入【上网策略】编辑页面。
然后点击新增按钮，选择上网审计策略，进入【上网审计策略】界面。
填写策略名称，描述信息。
第二步:
勾选『策略设置』→『应用审计』，右边进入【应用审计】编辑窗口。
点击添加，进入添加审计对象页面。
第三步:
点击审计对象下方的
按钮，进入【选择审计对象】编辑窗口。
选择『HTTP外发内容』，然后勾选[WEBBBS的发帖内容]，[外发的WebMail内容]，[通过网页上传的附件内容，包括WebMail附件]，[微博内容]，[包含微博附件（图片、视频、音乐）]。
第四步:
选择『访问网站/下载』，然后勾选[访问URL]，设置审计访问网站的URL。
选择『生效时间』为上班时间（通过『对象定义』→『时间计划组』预先定义上班时间）。
第五步:
选择适用的组和用户：
第六步:
点击提交按钮，完成整个策略。
限制下载工具的网络流量配置案例
客户需求：
公司租用了一条10Mb/s电信线路，内网有1000名上网用户，发现很多市场部人员经常使用迅雷，P2P等下载工具进行下载，占用了大部分带宽，影响了其他部门的正常的办公业务，通过流量管理系统将市场部的这部分数据占用的带宽限制在2Mb/s之内，并且每个用户的P2P下载速度限制在30KB/s以内。
配置方法：
第一步：
进入『流量管理』→『线路带宽配置』配置公网线路带宽，点击线路1，弹出【线路带宽编辑】窗口，本例中公司的外网是一条10M电信线路，则将[上行]、[下行]分别设置成10（Mb/s）/8=1.25MB/s。
第二步:
进入『流量管理』→『通道配置』，先启用流量管理系统。
勾选[启用流量管理系统]，启用流量管理。
第三步:
配置限制通道
本例中是对市场部人员的P2P应用的下载数据进行流控，限制这些应用占用的总带宽不超过2Mb/s。
在【带宽分配】中点击新增通道，选择新增一级通道，出现【新增以及通道】页面：
勾选[启用通道]，表示该通道是启用状态。
在【通道编辑菜单】中选择[带宽通道设置]，在右边窗口中设置通道的相关属性。
【带宽通道设置】：
用于设置生效线路、通道类型、限制或保证的带宽、单个用户带宽等。
【带宽使用范围】：
用于设置哪些类型的数据会匹配到此通道，即通道的使用范围，此处设置的范围包括：
应用类型、适用对象、生效时间和目标IP组，这些条件需要全部满足才能匹配到此通道。
[适用应用]用于设置应用类型，点击选择自定义应用，在弹出框【自定义适用服务与应用】中选择应用类型，此例中需要对P2P相关数据和下载工具下载数据进行流控，则此处选择应用：
下载工具/全部、P2P/全部、P2P流媒体/全部。
在【已选列表】中确认选择的范围是否正确，点击确定，完成适用应用的设置。
[适用对象]用于设置此通道对哪些用户、用户组、IP生效，勾选[自定义]用于指定特定的用户和用户组，点击选择自定义对象，在弹出框【自定义适用对象】中选择对象，此例中需要对市场部门的所有用户做带宽限制，则此处选择“市场部门”用户组。
选择好[适用对象]后，点击确定完成设置。
[生效时间]用于设置此通道的生效时间。
[目标IP组]用于设置目标IP条件。
设置完成后，显示如下：
设置完成后，点击确定，完成限制通道的设置。
第四步：
点击确定保存后，【带宽分配】中会出现设置的通道。
限制通道配置完成。
保证重要应用网络流量配置案例
客户需求：
公司租用了一条10Mb/s电信线路，内网有1000名上网用户，保证财务部访问网上银行网站和收发邮件的数据在占用带宽也不小于2Mb/s，但是最大不能超过5Mb/s。
配置方法：
第一步：
进入『流量管理』→『线路带宽配置』配置公网线路带宽，点击线路1，弹出【线路带宽编辑】窗口，本例中公司的外网线路是一条10M的电信线路，则将[上行]、[下行]分别设置成10（Mb/s）/8=1.25MB/s。
第二步:
进入『流量管理』→『通道配置』，先启用流量管理系统。
勾选[启用流量管理系统]，启用流量管理。
第三步:
配置保证通道
本例中是对财务部人员的访问网上银行类别的网站以及收发邮件的数据做带宽保证。
在【带宽分配】中点击新增通道，选择新增一级通道，出现【新增以及通道】页面：
勾选[启用通道]，表示该通道是启用状态。
在『通道名称』中输入该通道的名称，『所属通道』用于显示通道级别，“/”表示此通道是一级通道。
【带宽通道设置】：
用于设置生效线路、通道类型、限制或保证的带宽、单个用户带宽等。
『带宽通道类型』用于选择通道类型并定义带宽值，此例中需要对财务部人员的访问网上银行类别的网站以及收发邮件的数据做带宽保证，保证至少2Mb/s，最高不超过5Mb/s，则此处勾选[保证通道]，设置[上行带宽]、[下行带宽]的[保证]和[最大]分别为20%和50%的总带宽，总带宽是10Mb/s，则保证带宽为2Mb/s，最大带宽为5Mb/s。
『启用限制单IP最大带宽』用于限制匹配到此通道的单个IP占用的带宽值，此例中不勾选。
【带宽使用范围】：
用于设置哪些类型的数据会匹配到此通道，即通道的使用范围，此处设置的范围包括：
应用类型、适用对象、生效时间和目标IP组，这些条件需要全部满足才能匹配到此通道。
[适用应用]用于设置应用类型。
勾选[自定义]选择特定的应用类型，点击选择自定义应用，在弹出框【自定义适用服务与应用】中选择应用类型和网站类型，此例中需要访问网上银行类别的网站以及收发邮件的数据做带宽保证，则此处选择应用：
邮件/全部。
另外选择[网站类型]为：
网上支付和个人银行。
在【已选列表】中确认选择的范围是否正确，点击确定，完成适用应用的设置。
[适用对象]用于设置此通道对哪些用户、用户组、IP生效，勾选[自定义]用于指定特定的用户和用户组，点击选择自定义对象，在弹出框【自定义适用对象】中选择对象，此例中需要对财务部的所有用户做带宽保证，则此处选择“财务部门”用户组。
选择好[适用对象]后，点击确定完成设置。
[生效时间]用于设置此通道的生效时间。
[目标IP组]用于设置目标IP条件。
设置完成后，显示如下：
设置完成后，点击确定，完成保证通道的设置。
第四步：
点击确定保存后，【带宽分配】中会出现设置的通道。
保证通道配置完成。
1、保证带宽通道百分比之和可能会超过100%时，当超过100%时，各保证通道的最小带宽值会按照比例进行缩减。
比如，我们设置两条通道，第一条保证带宽设为30%，第二条设为90%，则第一条实际分配到30/（90+30）%，即25%，第一条实际分配到90/（90+30）%，即75%。
2、优先级：
当实际带宽有空余，优先级越高则越先占用空闲带宽。
密码安全风险提示
为了防止其他无关人员或恶意攻击者通过默认账号密码登录和更改设备配置，请修改AC设备登录的默认密码。
SANGFORAC设备有三类密码：
1.AC控制台登录密码
2.A
升级会员 