深信服AC-1200配置手册

1、精品文档附件五上网行为管理AC-1200 配置管理文档1. 设备名称本系统上网行为管理设备采用深信服公司生产的AC-1200。2. 设备功能根据用户提出的应用需求，AC-1200在本系统中的设计功能是对网络资源进行合理的分配，并对内部工作人员的上网行为进行规范，以及对防火墙的功能进行必要的补充。3. 设备硬件信息3.1 AC-1200 产品外形AC-1200 产品外形和接口信息如 图 1 所示。图 1 AC-1200 产品外形和接口信息网络连接与管理方式AC-1200的 ETH0（LAN）口通过透明网桥的方式与核心交换机CISCO4506的 GE3/1连接，加入本地局域网络。ETH2(WAN1

2、)口与路由器 CISCO2821，与 Internet连接。精品文档ETH1(DMZ)端口作为WEB管理端口连接到核心交换机的G3/30。设备端口IP地址分配见 表1。本设备只提供WEB管理方式。通过网络连接到WEB管理端口，打开浏览器， 在地址栏输入 1，进入管理页面输入用户名和密码，单击“登录” ，即可进入管理界面，如 图 2 所示。表 1 设备端口 IP 地址分配表接口IP 地址描述ETH0 (LAN)透明模式与核心交换G3/1 连接ETH1 (DMZ)1与 VLAN5某端口连接 （ WEB管理）ETH2 (WAN1)192.16

3、8.1.6与路由器 G0/0/0 连接图 2WEB 登录页面4. 配置管理4.1 WEBUI 界面登录后看到的是WEB管理的首页，包含左侧的功能菜单栏和右侧的状态信息显示。如图 3 所示。图 3 WEB用户管理界面4.2系统配置系统配置部分包含系统信息、管理员帐户、系统时钟等信息。4.2.1系统信息系统信息包含系统内的序列号和license信息，如 图 4 所示。图 4 系统信息4.2.2管理员帐户本系统内除 admin 帐户外，另创建了一个 gtyl 管理员帐户，其权限与 admin 相同。图 5 所示为管理员帐户列表。图 5 管理员帐户列表如需对管理员帐户进行配置， 直接单击蓝色用户名，

4、如需创建新管理员， 单击左上角“新增”图标，即可进入创建页面。4.2.3系统时间系统时间设置界面如 图 6 所示。图 6 系统时间设置页面4.2.4系统升级如图 7 列表中所显示的，除病毒库未购买升级服务，网关补丁不需购买服务外，其他服务都在 2012 年 4 月 7 日到期，到时可根据实际情况决定是否购买。在服务期内的项目已全部设置自动升级。图 7 系统升级4.2.5全局排除地址全局排除地址列表中的服务器网址不受监控和限制，如图 8 所示。本次设置未启动该项目，今后可根据实际应用自行设置。图 8 全局排除地址4.3网络配置本系统网络配置为透明方式， ETH0(LAN)和 ETH2(WAN1)

5、之间配置网桥， Internet 线路从路由器连接到 WAN1口， LAN端口连接到核心交换机的 VLAN 1端口，配置 DMZ 为管理端口，加入 VLAN 5，IP 地址为 1 。如 图 9 列表所示。图 9 网络配置4.4防火墙防火墙功能使用USG2220实现，此处不做配置。4.5安全防护本设备的安全防护功能是对USG2220的部分补充。4.5.1防 DOS攻击DOS攻击（拒绝服务攻击）是通过发送大量请求，耗尽服务器资源，使得合法请求得不到响应。本设备防 DOS攻击设置如 图 10 所示。图 10 防 DOS攻击设置4.5.2防 ARP欺骗ARP欺骗是一种常见的内网病

6、毒，中毒的客户端不断向内网发广播包，严重影响局域网的通讯，甚至断网。本设备防ARP欺骗设置如 图 11 所示。图 11 防 ARP欺骗4.5.3网关杀毒本设备的杀毒网关未购买病毒库升级服务，病毒库为 2011-03-31 之前，已设置全部杀毒功能。如 图 12 所示。图 12 网关杀毒配置4.6流量管理4.6.1虚拟线路配置这里的虚拟线路配置实际就是Internet的接入线路配置。我们配置上、下行线路带宽均为 10240Kbps(10Mbps)。如 图 13 所示。图 13 虚拟线路配置4.6.2通道配置通道配置是本设备进行网络流量管理的核心内容。 通过添加不同的通道， 并对他们进行网络带宽的

7、分配，可以使符合该通道策略的应用得到带宽的保证或限制。通道配置如 图 14 所示。图 14 通道配置配置列表中的项目， 除上班时间流量管理是我们这次添加的项目， 其余均为系统根据实际情况已制定的通道。此次配置将全部应用启动。下面已低延时保障为例，说明配置参数。如图 15 和图 16 所示。图 15 低延时保障通道配置图 16 低延时通道应用范围从图 16 可以看出，本设置适用于实时性较高的应用，如网游、股票行情和交易等。从图 15 可以看到，系统预留 20%的带宽保证这类应用的流量需求。实际操作中， 我们添加了一个命名为上班时间流量限制的通道， 以此为例，讲解添加配置步骤。首先，单击 图 14

8、 左上角的加号“添加通道” 。如 图 17 所示，我们设置通道为限制通道，最大上、下行带宽为 50%，优先级为低，并且设置单 IP 资源不超过 50Kbps。在通道适用范围中，我们设置为适用于所有应用，适用对象为临时人员（自动获取 IP 地址的人员），生效时间为工作时间，目标IP 组为自动获取。如 图 18 所示。其中用户组 “临时人员”、生效时间 “工作时间”（周一到周日， 9：00-19 ：00）、目标 IP 组“自动获取”都是已经在对象定义和用户管理中定义好。当带宽资源已经满负荷时，系统将保证优先级高的通道的带宽。图 17 配置带宽通道设置实例图 18 通道适用范围设置实例4.7用户和上

9、网策略4.7.1上网策略制定上网策略的目的是保证带宽不被非公业务占用和协助行政规定的实施。这里通过一个示例说明上网策略的配置方法。（本策略不被启动）。策略目的：在上班时间段，禁止“临时人员”、 “综合管理部人员” 、“财务部人员”、“公司领导”通过互联网使用“ HTTP协议”、“ QQ”、“淘宝”、“迅雷下载”“ P2P 网络视频”。策略启动后结果：上述人员在周一到周日9： 00-19 ：00，无法浏览网页，不能通过 QQ聊天，无法使用迅雷下载，无法观看P2P视频。设置步骤如下：1) 添加上网策略单击导航菜单的“用户与策略管理” “上网策略” “新增” “上网权限策略”，如 图 19 所示。图

10、 19 添加上网策略2） 配置策略名称和信息在上网权限策略页面中，输入策略名称“办公策略”和策略信息“测试”，如图20 所示。图 20 配置策略名称和信息然后单击“应用”栏下面的显示器图标，选择要配置的应用。进入图 22 所显示的画面。选择好应用后，单击“确定” 。图 22 应用选择确定后进入 图 23 所示页面。图 234）配置适用组和用户单击图 23 中的“适用组和用户” ，选中需要禁止应用的用户组，点“提交”如图 24 所示。图 24 配置适用组和用户至此，本策略配置完成。4.7.2用户管理在用户管理部分， 已经把终端客户按部门分组添加到系统中，每个用户与一个或几个 IP 地址绑定，台式

11、机用户绑定一个，笔记本用户绑定两个，领导绑定三个。图 25 所示为组 / 用户视图，左侧为用户组列表，右侧为选中用户组中的成员。图 25 中选中的是“公司领导”用户组，右侧显示的是改组成员名单。单击右侧列表中的具体成员名称， 可以进入该用户的具体配置信息视图。 在此可以对该用户进行配置。配置的内容包括用户属性（图 26）和策略列表（ 图 27）。如图 26 中设置用户“张先龙”绑定IP 地址 0-2，图 27 中设置该用户应用策略“办公策略” ，（该策略未启动）。图 25 组/ 用户视图图 26 用户属性设置图 27用户策略列表4.8对象定义

12、对象定义部分包含系统配置所用到的基础信息的定义。其中各种库资源都由系统自定义，并可从网上自动升级。 本次配置我们定义了IP 组（图 28）和时间计划组（图29）两项内容，其他内容可根据需求再添加。图 28 IP组定义图 29 时间计划组定义4.9实时状态监控实施状态中包括运行状态、 安全状态、流量状态、 上网行为监控和在线用户管理等功能。下面做分别介绍。4.9.1运行状态图 3 所示的是系统实时运行状态概览， 包含资源信息、 接口吞吐率折线图、 应用流量排名、用户流量排名等。此视图内容可自定义。4.9.2安全状态本项统计安全事件列表，如图 30 所示。图 30 安全状态监控4.9.3流量状态本项内容包括用户流量排名 （图 31）、应用流量排名（图 32）、流量管理状态 （图33）和连接监控（ 图 34）。图 31 用户流量排名图 32 应用流量排名图 33 流量状态管理图 34 连接监控4.9.4上网行为监控针对各个用户的上网行为的监控功能。如图 35 所示。图 35 上网行为监控4.9.5在线用户管理本项功能是针对在线用户进行控制管理。如图 36 所示。图 36 在线用户管理4.10统计报表在管理页面的任何一页， 单击右上角的 “内置数据中心”，将会弹出新的页面 （图37），这就是内置数据中心。在