深信服上网优化网关操作手册

1、深信服上网优化网关操作手册(Ver3.3)武汉汇通时代一、 产品说明1.1产品外观图1-1设备1.控制口 2.ETH3（WAN2） 3.ETH1（DMZ） 4.ETH2（WAN1） 5.ETH0（LAN）6.电源灯 7.告警灯1.2配置与管理在M6300 SG中一共有10个接口，其中有2个控制口，2个光口和6个以太网接口，默认情况下ETH0、ETH1、ETH2的IP地址已经配置好。控制口仅供开发和测试调试使用，最终用户需从网口通过控制台接入。用户如果需要对设备配置只需在浏览器中输入管理的IP的地址。在配置设备之前，您需要配备一台电脑，配置之前请确定该电脑的网页浏览器能正常使用（如Interne

2、t Explorer），然后把电脑与SANGFOR SG连接在同一个局域网内，通过网络对设备进行配置。设备出厂的默认IP见下表：接口 SG ETH0（LAN） 51/24 ETH1（DMZ） 52/24 ETH2（WAN1） 1/24 1.3设备接线方式WAN口直接连接MODEM应使用直连线、连接路由器应使用交叉线；LAN口连接交换机应使用直通线、直接连接电脑网口应使用交叉线。当指示灯显示正常，但不能正常连接的时候，请检查连接线是否使用错误。二、 功能介绍2.1用户登陆在浏览器中输入4

3、4即可到达登陆页面，在“用户名”和“密码”中分别输入Admin就可以登陆到SG上了。图2-1登陆2.2部署方式部署模式用于设置设备的工作模式，可把设备设定为路由模式、网桥模式或旁路模式。选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能； 旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可

4、以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。选择【导航菜单】中的网络配置部署模式，右边进入【部署模式】编辑页面，点击开始配置，会出现路由模式、网桥模式、旁路模式的选项，选择想要配置的网关模式。图2-2部署模式选择图2-3当前模式2.3添加用户与组在【组织结构】中选择需要添加子组的用户组，右边进入管理页面，在【成员管理】窗口中，点击新增按钮，然后选择新增类型组。图2-4组图2-5新增组和用户图2-6添加组默认情况下用户连接到网络后，网络用户会自动显示在default组中，如需要移动到其它的组需要以下操作：图2-7移动用

5、户用户除了可以自动添加到默认组外，系统还可以手动添加用户到指定的组，手动添加用户可以绑定一个IP地址，当然也可以绑定一个网段如图：图2-8导入用户图2-9绑定IP当然除了以上两种法式外，管理员还可以用CSV格式的文件导入、扫描IP导入和外部LDAP服务器导入。 图2-10导入用户2.4上网策略用户/用户组和上网策略在设备上都是独立的元素，需要将上网策略关联给相应的用户/用户组后，上网策略才会起作用。用户/用户组上网时将匹配与其关联的上网策略。新建上网策略时，可以直接添加需要匹配此策略的用户/用户组。第一步：在上网策略中点击新增策略第二步：点击进入【适用组和用户】页面，在【组织结构】中选择需要匹

6、配此策略的用户组或者在【当前组路径】中选择用户或子组。勾选新增子组及用户表示此用户组市场部门后面新增的子组和用户也会匹配到此策略，不勾选的情况下，后续新增的子组和用户不会匹配此策略。图2-11制定上网权限策略将上网权限策略应用到适用组和用户图2-12策略用户三、 案例3.1上网认证所有计算机上网前，都必须经过用户认证，以识别上网计算机的身份。认证策略决定了某个IP/网段/MAC地址上计算机的认证方式。通过认证策略设置内网用户的认证方式，以及新用户添加的策略。设备的认证方式有以下几种： 1、不需要认证；2、密码认证（包括本地密码认证和外部服务器认证）；3、单点登录；4、DKEY认证。配置举例1：

7、设置工程部/网段的电脑使用本地密码认证，新用户自动添加到“/员工”组，同时用户名要和IP绑定做双向绑定，即用户名要和IP一一对应。内网其他网段的用户不需要认证，以IP作为用户名，新用户自动添加到“/默认组”。（此例中以本地密码认证，其他类型的外部认证服务器设置步骤类似）第一步：设置用户认证认证策略，点击新增，弹出【认证策略】窗口。在名称中填写认证策略的名称，必填项。图3-1认证策略第二步：设置认证策略新用户选项，设置对新用户的处理方式：图3-2策略用户第三步：设置编辑用户用户属性，设置用户的本地密码：图3-3本地密码按照以上方法设置后，本地用户

8、上网需要通过认证，否则无法上网。图3-4上网认证系统3.2上网权限策略企业领导禁止员工在上班时间内看视频、听音乐、玩游戏做其它与工作无关的事，上网优化网关可以通过添加策略来限制用户的非法操作。配置举例1：设置公司所有用户/网段的电脑在上班时间内不允许看视频、听歌、玩游戏。可以通过上网权限策略来限制用户的上网行为。第一步:点击新增，然后选择上网权限策略，进入新策略编辑界面。图3-5上网策略第二步:勾选上启用该策略，开启该策略。注意：此处如果不勾选启用，则设置的策略将不会生效。图3-6策略设置第三步:填写策略名称与描述信息。其中策略名称为策略的唯一

9、标识，不能重复并且必须填写。描述信息是对策略的概要，非必须填写。第四步:进入【策略设置】页面，根据需要设置相应的上网权限策略。第五步:设置【适用组和用户】，此处选中的用户组和用户将全部匹配此上网策略设置的权限。在窗口【组织结构】里，选择需要操作的用户组，在右侧窗口【当前组路径】中勾选需要使用此条上网策略的用户或用户组。您可以同时添加多个组或用户，对于您已经选择的用户组和用户，会被显示在下方【已选列表】里面，便于您查看所有已选的对象。图3-7策略用户完成以上步骤后，如果员工上网看视频就会出来以下提示：图3-8出错3.3邮件过滤收发邮件是企业员工必备的工作，然而为了保证公司重要信息的安全可靠和网络的流畅性，一般会过滤垃圾信息和延迟审计邮件内容，做为一款优化的上网优化网关而言这也是必备的功能。第一步:点击新增，然后选择上网权限策略，进入新策略编辑界面。图3-5上网策略第二步:勾选上启用该策略，开启该策略。注意：此处如果不勾选启用，则设置的策略将不会生效。图3-6策略设置第三步:填写策略名称与描述信息。其中策略名称为策略的唯一标识，不能重复并且必须填写。描述信息是对策略的概要，非必须填写。第四步:进入【策略设置】页面，根据需要设置相应的上网权限策略。第六步:设置右侧窗口【邮件过滤】中【发送或接收邮件】 “