上网行为管理部署方案培训课件

1、08 八月 2022上网行为管理部署方案培训第1页，共66页。部署模式介绍深信服公司简介典型部署模式与配置其它功能介绍SANGFOR 访问控制上网行为管理部署方案培训第2页，共66页。SANGFOR AC部署模式介绍部署模式_简介1、部署模式是指设备以什么样的工作模式部署到客户网络中去，不同的部署方式对客户的网络影响各有不同，具体以何种部署方式需要综合客户具体的网络环境和客户的功能需求而定，不同的部署模式对客户原有网络的影响各有不同。2、AC支持路由、网桥、旁路三种工作模式。上网行为管理部署方案培训第3页，共66页。SANGFOR AC部署模式介绍路由模式_简介1、路由模式时AC的工作层次基本

2、与路由器相当，具备基本的路由转发及NAT功能，一般在客户原有网络环境中添加部署AC设备时不采用这种模式，因为这种部署模式需要对客户的网络环境作较大的改动。2、一般此种部署模式是客户想用AC替换原有部署的防火墙或者是路由器，或者是客户在规划新网络建设时将AC部署为路由模式。3、路由模式下支持AC所有的功能模式。4、一般客户如果需要作NAT、VPN、DHCP等功能时，AC必须是路由模式，其它工作模式不支持实现这些功能。上网行为管理部署方案培训第4页，共66页。SANGFOR AC部署模式介绍网桥模式_简介1、AC以网桥模式部署时对客户原有网络基本没有改动，不需要更改客户原有的网络设备配置。 2、网

3、桥模式时AC不支持NAT（代理上网和端口映射）、VPN、DHCP等功能，除此之外AC的其它功能如URL过滤、流控等其它功能均可实现。3、网桥模式部署AC时，对客户原有网络是透明的，因此当网络因为AC的原因而中断时可以马上绕开AC，即可恢复客户原有的网络。上网行为管理部署方案培训第5页，共66页。SANGFOR AC部署模式介绍网桥模式_3种类型1、单网桥，这种部署模式是最常见的。AC部署在出口网关设备（防火墙或者路由器）和内网的主交换机中间。常见于客户原有的网络是单核心交换机、单出口防火墙（路由器）的情况下。2、多网桥，一般情况下两进两出是最常见的。AC部署在出口网关设备（防火墙或者路由器）和

4、内网的主交换机存在多个核心链路之间。常见于客户原有的网络有可能是多核心交机或者是多出口防火墙（路由器）的情况下。3、网桥多网口，这种部署相对比较少。是指支持将多于两个以上的网口来组成单个网桥。上网行为管理部署方案培训第6页，共66页。SANGFOR AC部署模式介绍旁路模式_简介1、旁路模式是AC三种工作模式中最简单的一种，但也是所能实现功能较弱的一种部署方式，此种部署模式对客户原有网络无任何影响，即使设备宕机也不影响客户网络。2、旁路模式AC只支持审计和基于TCP应用的控制功能，无法对任何基于UDP协议的应用作任何的控制。3、旁路模式一般AC使用一个监听口单接部署在核心交换机或者是核心出口路

5、由器上，需要路由器或者是核心交换机支持镜像功能，将流量上下行镜像到AC上来。上网行为管理部署方案培训第7页，共66页。部署模式介绍深信服公司简介典型部署模式与配置其它功能介绍SANGFOR 访问控制上网行为管理部署方案培训第8页，共66页。路由模式旁路模式网桥模式典型部署模式与配置上网行为管理部署方案培训第9页，共66页。典型部署模式与配置 路由模式_部署指导1、首选需要了解客户的实际需求，客户是否必须要用到AC的VPN、NAT（代理上网和端口映射）、DHCP这几个功能。如果客户网络中已经有其它设备实现了这些功能或者是客户根本用不到这些功能则应首先考虑网桥模式部署。2、客户新规划建设的网络中来

6、部署AC，相当于一个全新的网络规划，客户想把AC当作一台防火墙部署在出口上，可以部署成为路由模式。3、客户网络中原有防火墙或者路由器了，出于某方面的原因想用AC替换掉原有出口的防火墙或者路由器。上网行为管理部署方案培训第10页，共66页。典型部署模式与配置上网行为管理部署方案培训第11页，共66页。典型部署模式与配置 路由模式配置思路1、网口配置：确定设备外网口（WAN1口）是固定IP或者是ADSL拨号方式，取得相应运营商给的IP地址信息或者是拨号的帐号密码；确定内网口（LAN口）的IP地址信息；2、确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机；上网行

7、为管理部署方案培训第12页，共66页。典型部署模式与配置 路由模式配置截图上网行为管理部署方案培训第13页，共66页。典型部署模式与配置 网桥模式_部署指导1、网桥模式部署相比路由模式对客户的网络影响比较小，当客户确定不需要使用AC的VPN、NAT、DHCP功能时，则应考虑部署网桥模式。2、根据客户原有网络结构决定AC采用是单网桥、双网桥、网桥多网口等方式。典型的网络环境和部署方式：客户原有网络是单核心交换机、单出口防火墙情况下，AC用单网桥；客户原有网络是单核心交换机、两台出口防火墙情况下，AC用双网桥；客户原有网络是两台核心交换机、单台出口防火墙情况下，AC用双网桥；上网行为管理部署方案培

8、训第14页，共66页。典型部署模式与配置上网行为管理部署方案培训第15页，共66页。典型部署模式与配置 网桥模式配置思路1、网桥模式部署时需要考虑AC串接在前面防火墙和下面的核心交换机之间网段是否存在空闲的主机IP地址，如果有则分配一个该网段的IP地址给AC作为网桥的IP地址，如果没有空闲IP的话则配置管理口（DMZ）进行管理。2、典型的前端防火墙和下面的核心交换机之间的链路配置了点到点的IP地址段，则AC串接进去后也无可用主机IP地址分配，因此这种情况下AC只能配置管理口（DMZ）进行管理。上网行为管理部署方案培训第16页，共66页。典型部署模式与配置 网桥模式配置截图上网行为管理部署方案培

9、训第17页，共66页。典型部署模式与配置 旁路模式_部署指导1、旁路模式是所有部署模式中最简单的一种，但也是功能实现较弱的一种部署方式。当客户的需求只是上网审计和基于TCP的应用过滤时，可以考虑此种部署方式，常见于高校、大型国有企业专门用于AC作审计；2、旁路部署时一般设备是接在核心交换机上，核心交换机通过将镜像功能将需要审计的流量镜像过来；3、管理时采用管理口（DMZ）配置IP地址进行管理，其它所有接口均可作为监听口，可使用一个口或者是多个口同时作为监听口，监听口无需任何配置的。上网行为管理部署方案培训第18页，共66页。典型部署模式与配置上网行为管理部署方案培训第19页，共66页。典型部署

10、模式与配置 旁路模式部署配置思路1、一般AC旁路接在核心交换机的镜像口上，核心交换机需要将上下行流量镜像到AC过来。2、旁路模式部署时必须配置管理口IP地址进行管理，可以分配内网任意网段空闲IP地址进行管理，监听口可以接任意网口（除了配置为管理口接口之外），可以同时接多个进行监听。3、需要确认内网所有需要进行审计的内网网段（监控网段），需要确认内网是否有服务器提供访问时需要也进行记录。4、管理口不仅用于管理，还用于包括和外置数据中心同步、作TCP控制时发reset包使用。上网行为管理部署方案培训第20页，共66页。部署模式介绍深信服公司简介典型部署模式与配置其它功能介绍SANGFOR AC访问

11、控制上网行为管理部署方案培训第21页，共66页。三、访问控制1、组织结构管理2、上网策略管理3、流量管理上网行为管理部署方案培训第22页，共66页。3.1、AC组织结构管理-概念组织结构：管理用户、设置分组和关联策略组织用户：用户组一般情况下，每个用户都必须有个所属组子组父组root根组上网策略一级组二级组用户用户组关联三、访问控制上网行为管理部署方案培训第23页，共66页。3.1、AC组织结构管理-新建用户组以“财务部”为例，财务部为一级组，下属有“回款部”和“统计部”两个子部门可以同时建立多个子组显示所属组路径，即父组路径，同时也是AC中组的表达方式。三、访问控制上网行为管理部署方案培训第

12、24页，共66页。3.1、AC组织结构管理-新增子组建好“财务部”组后，建立其子组：“回款部”和“统计部”三、访问控制上网行为管理部署方案培训第25页，共66页。3.1、AC组织结构管理-新增用户可以同时新增多个用户，但只能编辑公共属性用于在用户在线列表等地方显示三、访问控制上网行为管理部署方案培训第26页，共66页。3.1、AC组织结构管理-移动对象对已经设置好的用户或者组，可以进行移动，移动在组织结构中的位置。三、访问控制上网行为管理部署方案培训第27页，共66页。3.1、AC组织结构管理查询对象在“组成员列表”中进行查询，查询当前组包含的所有用户和子组。可以查询当前组以及其子组的成员列表

13、。三、访问控制上网行为管理部署方案培训第28页，共66页。3.2、上网策略管理概念访问控制：对内网用户访问外网的数据进行控制。通过什么实现：上网策略对象怎样进行控制：用户组或用户关联相关策略三、访问控制上网行为管理部署方案培训第29页，共66页。策略对象：用于设置详细的上网策略。包括：上网权限、网页过滤、邮件过滤、应用审计、流量统计与上网计时、准入系统。一条策略中包含这六种控制方式，通过勾选，使此方式生效并进行设置。接下来的章节将对这六种控制方式进行详细讲解策略名称策略描述掌握：能做到什么？控制的原理？设置步骤？3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第30页，共66页。3.

14、2.1、上网权限a、应用服务控制：对数据包的协议和特征字段等进行分析，判断数据类型。b、网络服务控制：对数据包的IP和端口进行分析控制，相当于传统防火墙。c、高级配置：控制使用代理等数据。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第31页，共66页。3.2.1、上网权限a、应用服务控制：根据分析数据包特征字段，获取应用类型，内置大量规则，由研发根据目前常见应用分析出来的，并会进行实时更新。选择应用类型对应用类型下的子类进行选择细分子类应用类型应用类型应用名称规则名称策略匹配顺序：由上至下，当涉及相同的规则时，注意将较细的规则放在前面。策略叠加时，缺省动作以此条为准，还是继续往下

15、匹配，如果以此条为准，则执行缺省动作，下面策略中的应用服务控制不再匹配到了3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第32页，共66页。3.2.1、上网权限b、网络服务控制：根据目标IP、端口和时间来控制上网数据。功能和前面类似，不再赘述。功能和前面类似，不再赘述。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第33页，共66页。3.2.1、上网权限c、高级配置：检测代理数据，控制是否可以使用代理上网识别某些使用http和SSL标准端口的非标准协议，例如QQ等。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第34页，共66页。3.2.2、网页过滤a、UR

16、L过滤：对访问网页的URL进行过滤，内置研发收集的URL库，并可以进行定时更新。b、关键字过滤：拒绝某些在搜索引擎或通过http协议上传的关键字。c、文件类型过滤：拒绝通过http或FTP下载和上传的文件类型。d、SSL控制：通过证书控制，保证访问SSL协议的安全性。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第35页，共66页。3.2.2、网页过滤a、URL过滤：根据访问网页的URL进行过滤策略叠加时，缺省动作以此条为准，还是继续往下匹配，如果以此条为准，则执行缺省动作，下面策略中的URL控制不再匹配到了URL组3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第36页

17、，共66页。3.2.2、网页过滤a、URL过滤：URL组设置（自定义URL组过滤）内置URL由研发收集并提供网上定时更新，内置URL无法编辑，导出等操作用户根据自身情况自定义URL组查询内置和外置url，不支持模糊查询支持一级通配符3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第37页，共66页。3.2.2、网页过滤b、关键字过滤：搜索引擎：对知名搜索引擎上搜索关键字进行控制HTTP上传：对通过HTTP协议上传的其他关键字进行控制，包括发贴、webmail等。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第38页，共66页。3.2.2、网页过滤b、关键字过滤：关键字组设

18、置关键字：一行一个，不支持通配符和权重等。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第39页，共66页。3.2.2、网页过滤c、文件类型过滤：过滤通过HTTP协议上传和下载的文件类型勾选是否同时适用于FTP传输的文件类型3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第40页，共66页。3.2.2、网页过滤c、文件类型过滤：文件类型组设置根据文件后缀名进行控制3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第41页，共66页。3.2.2、网页过滤d、SSL控制SSL证书的颁发机构受信任的根证书，应用于证书链控制导入受信任的根证书3.2、上网策略管理-策略对象

19、设置上网行为管理部署方案培训第42页，共66页。3.2.3、邮件过滤邮件过滤用于过滤使用SMTP和POP3协议收发的邮件，对webmail无效。发邮件收邮件3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第43页，共66页。3.2.3、邮件过滤邮件延迟审计：设置策略，将匹配条件的邮件，延迟发送，AC通知管理员查看审核此邮件，由管理员决定是否将此邮件发出，还是删除不发送。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第44页，共66页。3.2.3、邮件过滤邮件延迟审计：设置延迟审计策略，查看未审计和已审计的邮件。 管理员在此处审计延迟发送的邮件3.2、上网策略管理-策略对象

20、设置上网行为管理部署方案培训第45页，共66页。3.2.4、应用审计应用审计：用于记录用户的上网行为，勾选相关选项即可实现某项日志的记录。记录的日志可在数据中心中进行查询。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第46页，共66页。3.2.5、流量统计与上网计时用于设置统计流量和上网时长，并对单个用户的上网时间和连接数进行控制。设置是否统计用户各种应用的流量和上网时长控制单个用户的上网时间，以有流量就计时，注：在线不一定有流量根据时间段进行控制设置上网时间和排除端口连接数：检测实时连接数进行控制3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第47页，共66页。3.

21、2.6、准入系统通过在用户终端安装准入控件，从而监控到用户PC上的相关信息，并进行控制管理，可以对操作系统类型、进程、文件等进行检测，并且实现对加密聊天软件的内容监控。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第48页，共66页。3.2.6、准入系统准入规则：包含内置和自定义两种规则，内置规则主要是监控IM聊天内容的软件，由研发设置并定期更新，内置规则不允许编辑和删除。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第49页，共66页。3.2.6、准入系统操作系统控制：检测客户端电脑的操作系统，包括是否打过补丁，对违反规则的客户可“禁止用户上网”或“提交报告”。3.2

22、、上网策略管理-策略对象设置上网行为管理部署方案培训第50页，共66页。3.2.6、准入系统进程控制：检测客户端进程信息，违反规则的客户采取“禁止用户上网”、“停止启用进程”或“提交报告”。进程名称3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第51页，共66页。3.2.6、准入系统文件控制：检测客户端文件信息，违反规则的客户采取“禁止用户上网”、“删除文件”或“提交报告”等操作。填写文件完整路径3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第52页，共66页。3.2.6、准入系统注册表控制：用于检测终端注册表的信息，违反规则的客户采取“禁止用户上网”、“添加删除该项”

23、或“提交报告” 操作。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第53页，共66页。3.2.6、准入系统其他：禁止用Admin身份登录系统， 跨三层绑定IP/MAC。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第54页，共66页。3.2.6、准入系统准入客户端：用户关联准入策略后，用户在第一次经过AC上网时，AC会重定向页面自动安装准入客户端。3.2、上网策略管理-策略对象设置上网行为管理部署方案培训第55页，共66页。3.2、上网策略管理策略对象关联用户组关联策略：选择预先已经设置好的策略对象勾选此项后，完全继承父组的策略，本组无法编辑策略。注意“强制子组继承”

24、和“使用父组策略”上网行为管理部署方案培训第56页，共66页。用户关联策略：用户默认情况下是勾选“使用父组策略”的，也可以取消勾选，单独设置策略。设置方法和用户组相同。3.2、上网策略管理策略对象关联上网行为管理部署方案培训第57页，共66页。策略匹配依照由上之下的顺序，逐个模块匹配其他选项以第一条生效的策略为准。3.2、上网策略管理策略匹配顺序上网行为管理部署方案培训第58页，共66页。生成策略报告：可以列出所选用户组使用的策略设置，并且会列出各个设置的详细信息。此报告可以以网页的形式保存下来。3.2、上网策略管理生成策略报告上网行为管理部署方案培训第59页，共66页。 流量管理系统用于对内网访问公网的流量进行控制或保障，可以细化到针对用户组和用进行控制，