SANGFOR-AC-v-XXXX年度渠道高级认证培训-上网策略

上网策略培训内容培训目标SSL内容识别1、掌握SSL内容识别能识别的协议类型2、掌握SSL内容识别配置，并能根据实际场景配置达到效果用户限额策略网页内容审计1、了解网页内容审计配置代理控制1、了解代理控制应用场景及配置1、了解用户限额策略的使用场景2、了解用户限额策略的配置此章节我们将学习到的上网策略有SSL内容识别，代理控制，网页内容审计，用户限额策略。其中我们需要重点掌握的是SSL内容识别。SSL内容识别应用背景互联网越来越多论坛，web邮箱等均采用了加密，传统的审计设备无法做到对加密内容的审计。AC的SSL内容识别功能完美支持审计加密内容，并且支持过滤加密邮件。AC支持审计及过滤的加密协议SSL内容识别原理介绍Webmail、webbbs等网络应用采用SSL加密方式访问的时候，主要是使用安全证书来实现身份效验以及传输的加密，AC设备通过伪造安全证书，代理客户端的访问来实现对传输的加密信息进行识别，从而达到内容的审计，以及行为的控制。详细过程见下页PPT图片：当内网PC端发起SSL连接请求的时候，设备会以代理服务器的身份，去代理SSL客户端发出访问请求给SSL服务器，并以SSL客户端的身份跟SSL服务器完成交互后，AC再以SSL服务器的身份回应内网PC的SSL访问请求。在这整个过程中，设备既作为内网pc的SSL服务端存在，同时也作为外网SSL服务器的客户端存在。所以，SSL客户端跟AC的交互过程是采用的AC证书进行数据加密的，而SSL服务器跟AC的交互过程是采用SSL服务器证书来进行数据加密的。因此用户端看到的证书是来自于AC的，而并非来自于真实的SSL服务器。SSL内容识别原理介绍配置步骤举例：用户名为support，IP地址为08的用户使用加密发送邮件（如QQ邮箱加密发送邮件），需要审计下来。1、因为上网策略都需要关联给用户/组等适用对象，且终端在通过认证时才会匹配上关联的策略。所以先要建立用户/组适用对象及认证策略，并且用户要通过AC认证。这里假设用户support,IP地址为08已通过设备认证。用户support位于渠道认证测试组，且已通过设备认证2、需要先确认多功能序列号已激活SSL内容识别，默认是激活的。如下图。3、建立上网权限策略启用SSL内容识别，并和用户support关联https协议加密识别加密网站域名在域名列表中才会识别，填写，支持通配，也可以写成web加密内容识别后的动作，可以审计，关键字过滤客户端加密发送接收邮件识别（如smtps/pop3s）默认识别加密客户端所有发送接收邮件，如果有例外情况，在这里排除服务器地址识别后的动作，要以审计或邮件过滤。设置是否开启识别加密接收邮件内容4、新新建上上网审审计策策略，，启用用邮件件审计计，并并和用用户support关联联5、效效果验验证QQ邮邮箱发发送邮邮件默默认是是非加加密的的，进进入如如下设设置QQ邮邮箱全全程https加密密，如如下图图。确认QQ邮邮箱全全程https加密密之后后，测测试PC登登录QQ邮邮箱，，发送送测试试邮件件，如如下图图。启用ssl内容容识别别后，，打开开https网网站，，首先先弹出出证书书告警警对话话框，，如果果要消消除此此对话话框，，可以以从设设备下下载证证书安安装到到PC上注意1、路路由模模式下下SSL内内容识识别是是通过过设备备程序序代理理实现现的，，所以以需要要确保保设备备本身身可以以上网网SSL内内容识识别才才生效效。2、SSL内容容识别别，需需PC解析析被识识别网网站域域名的的流量量经过过设备备，所所以现现场测测试时时，建建议将将电脑脑的DNS地址址配置置成公公网地地址。。用户限额额策略流量配额额可以控控制每个个用户每每天或每每月可以以使用多多少流量量，超过过限制可可以进行行提醒和和处罚。。处罚方式式有两种种：一种种是不切切断用户户上网，，但是把把用户的的上网流流量引入入一条惩惩罚通道道进行流流量控制制；一种种是直接接禁止用用户上网网。配配置如下下：流量配额额根据客户户需求设设定配额额设置提醒醒以及处处罚方式式：这里设置置配额达达到90%时每隔一一分钟进进行页面面提醒。。处罚方方式选择择添加到到处罚通通道，此此时需要要去流控控模块配配置相应应的处罚罚通道。。终端用户户使用的的流量如如果超过过了配额额，则打打开网页页提示如如下，提提示页面面可以自自定义。。点击继继续访问问，用户户可以继继续上网网行为，，但是速速度会受受到惩罚罚通道的的限制。。时长配额额可以控控制每个个用户每每天上网网的在线线时长或或使用应应用的时时长，超超过限制制可以进进行提醒醒和处罚罚。处罚方式式有两种种：一种种是不切切断用户户上网，，但是把把用户的的上网流流量引入入一条惩惩罚通道道进行流流量控制制；一种种是直接接禁止用用户上网网。配配置如下下：时长配额额根据客户户需求选选择统计计时间和和统计应应用处罚方式式这里也也可以选选择惩罚罚通道和和禁止上上网，此此处我们们选择禁禁止上网网测试终端用户户上网时时长如果果超过了了限制，，则打开开网页提提示如下下，提示示页面可可以自定定义流速限制制可以控控制每个个用户每每天上网网的流速速，如果果一定统统计时间间内流速速超过限限制可以以进行提提醒和处处罚。处罚方式式有两种种：一种种是不切切断用户户上网，，但是把把用户的的上网流流量引入入一条惩惩罚通道道进行流流量控制制；一种种是直接接禁止用用户上网网。配配置如下下：流速限制制根据客户户需求选选择统计计的应用用并设定定阈值此处处罚罚方式也也有两种种，此处处测试选选择禁止止上网终端用户户上网流流速如果果超过了了限制，，则打开开网页提提示如下下，提示示页面可可以自定定义并发连接接数控制制并发连接接数控制制主要控控制单用用户的并并发连接接数。处罚方式式有两种种：禁止上网网，则用用户连接接数超限限后指定定的时间间内将被被冻结上上网；禁止创建建新的连连接，这这样用户户超出限限额部分分的新建建连接无无法建立立，但是是已有连连接不会会中断，，如果现现有连接接断开后后，依旧旧可以正正常上网网。终端用户户连接数数如果超超过限制制，则异常（（如网页页打不开开），不不会给终终端弹提提示页面面。在AC的控制台台【受惩用用户列表表】会显显示冻结结详情。。注意：连连接数控控制不区区分具体体应用，，可能会会导致打打不开网网页。所所以实际际场景中中，建议议不要使使用此功功能，如如有连接接数控制制需求的的，建议议使用流流控，也也能达到到预期效效果。在线终端端限制在线终端端限制用用于控制制单用户户上线终终端的个个数。处罚方式式：用户同一一个账号号下终端端数超过过配置的的限额值值后，冻冻结该账账号上网网10分钟。超超额终端端的用户户是认证证通过马马上下线线的状态态，偶尔尔会弹出出认证界界面偶尔尔弹出终终端超限限页面。。终端用户户终端数数如果超超过了限限制，则则打开网网页提示示如下，，提示页页面可以以自定义义注意事项项：流量配额额中，当当日配额额、月配配额同时时超限了了，只生生效1次/提示1次。冲突突时，以以日配额额为准。。流量配额额中每月月起始日日期，AC里面是一一个全局局配置来来的，即即使配了了多条策策略，在在其中一一条里面面修改这这个配置置，其他他策略也也会跟着着改变。。时长配额额中，““应用时时长”是是指用户户产生的的应用流流量通过过设备的的时间的的累加。。用户同时时使用3个应用，，用了5分钟；那那么应用用时长也也是5分钟，而而不是15分钟。用用户分分别使用用3个应用，，每个用用了5分钟；那那么应用用时长是是15分钟。““在线时时长”是是指用户户在线时时间的累累加。流量配额额、时长长配额、、流速限限制、并并发连接接限制，，这四个个配额，，都是基基于用户户的。所所以如果果是公共共账号，，同一个个用户名名下同时时有多个个IP在线，则则这些IP的流量都都会统计计到一个个用户名名上，一一起算配配额。在线终端端数限制制中，允允许每用用户同时时在线的的终端个个数，只只针对公公共账号号生效。。代理控制制应用背景景互联网提提供web在线线代理，，翻墙工工具很多多，内网网电脑通通过外网网代理上上网很容容易绕过过设备控控制。代代理控制制功能，，可以做做到内网网电脑通通过外网网web在线代代理，翻翻墙工具具等代理理上网举例：客客户需求求封堵内内网所有有用户通通过外网网web在在线代理理，翻墙墙工具等等代理上上网，防防止绕过过管控1、新建建上网权权限策略略，启用用代理控控制并关关联给用用户，如如下图配置步骤骤2、按照照上面配配置后，，内网用用户便无无法通过过外网web在在线代理理，翻墙墙工具等等代理上上网。网页内容容审计网页内容容审计指指设备可可以记录录用户访访问网页页所有内内容，生生成网页页快照。。网页内容容审计策策略比较较耗性能能，默认认不开启启，除非非客户有有此需求求，否则则也不建建议开启启。举例：客客户需求求记录内内网所有有用户访访问所有有网站内内容。建建立上网网审计策策略，启启用网页页内容审审计并关关联给所所有用户户，如下下图所示示。练练手本章PPT在介介绍SSL内容容识别时时，只介介绍了web加加密邮件件审计，，你结合合本节所所学内容容，尝试试自己动动手完成成加密客客户端发发送邮件件审计及及加密客客户端发发送邮件件过滤实实验。您来试试吧！1.用户配额额中哪些些策略可可以调用用流控惩惩罚通道道？2.启用SSL内容容识别会会弹出证证书不安安全告警警框，请请问怎样样消除此此告警框框？3.请简简述https论坛发发贴关键键字过滤滤配置步步骤问题思考考Tel:400-630-6430Email:support@9、静静夜夜四四无无邻邻，，荒荒居居旧旧业业贫贫。。。。1月月-231月月-23Wednesday,January4,202310、雨中中黄叶叶树，，灯下下白头头人。。。22:24:1922:24:1922:241/4/202310:24:19PM11、以我独独沈久，，愧君相相见频。。。1月-2322:24:1922:24Jan-2304-Jan-2312、故人江江海别，，几度隔隔山川。。。22:24:1922:24:1922:24Wednesday,January4,202313、乍见翻疑梦梦，相悲各问问年。。1月-231月-2322:24:1922:24:19January4,202314、他乡生白白发，旧国国见青山。。。04一月月202310:24:19下下午22:24:191月-2315、比比不不了了得得就就不不比比，，得得不不到到的的就就不不要要。。。。。。一月月2310:24下下午午1月月-2322:24January4,202316、行动出出成果，，工作出出财富。。。2023/1/422:24:1922:24:1904January202317、做前前，能能够环环视四四周；；做时时，你你只能能或者者最好好沿着着以脚脚为起起点的的射线线向前前。。。10:24:19下下午午10:24下下午22:24:191月-239、没有失败败，只有暂暂时停止成成功！。1月-231月-23Wednesday,January4,202310、很很多多事事情情努努力力了了未未必必有有结结果果，，但但是是不不努努力力却却什什么么改改变变也也没没有有。。。。22:24:1922:24:1922:241/4/202310:24:19PM11、成功功就是是日复复一日日那一一点点点小小小努力力的积积累。。。1月-2322:24:1922:24Jan-2304-Jan-2312、世间间成事事，不不求其其绝对对圆满满，留留一份份不足足，可可得无无限完完美。。。22:24:1922:24:1922:24Wednesday,January4,202313、不不知知香香积积寺寺，，数数里里入入云云峰峰。。。。1月月-231月月-2322:24:1922:24:19January4,202314、意志坚坚强的人人能把世世界放在在手中像像泥块一一样任意意揉捏。。04一一月202310:24:19下下午22:24:191月-2315、楚塞三湘湘接，荆门门九派通。。。。一月2310:24下午1月-2322:24January4,202316、少年十五五二十时，，步行夺得得胡马骑。。。2023/1/422:24:2022:24:2004January202317、空山新雨后后，天气晚来来秋。。10:24:20下午午10:24下下午22:24:201月-239、杨柳柳散和和风，，青山山澹吾吾虑。。。1月-231月-23Wednesday,January4,202310、阅读读一切切好书书如同同和过过去最最杰出出的