2021SANGFOR vAF8032R1部署实施指导

SANGFOR_vAF8032R1_部署实施指导For华为云2021年10月PAGEPAGE1目录第1章产品简介 2第2章部署环境要求 2第3章部署实施 4购买云服务器 4配置网络和安全组 5系统配置 7设备IP配置 7第4章设备授权 94.1vLS授权 9第5章 AF安全功能配置 10配置策略 10配置策略 11配置应用控制策略 12添加默认路由 12第6章 vAF升级 13第7章 常见问题 13附：联系方式 14产品简介深信服vAF8032R1以软件镜像文件的形式安装部署在华为公有云平台上，需要先购买华为云ECS云服务器来安装搭建vAF，并同时购买vAF授权序列号来组合使用。AF8032R1R1版本优化内容：1、授权优化：支持vLS在线授权方式，需要部署单独的授权服务器vLS对vAF进行授权，详见<<vLS-v2.1-部署实施手册>>支持灵活授权（vLSWEB）500M2、公有云需求优化：IDdhcp/static支持磁盘动态扩容（只能在原有系统盘基础上扩容）支持解密、高级配置（双因素）、EDR联动3、各公有云平台驱动适配4、修复已知问题，对设备本身进行安全加固优化。vAF8032R1AF8032bypass部署环境要求1.vAF8032R1VPC（即vAF8032R1VPC）。2.vAF8032R1VPCVPCvAF8032R1VPC内需要被安全防护的应用服务器不能绑定公网IP，且用来安装vAF8032R1VPCNATslbVPCNATslbvAFVPCvAF8032R1vLSvLSvLSvAF8032R1客户根据需求扩容选择适合搭建服务器的机型vAF防火墙授权序列号规格虚拟机推荐规格5M吞吐量序列号2核，4G，80G10M吞吐量序列号2核，4G，80G50M吞吐量序列号2核，4G，80G100M吞吐量序列号2核，4G，80G200M吞吐量序列号2核，4G，80G400M吞吐量序列号4核，8G，128G800M吞吐量序列号8核，16G，256G1.6G吞吐量序列号8核，16G，256G部署实施购买云服务器登录华为云中国站https:///，点击购买云服务器2CPU4G镜像在“自定义镜像”/共享镜像中选择已上传或其他账号共享到云平台的vAF8032R1的镜像即可IO/80G配置网络和安全组虚拟私有云一定要选择云业务服务器所在的VPC专有网络名称；公网带宽根据实际情况选择；TCP443（控制台管理）新建安全组点击 跳转到新窗口设置安全组；新建安全组创建安全组在新弹出的网页中点击 按钮；创建安全组确定模板选择自定义，名称按照实际情况填写，最后点击 按钮保存。确定配置规则创建完成后，点击 按钮添加规则；配置规则TCP443、TCP51111注：规则方向选择入方向；授权动作选择允许；授权对象填写/0（代表任意IP，系统配置rootweb控制台同步。后面的配置按照实际情况选择即可最后确认订单支付即可完成vAF8032R1云主机的创建。IP配置DHCPvAF8032R1IP。https://IPvAF8032R1web443vAF7如果是在公网登陆vAF8032R1的管理登录界面，则使用vAF8032R1虚拟机的公网IP地7PAGEPAGE8IPIP（EIP）。在未授权情况下，输入用户名和密码无法登陆，显示如下：设备授权对vAF8032R1授权，需要使用vLS授权服务器进行授权，授权方法如下。4.1vLS!"vAF8032R1vLSvAF8032R1服务器授权序列号，vLSvLSvLS授权服务器，然后vAF8032R1服务器登陆vLS授权服务器给vAF8032R1授权序列号：vAF8032R1vAF8032R1web管理页面查看序列号页面就显示序列号个数出来了，显示如下：授权完成之后进入授权管理页面可看到如下显示，当前显示未被授权属于正常现象，AF已可用，等待约半小时之后系统进入正常授权状态，显示如下：5AF#$%&源地址转换SNAT：私网客户端可访问公网服务源区域 ：manage源IP组 ：私网目的区域 目的IP组 ：全部协议 ：所有源地址转换：指定IP (eth0接口IP)#$%&目的地址转换DNAT：公网客户端可通过EIP访问私网服务,如开放的80端口web服务源区域 ：manage目的IP ：指定IP # (eth0接口IP)协议类型 ：所有协议（或者可以指定TCP协议类型，端口：80）目的地址转换：指定IP # (需要映射提供访问服务的私网服务器IP)5.3#$'()*%&vAF默认是阻拦所有数据包的，我们（公网（用户可以根据自己的需要放通相应的业务）。以上步骤完成后，基本网络配置完成，其它功能策略，客户按需配置5.4+,-./0VPCvAFECSVPC网络vAF。注意：需要vNGAF防护的ECS实例，不可以绑定弹性IP