2022深信服云安全访问服务平台用户手册V3.0.1

深信服云安全访问服务平台SASE用户手册文档版本03发布日期2022-04-19深信服云安全访问服务平台用户手册STYLEREFSANGFOR_1_标题1前言文档版本01（2021-06-19）注意事项配置好上网行为日志中心后保证云平台能够与外置日志中心服务器正常通信。用户访问数据中心查询页面的时候，需要保障用户和服务器能相互通信。系统日志操作日志操作日志主要用于记录管理员在该平台所有操作行为，例如登陆、导入、导出、新增、编辑、下载、认证策略、启用、禁用等操作。支持对时间、操作对象、操作类型进行筛选，一键导出日志等功能。策略配置策略模块中主要包括上网策略、认证策略、引流策略三大类型，您接入平台后不仅需要安装对应设备或插件，更重要的是配置对应策略，这样才能真正管控公司的网络，防范风险。互联网访问Web端审计WEB审计用于对内网用户通过设备访问互联网的行为和内容进行审计。例如：当不允许运功员工利用内网访问微博、论坛的行为，并对其进行审计操作。配置流程：首先需要在[配置/用户/用户管理]配置好用户信息，主要是配置需要审计的用户。在[策略/上网行为/内容识别]配置好SSL解密，如果不配置可能导致部分审计无法生效。在[策略/上网行为/Web端审计]配置需要审计的网站和应用。操作步骤在[策略

/上网行为/

内容识别]配置好SSL解密策略，如果为配置的话，需要新增一条，如新增一条SSL解密中间人解密策略，填写策略名称，描述信息可选，并启用该策略。策略设置勾选SSL中间人解密，识别内容勾选[应用、网页]选择全部，适用范围选择需要解密和审计的用户、终端、目的IP、IP段。在[策略

/上网行为/

Web端审计]新增一条策略，填写策略名称和描述信息（可选）状态选择启用。审计内容可选择微博和论坛；文件类型选择全部；动作选择审计；生效时间可选择上班时间，适用范围选项需要审计范围的用户、终端、目的IP和IP段，点击<确定>配置完成。配置完成之后，用户访问微博和贴吧，客户端会对客户访问的行为进行审计和记录访问的日志。可在[分析/上网行为/全部行为]去查看已经审计到员工访问的日志行为，其中包括用户名，类型和名称、访问记录和时间等。客户端与外设审计该策略是对U盘、移动硬盘的外发／拷贝文件和客户端应用（其中包括IM审计、邮件客户端、远程类、文件传输）进行审计，未配置的内容默认不受审计。注意：使用引流设备的员工需下载插件并安装至PC才能生效策略（客户端用户无安装）。类别说明IM审计：通过准入客户端的方式审计内网用户的IM聊天记录和外发附件的内容。可选微信、钉钉、QQ多种IM应用，可根据需求单独勾选内容审计或附件审计。邮件客户端仅审计发送邮件，接收邮件不支持审计。通过准入客户端的方式审计内网用户使用邮件客户端发送邮件附件。远程类通过准入客户端的方式审计终端通过远程类软件传送的文件。目前包括TeamViewer、向日葵、AnyDesk、RDP四种远程类软件可选运维类通过准入客户端的方式审计终端通过运维类工具发送的文件。目前包括XShell、PShell、MobaXterm、SecureCRT四种运维工具。文件传输类通过准入客户端的方式审计终端通过文件传输类工具传输的文件。目前包括WinSCP、XFtp、FileZilla、SecrusFX四种文件传输工具。例如：当某企业不允许员工对U盘外发／拷贝文件和使用远程类客户端为了防止泄密，并对该行为进行审计和监控。操作步骤在[策略

/上网行为/

客户端与外设审计]点击新增一条策略。配置如下：策略名称：例如防泄密描述信息：选填启/禁用：启用审计对象：勾选［U盘及移动硬盘］、［客户端应用］应用类型：选择“远程类”文件类型：选择“全部”生效时间：选择“全天”高级设置：保持默认项，不支持准入系统的终端允许上网适用范围：选择“全部”当员工使用U盘和远程类的客户端时，会被监控和审计，可到[分析/上网行为/全部行为]看到员工访问的时间和日志。Web与客户端管控Web主要用于配置应用可根据个性化标签降低工作效率、安全风险、发送电子邮件、SaaS应用、微博和微博发帖、高带宽消耗、和外发文件泄密风险等。以上应用类型可以在设备联网的情况下通过规则库更新。Web文件主要又HTTP和FTP传输方式；邮件客户端可根据发送邮件、接收邮件、关键词、附件、限额等方式进行设置审计。点击新增策略，根据实际情况进行填写，以下为举例配置说明。策略名称：例如防泄密描述信息：选填启/禁用：启用管控内容：根据实际需求选择适用范围：选择［全部］配置完成后，可在[分析/上网行为/全部日志]，查看到对应监控审计的结果日志。外设管控该策略主要用于配置外部设备，如U盘、移动硬盘、手机等的接入权限。例如：插入U盘到受控电脑，当您开启外设管控策略后，您将无法从电脑中拷贝数据。未配置的内容默认不受管控。您可根据实际情况，选择所需管控的设备。点击新增策略，以下为举例配置说明，您可根据实际需求进行策略管控。策略名称：例如U盘、移动硬盘管控描述信息：选填启/禁用：启用U盘、移动硬盘：选择［允许］手机、平板：选择［允许］网络设备：选择［允许］蓝牙设备：选择［允许］摄像头：选择［允许］打印机：选择［允许］生效时间：选择［全天］适用范围：选择［全部］配置完成后，可在[分析/上网行为/全部日志]，查看到对应监控审计的结果日志。流控策略支持查看应用和用户流速趋势。支持基础的流量管控，可针对单个用户或应用进行流量限制。应用场景适用于RT或BYOD场景。操作步骤1.配置流控策略a.请登录云安全访问服务平台，点击【策略】→【流控策略】，您可在此新增、删除、启用、禁用策略或调整策略的优先级。b.点击【新增】，选择限制单个用户或应用最大带宽，点击【确定】，策略生效。我们可以通过“测速网”、“首页【上网流量统计】“、“浏览视频网站“感受流控效果。对受控员工来说，当流控策略生效后，如管控单用户最大带宽为1Mb/s，这样单个用户最大使用带宽为1Mb/s，如管控应用，例如您选择限制A、B、C三个视频网站最大带宽为10Mb/s，所有员工都可以浏览A、B、C三个应用，当达到10Mb/s时，访问将受限，出现卡慢、加载中的情况。2.查看流控效果在首页【上网行为】页中可查看应用流速趋势和用户流速趋势。解密配置云安全访问服务平台提供解密配置，您可以通过解密配置解密SSL流量，从而实现更全面丰富的审计，本文介绍了解密配置的具体操作。应用场景实现更全面丰富的审计效果，适用于RT和客户端场景；如果不配置将导致web审计策略无法生效。为什么需要对SSL流量解密？SSL(SecureSocketsLayer)是为网络通信提供安全及数据完整性的一种安全协议，通过在浏览器和Web服务器之间构造安全通道来进行数据传输。为了保护敏感数据在传送过程中的安全，互联网超过80%的Web流量均采用SSL加密。因此，如果需要全面丰富的内容审计，必须对加密流量进行解密。操作步骤登录云平台，打开“策略>解密配置”页面，查看使用帮助，可以了解两种解密效果的区别和优劣势对比，您可以同时勾选或单独选择以下两种解密方式。勾选开启准入解密选择解密内容为全部/自定义应用、网页，可以配置白名单，选择不需要解密的内容。在高级配置选择拒绝QUIC协议，建议拒绝，以避免漏审。选择此配置适用对象。完成准入安装配置，点击后跳转至“准入与证书配置”页面，详情可在“准入与证书配置”使用说明文档查看。点击“确定”提交，解密生效，可配置web审计策略，查看审计效果。勾选开启证书解密选择解密内容，可勾选应用网页、邮件客户端，可分别配置白名单。选择此配置适用对象。完成证书安装配置，点击后跳转至“准入与证书配置”页面，详情可在“准入与证书配置”使用说明文档查看。点击“确定”提交，解密生效，可配置web审计策略，查看审计效果。准入与证书配置云安全访问服务平台提供准入与证书配置，您可以在此配置准入和证书的下载、安装卸载方式等，本文介绍了配置的具体操作。应用场景准入配置适用于配置完准入解密后，或需要单独安装准入以实现客户端、外设管控时，准入的安装；证书配置适用于配置完证书解密后，证书的安装。操作步骤登录云平台，打开“准入与证书配置”页面，在右侧使用帮助处，您可以了解这两个配置的使用场景，使用效果。配置准入插件选择安装方式为系统推送/手动安装，如果是系统安装，则由系统下发到策略中所匹配到的用户/IP，您可以预览推送，并编辑推送内容；如果是手动安装，您需要在右侧下载安装包并安装至被管理者的电脑上。高级配置：选择对无法运行的终端允许上网/禁止上网；选择是否开启准入卸载密码。配置证书选择证书的安装方式为系统推送/手动安装，如果是系统安装，可设置推送的范围，并设置白名单，您可以预览推送；如果是手动安装，您需要在右侧下载安装包并安装至被管理者的电脑上。互联网应用库深信服拥有强大的互联网应用库，并定期更新。确保目前主流使用的网站、应用等都能覆盖，便于提升审计的精准度，帮助企业防范风险。互联网应用库主要用于审计或管控场景下。例如公司不允许员工在工作时间浏览新闻网站、购物网站，就从应用库中勾选。一般情况，配置策略时候，建议勾选[全部]。URL分类库深信服拥有强大的URL分类库，并定期更新。确保目前主流使用的网站、应用等都能覆盖，便于提升审计的精准度，帮助企业防范风险。支持自定义URL的新增和删除，内置URL不支持删除。点击新增，可新建一个URL类别。您可根据实际业务需求进行填写。客户端进程库客户端进程库主要展示进程库列表，支持新增、删除、查找进程功能。在此配置好的进程后，您新增“客户引流策略”时，会需要从进程库中选择进程做引流或不引流。例如：您希望客户端的流量都进行引流，从而达到审计、管控目的。但对于“钉钉”这个应用却不想审计／管控，那么您就可以在[客户端进程库]中，新增“钉钉”这个进程。然后在配置“客户端引流策略”时，选择“钉钉”这个进程不引流。点击<新增>，可新建一个进程库，您可根据实际需求进行填写。通用时间计划组时间计划组主要用于自定义时间组。此处配置好时间组后，在下发策略时，您就能选择某策略应用的时间组（通俗讲就是时间段）。例如：您想新建一条禁止访问娱乐网站的管控策略，生效时间就是工作日全天。此处的生效时间，就是您提前在[配置/时间计划组]中配置好的。点击新增，可新建时间计划组，您可根据实际需求进行选择。告警设置告警设置主要用于监测客户端活跃情况，不活跃客户端可能存在卸载客户端、账号错误等异常情况。当您开启告警设置后，如客户端超过设定天数未登陆，系统将会在首页进行告警提示，帮助企业提前防范风险。下载中心您可从此处下载引流客户端、准入插件、SSL根证书等。免密安装包功能使用指南支持客户端静默安装、免密认证，帮助客户实现对终端用户的无感知审计与管控。应用场景企业需具备域控或统一推送BYOD的能力，例如AD域。操作步骤整体部署流程如下：下载免密安装包→统一推送、安装→终端用户登录域或VPN自动接入1.1下载免密安装包a.请登录云安全访问服务平台，点击【配置】→【客户端下载】；b.找到免密安装包查看对应说明，平台对于Windows和Mac系统的终端提供了不同格式的安装包，其中MAC暂不支持准入功能，您可根据实际需求进行下载。Windows场景下，我们提供了exe和msi两种格式的安装包，如您使用AD域进行推送，请点击msi格式安装包，因为AD域推送仅支持msi格式。c.点击下载，平台将弹窗提示，您需选择终端用户接入云端后的显示名（统一的用户特征信息）。平台默认勾选MAC、计算机名，作为保障应对AD域或SSLVPN账号名获取不到的场景。举例说明:如您使用AD域对企业员工组织结构等进行管控，希望终端接入平台后，能够在平台看到员工用AD域账号名上线。此时您可勾选AD域账号名，后续员工开机登录域账号后，就能以域账号名在平台上线。如特殊情况无法获取域账号名时，平台会自动获取MAC或计算机名上线，这样能够确保极端场景下，我们也能轻松找到是哪个员工或者哪台电脑存在风险。1.2统一推送安装请前往AD域进行客户端软件的分发，实现全局静默部署。1.3终端用户免密接入终端用户开机登录AD域或VPN（目前仅支持深信服SSLVPN），将以AD域账号名或VPN账号名作为显示名，自动接入SASE平台。接入管理身份管理用户管理用户管理主要用于创建组织结构及用户，管理员可在此对用户进行统一管理。点击【组织结构】右侧的+（新增按钮），可新增组织结构。您可根据实际需求进行填写，点击确定，完成新组的创建。同时，组右侧需要建立对应的用户。点击【用户列表】中的新增，可新增用户账号，您可根据实际需求进行填写。点击确定，用户列表中就新增一个用户账号。用户数量较多时，您可选择批量导入功能。点击下载模板，填写好模板所需信息，再进行导入。点击导出，为确保信息安全，需进行手机号验证。认证策略该策略主要设置上网方式，不设置则默认全部允许上网并不做认证。当用户需要上网时，可选择“用户名密码认证”、“短信认证”或“不需要认证”。开启该策略后，我们可以针对不同IP范围选择不同的认证方式。例如：内部员工可以采用“密码认证”方式，访客可采用“不需要认证”或“短信认证”。点击新增策略，以下为推荐设置，您可根据实际需求进行填写。策略名称：例如员工认证。描述信息：选填。启/禁用：选择［启用］。适用范围：输入需认证网段，例如-54。上网许可：选择［允许（需认证）］。认证方式：选择［账号密码认证］。高级设置：选择［认证后跳转至认证结果页面］。访客上线组：选择［员工组］，勾选［上线后自动录入该组］。单点登录配置在客户有域控能力情况下，员工电脑开机登陆域即自动通过认证，用户以域身份直接上网，实现对员工上网的无感知审计、管控。应用场景企业在网络出口处采用深信服SASE引流设备，且使用AD域对企业组织结构等进行管理。操作步骤整体部署流程如下：引流设备上架→SASE平台下载脚本→推送脚本至终端→SASE平台配置认证策略→终端用户接入1.1引流设备上架在企业网络出口处完成SASE引流设备的相关部署。1.2SASE平台下载脚本登录云安全访问服务平台，点击【配置】→【单点登录配置】，下载脚本和配置说明。1.3推送脚本至终端通过AD域统一推送脚本至终端，具体操作请参见“单点登录配置说明”。1.4配置认证策略返回云安全访问服务平台，点击【策略】→【认证策略】，进行认证策略的配置。勾选【上网许可】处的【单点登录】，填写相关配置信息，点击确定即可生效。终端用户登录AD域后，将自动以AD域账号身份接入到SASE平台。1.5终端用户接入终端用户电脑开机登陆域即自动通过认证，用户以域身份直接上网。用户源配置支持同步LDAP、IDAAS用户源信息，填写相关配置信息，即可同步用户源。客户端接入引流策略客户端可对用户访问的网站和应用等进行引流设置，引流对象包括目的IP、域名、进程，或者将不引流的应用的IP、域名或者进程名配置排除流的策略里。(客户端引流策略仅适用于软件引流)。如下常用配置参考。需求场景客户有一台装有客户端的终端，需要向固定IP地址:23开放8080端口，且需要访问内网服务器地址，现在想实现对该终端上网行为的审计并且不影响对外提供的服务。操作步骤在[配置/客户端引流]新增一条策略，策略名称可根据需求填写，选择启用状态。2.根据场景需求设置策略，设置对象：勾选目的IP，地址填写如“23”，动作选择不引流。生效时间选择全部，适用范围：选择需要审计的客户端，点击<确定>完成配置。3.再新增一条审计该终端的上网行为且排除的引流策略，设置对象：勾选目的IP，地址填写如“-55”，动作选择引流。勾选域名，地址填写“”，动作不引流。生效时间选择全部，适用范围：选择需要审计的客户端，点击<确定>完成配置。4.两个策略创建成功，将排除策略的优先级调整到最高。5.当使用客户的用户去访问目的地址和内部服务器时，不会被引流，且能正常访问，当用户访问其他网站和应用时，会被审计，可在[分析/上网行为/

全部行为]查看到引流的行为日志。客户端配置购买了客户端服务的才需要进行这个模块的配置，其中默认选择开启终端防退出、防卸载、DNS引流设置。以下为推荐设置，您可根据实际需求进行填写。信任IP：当您既有RT设备和BYOD时，为了防止引流冲突，需要配置信任域。已支持受信检测的信任AC：当IP冲突时，输入网关序列号，确保正常引流。信任VPN：如您用到VPN访问，但不希望被引流时，可输入信任VPN，开启后，访问VPN，将不再引流。高级设置开启终端防退出密码保护：输入设定密码，防止终端用户退出客户端。开启终端防卸载密码保护：输入设定密码，防止终端用户卸载客户端。开启DNS引流：防止邮件漏审，建议开启。需配置公网DNS，配置非公网DNS将导致引流后DNS不可用。拦截IPv6DNS请求，建议开拦截，不开启可能会出现漏审的情况。设备接入使用云图授权接入SASE（适用于SDW-R）步骤1：付费下单一线销售在深信服订单系统下单，备注：使用SASE引流功能，升级到SDW-R4.0.52版本步骤2：登录云图，访问授权中心点击“现在激活”，即可开始绑定设备步骤3：激活设备可以选择通过订单号或者网关ID添加设备。步骤4：完成添加步骤5：设备接入完成上述操作后，将对应SD-WAN-R设备接入公网，即可自动接入SASE平台。使用接入码接入SASE步骤1：查看/更新接入码配置⇒接入管理⇒设备管理⇒引流接入码接入设备需要使用接入码才可以接入SASE平台。租户获得该接入码后，在设备端填写该接入码，即可成功接入SASE平台。步骤2：在引流设备上填写接入码登录引流设备前端，填写接入码并保存。步骤3：设备接入完成上述操作后，将对应信锐设备接入公网，即可自动接入SASE平台。引流设备管理查看设备配置⇒接入管理⇒设备管理引流设备不需要用户在SASE平台手动创建，由设备端对接成功后，SASE平台前端自动展示相应设备的信息。如果有设备接入，按如下展示编辑设备模式与设备模板点击设备后，可以切换模式；云端模式时，设备端会获取云端配置的内容，不使用设备本地的配置；本地模式时，设备端使用设备本地的配置。点击设备后，可以切换模板；若引流配置模式为云端模式，则设备会按照模板的配置执行引流功能；修改引流状态若用户需要修改设备的引流开关，可以在设备详情处开启或关闭引流。预计1分钟内，引流状态会生效。修改引流节点设备接入后会分配默认引流节点至设备端，若用户需要修改引流节点，可以在设备详情处点击切换，手动选择POP点，若用户存在私有POP节点，也可以自行切换至私有节点。删除设备存在已经被下架的设备时，可以在设备状态为离线时，在SASE平台上将对应设备删除。如果设备为在线状态，则不被允许删除。设备引流模板查看模板配置⇒接入管理⇒模板管理租户存在默认模板，当设备接入时，会默认使用默认模板，可在引流设备管理页切换成其他模板。新增/编辑模板点击新增、编辑后，会跳转到规则页，此时可以编辑基础匹配规则以及域名匹配规则。基础匹配规则是基于五元组的匹配规则，用户可以根据自己的需要，设定需要引流或者需要排流的IP、端口、协议。域名匹配规则是基于域名的匹配规则，用户可以根据需要，设定针对某些域名的引流或者排流。域名匹配规则的优先级默认高于基于匹配规则。删除模板如果存在不需要的模板，点击删除即可。默认模板、以及已被关联的模板不被允许删除。3.9个人中心在平台右上方点击【个人中心】，下拉查看选项。点击账号管理，可跳转至云图平台，展示用户基本信息，包括用户名、邮箱、电话，可编辑修改账号信息。点击切换语言，可切换语言为中/英文，切换后平台支持记忆，在下次登录时移旧保留所选语言。点击退出登录，则注销账号并回到登录页。4.SASEVPN配置指南4.1.1连接器新增连接器使用SPA租户登录租户平台，进入导航》策略配置》连接器首次进入连接器功能页面如下图，点击创建连接器弹出新增连接器输入框，连接器名称输入“newcon”（名字可任取）新增成功后即可看到我们新增的连接器“newcon”，除了连接器名称，还有软件版本、关联应用数量、操作（下载连接器、删除）删除连接器使用SPA租户登录租户平台，进入导航》策略配置》连接器，点击操作中的删除按钮弹出确认删除提示框，点击“确认”，即可完成连接器的删除（注：如果该连接器安装包功能将会失效，即使部署成功，也不能与平台对接；部署连接器流程可参考2.1.3.连接器部署）。注：（1）当连接器已关联内部应用后，删除按钮会处于置灰状态，无法删除，需要先删除所有关联的内网应用后，才可以删除连接器；如何查看关联内网应用及删除内网应用可参考步骤2.2.内网应用管理。连接器部署步骤1：下载连接器使用SPA租户登录租户平台，进入导航》策略配置》连接器，选择刚创建的连接器，点击操作中的下载连接器等待下载完成后，将刚下载的压缩包，导入提前准备的服务器中注：（1）服务器版本要求：centos7.9及以上；ubuntu支持5.2.1及以上（建议ubuntu-16.04.7）；目前仅支持64位系统（2）服务器硬件要求：4核8G起步骤2：上传安装包将连接器安装包上传到Linux服务器，放在/home路径下。步骤3：解压安装包输入命令：cd/home输入命令：tar-xfconnector-xxx.tar（xxx为连接器名称）输入命令：ls示例：步骤4：进入安装目录输入命令：cdtarget输入命令：ls示例：步骤5：执行安装输入命令：./install.sh示例：步骤6：修改配置文件输入命令：vim/opt/sangfor/spa-connector/connector/conf/dev.toml将租户相关配置route中/16改成/11执行：按Esc键，点击“:”输入：wq保存配置后执行：systemctlrestartconnector步骤7：安装成功查看连接器运行状态，状态为active(running)表示安装成功。输入命令：systemctlstatusconnector常见连接器排障方法FAQ1:如何查看连接器是否正常执行systemctlstatusconnetor，查看状态是否正常，显示active（running）即为正常查看连接器日志执行tail-100f/var/logs/spa/connector/conns.log检查是否与CServer连接器异常，如提示getcasconfigerr；检查域名是否能ping通FAQ2:内网应用无法访问，连接器能抓到包但没有回包在连接器执行：tcpdump-isangfortun-nnehost目的IP查看提示unreachable检查iptables；回包被iptables拦截执行：iptables-tnat-F删除nat表所有规则即可解决注意：注意备份手动添加的iptables规则FAQ3:内网应用无法访问，连接器无法抓到包检查租户是否开通了多个POP节点通过访问百度搜索ip；查看当前ip归属地，确认当前归属地的pop节点是否上线SPA业务FAQ4:内部应用域名引流失败（1）域名引流需要手动在sase平台开启DNS引流；开启路径：导航》接入管理》高级设置；找到开启DNS引流4.2.1内网应用管理功能1：新增内网应用使用SPA租户登录租户平台，进入导航》策略配置》配置》内网应用进入内网应用配置界面，点击新增弹出新增界面输入应用名称：任意取名选择分组：默认为默认组；如需要选择其他分组需要手动先创建分组，创建分组方法可以参考功能2：创建分组协议：支持http、https、tcp、udp协议；http协议默认端口80、https默认端口为443；选择tcp和udp协议支持自定义端口号应用地址：支持配置iP、ip端或域名；如选择协议为tcp及udp协议，则不支持配置域名端口：一行输入一个，最多可支持128行，支持设定端口范围，如1-65535；（注：仅在协议选择tcp或udp时展示）连接器：选择我们刚创建的连接器即可功能2：创建分组点击应用组右边“+”即可新增分组功能3：搜索内网应用支持通过选择指定连接器或全部连接器，输入应用名称或应用地址检索内网应用4.2.2内网访问策略功能1：添加内网访问策略使用SPA租户登录租户平台，进入导航》策略配置》内网访问》