深信服-功能描述含组织结构与上网策略等[行业专业].ppt

1、SANGFOR AC 基本功能培训基本功能培训SANGFOR ACSANGFOR AC培训大纲培训大纲 一、设备部署模式一、设备部署模式 二、用户认证技术二、用户认证技术 二、组织结构与上网策略二、组织结构与上网策略 三、流量管理系统三、流量管理系统 一、设备部署模式SANGFOR AC部署模式介绍 部署模式_简介1、部署模式是指设备以什么样的工作模式部署到客户网络中去，具体以何种部署方式需要综合客户具体的网络环境和客户的功能需求而定，不同的部署模式对客户原有网络的影响各有不同。2、AC支持路由、网桥、旁路三种工作模式。SANGFOR AC部署模式介绍 路由模式_简介1、路由模式时AC的工作方

2、式与路由器相当，具备基本的路由转发及NAT功能。一般在客户原有网络环境中添加AC设备时不建议采用这种模式，因为这种部署模式需要对客户的网络环境作较大的改动。2、一般使用路由模式部署的环境是客户想用AC替换原有部署的防火墙或者是路由器，或者是客户在规划新网络建设时需要将AC充当路由功能。3、路由模式下支持AC所有的功能模式。4、一般客户如果需要使用NAT、VPN、DHCP等功能时，AC必须是路由模式部署，其它工作模式不支持实现这些功能。SANGFOR AC部署模式介绍 网桥模式_简介1、AC以网桥模式部署时对客户原有网络基本没有改动，不需要更改客户原有的网络设备配置。2、网桥模式时AC不支持NA

3、T（代理上网和端口映射）、VPN、DHCP功能，除此之外AC的其它功能如URL过滤、流控等其它功能均可实现。3、网桥模式部署AC时，对客户来说是个透明的设备，如果因为AC自身的原因而导致网络中断时可以开启硬件bypass功能，即可恢复网络通信。4、网桥模式部署时AC支持硬件bypass功能（其它模式部署均没有支持bypass功能的说法。SANGFOR AC部署模式介绍 网桥模式_3种类型1、单网桥，这种部署模式是最常见的。AC部署在出口网关设备（防火墙或者路由器）和内网的主交换机中间。常见于客户原有的网络是单核心交换机、单出口防火墙（路由器）的情况下。2、多网桥，一般情况下两进两出是最常见的。

4、AC部署在出口网关设备（防火墙或者路由器）和内网的主交换机存在多个核心链路之间。常见于客户原有的网络有可能是多核心交机或者是多出口防火墙（路由器）的情况下。3、网桥多网口，这种部署相对比较少。是指支持将多于两个以上的网口来组成单对网桥。SANGFOR AC部署模式介绍 旁路模式_简介1、旁路模式是AC三种工作模式中最简单的一种，但也是所能实现功能较弱的一种部署方式，此种部署模式对客户原有网络无任何影响，即使设备宕机也不影响客户网络。2、旁路模式AC只用于上网行为的审计和基于TCP应用的控制功能，对基于UDP协议的应用无法控制。不支持流量管理，准入系统，NAT,VPN,DHCP等功能。3、旁路模

5、式下，AC使用LAN/WAN口接核心交换机或者是核心出口路由器上，需要路由器或者是核心交换机支持镜像功能，将流量上下行镜像到AC上来。路由模式网桥模式典型部署模式与配置典型部署模式与配置 路由模式_部署指导1、首选需要了解客户的实际需求，客户是否必须要用到AC的VPN、NAT（代理上网和端口映射）、DHCP这几个功能。如果客户网络中已经有其它设备实现了这些功能或者是客户根本用不到这些功能则应首先考虑网桥模式部署。2、客户新规划建设的网络中来部署AC，相当于一个全新的网络规划，客户想把AC当作一台防火墙部署在出口上，可以部署成为路由模式。3、客户网络中原有防火墙或者路由器了，出于某方面的原因想用

6、AC替换掉原有出口的防火墙或者路由器。典型部署模式与配置典型部署模式与配置 路由模式配置思路1、网口配置：确定设备外网口（WAN1口）是固定IP或者是ADSL拨号方式，取得相应运营商给的IP地址信息或者是拨号的帐号密码；确定内网口（LAN口）的IP地址信息；2、确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机；典型部署模式与配置 路由模式配置截图典型部署模式与配置 网桥模式_部署指导1、网桥模式部署相比路由模式对客户的网络影响比较小，当客户确定不需要使用AC的VPN、NAT、DHCP功能时，则应考虑部署网桥模式。2、根据客户原有网络结构决定AC采用是单网桥

7、、双网桥、网桥多网口等方式。典型的网络环境和部署方式：客户原有网络是单核心交换机、单出口防火墙情况下，AC用单网桥；客户原有网络是单核心交换机、两台出口防火墙情况下，AC用双网桥；客户原有网络是两台核心交换机、单台出口防火墙情况下，AC用双网桥；典型部署模式与配置典型部署模式与配置 网桥模式配置思路 网桥模式部署时需要考虑AC串接在前面防火墙和下面的核心交换机之间网段是否存在空闲的主机IP地址，如果有则分配一个该网段的IP地址给AC作为网桥的IP地址，如果没有空闲IP的话则配置管理口（DMZ）进行管理。典型部署模式与配置 网桥模式配置截图二、用户认证技术SANGFOR AC 认证功能介绍 所有

8、计算机上网前必须通过SANGFOR AC的认证才可上网。通过认证功能用于识别内网上网用户的身份，为后续流量管理、用户上网权限策略及应用审计提供基础。SANGFOR AC的认证方式：1、不需要认证（IP/MAC绑定）2、密码认证（包括本地密码认证和第三方服务器认证）3、单点登录认证方式介绍 1、不需要认证 设备根据数据包的源IP地址、源MAC地址、上网计算机的计算机名来识别用户。不需要认证的识别方式，优点是用户上网前浏览器中不会弹出认证框，要求输入正确的用户名密码才能上网。因此用户不会感知到设备的存在。认证方式介绍 当用户首次通过AC上网时，AC会要求用户提交用户名密码信息，如果用户提交的用户名

9、密码信息和AC本机保存的信息一致时，给予认证通过。用户名密码认证适用于内网用户IP/MAC不固定、上网需要身份识别，或者内网存在第三方用户名密码认证服务器的网络环境。可以手动在AC上新建用户名和密码，也可以直接沿用第三方认证服务器上的账号和密码(SANGFOR AC与第三方认证服务器结合，支持LDAP，RADIUS,POP3第三方服务器认证)。2、密码认证(包括本地密码认证和第三方服务器认证)认证方式介绍 3、单点登录 当客户有自己的第三方认证服务器对内网用户进行认证时，单点登录可以实现在内网用户通过第三方认证服务器认证时自动通过AC设备的认证，并且获取到相关的权限上网。SANGFOR AC支

10、持域单点登录，POP3单点登录，PROXY单点登录，WEB单点登录。IP/MAC认证场景用户名密码认证场景典型应用场景与配置案例背景 某集团公司内部有办公区和公共上网区，要求实现办公区（192.168.1.0/24）用户上网不能修改IP和MAC地址，公共上网区（192.168.2.0/24）则需要输入账号和密码才能上网，确保网络行为能跟踪到。核心交换防火墙DMZ服务器SiSi解决方案 根据客户需求，我们可以用如下方式来满足：1、办公区用户采用IP/MAC认证方式2、公共上网区采用密码认证，设置用户名和密码核心交换防火墙DMZ服务器SiSi配置思路1、新建认证策略 认证策略决定了某个IP/网段/

11、MAC地址上计算机的认证方式。通过认证策略设置内网用户的认证方式，以及新用户添加的策略。2、手动新建用户或者自动添加新用户 新建用户，可编辑用户属性，定义用户具体的认证信息。包括用户名密码信息，启用IP/MAC绑定 如果采用自动添加新用户，在认证策略里开启和定义即可。AC几种认证方式中，不需要认证、密码认证、单点登录这几种认证方式是由认证策略设置决定的。配置步骤一（IP/MAC认证的用户）1、首先为办公区的用户建一个用户组办公区用户配置步骤一（IP/MAC认证的用户）2、配置认证策略 新增一个认证策略，选择认证方式，。需求是同时绑定IP/MAC，因此选择IP/MAC绑定，且绑定方式为用户和地址

12、双向绑定。开启新用户选项，自动添加新用户到办公区用户组。配置步骤一（IP/MAC认证的用户）注意：如果AC和内网用户是跨三层环境，请开启SNMP功能实现IP和MAC的绑定填入和AC相连的三层交换机的IP配置步骤二（用户名密码认证）1、新建密码认证用户的认证策略配置步骤二（用户名密码认证）2、手动新增用户名密码认证的用户，设置用户名密码配置步骤二（用户名密码认证）3、客户端输入用户名密码认证当用户访问网站时，AC会重定向一个认证的页面，如左图所示，用户输入正确的用户名密码认证后，才可以继续上网。添加/修改认证策略添加/编辑用户信息实际应用环境演示与互动三、组织结构与上网策略组织结构和上网策略功能

13、介绍 组织结构 组织结构即为用户和用户组的所属层级关系。SANGFOR AC 提供树形的组织结构，通过树形用户结构管理，符合企业的人员结构划分，同时又可以对相同的上网策略进行继承。上网策略介绍 上网策略是对用户的上网行为进行控制、提醒、审计。控制用户使用网络资源的权限；对用户使用网络资源情况进行提醒；对用户访问网络的行为进行审计，从而构建一个可管理、可视化的网络环境。简单而言，上网策略就是要实现让网络管理者能够控制用户能做什么，知道用户正在做什么、以及用户做了什么的功能。上网策略分类 上网权限策略：主要控制用户能够使用网络资源的权限（能做什么），包括上网应 用控制，网页过滤，SSL控制，邮件过

14、滤功能 上网审计策略：审计用户上网行为（做了什么），包括应用审计，外发文件告警，流量与上网时长统计，网页内容审计 上网安全策略：防止用户使用不安全的网络资源，包括危险行为识别，ActiveX插件过滤和脚本过滤 AC 3.0开始将上网策略分为六大类，分别如下：上网策略分类 终端提醒策略：提醒用户不恰当使用网络资源的情况，包括上网时长提醒，上网流量提醒，公告页面 流量配额与时长控制策略：限制用户能使用网络资源的流量和时长，包括流量配额，上网时长控制，并发连接数控制 准入策略：终端用户满足特定条件准许使用网络资源，审计加密的IM软件的聊天内容 组织结构与上网策略的关联策略与用户/组的关联：1、可以在

15、策略中选用户/组；方便一条策略需要关联给多个用户/组的设置组织结构与上网策略的关联2、可以在用户/组中选策略；实现不同类型策略的任意组合上网策略典型应用场景及配置上网策略典型应用场景上网策略配置上网策略典型应用场景及配置 某公司网络中充斥着各种流量，上班时间P2P下载导致致使办公应用很慢，员工上班时间炒股，QQ/MSN聊天，玩游戏使得办公效率不高。公司决策层希望实现上班时间能封堵所有员工的P2P和迅雷等多线程下载，玩游戏和炒股，其余部门的人员不准上班时间使用QQ和MSN，只有技术支持和销售部门才能使用QQ和MSN聊天，但是要审计聊天内容，下班时间所有的应用都能允许使用，另外所有人的上网行为需要

16、被审计。上网策略典型应用场景及配置我们先来分析下客户的需求：1.技术支持和销售部门上班时间不允许P2P和迅雷等多线程下载工具下载，玩游戏和炒股，所有上网行为需要被审计，包括QQ和MSN的聊天内容。2.其他公司人员上班时间不允许P2P和迅雷等多线程下载工具下载，玩游戏和炒股，QQ/MSN聊天，所有上网行为需要被审计上网策略典型应用场景及配置配置思路：1.在AC的用户组织结构中建立两个用户组：技术支持和销售部门组，默认组。（也可以按照公司部门结构分别建立多个用户组，根据策略的情况，最少要建立两个用户组）具体配置在用户认证部分的PPT中介绍，这里不再累述。2.新建两条上网权限策略：技术支持和销售部门

17、上网权限：上班时间封堵P2P和迅雷等多线程下载工具下载，玩游戏和炒股。关联技术支持和销售部门组。其他员工上网权限：上班时间封堵P2P和迅雷等多线程下载工具下载，玩游戏和炒股，QQ/MSN。关联默认组。上网策略典型应用场景及配置配置思路：3.新建一条上网审计策略：开启所有的应用行为的应用审计。关联技术支持和销售部门组和默认组4.新建一条准入策略：开启IM监控。关联技术支持和销售部门组。上网策略配置1.新建两条上网权限策略设置策略名称选择要封堵的应用选择规则生效的时间段上网策略配置1.新建两条上网权限策略上网审计策略设置2、新建一条上网审计策略，开启所有的应用行为的应用审计，关联技术支持和销售部门

18、组和默认组。准入策略设置3、新建一条准入策略，开启IM监控，关联技术支持和销售部门组。上网策略匹配规则1、不同类型的策略匹配顺序:和控制台界面不同策略类型的排列顺序一致2、相同类型策略的匹配顺序：由上往下匹配的原则。上网权限策略匹配规则若用户/组关联多条上网权限策略，策略的匹配顺序如下：策略匹配规则案例一1.某用户关联如下两条上网策略，请问这个用户是否能发送邮件到公网呢？首先匹配“端口控制”策略，此时SMTP服务是拒绝的，所以不允许发送邮件。策略匹配规则案例二2.某用户关联如下两条上网策略，请问这个用户的应用使用情况会怎样呢？此用户不能访问游戏和股票交易，其他应用都允许使用（默认动作是允许）上

19、网策略需求分析上网策略配置及应用实际应用环境演示与互动四、流量管理系统流量管理功能介绍 流量管理功能是对用户上网的带宽进行分配，它广泛应用于互联网出口的带宽管理。SANGFOR流量管理系统采用基于队列（Per Flow Queuing）流量处理机制，为网络管理者提供了前所未有的网络可见性，真正意义上帮助用户构建可视、可控、可优化的高效网络。流量管理功能介绍一，可流控什么？1，网络应用 SANGFOR采用DPI（数据包深度内容检测）及DFI（动态流状态检测）技术，能够识别互联网几乎所有的应用，并进行精确的流量管理控制。流控较为常用的应用为：P2P，P2P流媒体，文件下载，MEDIA，HTTP应用

20、，邮件等。2，网站类型 可基于不同的网站类型做流量管理。3，文件类型 可基于不同的文件类型做流量管理。二，流控对象是谁？1，组织结构里面的组或用户2，单IP或IP段客户常见案例 客户背景：客户10M上网线路，内网有200人，网络管理员抱怨内网上网较慢，希望AC设备能够解决这个问题，但客户希望AC设备不封堵任何人任何应用，还不要对领导限制太严。客户常见案例问题分析：客户类似上网慢的抱怨，基本都是高带宽软件(P2P，迅雷，在线视频)吞噬了带宽，导致访问网站较慢，但客户不希望使用封堵功能，所以我们可以使用流控功能把不合理用的应用带宽控制在一个合理的范围。客户常见案例 流量管理策略配置思路：一个简单的

21、有效的流控策略包含的3要素流控对象网络应用带宽数值客户常见案例针对客户的需求进行流量管理策略配置建议：1、针对全部用户对P2P，P2P流媒体，文件下载，MEDIA进行带宽限制，控制为总带宽的20%，且单用户上述应用不超过50KB.2、针对某几位领导，对P2P，P2P流媒体，文件下载，MEDIA进行带宽限制，控制为总带宽的40%，且单用户上述应用不超过100KB.客户常见案例配置图解：1.设置公网线路的实际带宽点击线路1进入下面的配置框注意KB/s,互联网传输的单位是bps,10Mbps=1280KB/S客户常见案例配置图解：2.新增策略1，对P2P等流媒体应用限制带宽1，启用流量管理系统2，新

22、增通道，选择新增一级通道，建议所有的策略均为一级通道配置图解：2.新增策略1，对P2P等流媒体应用限制带宽客户常见案例通道内单用户的带宽，设置为上行下行50KB输入一个直观便于理解的名称选择限制通道，设置20%后，会自动根据线路带宽配置换算为具体的带宽，上行为上传，下行为下载客户常见案例配置图解：2.新增策略1，对P2P等流媒体应用限制带宽1，选择自定义2，选择后点击确定3，点击确定完成一条有效的策略配置客户常见案例配置图解：二,新增策略2，此策略是针对领导，配置步骤和上述新增步骤一致，上下行带宽值不一样。客户常见案例配置图解：二,新增策略2，此策略是针对领导，配置步骤和上述新增步骤一致，上下行带宽值不一样。自定义流控对象选择领导客户常见案例配置图解：两条策略配置完成后：客户常见案例流量管理策略效果验证方法：1，客户端验证：使用迅雷下载一个电影，看下载速度是不是小于50KB，小于50KB证明流控策略有效，另外再关闭流控策略，看下载速度是不是可以上升，以进一步证明流控策略有效。注意：不要用迅雷下载音乐软件，此类下载可能为单线程下载，不在我们此次的流控范围。客户常见案例2，AC设备验证：通过网关状态的流量管理状态来分析，看高带宽应用的占用是否下降。此验证多用于用户较多的网络的宏观分析。流控策略需求分析流控策略配置及应用实际应用环境演示与互动实际应用环境答疑与需求建议