深信服功能描述

SANGFORAC基本功能培訓(xùn)SANGFORAC培訓(xùn)大綱一、設(shè)備部署模式二、用戶認(rèn)證技術(shù)二、組織結(jié)構(gòu)與上網(wǎng)策略三、流量管理系統(tǒng)一、設(shè)備部署模式SANGFORAC部署模式介紹部署模式_簡介

1、部署模式是指設(shè)備以什么樣的工作模式部署到客戶網(wǎng)絡(luò)中去，具體以何種部署方式需要綜合客戶具體的網(wǎng)絡(luò)環(huán)境和客戶的功能需求而定，不同的部署模式對客戶原有網(wǎng)絡(luò)的影響各有不同。 2、AC支持路由、網(wǎng)橋、旁路三種工作模式。SANGFORAC部署模式介紹路由模式_簡介 1、路由模式時AC的工作方式與路由器相當(dāng)，具備基本的路由轉(zhuǎn)發(fā)及NAT功能。一般在客戶原有網(wǎng)絡(luò)環(huán)境中添加AC設(shè)備時不建議采用這種模式，因?yàn)檫@種部署模式需要對客戶的網(wǎng)絡(luò)環(huán)境作較大的改動。 2、一般使用路由模式部署的環(huán)境是客戶想用AC替換原有部署的防火墻或者是路由器，或者是客戶在規(guī)劃新網(wǎng)絡(luò)建設(shè)時需要將AC充當(dāng)路由功能。 3、路由模式下支持AC所有的功能模式。 4、一般客戶如果需要使用NAT、VPN、DHCP等功能時，AC必須是路由模式部署，其它工作模式不支持實(shí)現(xiàn)這些功能。SANGFORAC部署模式介紹網(wǎng)橋模式_簡介 1、AC以網(wǎng)橋模式部署時對客戶原有網(wǎng)絡(luò)基本沒有改動，不需要更改客戶原有的網(wǎng)絡(luò)設(shè)備配置。 2、網(wǎng)橋模式時AC不支持NAT（代理上網(wǎng)和端口映射）、VPN、DHCP功能，除此之外AC的其它功能如URL過濾、流控等其它功能均可實(shí)現(xiàn)。 3、網(wǎng)橋模式部署AC時，對客戶來說是個透明的設(shè)備，如果因?yàn)锳C自身的原因而導(dǎo)致網(wǎng)絡(luò)中斷時可以開啟硬件bypass功能，即可恢復(fù)網(wǎng)絡(luò)通信。 4、網(wǎng)橋模式部署時AC支持硬件bypass功能（其它模式部署均沒有支持bypass功能的說法。SANGFORAC部署模式介紹網(wǎng)橋模式_3種類型1、單網(wǎng)橋，這種部署模式是最常見的。AC部署在出口網(wǎng)關(guān)設(shè)備（防火墻或者路由器）和內(nèi)網(wǎng)的主交換機(jī)中間。常見于客戶原有的網(wǎng)絡(luò)是單核心交換機(jī)、單出口防火墻（路由器）的情況下。2、多網(wǎng)橋，一般情況下兩進(jìn)兩出是最常見的。AC部署在出口網(wǎng)關(guān)設(shè)備（防火墻或者路由器）和內(nèi)網(wǎng)的主交換機(jī)存在多個核心鏈路之間。常見于客戶原有的網(wǎng)絡(luò)有可能是多核心交機(jī)或者是多出口防火墻（路由器）的情況下。3、網(wǎng)橋多網(wǎng)口，這種部署相對比較少。是指支持將多于兩個以上的網(wǎng)口來組成單對網(wǎng)橋。SANGFORAC部署模式介紹旁路模式_簡介 1、旁路模式是AC三種工作模式中最簡單的一種，但也是所能實(shí)現(xiàn)功能較弱的一種部署方式，此種部署模式對客戶原有網(wǎng)絡(luò)無任何影響，即使設(shè)備宕機(jī)也不影響客戶網(wǎng)絡(luò)。 2、旁路模式AC只用于上網(wǎng)行為的審計(jì)和基于TCP應(yīng)用的控制功能，對基于UDP協(xié)議的應(yīng)用無法控制。不支持流量管理，準(zhǔn)入系統(tǒng)，NAT,VPN,DHCP等功能。 3、旁路模式下，AC使用LAN/WAN口接核心交換機(jī)或者是核心出口路由器上，需要路由器或者是核心交換機(jī)支持鏡像功能，將流量上下行鏡像到AC上來。路由模式網(wǎng)橋模式典型部署模式與配置典型部署模式與配置

路由模式_部署指導(dǎo)1、首選需要了解客戶的實(shí)際需求，客戶是否必須要用到AC的VPN、NAT（代理上網(wǎng)和端口映射）、DHCP這幾個功能。如果客戶網(wǎng)絡(luò)中已經(jīng)有其它設(shè)備實(shí)現(xiàn)了這些功能或者是客戶根本用不到這些功能則應(yīng)首先考慮網(wǎng)橋模式部署。2、客戶新規(guī)劃建設(shè)的網(wǎng)絡(luò)中來部署AC，相當(dāng)于一個全新的網(wǎng)絡(luò)規(guī)劃，客戶想把AC當(dāng)作一臺防火墻部署在出口上，可以部署成為路由模式。3、客戶網(wǎng)絡(luò)中原有防火墻或者路由器了，出于某方面的原因想用AC替換掉原有出口的防火墻或者路由器。典型部署模式與配置典型部署模式與配置

路由模式配置思路1、網(wǎng)口配置：確定設(shè)備外網(wǎng)口（WAN1口）是固定IP或者是ADSL撥號方式，取得相應(yīng)運(yùn)營商給的IP地址信息或者是撥號的帳號密碼；確定內(nèi)網(wǎng)口（LAN口）的IP地址信息；2、確定內(nèi)網(wǎng)是否多網(wǎng)段網(wǎng)絡(luò)環(huán)境，如果是的話需要添加相應(yīng)的回包路由回指給設(shè)備下接的核心交換機(jī)；典型部署模式與配置

路由模式配置截圖典型部署模式與配置

網(wǎng)橋模式_部署指導(dǎo)1、網(wǎng)橋模式部署相比路由模式對客戶的網(wǎng)絡(luò)影響比較小，當(dāng)客戶確定不需要使用AC的VPN、NAT、DHCP功能時，則應(yīng)考慮部署網(wǎng)橋模式。2、根據(jù)客戶原有網(wǎng)絡(luò)結(jié)構(gòu)決定AC采用是單網(wǎng)橋、雙網(wǎng)橋、網(wǎng)橋多網(wǎng)口等方式。典型的網(wǎng)絡(luò)環(huán)境和部署方式：

客戶原有網(wǎng)絡(luò)是單核心交換機(jī)、單出口防火墻情況下，AC用單網(wǎng)橋；

客戶原有網(wǎng)絡(luò)是單核心交換機(jī)、兩臺出口防火墻情況下，AC用雙網(wǎng)橋；

客戶原有網(wǎng)絡(luò)是兩臺核心交換機(jī)、單臺出口防火墻情況下，AC用雙網(wǎng)橋；典型部署模式與配置典型部署模式與配置

網(wǎng)橋模式配置思路

網(wǎng)橋模式部署時需要考慮AC串接在前面防火墻和下面的核心交換機(jī)之間網(wǎng)段是否存在空閑的主機(jī)IP地址，如果有則分配一個該網(wǎng)段的IP地址給AC作為網(wǎng)橋的IP地址，如果沒有空閑IP的話則配置管理口（DMZ）進(jìn)行管理。典型部署模式與配置

網(wǎng)橋模式配置截圖二、用戶認(rèn)證技術(shù)SANGFORAC認(rèn)證功能介紹

所有計(jì)算機(jī)上網(wǎng)前必須通過SANGFORAC的認(rèn)證才可上網(wǎng)。通過認(rèn)證功能用于識別內(nèi)網(wǎng)上網(wǎng)用戶的身份，為后續(xù)流量管理、用戶上網(wǎng)權(quán)限策略及應(yīng)用審計(jì)提供基礎(chǔ)。SANGFORAC的認(rèn)證方式：1、不需要認(rèn)證（IP/MAC綁定）2、密碼認(rèn)證（包括本地密碼認(rèn)證和第三方服務(wù)器認(rèn)證）3、單點(diǎn)登錄認(rèn)證方式介紹

1、不需要認(rèn)證

設(shè)備根據(jù)數(shù)據(jù)包的源IP地址、源MAC地址、上網(wǎng)計(jì)算機(jī)的計(jì)算機(jī)名來識別用戶。不需要認(rèn)證的識別方式，優(yōu)點(diǎn)是用戶上網(wǎng)前瀏覽器中不會彈出認(rèn)證框，要求輸入正確的用戶名密碼才能上網(wǎng)。因此用戶不會感知到設(shè)備的存在。

認(rèn)證方式介紹

當(dāng)用戶首次通過AC上網(wǎng)時，AC會要求用戶提交用戶名密碼信息，如果用戶提交的用戶名密碼信息和AC本機(jī)保存的信息一致時，給予認(rèn)證通過。用戶名密碼認(rèn)證適用于內(nèi)網(wǎng)用戶IP/MAC不固定、上網(wǎng)需要身份識別，或者內(nèi)網(wǎng)存在第三方用戶名密碼認(rèn)證服務(wù)器的網(wǎng)絡(luò)環(huán)境?？梢允謩釉贏C上新建用戶名和密碼，也可以直接沿用第三方認(rèn)證服務(wù)器上的賬號和密碼(SANGFORAC與第三方認(rèn)證服務(wù)器結(jié)合，支持LDAP，RADIUS,POP3第三方服務(wù)器認(rèn)證)。

2、密碼認(rèn)證(包括本地密碼認(rèn)證和第三方服務(wù)器認(rèn)證)認(rèn)證方式介紹

3、單點(diǎn)登錄

當(dāng)客戶有自己的第三方認(rèn)證服務(wù)器對內(nèi)網(wǎng)用戶進(jìn)行認(rèn)證時，單點(diǎn)登錄可以實(shí)現(xiàn)在內(nèi)網(wǎng)用戶通過第三方認(rèn)證服務(wù)器認(rèn)證時自動通過AC設(shè)備的認(rèn)證，并且獲取到相關(guān)的權(quán)限上網(wǎng)。

SANGFORAC支持域單點(diǎn)登錄，POP3單點(diǎn)登錄，PROXY單點(diǎn)登錄，WEB單點(diǎn)登錄。IP/MAC認(rèn)證場景用戶名密碼認(rèn)證場景典型應(yīng)用場景與配置案例背景

某集團(tuán)公司內(nèi)部有辦公區(qū)和公共上網(wǎng)區(qū)，要求實(shí)現(xiàn)辦公區(qū)（/24）用戶上網(wǎng)不能修改IP和MAC地址，公共上網(wǎng)區(qū)（/24）則需要輸入賬號和密碼才能上網(wǎng)，確保網(wǎng)絡(luò)行為能跟蹤到。核心交換防火墻DMZ服務(wù)器解決方案

根據(jù)客戶需求，我們可以用如下方式來滿足：1、辦公區(qū)用戶采用IP/MAC認(rèn)證方式2、公共上網(wǎng)區(qū)采用密碼認(rèn)證，設(shè)置用戶名和密碼核心交換防火墻DMZ服務(wù)器配置思路1、新建認(rèn)證策略認(rèn)證策略決定了某個IP/網(wǎng)段/MAC地址上計(jì)算機(jī)的認(rèn)證方式。通過認(rèn)證策略設(shè)置內(nèi)網(wǎng)用戶的認(rèn)證方式，以及新用戶添加的策略。

2、手動新建用戶或者自動添加新用戶新建用戶，可編輯用戶屬性，定義用戶具體的認(rèn)證信息。包括用戶名密碼信息，啟用IP/MAC綁定如果采用自動添加新用戶，在認(rèn)證策略里開啟和定義即可。AC幾種認(rèn)證方式中，不需要認(rèn)證、密碼認(rèn)證、單點(diǎn)登錄這幾種認(rèn)證方式是由認(rèn)證策略設(shè)置決定的。配置步驟一（IP/MAC認(rèn)證的用戶）1、首先為辦公區(qū)的用戶建一個用戶組辦公區(qū)用戶配置步驟一（IP/MAC認(rèn)證的用戶）2、配置認(rèn)證策略新增一個認(rèn)證策略，選擇認(rèn)證方式，。需求是同時綁定IP/MAC，因此選擇IP/MAC綁定，且綁定方式為用戶和地址雙向綁定。開啟新用戶選項(xiàng)，自動添加新用戶到辦公區(qū)用戶組。配置步驟一（IP/MAC認(rèn)證的用戶）

注意：如果AC和內(nèi)網(wǎng)用戶是跨三層環(huán)境，請開啟SNMP功能實(shí)現(xiàn)IP和MAC的綁定填入和AC相連的三層交換機(jī)的IP配置步驟二（用戶名密碼認(rèn)證）1、新建密碼認(rèn)證用戶的認(rèn)證策略配置步驟二（用戶名密碼認(rèn)證）2、手動新增用戶名密碼認(rèn)證的用戶，設(shè)置用戶名密碼配置步驟二（用戶名密碼認(rèn)證）3、客戶端輸入用戶名密碼認(rèn)證當(dāng)用戶訪問網(wǎng)站時，AC會重定向一個認(rèn)證的頁面，如左圖所示，用戶輸入正確的用戶名密碼認(rèn)證后，才可以繼續(xù)上網(wǎng)。添加/修改認(rèn)證策略添加/編輯用戶信息實(shí)際應(yīng)用環(huán)境演示與互動三、組織結(jié)構(gòu)與上網(wǎng)策略組織結(jié)構(gòu)和上網(wǎng)策略功能介紹組織結(jié)構(gòu)組織結(jié)構(gòu)即為用戶和用戶組的所屬層級關(guān)系。SANGFORAC提供樹形的組織結(jié)構(gòu)，通過樹形用戶結(jié)構(gòu)管理，符合企業(yè)的人員結(jié)構(gòu)劃分，同時又可以對相同的上網(wǎng)策略進(jìn)行繼承。上網(wǎng)策略介紹

上網(wǎng)策略是對用戶的上網(wǎng)行為進(jìn)行控制、提醒、審計(jì)?？刂朴脩羰褂镁W(wǎng)絡(luò)資源的權(quán)限；對用戶使用網(wǎng)絡(luò)資源情況進(jìn)行提醒；對用戶訪問網(wǎng)絡(luò)的行為進(jìn)行審計(jì)，從而構(gòu)建一個可管理、可視化的網(wǎng)絡(luò)環(huán)境。

簡單而言，上網(wǎng)策略就是要實(shí)現(xiàn)讓網(wǎng)絡(luò)管理者能夠控制用戶能做什么，知道用戶正在做什么、以及用戶做了什么的功能。上網(wǎng)策略分類

上網(wǎng)權(quán)限策略：主要控制用戶能夠使用網(wǎng)絡(luò)資源的權(quán)限（能做什么），包括上網(wǎng)應(yīng)用控制，網(wǎng)頁過濾，SSL控制，郵件過濾功能

上網(wǎng)審計(jì)策略：審計(jì)用戶上網(wǎng)行為（做了什么），包括應(yīng)用審計(jì)，外發(fā)文件告警，流量與上網(wǎng)時長統(tǒng)計(jì)，網(wǎng)頁內(nèi)容審計(jì)

上網(wǎng)安全策略：防止用戶使用不安全的網(wǎng)絡(luò)資源，包括危險(xiǎn)行為識別，ActiveX插件過濾和腳本過濾

AC3.0開始將上網(wǎng)策略分為六大類，分別如下：上網(wǎng)策略分類

終端提醒策略：提醒用戶不恰當(dāng)使用網(wǎng)絡(luò)資源的情況，包括上網(wǎng)時長提醒，上網(wǎng)流量提醒，公告頁面

流量配額與時長控制策略：限制用戶能使用網(wǎng)絡(luò)資源的流量和時長，包括流量配額，上網(wǎng)時長控制，并發(fā)連接數(shù)控制

準(zhǔn)入策略：終端用戶滿足特定條件準(zhǔn)許使用網(wǎng)絡(luò)資源，審計(jì)加密的IM軟件的聊天內(nèi)容

組織結(jié)構(gòu)與上網(wǎng)策略的關(guān)聯(lián)策略與用戶/組的關(guān)聯(lián)：1、可以在策略中選用戶/組；方便一條策略需要關(guān)聯(lián)給多個用戶/組的設(shè)置組織結(jié)構(gòu)與上網(wǎng)策略的關(guān)聯(lián)2、可以在用戶/組中選策略；實(shí)現(xiàn)不同類型策略的任意組合上網(wǎng)策略典型應(yīng)用場景及配置上網(wǎng)策略典型應(yīng)用場景上網(wǎng)策略配置上網(wǎng)策略典型應(yīng)用場景及配置

某公司網(wǎng)絡(luò)中充斥著各種流量，上班時間P2P下載導(dǎo)致致使辦公應(yīng)用很慢，員工上班時間炒股，QQ/MSN聊天，玩游戲使得辦公效率不高。

公司決策層希望實(shí)現(xiàn)上班時間能封堵所有員工的P2P和迅雷等多線程下載，玩游戲和炒股，其余部門的人員不準(zhǔn)上班時間使用QQ和MSN，只有技術(shù)支持和銷售部門才能使用QQ和MSN聊天，但是要審計(jì)聊天內(nèi)容，下班時間所有的應(yīng)用都能允許使用，另外所有人的上網(wǎng)行為需要被審計(jì)。上網(wǎng)策略典型應(yīng)用場景及配置我們先來分析下客戶的需求：技術(shù)支持和銷售部門上班時間不允許P2P和迅雷等多線程下載工具下載，玩游戲和炒股，所有上網(wǎng)行為需要被審計(jì)，包括QQ和MSN的聊天內(nèi)容。其他公司人員上班時間不允許P2P和迅雷等多線程下載工具下載，玩游戲和炒股，QQ/MSN聊天，所有上網(wǎng)行為需要被審計(jì)上網(wǎng)策略典型應(yīng)用場景及配置配置思路：在AC的用戶組織結(jié)構(gòu)中建立兩個用戶組：技術(shù)支持和銷售部門組，默認(rèn)組。（也可以按照公司部門結(jié)構(gòu)分別建立多個用戶組，根據(jù)策略的情況，最少要建立兩個用戶組）具體配置在用戶認(rèn)證部分的PPT中介紹，這里不再累述。新建兩條上網(wǎng)權(quán)限策略：技術(shù)支持和銷售部門上網(wǎng)權(quán)限：上班時間封堵P2P和迅雷等多線程下載工具下載，玩游戲和炒股。關(guān)聯(lián)技術(shù)支持和銷售部門組。其他員工上網(wǎng)權(quán)限：上班時間封堵P2P和迅雷等多線程下載工具下載，玩游戲和炒股，QQ/MSN。關(guān)聯(lián)默認(rèn)組。上網(wǎng)策略典型應(yīng)用場景及配置配置思路：新建一條上網(wǎng)審計(jì)策略：開啟所有的應(yīng)用行為的應(yīng)用審計(jì)。關(guān)聯(lián)技術(shù)支持和銷售部門組和默認(rèn)組4.新建一條準(zhǔn)入策略：開啟IM監(jiān)控。關(guān)聯(lián)技術(shù)支持和銷售部門組。上網(wǎng)策略配置1.新建兩條上網(wǎng)權(quán)限策略設(shè)置策略名稱選擇要封堵的應(yīng)用選擇規(guī)則生效的時間段上網(wǎng)策略配置1.新建兩條上網(wǎng)權(quán)限策略上網(wǎng)審計(jì)策略設(shè)置2、新建一條上網(wǎng)審計(jì)策略，開啟所有的應(yīng)用行為的應(yīng)用審計(jì)，關(guān)聯(lián)技術(shù)支持和銷售部門組和默認(rèn)組。準(zhǔn)入策略設(shè)置3、新建一條準(zhǔn)入策略，開啟IM監(jiān)控，關(guān)聯(lián)技術(shù)支持和銷售部門組。上網(wǎng)策略匹配規(guī)則1、不同類型的策略匹配順序:和控制臺界面不同策略類型的排列順序一致2、相同類型策略的匹配順序：由上往下匹配的原則。上網(wǎng)權(quán)限策略匹配規(guī)則若用戶/組關(guān)聯(lián)多條上網(wǎng)權(quán)限策略，策略的匹配順序如下：策略匹配規(guī)則案例一1.某用戶關(guān)聯(lián)如下兩條上網(wǎng)策略，請問這個用戶是否能發(fā)送郵件到公網(wǎng)呢？

首先匹配“端口控制”策略，此時SMTP服務(wù)是拒絕的，所以不允許發(fā)送郵件。策略匹配規(guī)則案例二2.某用戶關(guān)聯(lián)如下兩條上網(wǎng)策略，請問這個用戶的應(yīng)用使用情況會怎樣呢？此用戶不能訪問游戲和股票交易，其他應(yīng)用都允許使用（默認(rèn)動作是允許）上網(wǎng)策略需求分析上網(wǎng)策略配置及應(yīng)用實(shí)際應(yīng)用環(huán)境演示與互動四、流量管理系統(tǒng)流量管理功能介紹

流量管理功能是對用戶上網(wǎng)的帶寬進(jìn)行分配，它廣泛應(yīng)用于互聯(lián)網(wǎng)出口的帶寬管理。SANGFOR流量管理系統(tǒng)采用基于隊(duì)列（PerFlowQueuing）流量處理機(jī)制，為網(wǎng)絡(luò)管理者提供了前所未有的網(wǎng)絡(luò)可見性，真正意義上幫助用戶構(gòu)建可視、可控、可優(yōu)化的高效網(wǎng)絡(luò)。流量管理功能介紹一，可流控什么？1，網(wǎng)絡(luò)應(yīng)用

SANGFOR采用DPI（數(shù)據(jù)包深度內(nèi)容檢測）及DFI（動態(tài)流狀態(tài)檢測）技術(shù)，能夠識別互聯(lián)網(wǎng)幾乎所有的應(yīng)用，并進(jìn)行精確的流量管理控制。流控較為常用的應(yīng)用為：P2P，P2P流媒體，文件下載，MEDIA，HTTP應(yīng)用，郵件等。2，網(wǎng)站類型

可基于不同的網(wǎng)站類型做流量管理。3，文件類型

可基于不同的文件類型做流量管理。二，流控對象是誰？1，組織結(jié)構(gòu)里面的組或用戶2，單IP或IP段客戶常見案例客戶背景：客戶10M上網(wǎng)線路，內(nèi)網(wǎng)有200人，網(wǎng)絡(luò)管理員抱怨內(nèi)網(wǎng)上網(wǎng)較慢，希望AC設(shè)備能夠解決這個問題，但客戶希望AC設(shè)備不封堵任何人任何應(yīng)用，還不要對領(lǐng)導(dǎo)限制太嚴(yán)?？蛻舫Ｒ姲咐龁栴}分析：客戶類似上網(wǎng)慢的抱怨，基本都是高帶寬軟件(P2P，迅雷，在線視頻)吞噬了帶寬，導(dǎo)致訪問網(wǎng)站較慢，但客戶不希望使用封堵功能，所以我們可以使用流控功能把不合理用的應(yīng)用帶寬控制在一個合理的范圍。客戶常見案例

流量管理策略配置思路：一個簡單的有效的流控策略包含的3要素流控對象網(wǎng)絡(luò)應(yīng)用帶寬數(shù)值客戶常見案例針對客戶的需求進(jìn)行流量管理策略配置建議：1、針對全部用戶對P2P，P2P流媒體，文件下載，MEDIA進(jìn)行帶寬限制，控制為總帶寬的20%，且單用戶上述應(yīng)用不超過50KB.2、針對某幾位領(lǐng)導(dǎo)，對P2P，P2P流媒體，文件下載，MEDIA進(jìn)行帶寬限制，控制為總帶寬的40%，且單用戶上述應(yīng)用不超過100KB.客戶常見案例配置圖解：1.設(shè)置公網(wǎng)線路的實(shí)際帶寬點(diǎn)擊線路