深信服上网行为管理配置详解
深信服上网行为管理-系统管理配置指南
策略路由配置
3、导入各运营商的策略路由表 新发货的设备一般策略路由表都是空的，怎样导入初始策略路由表？
解决方案:下载导入/read.php?tid-2499.html
策略路由配置
4、我们提供了各大运营商的策略路由，导入后，内网PC经设备上网的 数据流，即可实现根据目标地址选路走同一个运营商的线路出去，如访 问电信的网站走电信线路，从而解决了跨运营商之间访问速度慢的问题。 同时也能实现当其中一条 线路故障，流量自动切换到其它线路，直到故 障线路恢复，从而实现了智能选路。
深信服上网行为管理系统管理配置指南培训内容培训目标策略路由和多线路掌握策略路由适用场景能够根据实际场景正确配置策略路由幵达到效果事件告警功能掌握事件告警功能种类能够根据实际场景配置事件告警功能幵达到效果snmp掌握设备支持snmp版本幵且能够正确配置snmp网管软件管理设备策略路由和多线路选路深信服公司简介snmpsangforacsg事件告警功能策略路由和多线路选路策略路由和多线路选路介绍应用背景
SNMP配置
SNMP配置
网管软件中输入设备ip，oid(1.3.6.1),community，这样可以读取所有信 息，如下图：
这种方法读出所有信息，并不知道每个值具体意义，因oid不具体，很难找 到我们需要的信息。
SNMP配置
下载mib库，导入网管软件， 方便管理查看设备信息 设备可供SNNP查询的信息及常用OID请参考文档 “SANGFOR_AC&SG_v6.0_2015年度渠道高级认证培训11_系统管理_可供SNMP 查询的设备信息表.xls”
事件告警功能
事件告警介绍
设备多个模块具有事件告警功能，当触发告警条件时，设备就会通过邮件 告警及登录控制台界面右下角小喇叭告警，以便能及时通知到管理员。设 备支持的告警事件类型如下。
深信服上网行为管理-基本功能介绍
网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象 国内最大的应用识别库，超过2000多种主流应用
注：该规则库会定期更新，此显示 为2014年11月前更新的规则总数
网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象
行为管理：应用授权
实现权限与职责的匹配，防止越权访问与泄密风险，管控与业 务无关的上网行为，提升员工工作效率， 过滤不良信息，防 止法律风险
上网行为管理标准 OA
审计
用户身份识别
网络应用识别
流控
封堵 行为管控
数据分析
SANGFOR AC基本功能介绍
用户身份识别
有效区分用户，分层次管理的组织架构，是部署差异化管理策略的依据
用户身份识别
未通过认证的用户： 控制上网权限
通过认证的用户： 定向至指定网页
本地认证
IP/MAC认证 自建帐号密码 USB-Key 认证 短信认证
定向至指定网页ipmac认证自建帐号密码usbkey认证短信认证ldapradiuspop3ipmac认证pop3proxyad单点登录微信认证web单点登录pppoe单点登陆数据库认证第三方设备单点登陆新用户认证自动分组自动认证自动授权用户身份识别有效区分用户分层次管理的组织架构是部署差异化管理策略的依据用户身份识别用户身份识别映射组织结构网关控制台用户与上网策略对应策略列表用户与行为一一对应数据中心网络应用识别识别网络应用了解用户行为是管控措施的基础和对象国内最大的应用识别库超过2000多种主流应用注
控制不可信的下载源，避免下载带病毒的文件 管控文件外发行为，防止机密文件外发等泄密事件
指定下载站点 封堵其他站点
基于文件类型 控制上传/下载
深信服上网行为管理系统用户手册
深信服上网行为管理系统用户手册深信服上网行为管理系统用户手册AC 12.0.18用户手册目录前言 (2)手册内容 (2)本书约定 (2)图形界面格式约定 (2)各类标志 (3)技术支持 (3)致谢 (3)第1 章安装指南 (4)1.1.环境要求 (4)1.2.电源 (4)1.3.产品外观 (4)1.4.配置与管理 (5)1.5.单设备接线方式 (5)1.6.双机备份接线方式 (7)第2 章控制台的使用 (8)2.1.登录WebUI配置界面 (8)2.1.1.AC的web 登录方式 (8)2.1.2.统一认证中心的登录方式 (11)2.2.配置和使用 (12)第3 章功能说明 (15)3.1.增值服务导航 (15)3.1.1.激活设备 (15)3.1.2.进入技术社区 (17) 3.1.3.“信服君”机器人 (18) 3.2.行为感知系统 (19)3.2.1.办公网上网态势 (22) 3.2.2.带宽分析 (31)3.2.3.泄密追溯分析 (33) 3.2.4.离职倾向分析 (36) 3.2.5.工作效率分析 (40) 3.2.6.未关机检测分析 (42) 3.3.实时状态 (43)3.3.1.实时状态 (43)3.4.对象定义 (89)3.4.1.应用特征识别库 (91) 3.4.2.应用智能识别库 (97) 3.4.3.自定义应用 (100)3.4.4.URL分类库 (104) 3.4.5.URL库列表 (104) 3.4.6.准入规则库 (109)3.4.7.网络服务 (129)3.4.8.IP 地址库 (131)3.4.9.时间计划组 (139)3.4.10.关键字组 (141)3.4.11.文件类型组 (143) 3.4.12.位置对象组 (144) 3.5.用户认证与管理 (147) 3.5.1.原理 (147)3.5.2.用户认证 (151)3.5.3.用户管理 (220)3.5.4.认证高级选项 (259) 3.6.策略管理 (277)3.6.1.上网策略 (278)3.6.2.策略高级选项 (368)3.7.流量管理 (375)3.7.1.概述 (375)3.7.3.通道配置 (377)3.7.4.线路带宽配置 (414)3.7.5.虚拟线路配置 (415)3.7.6.流量可视化 (425)3.8.终端接入管理 (425)3.8.1.共享接入管理 (426)3.8.2.移动终端管理 (430)3.8.3.代理工具管理 (433)3.9.上网安全 (438)3.9.1.安全状态 (438)3.9.2.安全配置 (441)3.10.VPN配置 (457)3.10.1.DLAN运行状态 (457) 3.10.2.多线路设置 (458)3.10.3.SDWAN智能选路 (460) 3.10.4.基本设置 (472)3.10.5.用户管理 (474)3.10.6.连接管理 (488)3.10.7.虚拟IP 池 (491)3.10.8.本地子网列表 (492) 3.10.9.隧道间路由设置 (494) 3.10.10.第三方对接 (497)3.10.11.通用设置 (509)3.10.12.证书管理 (511)3.10.13.高级设置 (515)3.11.系统管理 (527)3.11.1.防火墙 (527)3.11.2.网络配置 (544)3.11.3.系统配置 (633)3.12.网络安全法 (693)第4 章案例集 (696)4.1.单点登录配置案例 (696)4.1.1AD域单点登录功能配置案例 (696)4.1.2PROXY单点登录配置案例 (723)4.1.3POP3单点登录配置案例 (732)4.1.4Web单点登录配置案例 (737)4.1.5与第三方设备结合单点登录配置案例 (741)4.1.6深信服设备结合认证 (756)4.1.7数据库系统结合认证 (759)4.2.不需要认证用户配置案例 (762)4.3.密码认证用户配置案例 (769)4.3.1短信认证 (769)4.3.2微信及二维码认证 (787)4.3.3密码认证 (801)4.4.其他认证配置案例 (810)4.5.与cas第三方认证配置案例 (825)4.6.策略配置案例 (828)4.6.1针对某用户组设置封堵P2P 和P2P流媒体的策略 (828) 4.6.2针对某用户组设置IM 监控的策略 (832)4.6.3针对某用户组设置开启审计功能 (836)4.7.终端管理配置案例 (838)4.7.1防共享功能配置案例 (838)4.7.2移动终端管理配置案例 (840)4.7.3代理工具理配置案例 (841)4.8.SNMPTRAP配置案例 (842)4.9.综合案例 (846)4.9.1客户网络环境与需求 (846)4.9.2配置思路 (847)附录：SANGFOR设备升级系统的使用 (865)产品升级步骤 (868)前言手册内容第1 部分SANGFOR AC 产品概述。
深信服上网行为管理流量管理系统配置说明
客户常见案例
配置图解： 1.设置公网线路的实际带宽
点击线路1进入 下面的配置框
注意KB/s,互联网 传输的单位是 bps,10M换算到大 B为：1250KB/S
客户常见案例
配置图解： 2. 新增策略1，对P2P等流媒体应用限制带宽
1，启用流量 管理系统
2，新增通道，选择新增 一级通道，建议所有的 策略均为一级通道
客户常见案例
配置图解： 两条策略配置完成后：
客户常见案例
流量管理策略效果验证方法：
1，客户端验证：
使用迅雷下载一个电影，看下载速度是不是小于50KB，小于50KB证 明流控策略有效，另外再关闭流控策略，看下载速度是不是可以上升， 以进一步证明流控策略有效。注意：不要用迅雷下载音乐软件，此类 下载可能为单线程下载，不在我们此次的流控范围。
客户常见案例
选择限制通道，设置20% 配置图解： 后，会自动根据线路带宽 配置换算为具体的带宽， 输入一个直观便 2. 新增策略1，对P2P等流媒体应用限制带宽 上行为上传，下行为下载 于理解的名称
通道内单用户的 带宽，设置为上 行下行50KB
客户常见案例
配置图解： 2. 新增策略1，对P2P等流媒体应用限制带宽
1，选择 自定义
2，选择后 点击确定
3，点击确定完成一 条有效的策略配置
客户常见案例
配置图解： 二,新增策略2，此策略是针对领导，配置步骤和上述新增步 骤一致，上下行带宽值不一样。
客户常见案例
配置图解： 二,新增策略2，此策略是针对领导，配置步骤和上述新增步 骤一致，上下行带宽值不一样。
选择领导 自定义客户10M上网线路，内网有200人，网络管理员抱怨内网上网 较慢，希望AC设备能够解决这个问题，但客户希望AC设备不 封堵任何人任何应用，还不要对领导限制太严。
深信服上网行为管理部署方式及功能实现配置说明
深信服上网行为管理部署方式及功能实现配置说明（标化院）设备出厂的默认IP见下表：接口IP地址ETH0（LAN）10.251.251.251/24ETH1（DMZ）10.252.252.252/24ETH2（W AN1）200.200.20.61/24AC支持安全的HTTPS登录，使用的是HTTPS协议的标准端口登录。
如果初始登录从LAN口登录，那么登录的URL为：https://10.251.251.251，默认情况下的用户名和密码均为admin。
设备正常工作时POWER灯常亮，W AN口和LAN口LINK灯长亮，ACT灯在有数据流量时会不停闪烁。
ALARM红色指示灯只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。
如果在安装时此红灯长亮，请将设备掉电重启，重启之后若红灯一直长亮不能熄灭，请与我们联系。
『部署模式』用于设置设备的工作模式，可设定为路由模式、网桥模式或旁路模式。
选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。
路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能；旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。
选择【导航菜单】中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，会出现『路由模式』、『网桥模式』、『旁路模式』的选项，选择想要配置的网关模式。
路由模式：是把设备作为一个路由设备使用，一般是把设备放在内网网关出口的位置，代理局域网上网；或者把设备放在路由器后面，再代理局域网上网。
深信服上网行为管理配置详解
第五步：添加该用户的上网策略，点击进入【策略列表】页面，点击【添加策略】，在 弹出的【添加策略】页面选择需要关联的策略。
第六步：完成用户属性与策略的编辑后，点击提交，完成用户的添加。 第七步：通过设备上网时，验证IP和MAC是否正确，如果正确则认证通过，客户端不会弹 出认证页面。如果IP/MAC地址和绑定的IP/MAC不符，则认证不通过，此时没有提示页面 ，但客户端的现象是上不了网。
控制台功能说明
2.4.2.1.2设置用户组的上网策略
第一步：在【组织结构】中选择需要添加上网策略的用户组，右边进入管理页面，在【 策略列表】窗口中，点击添加策略按钮，然后弹出的【添加策略】页面，选择策略。 第二步：点击添加策略，在【添加策略】 中选择需要关联的上网策略工程师上网策 略，勾选[递归应用于子组]表示添加的策 略同时也会关联给子组，不勾选则表示子 组不会添加该策略。设置完成后点击确定。 第三步：返回【策略列表】页面，查看用 户组关联的。
代表网口状态是已连接状态， 击 可以设置自动刷新的时间。
代表网口状态是未连接状态，点
控制台功能说明
2.2.1运行状态
【接口吞吐率折线图】通过折线图的形式来动态显示外网接口实时发送 和接收数据的情况。
点击 可以设置[选择时间段]来显示相应时间段接口转发数据的情况 ，在[选择流量单位
控制台功能说明
2.2.1运行状态
控制台功能说明
2.1WebUI 配置界面
登录界面如下图所示：
控制台功能说明
2.1WebUI 配置界面
如何消除登录控制台的证书告警框？
首先，登录控制台，进入『系统配置』→『高级配置』→『WebUI选项 』页面，点击下载证书，将证书下载到本地安装。
深信服上网行为管理-数据中心配置介绍
注意
外置数据中心和内置数据中心无法使用同一个key，同一个 key只能用于一台内置或一台外置数据中心
内容搜索
内容搜索功能介绍
为便于日志搜索，外置数据中心提供搜索引擎功能，可以根据关键字 对网页，邮件，搜索关键字，webmail/bbs/微薄内容，聊天搜索。 注意：搜索引擎只有外置数据中心才有，且只有admin帐号登录外置 数据中心才有。内置数据中心或非admin帐号登录外置数据中心没有。
内容搜索系统使用
根据需求设置搜索条件 并点击【开始搜索】。
搜索结果显示
输入搜索关键字 点击【开始搜索】
【高级搜索】用 来设置搜索条件， 使用搜索范围更 加精确，点击进 入高级搜索页面
主题订阅
提前设置好自动搜索条件，搜索的内容将以邮件键字类型
内置数据中心KEY配置步骤
2、新建控制台用户
生成key前，先 下载key驱动
如图，新建控制台 用户dkey，先安装 key驱动。插入数据 中心查询key，输入 dkey密码。该用户 的“组织权限设置” 和“页面权限设置” 全选。
内置数据中心KEY配置步骤
2、新建控制台用户
生成key前，先 下载key驱动
内容搜索功能介绍
打开内容 搜索主页
点击【内容搜索】 点击【内容搜索】
所能搜索的内容
内容搜索系统启用
启用搜索系统
网页索引可以选择性开启，因为如 果网页内容较多，可能会影响索引 性能。注意，网页索引，需要先开 启“上网审计策略”中“网页内容 配置审完计后根”点据才击服【会务保生器存效内新存新增大索引】
如图，新建控制台 用户dkey，先安装 key驱动。插入数据 中心查询key，输入 dkey密码。该用户 的“组织权限设置” 和“页面权限设置” 全选。
深信服上网行为管理功能参数
深信服上网行为管理功能参数AC-4300-RY上网行为管理产品功能性能参数项目指标具体功能要求性能吞吐量2.5Gbps，标配6个千兆电口，4个千兆光口，标准2U设备，配备冗余电源部署方式网关模式支持网关模式，支持NAT、路由转发、DHCP 等功能；网桥模式支持网桥模式，以透明方式串接在网络中；旁路模式支持旁路模式，无需更改网络配置，实现上网行为审计；网关管理管理界面支持SSL加密WEB方式、SSH命令行方式管理设备；分级管理不同用户组的管理权限支持分配给不同管理员；集中管理多台设备支持通过统一平台集中管理、集中配置等；被控设备加入统一平台支持以硬件证书验证身份；告警管理支持攻击、泄密告警，危险行为告警、邮件延迟审计告警等；加密连接具有IPSec VPN远程加密访问和连接的模块，并能提供IPSec VPN客户端授权远程接入访问；排障工具提供图形化排障工具，便于管理员排查策略错误等故障；上网故障排除系统支持开启直通后，流量控制模块依然生效，避免全部数据直通导致线路流量过大；实时监控设备资源信息提供设备实时CPU、内存、磁盘占有率、会话数、在线用户数、系统时间、网络接口等信息；流量状态实时提供用户流量排名、应用流量排名、所有线路应用流速趋势、流量管理状态、连接监控信息；安全状态实时显示当天的安全状况，最后发生安全事件的时间、类型、总次数、源对象，帮助管理员管理内网安全；上网行为监控实时显示设置过滤条件的用户上网行为监控，支持手动设置刷新时间；用户管理本地认证支持触发式WEB认证，静态用户名密码认证等；第三方认证支持LDAP、Radius、POP3、Proxy等第三方认证；支持ISA\ lotus ldap\novel ldap\oracle、sql server、db2、mysql等数据库等第三方认证；双因素认证支持以USB-Key方式实现双因素身份认证；IP、MAC认证支持绑定IP认证、绑定MAC认证，及IP/MAC绑定认证等；支持通过SNMP服务器跨三层获取MAC地址；支持当用户MAC地址变动时，需要重新认证；短信认证支持短信认证方式，用户输入手机号作为用户名，通过短信猫或短信平台发送验证码；短信认证能够根据不同用户推送不同认证页面，该认证页面可自定义，编辑内容包括文字、颜色风格、图片，且图片支持轮询播放公用账户支持多人使用同一帐号登录，且支持重复登陆检测机制；账户有效期指定账户支持有效期限制，并支持自动过期；单点登录支持AD、POP3、Proxy、PPPOE、H3C IMC/CAMS、锐捷SAM、城市热点等系统进行认证单点登录，简化用户操作；可强制指定用户、指定IP段的用户使用单点登录；强制AD认证指定用户用AD域账户登录操作系统，否则禁止上网；安全组嵌套同步支持AD安全组嵌套同步；LDAP服务器的域对象的策略管理与同步主要目的是对已有的AC 与LDAP服务器结合进行优化，便于客户实现策略管理在AC上进行，用户管理在域上进行，不需同步用户到本地组织结构中即可实现策略管理功能认证失败支持为认证失败用户提供基本网络访问权限机制；认证后页面跳转认证成功的用户支持页面跳转：1.跳转到用户原本输入的URL地址；2.跳转到管理员指定的URL地址；3.跳转到该用户上网信息排行页面；4.跳转到注销页面;帐户导入支持从本地导入和扫描导入，支持以CSV格式文件导入帐户/分组/IP/MAC/描述/密码等信息；支持从外部LDAP服务器导入账户及分组信息；组织结构用户分组支持树形结构，支持父组、子组、组内套组等；用户状态查询支持用户登录时间、注销时间、在线时长的查询；自动注销支持自动注销指定时间内无流量的已认证用户；冻结用户支持冻结认证失败次数超过最大值的用户，在冻结时间结束后恢复登录；用户密码强度可设置用户密码不能等于用户名；新密码不能与旧密码相同；可设置密码最小长度；可设置密码包括数字或字母或特殊字符；应用管理应用识别规则库1、支持根据标签选择应用，标签分类至少包含安全风险、高带宽消耗、发送电子邮件、降低工作效率、外发文件泄密风险、主流论坛和微博发帖6大类；2、支持给每个应用自定义标签；3、支持根据标签选择一类应用做控制；4、支持对每一种应用的定义和解释，帮助客户快速定位应用的分类；5、支持给每一种应用列上图标，易于客户了解应用的特征。
深信服上网行为管理-管理员手册
深信服上网行为管理-管理员手册深信服电子科技有限公司■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第1章前言.......................................................... 错误!未定义书签。
第2章系统管理...................................................... 错误!未定义书签。
设备登录....................................................... 错误!未定义书签。
修改管理员密码............................................. 错误!未定义书签。
创建二级管理员............................................. 错误!未定义书签。
系统基本信息配置............................................... 错误!未定义书签。
序列号..................................................... 错误!未定义书签。
系统时间................................................... 错误!未定义书签。
规则库升级................................................. 错误!未定义书签。
全局排除地址............................................... 错误!未定义书签。
设备配置备份与恢复......................................... 错误!未定义书签。
深信服上网行为管理操作步骤（傻瓜版）
深信服上⽹⾏为管理操作步骤（傻⽠版）
⼀．建⽴应⽤⿊名单库
1.点击“对象定义”---“⾃定义应⽤”（图1）
(图1)
2.点击“新增”，新增相应的应⽤内容，添加后点击“提交”（图2）（图3）
（图2）
（图3）
3.添加完成后可以看到在“⾃定义应⽤”表中多了⼀个“禁⽌⽹上交易”的类型，（图4），请注意：必须勾选“⽤户⾃定义规则优先”
（图4）
⼆．制定应⽤过滤策略并指派给⽤户或组
1.点击“⽤户与策略管理”----“新增”---“上⽹权限策略”（图5）
2.勾选“应⽤控制”（图6）
（图6）
3.点击应⽤分类的添加键“”添加应⽤“禁⽌⼴发WEB交易”分类（图7）
（图7）
4.填⼊相应的策略名称，动作选择“拒绝”,⽣效时间选择“全天”（图8）
（图8）
5.点击“适合的组和⽤户”，将策略指派给某个⽤户或组（图8）
6.完成以上所有操作，即可以在“上⽹策略“中看到刚刚所做的策略（图9）
（图9）。
深信服上网行为管理-管理员手册
深信服上网行为管理-管理员手册深信服电子科技有限公司■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第1章前言.......................................................... 错误!未定义书签。
第2章系统管理...................................................... 错误!未定义书签。
设备登录....................................................... 错误!未定义书签。
修改管理员密码............................................. 错误!未定义书签。
创建二级管理员............................................. 错误!未定义书签。
系统基本信息配置............................................... 错误!未定义书签。
序列号..................................................... 错误!未定义书签。
系统时间................................................... 错误!未定义书签。
规则库升级................................................. 错误!未定义书签。
全局排除地址............................................... 错误!未定义书签。
设备配置备份与恢复......................................... 错误!未定义书签。
上网行为管理设备详细介绍
上网行为管理设备详细介绍深信服上网行为管理设备主要功能如下：简述：能够规范员工的上网行为，提高员工的工作效率，并对员工的上网行为提供法律依据。
细述主要功能如下：1、屏蔽网络应用我们的用完善的上网策略来规范您内网用户的上网行为（比如：禁止在上班时间聊天、打游戏，上不健康网站、炒股、网上购物等）提高工作的效率。
2、流量控制能够对每个员工或部门，或者对内网不同的VLAN和终端上网电脑进行分组的流量进行控制和带宽管理提升宽带利用率，保证正常上班和业务系统拥有足够的带宽。
3、禁止大量占用资源的下载禁用一些关于BT、电驴、在线电视、电影等恶性下载软件的应用，保证上网的带宽价值。
4、降低法律诉讼风险降低企业的法律责任：员工利用公司提供的互联网连接访问色情、反政府、邪教等不良网站或在网上发表非法言论或从事其他一些非法活动等，这些活动极有可能会给所在的公司带来法律诉讼、行政处分等风险。
5、自动备份收发信息能够自动备份员工客户端的邮件收发，包括邮件的标题、正文和附件。
6、全面记录员工网络行为（即内容审计功能）强大的内容审计功能：能设定规则检测需要监控的所有电脑的所有上网行为（包括上的网站、聊天的内容、发的邮件和邮件的内容等）。
7、数据中心报表强大的数据中心报表功能，给领导提供直接的上网数据统计和上网行为统计。
高度的硬件集成，部署灵活。
8、邮件延迟审计现在内网的安全越来越受到广大网管的重视，保护内部重要数据安全、防止重要信息外泻（比如：设计图纸、公司内部方案、财务报表、最新的新闻信息等）例：现在企业大量使用电子邮件进行各种信息的交流，公司内部员工用互联网可以很轻易的把企业的关键信息传播出去一些商业、技术上的关键性信息的泄露会给企业带来无法弥补的损失。
对这我们用邮件延迟审计的专利，可以对所有的出口邮件进行审核拦截。
9、丰富的权限分配能够为设备的管理人员进行功能管理的细分。
比如网管只能管理流量控制、屏蔽网络应用功能，而行政可以查看和管理员工上网行为，信息审计员能够查看和管理收发信息。
设备部署深信服上网行为管理
设备部署深信服上网行为管理简介深信服上网行为管理是一种面向企业网络的行为管理和内容审查解决方案。
它通过实时监控企业网络的流量和行为，提供细粒度的访问控制和内容过滤，帮助企业实现网络安全管理和资源优化。
本文档将重点介绍设备部署深信服上网行为管理的步骤和注意事项。
步骤1. 硬件选购首先需要根据企业的规模和需求，选择适合的深信服上网行为管理设备。
深信服提供多款不同规格和性能的设备，根据企业的网络规模和用户数量，选择合适的型号和配置。
2. 网络规划在部署深信服上网行为管理设备前，需要进行网络规划。
确定设备的位置和连接方式，保证设备能够覆盖到企业内的所有网络流量。
3. 设备接入将设备按照网络规划的要求接入企业的网络中。
一般情况下，将设备接入企业的核心交换机或网络边界设备。
4. 配置设备接入设备后，需要按照深信服提供的操作手册和技术文档，对设备进行配置。
主要配置包括网络接口设置、防火墙规则配置、访问控制策略配置等。
5. 日常运维设备部署完成后，需要进行日常的运维管理。
定期对设备进行升级和维护，监控设备运行状态，及时处理设备故障和异常。
注意事项1. 安全性在设备部署过程中，需要注意设备的安全性。
设备应放置在安全的物理环境中，防止被未经授权的人员物理访问。
同时，需要对设备进行安全配置，设置合适的访问控制策略，防止未经授权的访问。
2. 网络可用性在部署深信服上网行为管理设备时，需要确保网络的可用性。
设备应该能够满足企业的网络带宽需求，并且不影响网络的正常运行。
3. 管理权限设备部署完成后，需要合理设置管理员权限。
只允许授权的人员具备设备管理权限，防止未经授权的访问和操作。
4. 定期备份定期备份设备的配置文件和数据是非常重要的。
在设备出现故障或损坏时，可以通过备份文件快速恢复设备的配置和数据，减少系统停机时间。
总结设备部署深信服上网行为管理是企业网络安全管理和资源优化的重要环节。
本文档介绍了设备部署的步骤和注意事项，希望能够帮助您顺利完成设备部署，并确保网络的安全和稳定运行。
深信服上网行为管理-系统管理配置指南
培训内容 策略路由和多线路 选路 事件告警功能
SNMP
培训目标
掌握策略路由适用场景，能够根据实际场景正确配置 策略路由并达到效果
掌握事件告警功能种类，能够根据实际场景配置事件 告警功能并达到效果
掌握设备支持SNMP版本，并且能够正确配置SNMP 网管软件管理设备
7、通过邮件客户端发送一封带病毒的原始邮件
8、设备检测到病毒效果
首页，运行状态页面，右下角小喇叭提示发现病毒。如下图
管理员告警邮箱志，如下图
SNMP
SNMP介绍
客户机房有很多不同厂商的网络设备，不便于管理，希望通过网管软件对 所有网络设备进行监控和管理。AC&SG默认支持snmp协议（支持snmp v1 v2 v3），并提供mib库，通过网管软件导入mib库，从而实现对设备状 态监控和管理。
SANGFOR AC&SG
策略路由和多线路选路 事件告警功能 SNM深P 信服公司简介
策略路由和多线路选路
策略路由和多线路选路介绍
应用背景：随着企业的不断壮大和发展，一个企业所拥有的互联网线路往往不止一 条，而每条线路的带宽又是非常有限的。如何设置才能够更合理的利用线路带宽， 提高访问公网的速度呢？
经过设备的数据流会先按策略路由选路，如果没有配置策略路由规则或按策 略路由没有查到对应的选路规则，则会进行多线路选路。多线路选路是由程 序自动选路，无须配置策略路由规则，共有四种多线路选路策略。
注意
1. 多线路选路和策略路由功能只在路由模式下有效。 2. 需要使用外网多线路，在序列号中至少开启2条外网线路的授权。 3. 外网每条线路配置的DNS地址必须可以解析域名，策略路由程序会根据线路的DNS是否 可以解析域名线路是否故障，DNS无法解析域名，则策略路由程序会检测此线路故障。 4.静态路由，策略路由和多线路选路的优先级关系。静态路由优先策略路由，策略路由优 先多线路选路。 5.设备有多线路时，如果一条线路出现故障，则流程会切换到其它线路，直到故障线路恢 复，从而实现线路智能切换。现场测试线路切换时，建议使用拨线路，浏览器打开网页的 方式测试。
深信服上网行为管理-管理员手册v1.0
深信服上网行为管理-管理员手册深信服电子科技有限公司本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第2章系统管理.............................................2.1设备登录............................................2.2管理员配置..........................................2.2.1修改管理员密码................................2.2.2创建二级管理员................................2.3系统基本信息配置....................................2.3.1序列号........................................2.3.2系统时间......................................2.3.3规则库升级....................................2.3.4全局排除地址..................................2.3.5设备配置备份与恢复............................2.3.6WEBUI选项.....................................2.3.7远程维护...................................... 第3章网络配置.............................................3.1部署模式............................................3.2静态路由............................................ 第4章策略管理.............................................4.1用户认证与管理......................................4.1.1用户组管理....................................4.1.2认证策略......................................4.1.3不需要认证....................................4.1.4IP/MAC绑定....................................4.1.5不允许认证....................................4.2策略管理............................................4.2.1购物娱乐类网站................................4.2.2P2P及P2P流媒体封堵...........................4.2.3外发文件封堵..................................4.2.4上网审计......................................4.3流量管理............................................4.3.1线路带宽配置..................................4.3.2保证通道......................................4.3.3限制通道......................................4.4终端接入管理........................................4.4.1共享接入管理.................................. 第5章日志中心管理.........................................5.1日志中心配置........................................5.1.1准备工作......................................5.1.2外置日志中心安装过程..........................5.1.3日志中心登录..................................5.1.4同步策略设置..................................5.1.5AC同步配置....................................5.2日志中心登录........................................5.2.1内置日志中心登录..............................5.2.2外置日志中心登录..............................5.3日志查询............................................5.3.1所有行为日志..................................5.3.2网站访问日志..................................5.3.3邮件收发日志..................................5.3.4发帖/发微博日志...............................5.3.5其他日志......................................5.3.6日志导出......................................5.3流量时长分析........................................5.4报表中心............................................5.5系统管理............................................ 第1章前言本手册用于讲解AC常见功能操作方法，为管理员提供日常策略维护指导。
上网行为管理AC-1200实际配置管理手册
附件五上网行为管理AC-1200配置管理文档1. 设备名称本系统上网行为管理设备采用深信服公司生产的AC-1200。
2.设备功能根据用户提出的应用需求，AC-1200在本系统中的设计功能是对网络资源进行合理的分配，并对内部工作人员的上网行为进行规范，以及对防火墙的功能进行必要的补充。
3.设备硬件信息3.1 AC-1200产品外形AC-1200产品外形和接口信息如图1所示。
图1 AC-1200产品外形和接口信息网络连接与管理方式AC-1200的ETH0（LAN）口通过透明网桥的方式与核心交换机CISCO4506的GE3/1连接，加入本地局域网络。
ETH2(WAN1)口与路由器CISCO2821，与Internet连接。
ETH1(DMZ)端口作为WEB管理端口连接到核心交换机的G3/30。
设备端口IP地址分配见表1。
本设备只提供WEB管理方式。
通过网络连接到WEB管理端口，打开浏览器，在地址栏输入https://192.168.5.41 ，进入管理页面输入用户名和密码，单击“登录”，即可进入管理界面，如图2所示。
表1设备端口IP地址分配表图2 WEB登录页面4. 配置管理4.1 WEBUI界面登录后看到的是WEB管理的首页，包含左侧的功能菜单栏和右侧的状态信息显示。
如图3所示。
图3 WEB用户管理界面4.2 系统配置系统配置部分包含系统信息、管理员帐户、系统时钟等信息。
4.2.1 系统信息系统信息包含系统内的序列号和license信息，如图4所示。
图4系统信息4.2.2 管理员帐户本系统内除admin帐户外，另创建了一个gtyl管理员帐户，其权限与admin相同。
图5所示为管理员帐户列表。
图5管理员帐户列表如需对管理员帐户进行配置，直接单击蓝色用户名，如需创建新管理员，单击左上角“新增”图标，即可进入创建页面。
4.2.3 系统时间系统时间设置界面如图6所示。
图6系统时间设置页面4.2.4 系统升级如图7列表中所显示的，除病毒库未购买升级服务，网关补丁不需购买服务外，其他服务都在2012年4月7日到期，到时可根据实际情况决定是否购买。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
控制台功能说明
2.1WebUI 配置界面
登录界面如下图所示：
控制台功能说明
2.1WebUI 配置界面
如何消除登录控制台的证书告警框？
首先，登录控制台，进入『系统配置』→『高级配置』→『WebUI选项 』页面，点击下载证书，将证书下载到本地安装。
控制台功能说明
主界面
控制台功能说明
2.2实时状态
控制台功能说明
2.2.1运行状态
【资源信息】主要用于显示设备资源的概况，包括CPU使用率，内存使 用率，磁盘使用率，设备会话数，在线用户数，无线热点数，系统时间 和当天日志汇总等信息。
点击
可以设置是否启用自动刷新以及自动刷新的时间。
控制台功能说明
2.2.1运行状态
【接口信息】主要用于显示设备各个网口的状态，是否接线以及各个网 口发送和接收实时流量。Biblioteka 点击可以设置自动刷新的时间。
控制台功能说明
2.2.1运行状态
【用户流量排名】用于显示前十名的用户流量排名情况，可以根据上下 行流量和总流量来排名，界面如下：选中上行则显示上行流量的百分比 ，选中下行则显示下行流量的百分比。
点击
可以设置自动刷新的时间。
控制台功能说明
2.2.1运行状态
【上网行为监控】主要用于显示实时的用户上网行为。
深信服上网行为管理配置
（AC v4.5)
• 硬件安装 • 控制台功能说明 • 案例分析
硬件安装
1.1产品外观
设备出厂的默认IP见下表：
硬件安装
1.2单设备接线方式
用标准的RJ-45以太网线将ETH0（LAN）口与内部局域网 电脑连接，对AC设备进行配置。 用标准的RJ-45以太网线将ETH2（WAN1）口与Internet接 入设备相连接，如路由器、光纤收发器或ADSL Modem等 。 多线路的AC设备可以支持多条Internet线路，此时将 WAN2口与第二条Internet接入设备相连，WAN3口与第三 条Internet线路相连，依此类推。
硬件安装
1.3双机备份接线方式
若采用 若采用 AC 双机热备的工作方式，按以下接线
控制台功能说明
2.1WebUI 配置界面
AC 支持安全的HTTPS 登录，使用的是HTTPS 协议的标准端口登录。如果初始 登录从LAN 口登录，那么登录的URL 为：https://10.251.251.251
首先为本机器配置一个10.251.251.X网段的IP（如配置 10.251.251.100），然后在IE浏览器中输入网关的默认 登陆IP及端口https://10.251.251.251。出现一个证书 告警框提示，点击是后出现登录界面。 在登陆框输入『用户名』和『密码』，点击登录按钮即 可登录AC设备进行配置，默认情况下的用户名和密码均 为Admin。 登录控制台不需要安装任何控件，支持用非IE的浏览器 登录控制台。
【实时状态】主要用于查看设备的基本状态信息，包括： 『运行状态』 『安全状态』 『流量状态』 『上网行为监控』 『在线用户管理』 『邮件延迟审计』 『DHCP运行状态』
控制台功能说明
2.2.1运行状态
『运行状态』主要用于查看设备的资源信息，接口吞吐率折线图，应用 流量排名，用户流量排名，应用流速趋势叠加图，接口信息，安全状态 和上网行为监控信息。
控制台功能说明
2.4用户与策略管理
点击
可以设置自动刷新的时间。
控制台功能说明
2.2.1运行状态
【安全状态】主要用于显示设备检测到不的行为
点击
可以设置自动刷新的时间。
控制台功能说明
2.2.2安全状态
『安全状态』主要用于显示设备检测到不安全的行为
分别有[病毒行为]、[DOS和ARP攻击]、[端口扫描]、[异常外发邮件(频繁外发 )]、[标准端口异常流量]、[协议异常]、[恶意脚本]、[拦截插件]、[恶意网 址]、[不受信任的ssl网站访问]、[组织外线路]，会列出发生总数量，还有最 后发生的时间，和最后发生的用户/IP，以及最近发生的10条不安全日志及详 细事件信息。点击发生次数中的数值可以自动链接到数据中心，查看到对应的 详细日志。
代表网口状态是已连接状态， 击 可以设置自动刷新的时间。
代表网口状态是未连接状态，点
控制台功能说明
2.2.1运行状态
【接口吞吐率折线图】通过折线图的形式来动态显示外网接口实时发送 和接收数据的情况。
点击 可以设置[选择时间段]来显示相应时间段接口转发数据的情况 ，在[选择流量单位
控制台功能说明
2.2.1运行状态
【应用流速趋势叠加图】主要用于动态显示各个应用流速趋势叠加，不 同的应用用不同的颜色显示。
点击 可以在[选择流量单位]设置显示的流速单位，在[选择线路]选 择显示所有线路，线路1或者线路2等，在[流速类型]设置显示的是总流 速，上行或者下行。
控制台功能说明
2.2.1运行状态
【应用流量排名】用于显示前十名的应用排名情况，可以根据上下行流 量和总流量来排名，界面如下：选中上行则显示上行流量的百分比，选 中下行则显示下行流量的百分比。
控制台功能说明
2.2.3流量状态、上网行为监控
『流量状态』主要用于显示设备的在线用户的流量信息、各个应用的流 量信息、流量管理的通道状态信息和连接监控等信息。 『上网行为监控』主要用于查看最近产生的用户上网行为。
控制台功能说明
2.2.4在线用户管理、邮件延迟审计、DHCP运行 状态
『在线用户管理』主要用于管理已经通过设备认证的在线用户。 『邮件延迟审计』主要用于查看被延迟审计的邮件以及对其进行相关操 作，前提是『用户与策略管理』里有用户启用了邮件延迟审计的功能。 界面如下： 『DHCP运行状态』主要用于查看DHCP的分配情况，前提『DHCP』已经进 行了相关启用的配置，界面如下：
控制台功能说明
2.3对象定义
『对象定义』中定义的各种对象是设备做上网行为过滤、上网行为审计 和流量管理的基础，各种控制和审计都是基于对象来做的。
对象定义中包括： 『应用特征识别库』、『应用智能识别库』、『自定义应用』、『URL 分类库』、『准入规则库』、『网络服务』、『IP组』、『时间计划组 』、『黑白名单组』 、『关键字组』、『文件类型组』、『上网权限 策略』、『信任的证书颁发机构』