上网行为管理部署方案培训教材
深信服上网行为管理-无线管理指南
式无线网络及个人无线网络并达到效果
上网策略与流控策略关联SSID 1、掌握上网策略和流控策略对无线网络的生效
方式
PART 1
无线需求
3
1、无线需求
无线是现在IT建设的热点，为了方便员工办公及客户上网，越来越多的企 业、商户开始部署无线。
顾客
无线接入，上网数据分析 建设良好的沟通桥梁
商户
便捷、快速地畅游体验
路由
网桥
Lan
Lan
Lan
Lan
AP AP
AP接入网络当中,AP是否需要做配置？有无WEB登录界面？
AP无需配置
①
AP发现AC
Lan AP
Lan AP
②
AC下发配置给
AP
Lan AP
Lan AP
PART 3 AP发现与激活
14
部署完AC和AP后，紧接的过程是AP发现与激活。AP发现与激活，对用户 是完全透明的，程序自动完成。无需手动激活。
证，但终端用户上网会受AC认证策略的影响。
客户需求无线结合微信认证可以使用此种认证方案！AC认证策略配 置为微信认证。
配置步骤
1.【无线配置】—新建开放式无线网络，认证方式选择无需认证 2.【用户与策略管理】—【认证策略】—新建认证策略，认证方式选择微信认证 3.【用户与策略管理】—【认证选项】—选择微信认证的认证方案，配置相应的 信息
PART 2
授权与部署
7
1.授权
6.0版本开始，有无线功能，通过序列号授权激活
AP外观
AP后面板
后视图
从左到右依次说明： 电源口：48V DC的直流电源，配备电源适配器，接入110~230V电压范围， Console：控制口，用于工程师和测试工程师调试用 LAN：出厂默认dhcp获取地址，支持PoE（Power over Ethernet）供电 Reset：重置按钮，长按RESET按钮5-15秒，除了power灯以外，所有灯都会 灭一段时间，然后AP会重启，并恢复默认出厂配置
dp上网行为管理手册
DP上网行为管理手册
一、引言
DP（数据保护）上网行为管理手册旨在规范员工在使用公司网络资源时的行为，保护公司数据安全，防止信息泄露和网络攻击。
二、适用范围
本手册适用于公司所有员工，在使用公司网络资源时必须遵守相关规定。
三、上网行为规范
1.员工在使用公司网络资源时，应遵守相关法律法规，严禁访问非法网
站和传播违法信息。
2.使用公司网络资源进行个人事务需谨慎，不得用于从事非工作相关的
网络活动。
3.禁止在公司网络资源上从事影响生产工作的行为，如观看视频、玩游
戏等。
4.不得私自设置网络共享和传输敏感信息，包括但不限于公司机密资料、
个人隐私等。
5.员工不得修改、破坏公司网络安全设置，如未经授权擅自更改网络配
置等行为。
四、网络安全意识培训
公司将定期组织网络安全意识培训，提高员工对网络安全的认知和风险意识。
五、网络监控和违规处理
1.公司将对员工上网行为进行监控，如发现违规行为将依据公司制度进
行处罚。
2.对于严重违规行为，公司有权立即停止员工使用公司网络资源，并追
究其法律责任。
六、责任和义务
1.每位员工有责任遵守本手册规定，保护公司数据安全，不得故意或者
过失泄露公司信息。
2.公司网络管理员有责任负责监督和管理员工的上网行为，及时发现并
处理违规行为。
七、结束语
公司希望通过这份DP上网行为管理手册，加强员工对网络安全的重视，共同维护公司数据安全和网络稳定。
以上为DP上网行为管理手册内容，望各位员工遵守执行。
上网行为管理部署方案培训
3.2、上网策略管理-策略对象设置
3.2.2、网页过滤 d、SSL控制
SSL证书的颁 发机构
导入受信任的 根证书
受信任的根证 书，应用于证
书链控制
3.2、上网策略管理-策略对象设置 3.2.3、邮件过滤
邮件过滤用于过滤使用SMTP和POP3协议收发的邮件，对webmail无 效。
收邮件
发邮件
3.2、上网策略管理-策略对象设置
策略匹配顺序：由上 至下，当涉及相同的 规则时，注意将较细 的规则放在前面。
应用类型 选择应用类型
策略叠加时，缺省动作以此条为准， 还是继续往下匹配，如果以此条为准， 则执行缺服省务动控作制应，不用下再名面匹称策配略到中 了的应用 规则名称
细分子类应用类型
对应用类型下的子类进 行选择
3.2、上网策略管理-策略对象设置 3.2.1、上网权限 b、网络服务控制：根据目标IP、端口和时间来控制上网数据。
策略对象：用于设置详细的上网策略。 包括：上网权限、网页过滤、邮件过滤、应用审计、流量统计与上网计时、
准入系统。
策略名称
策略描述
一条策略中包含这六种控制方式，通过勾选，使此方式生效 并进行设置。
接下来的章节将对这六种控制方式进行详细讲解 掌握：能做到什么？控制的原理？设置步骤？
3.2、上网策略管理-策略对象设置
3.2.3、邮件过滤
邮件延迟审计：设置策略，将匹配条件的邮件，延迟发送，AC通知管理 员查看审核此邮件，由管理员决定是否将此邮件发出，还是删除不发 送。
SANGFOR AC部署模式介绍
• 路由模式_简介
1、路由模式时AC的工作层次基本与路由器相当，具备基本的路由转发及 NAT功能，一般在客户原有网络环境中添加部署AC设备时不采用这种模式， 因为这种部署模式需要对客户的网络环境作较大的改动。 2、一般此种部署模式是客户想用AC替换原有部署的防火墙或者是路由器， 或者是客户在规划新网络建设时将AC部署为路由模式。 3、路由模式下支持AC所有的功能模式。 4、一般客户如果需要作NAT、VPN、DHCP等功能时，AC必须是路由模式， 其它工作模式不支持实现这些功能。
文明上网培训计划
文明上网培训计划一、培训宗旨现代社会信息化程度日益加深，网络已经成为人们学习、工作、生活的重要工具。
但是，网络环境中也存在着很多不文明行为，比如网络谩骂、网络暴力、网络诈骗等，这些行为不仅会对他人造成伤害，也会给网络社会增添负面影响。
为了提高广大网民的网络素养，培养良好的上网行为，特制定本文明上网培训计划。
让大家在网络空间中更加文明、健康地表达自己、共建和谐的网络环境。
二、培训内容1.网络礼仪在网络上，如何与他人进行交流、如何处理网络冲突、如何遵守网络规则是非常重要的。
培训内容主要包括网络礼貌用语、不能做的网络行为等。
2.正确使用网络介绍互联网的基本知识、常见的网络诈骗、网络安全知识、如何使用搜索引擎等，以及如何利用网络资源进行学习和工作。
3.网络心理健康介绍网络心理健康的重要性，如何处理网络暴力、如何抵制网络诈骗、如何应对网络情绪等内容，帮助大家在虚拟世界中保持情绪的平衡。
4.网络素养介绍如何评估网络信息的真实性、如何避免盲目相信网络传言、如何正确使用社交媒体等，提高大家在网络环境中的辨别能力和应对能力。
三、培训方式1.面对面培训通过传统的面对面授课形式，由专业的老师进行讲解，并且结合案例进行分析，帮助大家更深入地理解和掌握培训内容。
2.网络课程利用网络平台，制作网络课程，供大家自主学习，让更多的人能够参与到培训中来。
并且可以通过网络测试，对学员进行考核。
3.互动讨论在培训过程中，设置互动环节，鼓励学员们就所学内容进行讨论、提问，增强学员之间的互动和学习氛围。
四、培训评估1.定期考核每学时结束后，进行一次小测试，评估学员的掌握情况，并对学员进行反馈。
2.毕业考核培训结束后，进行一次总考核，以期考察学员对培训内容的掌握情况，通过考核后，进行培训结业。
3.效果评估培训结束后，定期跟踪学员的上网行为，通过反馈、调查等方式，评估培训的效果，以期对培训过程进行改进。
五、培训目标1.提高学员的网络素养通过培训，提高学员对网络文明的认知，培养良好的上网习惯，增强自我保护意识。
深信服上网行为管理-安装部署指南
TRUNK环境部署：路由模式_配置步骤
LAN口（eth0）填写 任一个不存在的IP 配置完成后可看到配置汇总信息
启用VLAN并据实 填写VLAN地址信 息
TRUNK环境部署：路由模式_配置步骤
TRUNK环境部署：网桥模式
不改变原有拓扑结构，AC网桥模式串接在交换机和防火墙之间（推荐方案）
TRUNK环境部署：网桥模式_配置思路
1、网桥模式部署在路由器与交换机之间，按网桥模式部署配置好 设备。
2、网桥IP配置为不属于任何VLAN的IP，网桥的网关指向任意一个 VLAN的网关。配置启用VLAN，并按格式填写每个VLAN可用的IP。
TRUNK环境部署：网桥模式_配置步骤
填写配任置一完个成不后存可在看的到网汇桥总I信P息 据实填写其中一个能与互 联网通信的VLAN的网关 IP和准确的DNS信息
常见代理环境中的部署方式
2. 代理服务器双网卡（AC/SG设备旁路模式部署）
如果主要用于审计，设备可 采取旁路模式部署，用于监 听内网发往代理服务器的所 有数据。
常见代理环境中的部署方式
3. 代理服务器单网卡（AC/SG设备网桥模式部署） 如左图所示，代理服务器以单臂模 式接在核心交换机上。
内网用户上网数据先通过交换机到 达代理服务器，再由代理服务器经 核心交换机和防火墙到公网。
适用环境：用户通过内网代理服务器上 网，并且需要准确识别用户通过代理服 务器上网的数据和分权限控制。
常见代理环境中的部署方式
1. 代理服务器双网卡（AC/SG设备路由或网桥模式部署）
设备可采取路由模式或网桥模式部署在客户 端与代理服务器之间，考虑到内网改动的大 小，建议采用网桥模式部署。 必须保证内网发往代理服务器的数据先经过 AC/SG设备，也就是代理服务器应该部署于 AC/SG设备的WAN口方向。
上网行为管理部署方案
上网行为管理部署方案1. 引言随着互联网的普及和发展，上网已经成为人们生活中不可或缺的一部分。
然而，随之而来的互联网安全问题也成为一个日益严重的话题。
为了加强对企业网络内的上网行为进行管理和控制，保护企业网络安全，本文将介绍一个上网行为管理部署方案。
2. 方案概述该上网行为管理部署方案旨在通过控制网关设备来管理和控制员工的上网行为，包括访问控制、流量控制、安全监控等功能。
通过合理设置策略和规则，提高网络安全性和可靠性。
3. 部署架构下图展示了上网行为管理部署方案的整体架构：+--------------+| Internet |+--------------+|+--------------+| Gateway |+--------------+|+--------------+| Firewall |+--------------+|+--------------+| DNS |+--------------+|+--------------+| Web Proxy |+--------------+|+--------------+| Log Server |+--------------+3.1 网关设备网关设备是整个部署方案的核心，负责管理和控制员工的上网行为。
网关设备应当具备访问控制、流量控制、安全监控等功能，以实现对员工上网行为的全面管理。
3.2 防火墙防火墙用于保护企业内部网络免受外部网络的攻击和恶意行为。
防火墙应当通过设置规则和策略，限制员工对特定网站、应用程序的访问，阻止潜在的安全威胁。
3.3 DNS服务DNS服务负责将域名解析为IP地址，在上网行为管理中起到重要作用。
通过控制DNS服务，可以限制员工对某些特定网站的访问，从而达到上网行为管理的目的。
3.4 Web代理Web代理是一种网络应用程序，通过代理员工的上网请求，可以对上网流量进行监控和过滤。
通过设置代理服务器，可以对员工的上网行为进行实时监测和记录。
天融信上网行为管理
产品概况
产品主要分为两大功能 1、网络控制功能 2、应用审计功能
网络控制及审计功能
• 控制功能
– 访问控制控制 – IP/MAC – 带宽控制 – P2P控制 – 认证控制 – 上网控制
• 审计功能
– – – – – – 邮件审计 IM审计 股票及网络游戏审计 网络电话、电视审计 网站提交及网站访问 下载信息审计
协议管理
• 带宽控制中的协议管理在设备中已经进行了预分类，这些协议不可修改和编 辑。 对于如P2P下载阻断的设置中可能阻断其他应用问题，如可能阻断163、126 邮箱登陆的问题，这里只需要在自定义协议里添加443端口的协议，只要在 协议里添加了该端口，那么该端口就被排除在外，不予阻断。 如果设置完P2P下载后数据库无法使用，可在协议管理中的应用列表中将该 IP地址添加进去，端口号为0~65535，这样设置后，该IP地址不再进行限制 。
升级配置
• 库的升级分为两个，一个是URL过滤库，一个是应用识别库。 • 可选择自动更新的时间点，建议按每周作为一个周期来更新。
升级日志
• 升级日志主要记录了库升级的状态信息
本地升级
• • • •
本地升级包括了URL库、应用识别库、软件版本、系统平台四部分。 当设备不能与互联网通信时，URL库和应用识别库可通过本地升级的方式来 实现。 软件版本是当前系统工作的主要部分，通常软件升级就选择它来升级。 系统平台是指底层的内核版本，该内核版本通常情况是不需要升级的。
上传本地的数据备份文件：
点击“浏览”按钮，弹出下列选择窗口：
选择本地的数据备份文件（*.tar.gz），如上图的 “MAIL_20080116000100.tar.gz”。然后点击“打开”按钮，将自动把所选 文件的路径名称填入本地数据文件的文本框中，如下图所示。
【培训课件】校园上网管理方案
学生上网：馅饼还是陷阱？
在中国8700万互联网上网人群中，青少年就占据了80%的比例，北 京网吧20％的学生上网主要是查看色情网站内容，20％的学生上网 主要是进行聊天和玩游戏，只有10％的学生因需要而上网查阅资料。 来源： 法制晚报 积极作用： 1.快速掌握多方面知识的重要 途径 2.网络是加强交流的有益工具
网络诈骗就在我们身边
04年7月： – 利用多种IE漏洞种植木马病毒，并散布“联想集团和腾讯公司联 合赠送QQ币”的虚假消息，诱使更多用户访问该网站时造成感染。 04年12月： – 12月网上首次出現假冒的中国銀行网站 – 内蒙古呼和浩特一市民，因登录了一个假的中国银行网站，卡里 的2.5万元莫名其妙地不见了。 – 假冒中国工商银行与中国农业银行网站 • ( ) • ( ) 05年1月： – 假冒中华慈善总会网站骗善款 05年2月 – 假工商銀行网站再出現 – ：假冒的中国銀行网站
导致浏览器显示
ቤተ መጻሕፍቲ ባይዱ
–
一些简单的小伎俩
Use META to redirect the real web site at the back
<META HTTP-EQUIV="Refresh“ CONTENT="0;url=”>
其它即时聊天软件msn，yahoo messenger)
点对点(P2P)又如何 ?
目前最流行的BT，eMule，PP点点通 设计上可穿透大部份防火墙，打破传统CS文件下载方式 黄色视频和图片安全传输地带 传档案与网址的功能 – 通过点对点交换的档案可能带有 viruses, worms, Trojan horses, 及 spyware – 无经验的用户可能通过点对点交换机密数据而不自知
上网行为管理制度说课材料
通程泛华网络信息管理制度目的:为加强公司网络管理，规范员工上网行为、提高工作效率，进行控制上网流量；合理分配带宽，提升网络资源利用率，保障公司信息安全，防范网络风险。
特制定下列管理办法：一、计算机，网络设备与使用者管理1.1严格落实办公计算机、IP地址、电脑账号使用人负责制。
按照“一机一址、谁使用谁负责”的原则，登记计算机信息、IP 地址、电脑账号。
登记人使用该计算机、IP地址、电脑账号的直接责任人，对该计算机和IP地址、电脑账号的信息安全、网络行为负责。
使用人发生变动后报网络信息部进行信息修改及更新。
1.2责任人不得擅自拆卸、改变计算机内部配件。
不得修改计算机的软硬件设置、IP地址、DNS等。
严格禁止盗用他人计算机、IP地址、电脑账号、OA等各类信息系统的登录账号，否则，一经查出，罚款50元。
进入公司文化建设基金。
1.3严禁私拉网线，严禁私用路由器及所有影响网络正常运行的设备。
网络资源、IP地址、电脑账号由网络信息部统一分配，严禁私拉网线，严禁私用路由器及所有影响网络正常运行的设备。
如因办公需要增加路由器等设备，需在向网络部信息部报备，填写设备申请单。
1.4 保护计算机及周边设备，不要在计算机及周边设备旁摆放有碍计算机散热的物品，以免损伤，烧毁计算机。
使用者每隔一季度须自行清理计算机灰尘一次。
保持计算机及周边设备的卫生清洁，减少灰尘。
二、网络信息访问管理2.1上网权限与分配为了有限管理公司网络安全和保密文件，对于特定电脑进行禁止上网规范。
对于申请开网和临时开网需通过网络申请表，申请审批过方可开通上网权限。
网络信息部负责对公司电脑用户上网行为通过防火墙进行控制，对公司内部网络环境进行监控。
主要包括访问网站、即时通讯、P2P行为、流媒体软件等。
以规范员工的网络权限。
2.2 禁止安装和使用非公司指定即时通信工具，如yy、pp、MSN、ICQ、Skype、UC和POPO等。
如果有特定业务需求，须向网络信息部申请安装，禁止私自安装。
深信服上网行为管理基础操作培训
2、准备交叉线短接设备任意两个电口。
3、手动重启设备，重启过程中，注意观察交叉线短接的两个电口ACT灯状 态，两个电口ACT灯同时闪烁10次后，说明密码恢复完成，此时可以拨掉 短接的交叉线，通过默认的控制台帐号密码admin/admin登录设备即可。 设备重启到密码恢复成功大约3到5分钟左右。
4、如果第3步无法根据网口灯状态判断密码恢复是否成功，你可以一直等 待，等待5到10分钟左右，尝试通过默认帐号admin/admin帐号登录设备
SG： 2.0,2.0Rx,2.1,3.0,3.3,3.3Rx,3.4,3.5,4.0,4.2,4.3,4.4,4.5，4.5Rx， 4.6,5.0,5.1,5.2,5.3,5.4,5.5,5.6,5.7,6.0...............
10G：3.3hp，10G，10.1，10.2，10.3.。。。
如何登录设备控制台
如果设备接口地址被修改，在不知道更改后接口地址的情况下，提 供以下2种方法登录设备
1、SANGFOR AC/SG设备的eth0口有保留IP地址为128.127.125.252/29, 请配置电脑IP地址为128.127.125.253/29, 用交叉线连接电脑和设备eth0 口，通过https://128.127.125.252登录设备网关控制台。
同时，AC/SG设备eth1口也有保留IP地址128.128.125.252/29，也可以 能过交叉线电脑接到设备eth1口，且电脑配置IP为128.128.125.253/29， 通过https://128.128.125.252登录设备控制台。
注意：只有路由模式eth0和eth1口才有保留地址，其它模式部署无 法使用此方ቤተ መጻሕፍቲ ባይዱ登录设备
如何登录设备控制台
深信服上网行为管理设备部署培训PPT
培训内容
培训目标
AC部署模式介绍
1. 掌握AC支持的部署模式 2. 掌握AC各种模式的适用环境和支持的功能。
策略路由和多线路选 1.掌握策略路由和多线路选路的应用场景
路介绍
2.掌握策略路由和多线路选路的实现原理和配置步骤
防DOS攻击功能介绍 1.掌握防DOS攻击的作用及配置 及配置
典型部署模式与配置
➢旁路模式-应用举例
➢需求：用户网络环境如右图， AC以旁路模式部署在三层交换 机上，用来审计200.200.0.0/16 这个网段的用户上网形为。
➢配置思路： ➢1、选择部署模式 ➢2、配置管理口〔DMZ〕地址 ➢3、配置监听网段。
典型部署模式与配置
➢ 旁路模式配置步骤
假设设备需要跟外 网网通关填的讯和写内，D需 网N需要 网S审 段配计置好
典型部署模式与配置
➢路由模式_应用举例
需求：某用户网络环境如右图， 现将AC部署在网络出口，实现 AC代理内网所有用户上网。
配置思路： 1.选择部署模式并配置内/外网口 2.配置代理上网
典型部署模式与配置
➢路由模式配置步骤
填写需要代理上网的网
段。定此义处网配络置接也可口以在
【防火墙】下的【NAT 代理上网】中添加。
练练手
情景1 客户原有网络如右图，在出 口位置部署了一台防火墙， 下接三层交换机，现在购置 了一台AC，客户需要实现流 控、审计、网页过滤等功能， 请问根据这样的需求，在对 原有的环境改动最小的情况 下AC应该如何部署？
练练手
情景2 客户原有网络拓扑如右图所 示，由于某方面的原因，客 户想购置一台AC替换掉原有 防火墙，请根据图示拓扑信 息动手配置一下，完成设备 部署。
上网行为管理部署方案
上网行为管理部署方案随着互联网的快速发展和普及，人们的生活方式、思维方式、学习方式都发生了巨大的变化。
然而，互联网的蓬勃发展也衍生出一系列问题，尤其是上网行为的管理。
为了有效管理上网行为，维护网络秩序和用户权益，制定一套合理的上网行为管理部署方案势在必行。
一、完善法律法规作为社会公共空间，互联网需要法律法规的规范和保障。
为此，有必要完善相关法律法规，包括网络安全法、互联网信息服务管理办法等，明确对上网行为的管理和规范。
在制定法规时，需要充分考虑用户隐私权、言论自由和信息公开等基本权益，以确保用户在网络空间拥有合法权益。
二、建立健全的技术手段针对上网行为管理，使用技术手段是一种高效的方式。
首先，建立健全的网络监控机制，通过网络流量监测、数据分析等手段，实时掌握用户的上网行为，及时发现和阻止违规行为。
其次，开发智能过滤工具，实现对不良信息的识别和屏蔽，保护用户免受有害内容的侵害。
此外，还可以利用人工智能技术，通过行为分析和预测，准确识别恶意软件和网络攻击行为，提高网络安全防护能力。
三、推广网络素养教育有效的上网行为管理需要普及网络素养教育。
通过在学校、企事业单位、社区等场所开展网络素养培训，提高公众对网络安全、信息获取和传播的认知水平。
教育机构可以制定一系列网络素养教育教材和培训课程，使公众掌握正确的上网态度和技巧，避免上当受骗，提高自我保护能力。
同时，政府和社会组织还可以组织网络安全知识竞赛、演讲比赛等活动，培养人们对网络安全的关注和重视。
四、加强监管力度上网行为管理离不开监管的力量。
政府和相关部门应加强对网络服务提供商、应用软件开发商等的监管，确保他们依法经营，不向用户提供有害信息和恶意软件。
同时，要加强对违法违规行为的打击力度，严厉处罚网络诈骗、网络暴力等违法行为，维护网络秩序和用户权益。
此外，相关部门还应建立健全的投诉举报机制，保障公众对不良信息的举报有渠道、有保障。
五、加强国际合作互联网是全球性的网络，上网行为管理问题也需要国际合作。
上网行为管理培训-初级part1基础功能介绍
上网难监管
现 象
企业办公室沦为免费网吧，办公效率低； 政务人员上班时间网络聊天、炒股、网游，遭暗访曝光， 影响单位形象；
学校电子阅览室，学生使用IM聊天、看在线视频、网游，
影响学习。
分 析
用户上网权限缺乏管理;
互联网应用泛滥、复杂、更新快等加大管理的困难性； 移动应用快速增长，增加管理难度。
上网行为管理核心功能
应用封堵
全面的应用识别控制 提高工作效率
流量管控
合理分配带宽 保证核心业务运行
行为审计
精细的上网行为审计 规避违法和泄密风险
用户认证
丰富的认证方式 安全、便捷
深圳市南山区学苑大道1001号南山智园A1栋
market@
过滤游戏、赌博、购物、在线视频等网站，提高员工工作效率；
过滤恶意网页，保障上网安全；
千万级 URL库 URL智 能识别
功 能
千万级URL识别库； URL智能识别系统； URL云共享； 自定义URL； 恶意网址过滤。
恶意网 址过滤
网页 过滤
URL
自定义
云共享
应用控制
目 的
封堵IM聊天、炒股、游戏、下载、在线视频等应用，规范化上网行为， 提高员工工作效率； 封堵代理、翻墙软件，规避不当上网行为带来的法律风险； 封堵邮件，防止敏感信息泄露；
动态流控；
P2P智能流控； 流控黑名单
行为审计
目 的
记录内网用户的上网行为，一旦发生网络违法违规事件可作为追查证据； 统计用户的上网时间、应用流量、应用分布等，为企业决策提供依据； 记录内网安全事件，帮助管理员发现安全威胁。
上网行为管理部署技术方案
上网行为管理部署技术方案1、方案设计背景目前XX集团信息事业部为了进一步提高企业的信息安全等级,满足政府安全部门对企业的上网行为管理规定，希望可以对公司内部的员工的互联网行为进行合理的管控，在出现网络问题时能够快速定位问题的来源，并能够提供丰富的行为纪录存档（6个月）便于后期的行为审计，同时还需要能够给企业的管理部门提供简明，种类丰富的报表从而及时的进行各项管理制度上的调整。
2、网络现状拓扑目前XX集团的网络采用了多重冗余技术，并配置了大量的安全设备。
已经可以十分有效的抵御基于客体应用的威胁，具体拓扑如下：Kartrenot IntramMt3、部署上网行为管理产品后的网络拓扑Extranct Intrant4、网络可用性，可靠性分析以下情况均为小概率事件，但为了能够确保客户认知网络的可靠性，在此仍需要说明XX设备提供交换式Bypass功能，当网络中出现超大流量攻击时首先保障用户网络通畅，因此会自动进行报文bypass,并提供告警，指导客户定位问题来源。
5、割接方案说明原有防火墙和DMZ交换机之间采用多模千兆光口进行互联，割接期间为了保障对原有线路改动最小，因此采用如下方式：步骤一：将XX1CG设备上架固定，上电，检查必要配置。
步骤二：将IStTire的防火墙的光纤拔出，光纤接口保留在原有接口附近不移动步骤三：防火墙的光口和XXICG外出接口使用XX提供的光纤进行互联。
步骤四：DMZ交换机的光纤拔出，光纤接口保留在原有接口附近不移动。
步骤五：将DMZ交换机光口和XXICG光口使用XX提供的光纤进行互联。
步骤六：检查网络路由走向是否按照原有的主干线路转发。
步骤七：测试内部上网的稳定性。
6、设备IP、路由说明，地址分配说明网管接口地址设置：ICG自身的网管端口设置为用户提供的一个普通客户的网段的地址。
ICG工作端口地址设置：由于ICG在需要审计的信息上要求实现快速流过滤，因此建议用户分配给ICG一个合法地址。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
典型部署模式与配置
路由器（FW）
IP:192.168.1.1/24
AC
网桥IP:192.168.1.3/24
IP:192.168.1.2/24
三层交换机
路由器（FW） AC 三层交换机
路由器（FW）
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
3.2.1、上网权限
a、应用服务控制：对数据包的协议和特征字段等进 行分析，判断数据类型。
b、网络服务控制：对数据包的IP和端口进行分析控 制，相当于传统防火墙。
c、高级配置：控制使用代理等数据。
3.2、上网策略管理-策略对象设置
3.2.1、上网权限
a、应用服务控制：根据分析数据包特征字段，获取应用类型，内置大量 规则，由研发根据目前常见应用分析出来的，并会进行实时更新。
3、网桥多网口，这种部署相对比较少。是指支持将多于两个以上的网口来组成 单个网桥。
SANGFOR AC部署模式介绍
• 旁路模式_简介
1、旁路模式是AC三种工作模式中最简单的一种，但也是所能实现功能较弱 的一种部署方式，此种部署模式对客户原有网络无任何影响，即使设备宕机 也不影响客户网络。 2、旁路模式AC只支持审计和基于TCP应用的控制功能，无法对任何基于 UDP协议的应用作任何的控制。 3、旁路模式一般AC使用一个监听口单接部署在核心交换机或者是核心出口 路由器上，需要路由器或者是核心交换机支持镜像功能，将流量上下行镜像 到AC上来。
典型部署模式与配置
➢ 路由模式配置截图
典型部署模式与配置
➢ 网桥模式_部署指导
1、网桥模式部署相比路由模式对客户的网络影响比较小，当客户确定不需要使 用AC的VPN、NAT、DHCP功能时，则应考虑部署网桥模式。
2、根据客户原有网络结构决定AC采用是单网桥、双网桥、网桥多网口等方式。 典型的网络环境和部署方式： 客户原有网络是单核心交换机、单出口防火墙情况下，AC用单网桥； 客户原有网络是单核心交换机、两台出口防火墙情况下，AC用双网桥； 客户原有网络是两台核心交换机、单台出口防火墙情况下，AC用双网桥；
内置URL由支研持发一收级集通并配提符供网上定时更 新，内置URL无法编辑，导出等操作
3.2、上网策略管理-策略对象设置
3.2.2、网页过滤 b、关键字过滤：
搜索引擎：对知名搜索引擎 上搜索关键字进行控制
HTTP上传：对通过HTTP协 议上传的其他关键字进行控 制，包括发贴、webmail等。
3.2、上网策略管理-策略对象设置 3.2.2、网页过滤 b、关键字过滤：关键字组设置
3、管理时采用管理口（DMZ）配置IP地址进行管理，其它所有接口均可作为监 听口，可使用一个口或者是多个口同时作为监听口，监听口无需任何配置的。
典型部署模式与配置
三层交换机
路由器（FW）
镜像 监听口
DMZ（管理口） IP:192.168.1.2/24
192.168.3.0/24 192.168.2.0/24 192.168.1.0/24
SANGFOR AC部署模式介绍
• 网桥模式_3种类型
1、单网桥，这种部署模式是最常见的。AC部署在出口网关设备（防火墙或者路 由器）和内网的主交换机中间。常见于客户原有的网络是单核心交换机、单 出口防火墙（路由器）的情况下。
2、多网桥，一般情况下两进两出是最常见的。AC部署在出口网关设备（防火墙 或者路由器）和内网的主交换机存在多个核心链路之间。常见于客户原有的 网络有可能是多核心交机或者是多出口防火墙（路由器）的情况下。
SANGFOR
Hale Waihona Puke 部署模式介绍 典型部署模式与配置 访问控制 其它功深能信介服绍公司简介
典型部署模式与配置
路由 模式
网桥 模式
旁路 模式
典型部署模式与配置
➢ 路由模式_部署指导
1、首选需要了解客户的实际需求，客户是否必须要用到AC的VPN、 NAT（代理上网和端口映射）、DHCP这几个功能。如果客户网络中 已经有其它设备实现了这些功能或者是客户根本用不到这些功能则应 首先考虑网桥模式部署。
SANGFOR AC
部署模式介绍 典型部署模式与配置 访问控制 其它功深能信介服绍公司简介
三、访问控制
1、组织结构管理 2、上网策略管理 3、流量管理
三、访问控制
3.1、AC组织结构管理-概念
组织结构：管理用户、设置分组和关联策略
用户： 一般情况下，每个用户都必须 有个所属组
组织
父组 用户组
子组
典型部署模式与配置
➢ 网桥模式配置截图
典型部署模式与配置
➢ 旁路模式_部署指导
1、旁路模式是所有部署模式中最简单的一种，但也是功能实现较弱的一种部署 方式。当客户的需求只是上网审计和基于TCP的应用过滤时，可以考虑此种 部署方式，常见于高校、大型国有企业专门用于AC作审计；
2、旁路部署时一般设备是接在核心交换机上，核心交换机通过将镜像功能将需 要审计的流量镜像过来；
功能和前面类似，不再赘述。
功能和前面类似，不再赘述。
3.2、上网策略管理-策略对象设置
3.2.1、上网权限 c、高级配置：
检测代理数据， 控制是否可以使
用代理上网 识别某些使用http和SSL 标准端口的非标准协议， 例如QQ等。
3.2、上网策略管理-策略对象设置
3.2.2、网页过滤 a、URL过滤：对访问网页的URL进行过滤，内置研发收集
三层交换机
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
WAN：拨号\固定IP\DHCP
IP:192.168.1.1/24
192.168.1.0/24
二层交换机
典型部署模式与配置
➢ 路由模式配置思路
1、网口配置：确定设备外网口（WAN1口）是固定IP或者是ADSL拨号方式， 取得相应运营商给的IP地址信息或者是拨号的帐号密码；确定内网口（LAN 口）的IP地址信息； 2、确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指 给设备下接的核心交换机；
SANGFOR AC部署模式介绍
• 网桥模式_简介
1、AC以网桥模式部署时对客户原有网络基本没有改动，不需要更改客户原 有的网络设备配置。 2、网桥模式时AC不支持NAT（代理上网和端口映射）、VPN、DHCP等功 能，除此之外AC的其它功能如URL过滤、流控等其它功能均可实现。 3、网桥模式部署AC时，对客户原有网络是透明的，因此当网络因为AC的原 因而中断时可以马上绕开AC，即可恢复客户原有的网络。
建好“财务部”组后，建立其子组：“回款部”和“统计部”
三、访问控制
3.1、AC组织结构管理-新增用户
可以同时新增多个用户， 但只能编辑公共属性
用于在用户在线列 表等地方显示
三、访问控制
3.1、AC组织结构管理-移动对象
对已经设置好的用户或者组，可以进行移动，移动在组织结构中的位置。
三、访问控制
2、客户新规划建设的网络中来部署AC，相当于一个全新的网络规划， 客户想把AC当作一台防火墙部署在出口上，可以部署成为路由模式。
3、客户网络中原有防火墙或者路由器了，出于某方面的原因想用AC替 换掉原有出口的防火墙或者路由器。
典型部署模式与配置
WAN：拨号\固定IP\DHCP IP:192.168.1.1/24 IP:192.168.1.2/24
URL组
策略叠加时，缺省动作以此条为准， 还是继续往下匹配，如果以此条为准， 则执行缺省动作，下面策略中的URL
控制不再匹配到了
3.2、上网策略管理-策略对象设置
3.2.2、网页过滤 a、URL过滤：URL组设置（自定义URL组过滤）
查询内置和外置url， 不支持模糊查询
用户根据自身情况 自定义URL组
典型部署模式与配置
➢ 旁路模式部署配置思路
1、一般AC旁路接在核心交换机的镜像口上，核心交换机需要将上下行流量 镜像到AC过来。 2、旁路模式部署时必须配置管理口IP地址进行管理，可以分配内网任意网段 空闲IP地址进行管理，监听口可以接任意网口（除了配置为管理口接口之 外），可以同时接多个进行监听。 3、需要确认内网所有需要进行审计的内网网段（监控网段），需要确认内网 是否有服务器提供访问时需要也进行记录。 4、管理口不仅用于管理，还用于包括和外置数据中心同步、作TCP控制时发 reset包使用。
典型部署模式与配置
➢ 网桥模式配置思路
1、网桥模式部署时需要考虑AC串接在前面防火墙和下面的核心交换机之间 网段是否存在空闲的主机IP地址，如果有则分配一个该网段的IP地址给AC作 为网桥的IP地址，如果没有空闲IP的话则配置管理口（DMZ）进行管理。
2、典型的前端防火墙和下面的核心交换机之间的链路配置了点到点的IP地址 段，则AC串接进去后也无可用主机IP地址分配，因此这种情况下AC只能配 置管理口（DMZ）进行管理。
策略对象：用于设置详细的上网策略。 包括：上网权限、网页过滤、邮件过滤、应用审计、流量统计与上网计时、
准入系统。
策略名称
策略描述
一条策略中包含这六种控制方式，通过勾选，使此方式生效 并进行设置。
接下来的章节将对这六种控制方式进行详细讲解 掌握：能做到什么？控制的原理？设置步骤？
3.2、上网策略管理-策略对象设置
root根组 一级组
二级组
上网策略
关联
用户 用户组
三、访问控制
3.1、AC组织结构管理-新建用户组
以“财务部”为例，财务部为一级组，下属有“回款部”和“统计部” 两个子部门
可以同时建立多个子组 显示所属组路径，即父组路径，同时也是AC中 组的表达方式。