行为管理设备用户认证介绍
深信服上网行为管理-基本功能介绍
网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象 国内最大的应用识别库，超过2000多种主流应用
注：该规则库会定期更新，此显示 为2014年11月前更新的规则总数
网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象
行为管理：应用授权
实现权限与职责的匹配，防止越权访问与泄密风险，管控与业 务无关的上网行为，提升员工工作效率， 过滤不良信息，防 止法律风险
上网行为管理标准 OA
审计
用户身份识别
网络应用识别
流控
封堵 行为管控
数据分析
SANGFOR AC基本功能介绍
用户身份识别
有效区分用户，分层次管理的组织架构，是部署差异化管理策略的依据
用户身份识别
未通过认证的用户： 控制上网权限
通过认证的用户： 定向至指定网页
本地认证
IP/MAC认证 自建帐号密码 USB-Key 认证 短信认证
定向至指定网页ipmac认证自建帐号密码usbkey认证短信认证ldapradiuspop3ipmac认证pop3proxyad单点登录微信认证web单点登录pppoe单点登陆数据库认证第三方设备单点登陆新用户认证自动分组自动认证自动授权用户身份识别有效区分用户分层次管理的组织架构是部署差异化管理策略的依据用户身份识别用户身份识别映射组织结构网关控制台用户与上网策略对应策略列表用户与行为一一对应数据中心网络应用识别识别网络应用了解用户行为是管控措施的基础和对象国内最大的应用识别库超过2000多种主流应用注
控制不可信的下载源，避免下载带病毒的文件 管控文件外发行为，防止机密文件外发等泄密事件
指定下载站点 封堵其他站点
基于文件类型 控制上传/下载
深信服上网行为管理-短信认证指南
配置步骤
5、导出手机号（续）
数据中心统计日志上网行为统计增加“手机验证活跃用户排行”统计
此功能主要用于收集用户的手机号，作为商场及营业厅 等客户后续活动推广的对象，支持导出。一天内成功短 信认证一次或多次活跃天数均为1天。
短信认证注意事项
1. SG单臂模式不支持短信认证功能。相关页面是灰色的。
2、当设备检测到短信猫异常时，短信认证自动bypass。
在服务器上安装短 信网关服务器软件
短信模块软件支持的操作系统如下
配置步骤
4、效果展示
配置步骤
5、导出手机号
新建短信认证策略时，会自动创建名称为“验证码已发送未使用”的 组，记录短信已发送，但未使用短信认证的手机号，支持导出。
“验证码已发送未使用”的组的作用主要有两个
（1）收集潜在用户的手机号，作为商场及营业厅等客户后续活动推广 的对象。
练练布人员有 银行职员和受理业务客户。要求 实现公共上网区接入到无线AP 上网的用户（192.168.3.0/24）
核心交换
1、职员通过输入用户名密码即 可以上网。
客户 2、大厅里的客户使用短信认证 然后上网。
职员
3、统计出客户的手机号。
公共上网区--业务大厅
192.168.3.0/24
配置步骤
3、配置短信认证参数
可以编辑短信内容，但 “本次验证码”后面的 参数不能编辑或删除
支持GSM和CDMA短信猫，短信 猫直接接在设备串口； 支持中国移动v2，中国移动v3， 中国联通及中国电信v3短信网关； 支持w只e支bs持eGrvSicMe。和此案例中选择 此项CDMA短信猫，短信
设备分级管理方案
设备分级管理方案设备分级管理是指根据设备的性质、功能和安全等级，对不同级别的设备进行分类和管理的一种手段。
它旨在实现对设备资源的合理利用，提高设备的使用效率和安全性。
设备分级管理方案应包含设备分类、安全防护等级划分、设备权限控制、设备监测与管理等内容。
一、设备分类根据设备的特性和用途，可以将设备划分为以下几类：1.办公设备：如电脑、打印机、复印机、传真机等。
3.生产设备：如机械设备、生产线、工业机器人等。
4.安全设备：如监控摄像头、门禁系统、报警器等。
5.储存设备：如服务器、存储设备、网络设备等。
根据设备的种类和功能，将其进行分类，是合理进行设备分级管理的前提。
二、安全防护等级划分根据设备的重要性和涉及的安全风险，可以将设备分为以下几个等级：1.高安全等级设备：包括对国家安全、重要设施、重要数据的保护等有重要意义的设备。
2.中安全等级设备：包括对部门内部业务数据的保护、公司核心业务的支持等有一定意义的设备。
3.低安全等级设备：包括对一般办公、通信、生产等设备的管理，风险相对较低的设备。
根据安全等级划分设备，可以有针对性地制定不同的管理措施，并确保关键设备的安全性。
三、设备权限控制设备权限控制是指对设备的使用者进行身份验证，并授予相应的权限，确保设备的正常使用和安全管理。
设备权限控制可以按照以下原则进行：1.用户身份认证：对使用设备的用户进行身份验证，包括用户名、密码、指纹、人脸识别等多种方式。
2.权限分级管理：根据用户的职责和需要，对不同的用户分配不同的权限，确保他们只能访问和操作自己需要的设备和数据。
3.访问控制：对设备进行访问控制，限制未经授权的访问和使用，防止信息泄露和设备被恶意篡改。
四、设备监测与管理设备监测与管理是指通过监控设备的使用情况、运行状态和访问行为，及时发现和解决设备故障、安全隐患等问题。
1.设备使用监测：对设备的使用情况进行监测，包括使用时间、使用频率、使用地点等，确保设备的正常运行和合理利用。
深信服上网行为管理-基础访问认证介绍
172.16.1.3/24
172.16.1.2/24
（1）办公区用户采用不需要认 证，并双向绑定IP和MAC
核心交换
（2）公共上网区采用密码认证， 设置用户名和密码，并设置认证 通后跳转至内网服务器地址
（3）总经理使用免审计KEY上 网，确保数据不被记录
（4）IT部采用不需要认证，不
IT部
总经理
办公区
（3）总经理的上网数据要保证安全， 不能被审计。
IT部
总经理
办公区
公共上网区 192.168.3.0/24
192.168.1.0/24
192.168.2.0/24
（4）IT部电脑IP不固定，认证不受 限制。
解决方案
172.16.1.1/24
防火墙
根据客户需求，我们可以将AC 部署在防火墙与核心交换机之间， 并通过如下认证设置来满足需求：
深信服上网行为管理 基础访问认证介绍
培训内容 认证方式介绍
培训目标 1. 了解AC设备支持的认证方式及适用场景
认证功能配置
密码认证安全性 用户注销功能介绍
1.掌握不需要认证的配置 2.掌握AC设备用户名密码认证的配置 3.了解AC设备DKEY认证的适用场景和配置 4.掌握地址绑定的适用场景和配置
1.掌握如何设置用户密码强度 2.掌握如何强制客户端初次认证修改密码 1.掌握如何注销已68.3.0/24
绑定任何地址
192.168.1.0/24
192.168.2.0/24
配置思路
1、配置认证策略 认证策略决定了使用某个IP/网段/MAC地址的计算机的认证方式。通过认证策略可设置 内网用户的认证方式。
2、手动新建用户或者自动添加新用户 新建用户，可编辑用户属性，定义用户具体的认证信息。包括用户名密码信息， 启用 DKEY以及IP/MAC绑定等。也可以通过认证策略自动添加新用户
深信服上网行为管理-用户认证排错指导
问题二 ：密码认证失败
➢步骤1 检查设备和LDAP服务器的连通性，可以在设备外部认证服务器页面进行连 通性测试
➢步骤1 查看在线用户列表，检查用户是以临时用户身份出现，还是没有在在线用 户列表中
如果用户是以临时用户身份出现，则说明AC设备通过SNMP没有获取到用户电脑真正的mac地址 （AC不会将内网电脑的IP地址与交换机的MAC地址绑定）。 1. 如果是通过AC设备搜索获得的OID，建议使用第三方扫描工具，在内网电脑上扫描交换机的OID， 把通过设备没有搜索到的有效的OID填入AC设备snmp配置中。 2. 如果是手动获取OID并手动在AC设备上填写的snmp配置，则检查IP/MAC/OID/COMMUNITY 配置是否正确。
➢步骤2 检查AC设备到内网电脑的回包路由（网桥模式需要重点注意）
问题一 ：电脑弹不出密码认证框
➢步骤3 检查AC是否允许用户认证成功之前能访问DNS服务
问题一 ：电脑弹不出密码认证框
➢步骤4 客户端电脑检查网关和DNS设置是否正确，能否解析出域名
注意：这里之所以能解析出域名并且能ping通外网地址,是因为在AC上启 用了“未通过认证用户可以访问dns服务”及“未通过认证用户具体根组 权限（http应用除外）”
问题二 ：IP/MAC绑定不生效
➢步骤3 到用户组去搜索内网电脑的IP10.10.10.100和MAC B8-70-F4-3A-42-2B， 找到被绑定的用户，并删除
通过搜索IP发现10.10.10.100和另外一个mac绑定在一起了，删除该用户
问题二 ：IP/MAC绑定不生效
➢步骤4 到在线用户列表确认用户认证成功
深信服上网行为管理 用户认证排错指导
培训内容
IP/MAC绑定排错
深信服上网行为管理管理员手册v
深信服上网行为管理-管理员手册深信服电子科技有限公司本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第2章系统管理............................................................2.1设备登录...........................................................2.2管理员配置.........................................................2.2.1修改管理员密码...............................................2.2.2创建二级管理员...............................................2.3系统基本信息配置...................................................2.3.1序列号.......................................................2.3.2系统时间.....................................................2.3.3规则库升级...................................................2.3.4全局排除地址.................................................2.3.5设备配置备份与恢复...........................................2.3.6WEBUI选项....................................................2.3.7远程维护.....................................................第3章网络配置............................................................3.1部署模式...........................................................3.2静态路由...........................................................第4章策略管理............................................................4.1用户认证与管理.....................................................4.1.1用户组管理...................................................4.1.2认证策略.....................................................4.1.3不需要认证...................................................4.1.4IP/MAC绑定...................................................4.1.5不允许认证...................................................4.2策略管理...........................................................4.2.1购物娱乐类网站...............................................4.2.2P2P及P2P流媒体封堵..........................................4.2.3外发文件封堵.................................................4.2.4上网审计.....................................................4.3流量管理...........................................................4.3.1线路带宽配置.................................................4.3.2保证通道.....................................................4.3.3限制通道.....................................................4.4终端接入管理.......................................................4.4.1共享接入管理................................................. 第5章日志中心管理........................................................5.1日志中心配置.......................................................5.1.1准备工作.....................................................5.1.2外置日志中心安装过程.........................................5.1.3日志中心登录.................................................5.1.4同步策略设置.................................................5.1.5AC同步配置...................................................5.2日志中心登录.......................................................5.2.1内置日志中心登录.............................................5.2.2外置日志中心登录.............................................5.3日志查询...........................................................5.3.1所有行为日志.................................................5.3.2网站访问日志.................................................5.3.3邮件收发日志.................................................5.3.4发帖/发微博日志..............................................5.3.5其他日志.....................................................5.3.6日志导出.....................................................5.3流量时长分析.......................................................5.4报表中心...........................................................5.5系统管理........................................................... 第1章前言本手册用于讲解AC常见功能操作方法，为管理员提供日常策略维护指导。
深信服上网行为管理安全网关
深信服上网行为管理安全网关一、深信服上网行为管理安全网关产品SINFOR M5100-AC-S 38000元/台适用中小型网络，标配4个100M电口；SINFOR M5400-AC-S 100000元/台适用中型网络，标配2个100M电口4个1000M 电口；SINFOR M5400-AC-P 150000元/台适用中大型网络，标配4个1000M电口2个1000M光口二、深信服上网行为管理安全网关产品截图(1)防火墙模块（2）分组模块（3）控制模块（4）流量控制模块（5）记录审计模块三、深信服产品介绍针对网络安全问题和用户需求，SINFOR M5X000－AC上网行为管理设备为您提供了完善的解决方案。
针对内网用户的各种互联网访问行为，能够全面封堵网站浏览、QQ聊天等各种工作无关网络行为；封堵和流控当前的BT、eMule等，和未来可能出现的各种P2P 应用；杜绝不良网站和风险文件的访问及下载，防范DOS攻击及ARP欺骗等；独特的敏感内容拦截和安全审计功能，防止机密泄露；全面记录网络行为日志，避免法律风险，并让IT 管理者对网络效能和行为进行方便的统计、审计、分析、报表；再辅以SINFOR M5X00-AC的其他安全扩展功能，全方位保障您的网络安全。
四、深信服上网行为管理安全网关产品特色产品主要特点：网关+终端、行为+内容的完整上网行为管理解决方案；业界最丰富的用户认证方式，网络准入规则提供安全终端接入；针对用户组、用户、应用提供更细粒度的访问控制；针对应用协议、网站类型、文件类型等智能流量管理；URL库数量：1000万以上最全的应用识别协议库，24大类，370多条应用识别规则；精准识别SSL加密流量、未知P2P行为、加密IM软件聊天内容；独立日志中心，提供海量存储、内容检索、模糊查询、自动报表等功能支持网关、网桥、旁路等多种部署方式；网桥模式下并支持多路桥接功能功能特性：一、上网行为控制，规范员工上网行为，提高工作效率； 多种认证机制，细致的用户分组和权限划分，基于时间段为用户分配合适的权限； 独特的WEB认证、基于浏览器实现方便的用户识别与认证； 网页过滤、关键字过滤、深度内容检测等多种控制功能，管控员工在上班时间访问与工作无关的网站、网络聊天、网络游戏、炒股、看电影、P2P行为、文件上传下载等；管控Email、FTP等行为。
安达通上网行为管理介绍
——企业效率被巨大地浪费
• 假如您的企业有100人，平均3000元月薪 • 那么您将会由于员工上网每天浪费：
2208.75元 • 您将每月浪费2208.75元×20天=44175元 • 您将每年浪费44175元×12月=530,100元
——企业带宽被经常恶意侵 占
• 吸血式的P2P下载
– 破解了操作系统的连接限制 – 同时连接上百个节点进行掠夺式下载
——应用带宽控制
• TPN2G全网行为管理系统可根据不同应用划 分带宽、如为HTTP访问、邮件收发保留带宽， 限制P2P程序所能使用的最大带宽值
——用户带宽控制
• TPN2G全网行为管理系统还可按照用户分配 带宽、根据IP地址保障服务器和关键部门机 器的最低带宽需求
内网安全管理
实名认证 技术
虚拟VLAN 技术
——内容过滤
• TPN2G全网行为管理系统强大的内容过滤 引擎可以过滤用户设置的任何关键字内容， 实现网页访问，搜索引擎，邮件收发等所有 上网应用对该关键字的过滤
——网络流量控制
• 用户有限的带宽资源，如何分配给 不同部门/用户/应用？
• 如何保障收发邮件等关键应用对带 宽的要求？
• 如何防止与工作无关的下载和电影、 P2P程序等网络带宽的占用？
100
SJW74-T120
SJW74-T12000
网关级别
TPN能给我们带来什么？
——企业员工工作效率现状
• 上班时QQ和MSN 聊天，被封就用代 理和网页版继续
• 上班时间网络炒股、 网络购物
• 玩网络游戏、在线 听歌看电影
数据源自Dynamic Markets Ltd.2005年的Web@Work报告
实名认证技术
深信服上网行为管理-微信认证指南
新产品推广
企业、商户营销现状
传单
效果小 浪费人力 缺乏针对性
短信
互动性差 垃圾短信 短信网关拦截
广告
互动性差 成本高 持续时间短
企业、商户营销方案需求
传单 短信
广告
需要更好的途径，营销推 广！！
微信应用
方便快捷活动推广
粉丝都能收到
通过菜单可以获取到商户平面导航图 通过菜单取得售后相关 客户直接通过文字或语音消息反馈信息 的服务
如果之前已经扫描关注过公众号，第二次来扫一扫关注。
关注者OpenID上线
4、”扫一扫(开发者模式)“效果
顾客进入店铺， 看到张贴的微信
连接热点
认证说明及二维码
打开网页，浏览器 弹出，提示顾客加 微信关注页面
扫描二维码，微信自动跳 转关注页面；若已关注， 则直接跳转到聊天窗口， 并收到图文信息，免费上 网
微信免认证，漫游免认证， 1.掌握二维码认证
二维码认证
2.了解微信免认证和漫游免认证
SANGFOR AC&SG
一、微信相关应用、参数、服务号订阅号介绍
二、微信认证效果 三、微信认证配置 四、微信免认证，漫游免认证，二维码认证
微信相关应用、参数、服务号订阅号介绍
企业、商户营销需求
打折推广
新楼盘推广
关注者的OpenID（普通用户标识，对当前公众号唯一）
（加密后的微信号，每个用户对每个公众号的OpenID是唯一的。 对于不同公众号，同一用户的openid不同）
2、“点一点”（与第三方平台对接）方式效果。
下面以“中航九方购物中心”公众号为例，客户公众号和“微盟”结合生成了 菜单，现在希望关注公众号后用户访问“品牌导购”菜单，获取上网权限。
深信服上网行为管理配置详解
第五步：添加该用户的上网策略，点击进入【策略列表】页面，点击【添加策略】，在 弹出的【添加策略】页面选择需要关联的策略。
第六步：完成用户属性与策略的编辑后，点击提交，完成用户的添加。 第七步：通过设备上网时，验证IP和MAC是否正确，如果正确则认证通过，客户端不会弹 出认证页面。如果IP/MAC地址和绑定的IP/MAC不符，则认证不通过，此时没有提示页面 ，但客户端的现象是上不了网。
控制台功能说明
2.4.2.1.2设置用户组的上网策略
第一步：在【组织结构】中选择需要添加上网策略的用户组，右边进入管理页面，在【 策略列表】窗口中，点击添加策略按钮，然后弹出的【添加策略】页面，选择策略。 第二步：点击添加策略，在【添加策略】 中选择需要关联的上网策略工程师上网策 略，勾选[递归应用于子组]表示添加的策 略同时也会关联给子组，不勾选则表示子 组不会添加该策略。设置完成后点击确定。 第三步：返回【策略列表】页面，查看用 户组关联的。
代表网口状态是已连接状态， 击 可以设置自动刷新的时间。
代表网口状态是未连接状态，点
控制台功能说明
2.2.1运行状态
【接口吞吐率折线图】通过折线图的形式来动态显示外网接口实时发送 和接收数据的情况。
点击 可以设置[选择时间段]来显示相应时间段接口转发数据的情况 ，在[选择流量单位
控制台功能说明
2.2.1运行状态
控制台功能说明
2.1WebUI 配置界面
登录界面如下图所示：
控制台功能说明
2.1WebUI 配置界面
如何消除登录控制台的证书告警框？
首先，登录控制台，进入『系统配置』→『高级配置』→『WebUI选项 』页面，点击下载证书，将证书下载到本地安装。
深信服上网行为管理-管理员手册
深信服上网行为管理-管理员手册深信服电子科技有限公司■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第1章前言.......................................................... 错误!未定义书签。
第2章系统管理...................................................... 错误!未定义书签。
设备登录....................................................... 错误!未定义书签。
修改管理员密码............................................. 错误!未定义书签。
创建二级管理员............................................. 错误!未定义书签。
系统基本信息配置............................................... 错误!未定义书签。
序列号..................................................... 错误!未定义书签。
系统时间................................................... 错误!未定义书签。
规则库升级................................................. 错误!未定义书签。
全局排除地址............................................... 错误!未定义书签。
设备配置备份与恢复......................................... 错误!未定义书签。
D-Link DI-8系上网行为管理认证路由器用户手册V1.2
Ｄ－Ｌｉｎｋ ＤＩ－８系上网行为管理认证路由器用户手册声明Copyright © 1986-2013友讯电子设备（上海）有限公司版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。
由于产品版本升级或其它原因，本手册内容会不定期进行更新，为获得最新版本的信息，请定时访问公司网站。
具体的产品型号具有的功能以固件版本本身为准，该手册仅为路由器通用用户操作指导文档，友讯电子设备有限公司试图在本资料中提供准确的信息，但对于可能出现的疏漏概不负责。
除非另有约定，本手册仅作为使用指导，本手册中的所有陈述信息和建议不构成任何明示或暗示的担保。
物品清单在包装箱完整的情况下，开启包装箱。
箱内应包含如下各项：一台路由器主机一条电源线一条网线一本快速安装手册一张安装指导光盘一张保修卡、合格证注意：如果发现有任何配件损坏或遗漏，请及时与经销商联系。
本手册为 Ｄ－Ｌｉｎｋ ＤＩ－８系上网行为管理认证路由器用户手册，具体产品型号为实物为准。
目录第一章网络基础知识 (5)1.1 局域网入门 (5)1.2 IP地址 (5)1.3 子网掩码 (5)第二章设备的安装与连接 (6)2.1 面板布置 (6)2.2 硬件的安装 (7)2.3 配置您计算机网络设置 (7)2.4 连接到路由器 (9)第三章路由器基本设置 (12)3.1 配置向导 (12)3.2 带宽控制 (13)3.2.1速度限制 (13)3.2.2带宽保证 (14)3.2.3流量控制例外 (15)3.3 行为管控 (16)3.3.1 IP地址组 (16)3.3.2 WEB访问控制 (17)3.3.3网络通告 (19)3.3.4聊天软件过滤 (21)3.3.5视频软件过滤 (22)3.3.6 P2P软件过滤 (22)3.3.7代理软件过滤 (23)3.4 基础配置 (23)3.4.1基本选项 (23)3.4.2 LAN口配置 (24)3.4.3广域网口设置 (26)3.4.4 DHCP服务器设置 (28)端口设3.4.5置 (29)3.5 无线设置 (30)3.5.1 基本设置 (30)3.5.2 无线安全 (31)3.5.3 WDS设置 (36)3.5.4 WPS设置 (38)3.5.5 无线用户列表 (39)3.6 高级配置 (40)3.6.1虚拟服务 (40)3.6.2 静态路由 (41)3.6.3 策略路由 (42)3.6.4 DDNS设置 (46)3.6.5 URL重定向 (47)3.6.6 VLAN设置 (48)3.6.7 UPNP设置 (49)3.7 PPPOE认证 (49)3.7.1 基本设置 (49)3.7.2 PPPOE SER管理 (51)3.7.3 用户管理 (52)3.8 网络安全 (54)3.8.1 攻击防御 (54)3.8.2 连接限制 (56)3.8.3 ARP静态绑定 (56)3.8.4 ARP主动防御 (58)3.8.5 病毒检测 (58)3.8.6 MAC地址过滤 (58)3.8.7 防火墙设置 (59)3.9 系统状态及日志 (61)3.10 VPN应用 (64)3.10.1 VPN基本设置 (64)3.10.2 VPN服务端的建立 (64)3.10.3 路由器客户端的设置 (66)3.10.4 PC客户端的设置 (67)3.10.5 VPN状态 (70)3.10.6 VPN证书 (70)3.10.7 VPN日志 (71)第四章快捷菜单设置 (73)4.1 配置管理 (73)4.2 用户管理 (73)4.3 系统维护 (74)第一章网络基础知识1.1 局域网入门路由器是指能将两个网络连接起来的设备，路由器能连接局域网或者一组电脑到互联网，处理并校验在网络中传输的数据。
深信服上网行为管理-基本操作介绍
•如何登录设备控制台
如果设备接口地址被修改，在不知道更改后接口地址的情况下，提 供以下2种方法登录设备
1、SANGFOR AC/SG设备的eth0口有保留IP地址为 128.127.125.252/29, 请配置电脑IP地址为128.127.125.253/29, 用 交叉线连接电脑和设备eth0口，通过https://128.127.125.252登录 设备网关控制台。
SANGFOR AC&SG
初识设备 如何登录设备 如何恢复出厂配置 如何恢复控制台admin帐号和密码 SANGFOR设备升级系统使用介绍
初识设备：设备外观介绍 前面板 后面板
初识设备：设备外观介绍
注意：设备加电开机时，alarm灯常亮，设备启动完毕，alarm灯熄灭， 所以可以通过alarm灯状态观察设备启动状态。
SG： 2.0,2.0Rx,2.1,3.0,3.3,3.3Rx,3.4,3.5,4.0,4.2,4.3,4.4,4.5，4.5Rx， 4.6,5.0,5.1,5.2,5.3,5.4,5.5,5.6,5.7,6.0...............
10G：3.3hp，10G，10.1，10.2
•如何登录设备控制台
2、准备交叉线短接设备任意两个电口。
3、手动重启设备，重启过程中，注意观察交叉线短接的两个电口ACT灯状 态，两个电口ACT灯同时闪烁10次后，说明密码恢复完成，此时可以拨掉 短接的交叉线，通过默认的控制台帐号密码admin/admin登录设备即可。 设备重启到密码恢复成功大约3到5分钟左右。
4、如果第3步无法根据网口灯状态判断密码恢复是否成功，你可以一直等 待，等待5到10分钟左右，尝试通过默认帐号admin/admin帐号登录设备
首次拿到AC/SG设备时，可以通过以下方法登录设备控制台
(完整版)上网行为管理AC-1200实际配置管理手册
附件五上网行为管理AC-1200配置管理文档1. 设备名称本系统上网行为管理设备采用深信服公司生产的AC-1200。
2.设备功能根据用户提出的应用需求，AC-1200在本系统中的设计功能是对网络资源进行合理的分配，并对内部工作人员的上网行为进行规范，以及对防火墙的功能进行必要的补充。
3.设备硬件信息3.1 AC-1200产品外形AC-1200产品外形和接口信息如图1所示。
图1 AC-1200产品外形和接口信息网络连接与管理方式AC-1200的ETH0（LAN）口通过透明网桥的方式与核心交换机CISCO4506的GE3/1连接，加入本地局域网络。
ETH2(WAN1)口与路由器CISCO2821，与Internet连接。
ETH1(DMZ)端口作为WEB管理端口连接到核心交换机的G3/30。
设备端口IP地址分配见表1。
本设备只提供WEB管理方式。
通过网络连接到WEB管理端口，打开浏览器，在地址栏输入https://192.168.5.41 ，进入管理页面输入用户名和密码，单击“登录”，即可进入管理界面，如图2所示。
表1设备端口IP地址分配表接口IP地址描述ETH0 (LAN) 透明模式与核心交换G3/1连接ETH1 (DMZ) 192.168.5.41 与VLAN5某端口连接（WEB管理）ETH2 (WAN1) 192.168.1.6 与路由器G0/0/0连接图2WEB登录页面4. 配置管理4.1 WEBUI界面登录后看到的是WEB管理的首页，包含左侧的功能菜单栏和右侧的状态信息显示。
如图3所示。
图3 WEB用户管理界面4.2 系统配置系统配置部分包含系统信息、管理员帐户、系统时钟等信息。
4.2.1 系统信息系统信息包含系统内的序列号和license信息，如图4所示。
图4系统信息4.2.2 管理员帐户本系统内除admin帐户外，另创建了一个gtyl管理员帐户，其权限与admin相同。
图5所示为管理员帐户列表。
华为上网行为管理器操作手册
上网行为管理操作手册2022年4月25日一、网络拓扑图 (1)二、网络规划 (1)三、IP地址分配 (1)四、账号分配表 (4)五、主要设备账户及密码 (6)1、上网行为管理路由器 (6)2、核心交换机 (6)3、研发交换机 (6)4、综合交换机 (6)5、硬盘录像机 (6)6、无线AP (6)六、主要配置 (7)1、上网行为管理器配置 (7)1、创建部门 (7)2、给每个部门创建用户 (7)3、创建用户组 (8)4、给用户组添加部门 (9)5、新建上网认证策略 (9)6、配置认证选项 (9)7、配置外网接口网络 (10)8、配置内网接口网络 (11)9、配置管理接口网络 (11)10、配置静态路由 (12)11、配置策略路由 (12)12、配置带宽策略 (13)13、配置源NAT (15)14、配置虚拟服务器（端口映射） (16)15、配置域间规则 (17)16、配置本地策略 (17)2、交换机 (18)一、网络拓扑图二、网络规划三、IP地址分配四、账号分配表五、主要设备账户及密码1、上网行为管理路由器IP地址：1.1.1.12、核心交换机3、研发交换机4、综合交换机5、硬盘录像机6、无线AP六、主要配置1、上网行为管理器配置1、创建部门2、给每个部门创建用户1）创建账号及密码2）加入所属部门3）加入所属用户组3、创建用户组4、给用户组添加部门5、新建上网认证策略1）填写局域网的所有网段2）使用用户名密码认证6、配置认证选项1)启用radius单点登录2)配置密码有效期3)注销无流量的已认证用户时间7、配置外网接口网络8、配置内网接口网络9、配置管理接口网络10、配置静态路由11、配置策略路由1）内网口允许所有用户通过2）外网口允许所有用户通过3）管理口允许所有用户通过12、配置带宽策略1）WAN-LAN允许所有用户通过并且不限流2）LAN-WAN允许所有用户通过并且不限流13、配置源NAT1)WAN->LAN2)LAN->WAN14、配置虚拟服务器（端口映射）15、配置域间规则WAN->LAN,LAN->WAN,DMZ->LAN,LAN->DMZ,WAN->DMZ,DMZ->WAN 所有动作都是放行（permit）16、配置本地策略1)源安全域LAN口所有原地址动作都放行（permit）2)源安全域WAN口所有原地址动作都放行（permit）3)源安全域DMZ口所有原地址动作都放行（permit）2、交换机核心交换机#!Software Version V100R005C01SPC100sysname HeXin#vlan batch 30 40 50 100 to 102#dhcp enableuser-bind static ip-address 192.168.1.88 mac-address 0022-681c-eacf vlan 30user-bind static ip-address 192.168.1.88 mac-address 0022-681c-eacf interface GigabitEthernet0/0/10#undo http server enable#drop illegal-mac alarm#ip pool vlan30ip pool vlan40ip pool vlan50#acl number 2000rule 5 deny source 192.168.30.0 0.0.0.255rule 10 permit#acl number 2001#acl number 2002#acl number 2003#ip pool vlan30gateway-list 192.168.1.254network 192.168.1.0 mask 255.255.255.0dns-list 221.228.255.1 114.114.114.114#ip pool vlan40gateway-list 192.168.30.254network 192.168.30.0 mask 255.255.255.0static-bind ip-address 192.168.30.27 mac-address 0022-681c-eacfdns-list 221.228.255.1 114.114.114.114#ip pool vlan50gateway-list 192.168.40.254network 192.168.40.0 mask 255.255.255.0dns-list 221.228.255.1 114.114.114.114#aaaauthentication-scheme defaultauthorization-scheme defaultaccounting-scheme defaultdomain defaultdomain default_adminlocal-user admin password cipher 6)'^BYE(;F31<%AOH#3\4Q!! local-user admin privilege level 3#interface Vlanif1#interface Vlanif30ip address 192.168.1.1 255.255.255.0dhcp select global#interface Vlanif40ip address 192.168.30.254 255.255.255.0dhcp select global#interface Vlanif50ip address 192.168.40.254 255.255.255.0#interface Vlanif100ip address 192.168.100.1 255.255.255.0#interface Vlanif101ip address 1.1.1.2 255.255.255.0#interface Vlanif102#interface MEth0/0/1#interface GigabitEthernet0/0/1port link-type accessport default vlan 30#interface GigabitEthernet0/0/2port link-type accessport default vlan 30#interface GigabitEthernet0/0/3port link-type accessport default vlan 30#interface GigabitEthernet0/0/4port default vlan 30#interface GigabitEthernet0/0/5 port link-type accessport default vlan 30#interface GigabitEthernet0/0/6 port link-type accessport default vlan 30#interface GigabitEthernet0/0/7 port link-type accessport default vlan 30#interface GigabitEthernet0/0/8 port link-type accessport default vlan 30#interface GigabitEthernet0/0/9 port link-type accessport default vlan 30#interface GigabitEthernet0/0/10 port link-type accessport default vlan 30#interface GigabitEthernet0/0/11 port link-type accessport default vlan 40#interface GigabitEthernet0/0/12 port link-type accessport default vlan 40#interface GigabitEthernet0/0/13 port link-type accessport default vlan 40#interface GigabitEthernet0/0/14 port link-type accessport default vlan 40#interface GigabitEthernet0/0/15port default vlan 40#interface GigabitEthernet0/0/16port link-type accessport default vlan 40#interface GigabitEthernet0/0/17port link-type accessport default vlan 40#interface GigabitEthernet0/0/18port link-type accessport default vlan 40#interface GigabitEthernet0/0/19port link-type accessport default vlan 50#interface GigabitEthernet0/0/20port link-type accessport default vlan 50#interface GigabitEthernet0/0/21port link-type trunkport trunk allow-pass vlan 2 to 4094#interface GigabitEthernet0/0/22port link-type trunkport trunk allow-pass vlan 2 to 4094#interface GigabitEthernet0/0/23port link-type accessport default vlan 101#interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan 2 to 4094#interface NULL0#ip route-static 0.0.0.0 0.0.0.0 1.1.1.1ip route-static 0.0.0.0 0.0.0.0 58.214.246.30 ip route-static 0.0.0.0 0.0.0.0 58.214.246.29ip route-static 192.168.10.0 255.255.255.0 192.168.100.2 ip route-static 192.168.20.0 255.255.255.0 192.168.100.2 ip route-static 192.168.30.0 255.255.255.0 192.168.100.3 #snmp-agentsnmp-agent local-engineid 000007DB7F000001000060DC snmp-agent sys-info version v3#user-interface con 0idle-timeout 0 0user-interface vty 0 4authentication-mode aaauser privilege level 15#port-group 1group-member GigabitEthernet0/0/1group-member GigabitEthernet0/0/2group-member GigabitEthernet0/0/3group-member GigabitEthernet0/0/4group-member GigabitEthernet0/0/5group-member GigabitEthernet0/0/6group-member GigabitEthernet0/0/7group-member GigabitEthernet0/0/8group-member GigabitEthernet0/0/9group-member GigabitEthernet0/0/10#port-group 2group-member GigabitEthernet0/0/11group-member GigabitEthernet0/0/12group-member GigabitEthernet0/0/13group-member GigabitEthernet0/0/14group-member GigabitEthernet0/0/15group-member GigabitEthernet0/0/16group-member GigabitEthernet0/0/17group-member GigabitEthernet0/0/18#port-group 3group-member GigabitEthernet0/0/19group-member GigabitEthernet0/0/20#return研发交换机#sysname YanFa#vlan batch 1 10 20 100 to 101#cluster enablentdp enablentdp hop 16ndp enable#voice-vlan mac-address 0001-e300-0000 mask ffff-ff00-0000 description Siemens phonevoice-vlan mac-address 0003-6b00-0000 mask ffff-ff00-0000 description Cisco phonevoice-vlan mac-address 0004-0d00-0000 mask ffff-ff00-0000 description Avaya phonevoice-vlan mac-address 0060-b900-0000 mask ffff-ff00-0000 description Philips/NEC phonevoice-vlan mac-address 00d0-1e00-0000 mask ffff-ff00-0000 description Pingtel phonevoice-vlan mac-address 00e0-7500-0000 mask ffff-ff00-0000 description Polycom phonevoice-vlan mac-address 00e0-bb00-0000 mask ffff-ff00-0000 description 3com phone#undo http server enable#acl number 2000#acl number 2001rule 5 deny source 192.168.30.0 0.0.0.255rule 10 permit#acl number 2002#acl number 2003rule 5 deny source 192.168.40.0 0.0.0.255rule 10 permit#dhcp server ip-pool vlan#dhcp server ip-pool vlan10network 192.168.10.0 mask 255.255.255.0gateway-list 192.168.10.254dns-list 221.228.255.1 114.114.114.114#dhcp server ip-pool vlan20network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.254dns-list 221.228.255.1 114.114.114.114#interface Vlanif1#interface Vlanif10description yanfaip address 192.168.10.254 255.255.255.0 #interface Vlanif20ip address 192.168.20.254 255.255.255.0 #interface Vlanif100ip address 192.168.100.2 255.255.255.0 #interface Vlanif101#interface MEth0/0/1#interface GigabitEthernet0/0/1port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/2port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/3port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/4port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/5 port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/6 port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/7 port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/8 port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/9 port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/10 port link-type accessport default vlan 10bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/11port link-type accessport default vlan 20bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/12port link-type accessport default vlan 20bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/13port link-type accessport default vlan 20user-bind static ip-address 192.168.20.20 vlan 20 bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/14port link-type accessport default vlan 20bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/15port link-type accessport default vlan 20bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/16port link-type accessport default vlan 20bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/17 port link-type accessport default vlan 20bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/18 port link-type accessport default vlan 20bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/19 port link-type accessport default vlan 20bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/20 port link-type accessport default vlan 20bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/21 port default vlan 1bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/22 port default vlan 1bpdu enablentdp enablendp enable#interface GigabitEthernet0/0/23 port link-type accessbpdu enablentdp enablendp enable#interface GigabitEthernet0/0/24port default vlan 1port trunk allow-pass vlan 1 to 4094bpdu enablentdp enablendp enable#interface NULL0#traffic-filter vlan 10 inbound acl 2003 rule 5traffic-filter vlan 10 inbound acl 2003 rule 10traffic-filter vlan 10 outbound acl 2003 rule 5traffic-filter vlan 10 outbound acl 2003 rule 10#aaaauthentication-scheme defaultauthorization-scheme defaultaccounting-scheme defaultdomain defaultdomain default_adminlocal-user admin password cipher E(/GLH9$P#'Q=^Q`MAF4<1!! local-user admin level 3local-user admin ftp-directory flash:#dhcp server forbidden-ip 192.168.10.254dhcp server forbidden-ip 192.168.20.254dhcp enable#ip route-static 0.0.0.0 0.0.0.0 1.1.1.1ip route-static 0.0.0.0 0.0.0.0 192.168.100.1ip route-static 0.0.0.0 0.0.0.0 2.2.2.1ip route-static 0.0.0.0 0.0.0.0 58.214.246.29ip route-static 0.0.0.0 0.0.0.0 58.214.246.30#user-interface con 0user-interface vty 0 4authentication-mode aaauser privilege level 15#port-group 1group-member GigabitEthernet0/0/1group-member GigabitEthernet0/0/2group-member GigabitEthernet0/0/3group-member GigabitEthernet0/0/4group-member GigabitEthernet0/0/5group-member GigabitEthernet0/0/6group-member GigabitEthernet0/0/7group-member GigabitEthernet0/0/8group-member GigabitEthernet0/0/9group-member GigabitEthernet0/0/10#port-group 2group-member GigabitEthernet0/0/11group-member GigabitEthernet0/0/12group-member GigabitEthernet0/0/13group-member GigabitEthernet0/0/14group-member GigabitEthernet0/0/15group-member GigabitEthernet0/0/16group-member GigabitEthernet0/0/17group-member GigabitEthernet0/0/18group-member GigabitEthernet0/0/19group-member GigabitEthernet0/0/20#return综合交换机#!Software Version V100R005C01SPC100sysname YunYing#vlan batch 40 100#cluster enablentdp enablentdp hop 16ndp enable#bpdu enable#dhcp enabledhcp snooping enabledhcp server detectuser-bind static ip-address 192.168.30.35 mac-address 50e5-49e6-a424 interface Ethernet0/0/1#undo http server enable#aaaauthentication-scheme defaultauthorization-scheme defaultaccounting-scheme defaultdomain defaultdomain default_adminlocal-user admin password simple adminlocal-user admin service-type httplocal-user yunying password cipher 6)'^BYE(;F31<%AOH#3\4Q!! local-user yunying privilege level 3#interface Vlanif1ip address dhcp-alloc#interface Vlanif40ip address 192.168.30.254 255.255.255.0#interface Vlanif100ip address 192.168.100.3 255.255.255.0#interface Ethernet0/0/1port link-type accessport default vlan 40ntdp enablendp enablearp anti-attack check user-bind enableip source check user-bind enable#interface Ethernet0/0/2port link-type accessport default vlan 40ntdp enablendp enable#interface Ethernet0/0/3port link-type accessport default vlan 40ntdp enablendp enable#interface Ethernet0/0/4port link-type accessport default vlan 40 ntdp enablendp enable#interface Ethernet0/0/5 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/6 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/7 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/8 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/9 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/10 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/11 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/12 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/13 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/14 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/15 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/16 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/17 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/18 port link-type access port default vlan 40 ntdp enablendp enable#interface Ethernet0/0/19port link-type accessport default vlan 40ntdp enablendp enable#interface Ethernet0/0/20port link-type accessport default vlan 40ntdp enablendp enable#interface Ethernet0/0/21port link-type accessport default vlan 40ntdp enablendp enable#interface Ethernet0/0/22port link-type accessport default vlan 40ntdp enablendp enable#interface Ethernet0/0/23port link-type accessport default vlan 40ntdp enablendp enable#interface Ethernet0/0/24port link-type accessport default vlan 40ntdp enablendp enable#interface GigabitEthernet0/0/1port link-type trunkport trunk allow-pass vlan 2 to 4094 ntdp enablendp enable#interface GigabitEthernet0/0/2ntdp enablendp enable#interface NULL0#ip route-static 0.0.0.0 0.0.0.0 192.168.100.1ip route-static 0.0.0.0 0.0.0.0 1.1.1.1ip route-static 0.0.0.0 0.0.0.0 1.1.1.9ip route-static 0.0.0.0 0.0.0.0 58.214.246.30ip route-static 0.0.0.0 0.0.0.0 58.214.246.29#snmp-agentsnmp-agent local-engineid 000007DB7F0000010000336F snmp-agent sys-info version v3#user-interface con 0idle-timeout 0 0user-interface vty 0 4authentication-mode aaa#port-group 1group-member Ethernet0/0/1group-member Ethernet0/0/2group-member Ethernet0/0/3group-member Ethernet0/0/4group-member Ethernet0/0/5group-member Ethernet0/0/6group-member Ethernet0/0/7group-member Ethernet0/0/8group-member Ethernet0/0/9group-member Ethernet0/0/10group-member Ethernet0/0/11group-member Ethernet0/0/12group-member Ethernet0/0/13group-member Ethernet0/0/14group-member Ethernet0/0/15group-member Ethernet0/0/16group-member Ethernet0/0/17group-member Ethernet0/0/18group-member Ethernet0/0/19group-member Ethernet0/0/20group-member Ethernet0/0/21group-member Ethernet0/0/22group-member Ethernet0/0/23group-member Ethernet0/0/24# return。
行为管理设备用户认证介绍
1行为管理设备用户认证介绍1.1 用户管理用户是上网行为管理产品最核心的要素，任何一条策略都是针对一个用户或者部门设置的，因此对于用户的识别、认证与管理能力决定了上网行为管理的效果。
网康ICG提供了丰富的用户认证方式以及符合企业实际的用户管理能力，很好地满足企业对于用户的管理要求。
1.1.1用户身份信息维护管理⏹按照企业组织结构建立用户组当用户数目较多、组织结构比较复杂时，按照实际的组织结构管理用户是最有效的方式，易于管理员查询、定位和设置策略。
网康ICG支持树型结构管理用户，能够完全按照企业的实际情况建立用户组，如下图所示：图2-24按照企业组织结构管理用户⏹IP网段自动分组任何互联网行为管控和审计策略最终都将赋予到用户或用户组上，对于以IP网段划分部门的机构，如果用户数目众多或者IP分配变化频繁（如大学的院系），针对每一个用户进行单独的设置是不现实的，这些机构关心的更多的是对某一类用户进行管理，而不是特定的用户。
网康ICG可以按照网段进行分组并设置策略，属于某网段的IP会自动适用该网段的策略。
ICG支持将新入网的未注册IP自动加入到所属的IP分组中，从而自动为该IP分配预定义的管控策略。
对于那些临时来访的外来用户，管理员可以将其计算机设备统一划分在某一IP范围内，并对该IP网段分组制定相关限制性策略，大大增强了动态用户管理的灵活性。
此外，如果管理员没有预先设置IP网段，ICG可以将未注册的用户实时加入系统的未定义用户组中，管理员可以在合适的时机将其移动到已定义用户组中，从而逐步完善用户的定义。
⏹支持用户的权限组管理网康ICG支持权限组的定义和管理。
可在各级用户组织中建立“权限组”，可将任意用户添加入“权限组”中，一个用户可以同时隶属于多个权限组。
这一功能提高了用户策略管理的灵活性，在不改变原用户的组织结构的情况下，可实现对一些分散在各组中的用户进行统一策略管理。
⏹支持AD域权限组导入网康ICG可将AD域服务器中用户权限组信息导入到用户组织列表中，并自动创建相对应的权限组，可定义各权限组的互联网行为管控策略。
深信服负行为管理高级认证培训13_用户认证排错指导
新组件单点登录不生效
终端电脑启动项中没有logon脚本时排查 如果电脑%appdata%/.logon目录下没有生成login.log，则说明脚本没有下发到电 脑，需要检查PC和域，此时和AC无关，则检查以下几点： A. 确认C盘用户目录是否有写权限，可以在该目录下手动创建一个文件测试 B. 确认用户是否正常获取到组策略，可以在运行下执行：rsop.msc
WAN:192.200.200.8
LAN:10.0.0.254 10.0.0.1
10.10.10.100 GW:10.10.10.254 MAC;B8-70-F4-3A-42-2B
10.20.20.200 GW:10.20.20.254
新组件单点登录不生效
步骤1 检查基本配置，参考“SANGFOR_AC__v11.0_脚本方式单点登录测试指导 书.doc” 步骤2 手动运行logon.exe，观察单点登录是否成功。域上配置好组策略，终端 电脑登录域后，logon会下发至电脑启动菜单，如下图，手动运行启动项中的 logon，观察单点登录是否成功
Contents
1 2
IP/MAC绑定排错
密码认证排错
问题一 ：设备无法通过SNMP搜索三层 交换机的arp表
如图，AC路由部署在公网出口，内网有一台三层交换机，启用了SNMP。内网用户通 过AC上网，需要通过AC的认证。客户使用IP/MAC认证，在设备上配置snmp服务器时， 输入交换机的接口地址，提示获取失败？如何排查？
正常登陆域并且获取 到组策略
新组件单点登录不生效
没有正常获取到组策略的情况如下
新组件单点登录不生效
正常获取到组策略的情况如下
组策略结果集会显示上一次logon脚本运 行的时间，对照时间就可以判断logon脚 本是否有自动执行，如果最近一次登录没 有执行，这时候需要检查windows的事件 查看器，通过事件日志来分析没有执行的 原因。
NetorayNSG上网行为管理系统用户手册v60
Netoray® NSG上网行为管理系统用户手册V6.0莱克斯科技(北京)有限公司L YX Solutions(Beijing) Inc.A1104 Jiahua Tower,#9 Shangdi No.3 StreetHaidian District, BeijingPeople's Republic of China© Copyright 2005-2010 LYX Solutions(BeiJing) Inc. The information contained herein is subject to change with-out notice. All Rights Reserved.The information contained in this document is subject to copyright protection. Any part of this document may not be reproduced, photocopied, or translated into other languages without the prior written approvals from L YX Solutions.DisclaimerThe information contained in this document is subject to change without notice.L YX SOLUTIONS MAKES NO W ARRANTY OF ANY KIND WITH REGARD TO THIS MATERIAL. L YX Solutions shall not be liable for errors contained herein or for incidental or consequential damages in connection with the furnishing, performance, or use of this material, neither as for technical or editorial errors or omissions contained herein莱克斯信息技术（北京）有限公司中华人民共和国北京市海淀区上地三街9 号嘉华大厦A1104©版权所有 2005-2010，莱克斯科技(北京)有限公司本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属莱克斯科技(北京)有限公司所有，受到有关产权及版权法保护。
上网行为管理操作手册
上网行为管理操作手册
1、打开浏览器输入：https://10.201.24.130或者https://10.201.24.123,登陆上网行为管理设
备，如图所示：
2、提示安装插件，单击浏览器下方工具条“右键”，安装插件，如图所示：
安装插件：
点击安装完成输入用户名和密码进入主界面：
3、点击“系统配置”模块下的“序列号”选项，可以查看设备序列号：
示：
5、点击“系统配置”模块下的“系统日期和时间”选项，可设置当前日期和时间：
6、点击“系统配置”模块下的“控制台用户管理”选项，可进行设备用户管理和设置：
7、点击“系统配置”模块下的“配置备份和恢复”选项，可进行设备配置的备份和恢复：
8、点击“系统配置”模块下的“重启操作”选项，可执行设备重启和服务重启操作：
护，如图所示：
10、点击“系统配置”模块下的“自动升级”选项，可执行设备相关库的升级操作：
如图所示：
定制，如图所示：
如图所示：
点击“进入内置数据中心”：
全屏：
行为统计”操作，如图所示：
报表统计，如图所示：
还可以对报表生成条目进行定制，如图所示：
16、进入“配置导入导出”选项，可进行配置文件的备份和恢复，如图所示：
助。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1行为管理设备用户认证介绍
1.1 用户管理
用户是上网行为管理产品最核心的要素，任何一条策略都是针对一个用户或者部门设置的，因此对于用户的识别、认证与管理能力决定了上网行为管理的效果。
网康ICG提供了丰富的用户认证方式以及符合企业实际的用户管理能力，很好地满足企业对于用户的管理要求。
1.1.1用户身份信息维护管理
⏹按照企业组织结构建立用户组
当用户数目较多、组织结构比较复杂时，按照实际的组织结构管理用户是最有效的方式，易于管理员查询、定位和设置策略。
网康ICG支持树型结构管理用户，能够完全按照企业的实际情况建立用户组，如下图所示：
图2-24按照企业组织结构管理用户
⏹IP网段自动分组
任何互联网行为管控和审计策略最终都将赋予到用户或用户组上，对于以IP网段划分部门的机构，如果用户数目众多或者IP分配变化频繁（如大学的院系），针对每一个用户进行单独的设置是不现实的，这些机构关心的更多的是对某一类用户进行管理，而不是特定的用户。
网康ICG可以按照网段进行分组并设置策略，属于某网段的IP会自动适用该网段的策略。
ICG支持将新入网的未注册IP自动加入到所属的IP分组中，从而自动为该IP分配
预定义的管控策略。
对于那些临时来访的外来用户，管理员可以将其计算机设备统一划分在某一IP范围内，并对该IP网段分组制定相关限制性策略，大大增强了动态用户管理的灵活性。
此外，如果管理员没有预先设置IP网段，ICG可以将未注册的用户实时加入系统的未定义用户组中，管理员可以在合适的时机将其移动到已定义用户组中，从而逐步完善用户的定义。
⏹支持用户的权限组管理
网康ICG支持权限组的定义和管理。
可在各级用户组织中建立“权限组”，可将任意用户添加入“权限组”中，一个用户可以同时隶属于多个权限组。
这一功能提高了用户策略管理的灵活性，在不改变原用户的组织结构的情况下，可实现对一些分散在各组中的用户进行统一策略管理。
⏹支持AD域权限组导入
网康ICG可将AD域服务器中用户权限组信息导入到用户组织列表中，并自动创建相对应的权限组，可定义各权限组的互联网行为管控策略。
针对企业网络最常用的认证体系联动（LDAP），重新调整功能实现，支持：
✓可设置支持完整&部分LDAP导入，包括权限组导入；
✓可灵活设置同步模式（导入、镜像），确保与LDAP服务器保持用户信息联动；
✓支持多个LDAP服务器同时导入，无需担心组织冲突以及显示问题；
⏹支持属性组
网康ICG率先支持属性组用户。
属性组用户是指将某些具有一定共同特征（如部门、职位、电话等）的用户以属性组进行保存，网络管理员可从属性这一维对用户进行管理，例如，可通过策略方便实现财务部用户禁止使用QQ等功能。
⏹支持从多个LDAP服务器同时导入用户数据
对于那些拥有多AD子域服务器的网络环境，ICG可同时同步所有AD子域服务器中的用户信息数据，实现全网用户的统一管理。
同时，可以自定义LDAP的导入入口。
⏹支持用户对象的快速搜索选择
在用户数量庞大，用户组织结构复杂的网络环境中，管理员在制定策略或查询日志时，按组织关系逐层筛选用户这一操作会耗费大量的时间和精力。
网康ICG可以避免上述问题，在所有用户对象选择对话框中，支持用户搜索定位功能。
只要在搜索框中输入要选择的用户组或用户名称，即可直接将该用户或用户组添加到用户对象中。
⏹支持IP/MAC绑定及自动绑定
网康ICG支持二层网络环境和三层网络环境下的IP/MAC绑定。
可自动阻塞那些非法占用他人IP地址的用户。
此外，系统支持在建立用户时自动进行IP/MAC的绑定操作。
⏹支持免控制与免审计用户
对于在特殊情况下不需要控制或审计监控的用户，网康ICG提供免控制和免审计功能。
1.1.2用户身份识别与认证
⏹丰富的用户认证方式
网康ICG提供多种用户认证和识别方式，为用户管理提供了灵活而完善的方案，包括基本的IP/MAC绑定、三层网络环境下的IP/MAC绑定、网关Web认证、AD域透明认证、LDAP认证、RADIUS认证、POP3认证、ESMTP认证、SOCKS认证、PPPoE认证账号识别、第三方用户识别。
此外，对于使用微软ISA系统的环境，ICG还支持NTLM认证和BASIC 认证，实现与ISA的联动。
对于每一种认证方式，ICG都支持分段/混合认证。
通过规划并部署合适的认证方式，可以把互联网访问管理应用到具体用户，实现基于用户身份的访问管理。
在有些企业，实行规划合理并且严格执行的IP地址分配制度，那么通过IP地址和网卡MAC地址来确定用户身份是可靠的；但是在有些网络环境下，用IP或网卡MAC地址并不能确定一个人的身份，比如DHCP动态分配IP、或多人共用一台设备的时候，就需要其它方式确定用户身份，如网关本地Web认证或第三方认证。
在WEB认证方式下，管理员可以设定并分发统一的初始口令，并定义账号缓存的有效时间，保障用户身份的安全，使用户身份的确定与具体上网设备完全无关。
要实现WEB认证，首先需要在网康互联网控制网关中建立用户信息。
NSICG支持多种用户信息获取方式，可以通过IP网段地址扫描，自动获取内网用户的IP地址、计算机名、MAC地址信息，也
可以通过LDAP同步的方式定期更新用户目录服务器的用户信息，支持RADIUS认证，此外，还可以使用网康自定义用户导入功能，将微软Excel表格整理的用户信息快速导入。
建立用户信息后，按照管理需求，基于网段、权限、行政职能自定义用户组和成员，并且可以在不同用户组之间灵活调整成员用户，最终形成清晰直观的树型组织结构。
这样就解决了“确定用户身份”的问题，并为基于用户或用户组制定策略和统计报表奠定了基础。
⏹支持认证界面自定义发布信息
使用网康ICG的web认证界面登录时，管理者可以自定义登录界面的信息。
在登录界面有专用的窗口用于展示发布信息的标题和内容。
同时，登录界面的图片也可以有管理者自定义设置和变更。
⏹支持混合认证
网康ICG支持多种认证方式的混合，可方便为不同的网段开启不同的认证方式，实现不同用户群的差异化管理；同一网段用户也可同时开启多种认证方式，方便用户在不同的应用环境下都可以认证入网。
⏹支持邮件用户识别
对于拥有独立企业邮箱的网络环境，ICG支持POP3用户识别，用户入网无需认证，只要通过POP3协议接收一封邮件，ICG即可将邮件账号名记录下来，该用户所有互联网行为都可实名制记录下来，便于日后日志的查询、定位。
⏹支持计算机名识别
网康ICG支持根据内网计算机的计算机名识别，用户入网无需认证，网康ICG能够自动扫描每一个入网计算机的计算机名并将其作为用户账号记录下，在该计算机上发生的所有网络访问行为将记录在其计算机名下。
⏹支持强制下线
网康ICG支持WEB认证、LDAP认证、RADIUS认证、邮件账号认证、IP识别用户的强制下线。
使用者也可以随时将活跃用户列表中的IP加入“屏蔽IP列表”中。
⏹支持认证账号有效期限制
对于一些需求临时入网的用户，管理员可通过该功能限制这些用户可以入网的时间范围，
超出限定范围后，该用户无法再入网。
一方面提高准入用户的安全性，另一方面可实现入网限时的功能。
⏹支持认证账号唯一性控制
网康ICG支持认证账号唯一性控制。
这一功能可以方便控制同一认证账号是否允许在多台计算机上同时登陆。
从而适应不同用户的认证需求。
⏹支持认证账号黑名单
对于行为异常的认证账号，网康ICG支持将其加入到认证账号黑名单。
未经管理员将其从黑名单中清除，该账号将无法通过认证。
⏹支持第三方认证信息联动接口
网康ICG提供标准的第三方用户认证信息联动接口，可以接收来自第三方网络准入系统或上网计费系统的用户认证信息。
从而将上网行为日志准确关联到具体的用户，并实现用户在多认证系统环境下的单点认证。
⏹登录重定向
网康ICG提供登录重定向增值功能。
用户认证通过后，第一次上网请求将触发此功能，网页访问请求被重定向到预设的URL。
对于集团企业、政府机关和学校，便于上网用户方便地获悉最新的公告或者相关信息。