SANGFOR SG上网代理技术培训

1 2 3 4 5 6 7 8 9
显式代理 icap服务器 HTTP显式代理+icap使用 二级代理 PAC脚本 host功能 显式代理下支持的用户认证 路由模式显式代理多线路选路策略 forward功能
PAC脚本
需求：内网访问内网服务器不走代理，内网通过代理服务器上外网
Contents
1 2 3 4 5 6 7 8 9
(4)根据客户需求设置认证策略，此处使用设备默认认证策略。
(5)客户DLP服务器上实现做好过滤策略，此处以关键字过滤测试
1.2 效果
(1)PC打开网页搜索关键字symantec_dlp_refuse_test会弹出拒绝页面。
2、ssl代理
ssl代理：SG透传https 的流量给icap服务器处 理
SG解密https数据后传给icap服务器
4、注意事项 (1)一个ICAP服务器中，可以新增多台服务器，一般客户环境中多台服务器属于 同一类型时这样使用，比如客户有多台DLP服务器用来做负载使用。此时SG会 采用轮询机制来调度到不同的服务器。 (2)一个代理服务器可以同时选择多个ICAP服务器组，一般客户环境中有多台不 同类型的ICAP服务器这样使用，比如客户有DLP、Websence，SG在转发数据 的时候，每个请求只能匹配一个ICAP组，不同的请求可以匹配不同的ICAP组。 根据代理策略规则按照从上到下的顺序选择第一个满足条件的ICAP服务器组进 行数据转发，如Get请求会匹配第一个支持Get的ICAP服务器组。
ICAP协议
ICAP是一种应用层协议，ICAP客户端传送请求数据到ICAP服务器做校验，常 用于金融客户，常见的ICAP服务器有Macfee(杀毒)，赛门铁克， websense(url过滤)。

3、视频加速功能，所有视频第一次要完整播放完才会缓存，如果视频中 途拖动了进度条或者网络卡导致连接断开时都不会把缓存。所以实际 测试时，第一次需要完整播放视频。仅下列网站支持视频加速。
视频网站 优酷
是否支持加速 支持
土豆 腾讯视频
ห้องสมุดไป่ตู้
支持 支持
网易视频 搜狐视频&播客
支持 支持
酷六
支持
56网 激动网 第一视频 爱奇艺（新增）
4. SG网桥模式部署，上网加速支持地址还原功能，通过上网加速处理后， 源地址还原为电脑真实IP地址，主要解决SG前置设备有连接数限制情况。 如下图所示：
启用地址还原后，要 确保SG本身和前置设 备可以正常通信。
代理介绍
代理介绍
➢ SG以硬件形式实现代理功能，它能取代ISA、Squid、 BlueCoat等代理服务器，与客户内网环境进行无缝交接。 SG路由，网桥及单臂部署时均支持代理功能。
开启上网加速，配置HTTP代理，以端口使用3128和8080为例。
这里如果不选，即 只代理，不加速
客户端HTTP代理配置
SOCK5代理配置
配置SOCK5代理，代理端口使用1080和8080为例。
注意：使用SOCK5代理方式上网，是不能被加速的。
最多支持填写5个 代理端口，端口之 间用逗号隔开
客户端SOCK5代理配置
3、重复步骤2，再下载一次，记录用时T2
4、对比T2和T1，T2应该小很多，说明有加速效果。
注意
1. SG设备必须要能够正常上网，如果 SG设备本身无法上网，则启用上网 加速后，内网电脑无法打开网页。
2.SG启用上网加速后，PC上网源地址默认全部转换成SG设备的地址上网， 所以SG前方的设备不能做连接数控制或会话数限制

深信服 SG简介
什么是上网优化？
互联网带宽不能无限扩容 互联网资源日益泛滥绚烂 生产生活与网络紧密相连 用户对网速要求越来越高
上网加速 带宽管理 上网安全
优化前准备：网络透明可视
优化第一步：带宽管理
• 迅雷、BT、流媒体等滥用带宽！ • 关键用户/应用带宽得不到保障！
网络现状
传统不足
SG 带宽管理
依赖服务器和操作系统的软件 多服务器才能满足大性能要求 稳定性/安全性/可靠性均不足
硬件形式实现Proxy代理
SG
性能强，支持并发数万人
专用硬件和系统，更稳定 安全可靠，大型组织首选
代 理
深信服SG：专业上网优化网关
提升上网速度
上网 加速 上网 安全
带宽 管理
提高带宽效率 减少带宽成本 改善安全环境 减少病毒/木马 改善Proxy代理 创造更多价值
原因浅析
• 互联网已成为组织感染风 险和威胁的首要因素 • 单纯制度无法有效执行， 需要技术手段辅助 • 防范网络威胁、保障上网 安全是上网加速的基础
传统方案的局限性
ISA / Squid
• 以Cache缓存为主的软件方案，性能和稳定性不足
• Cache缓存效果有限，同时必须使用代理，复杂难用
• 带宽管理、上网安全特性缺乏，不属上网优化范畴
• 领导网速慢、ERP网
速慢、影响更大 • 扩容带宽后并未有效 提升网速
• 不了解流量构成、不
能提出针对性措施 • 扩带宽无用，缺乏上 网提速的有效手段
带宽被滥用、业务无保障
安全威胁频发、上网环境恶化
问题表现
• 即使部署了杀毒等方案， 病毒/木马等仍频发 • 访问看似正常的网站，却 莫名感染多种风险 • IT部门成了救火队员，工 作量大但绩效不显著

免插件单点登录不生效
➢步骤1 检查ADSSO软件上域控制器和设备的状态是否都是OK
对于域控制器和设备状态为failed的排查步骤，请参考《深信服ADSSO帮助文档》
免插件单点登录不生效
➢步骤2 开启调试日志，查看用户是否成功登陆域。
双击bat文件后会产生一个debug文件， 然后刷新页面，产生调试日志
正常登陆域并且获取 到组策略
新组件单点登录不生效Байду номын сангаас
没有正常获取到组策略的情况如下
新组件单点登录不生效
没有正常获取到组策略的原因可能是用户没有正常登陆域或者离线登陆域了，可以 通过在cmd下执行：gpresult查看登陆域的情况。
没正常登陆域 的时候则看不 到域的信息
正常登陆域的时候可 以查看到所加入的域， 和应用组策略的时间
新组件LDAP单点登 录排错
新组件单点登录不生效
如图，AC路由部署在公网出口，内网有一台三层交换机，内网用户通过AC上网， AC结合LDAP服务器做新组件单点登陆。现在用户发现单点登陆不生效，要输入用 户名密码后才能打开网页。如何排查？
WAN:192.200.200.8
LAN:10.0.0.254 10.0.0.1
SANGFORACSGV5X度渠道高级认 证培训08LDAP单点登录排错指导
11、不为五斗米折腰。 12、芳菊开林耀，青松冠岩列。怀此 贞秀姿 ，卓为 霜下杰 。
13、归去来兮，田蜀将芜胡不归。 14、酒能祛百虑，菊为制颓龄。 15、春蚕收长丝，秋熟靡王税。
SANGFOR AC&SG用户 认证排错指导
新组件单点登录不生效
B. 查看login.log的详细内容，通过日志内容可以分析出不同的认证结果：