下载文档原格式
深信服上网行为管理系统用户手册深信服上网行为管理系统用户手册AC 12.0.18用户手册目录前言 (2)手册内容 (2)本书约定 (2)图形界面格式约定 (2)各类标志 (3)技术支持 (3)致谢 (3)第1 章安装指南 (4)1.1.环境要求 (4)1.2.电源 (4)1.3.产品外观 (4)1.4.配置与管理 (5)1.5.单设备接线方式 (5)1.6.双机备份接线方式 (7)第2 章控制台的使用 (8)2.1.登录WebUI配置界面 (8)2.1.1.AC的web 登录方式 (8)2.1.2.统一认证中心的登录方式 (11)2.2.配置和使用 (12)第3 章功能说明 (15)3.1.增值服务导航 (15)3.1.1.激活设备 (15)3.1.2.进入技术社区 (17) 3.1.3.“信服君”机器人 (18) 3.2.行为感知系统 (19)3.2.1.办公网上网态势 (22) 3.2.2.带宽分析 (31)3.2.3.泄密追溯分析 (33) 3.2.4.离职倾向分析 (36) 3.2.5.工作效率分析 (40) 3.2.6.未关机检测分析 (42) 3.3.实时状态 (43)3.3.1.实时状态 (43)3.4.对象定义 (89)3.4.1.应用特征识别库 (91) 3.4.2.应用智能识别库 (97) 3.4.3.自定义应用 (100)3.4.4.URL分类库 (104) 3.4.5.URL库列表 (104) 3.4.6.准入规则库 (109)3.4.7.网络服务 (129)3.4.8.IP 地址库 (131)3.4.9.时间计划组 (139)3.4.10.关键字组 (141)3.4.11.文件类型组 (143) 3.4.12.位置对象组 (144) 3.5.用户认证与管理 (147) 3.5.1.原理 (147)3.5.2.用户认证 (151)3.5.3.用户管理 (220)3.5.4.认证高级选项 (259) 3.6.策略管理 (277)3.6.1.上网策略 (278)3.6.2.策略高级选项 (368)3.7.流量管理 (375)3.7.1.概述 (375)3.7.3.通道配置 (377)3.7.4.线路带宽配置 (414)3.7.5.虚拟线路配置 (415)3.7.6.流量可视化 (425)3.8.终端接入管理 (425)3.8.1.共享接入管理 (426)3.8.2.移动终端管理 (430)3.8.3.代理工具管理 (433)3.9.上网安全 (438)3.9.1.安全状态 (438)3.9.2.安全配置 (441)3.10.VPN配置 (457)3.10.1.DLAN运行状态 (457) 3.10.2.多线路设置 (458)3.10.3.SDWAN智能选路 (460) 3.10.4.基本设置 (472)3.10.5.用户管理 (474)3.10.6.连接管理 (488)3.10.7.虚拟IP 池 (491)3.10.8.本地子网列表 (492) 3.10.9.隧道间路由设置 (494) 3.10.10.第三方对接 (497)3.10.11.通用设置 (509)3.10.12.证书管理 (511)3.10.13.高级设置 (515)3.11.系统管理 (527)3.11.1.防火墙 (527)3.11.2.网络配置 (544)3.11.3.系统配置 (633)3.12.网络安全法 (693)第4 章案例集 (696)4.1.单点登录配置案例 (696)4.1.1AD域单点登录功能配置案例 (696)4.1.2PROXY单点登录配置案例 (723)4.1.3POP3单点登录配置案例 (732)4.1.4Web单点登录配置案例 (737)4.1.5与第三方设备结合单点登录配置案例 (741)4.1.6深信服设备结合认证 (756)4.1.7数据库系统结合认证 (759)4.2.不需要认证用户配置案例 (762)4.3.密码认证用户配置案例 (769)4.3.1短信认证 (769)4.3.2微信及二维码认证 (787)4.3.3密码认证 (801)4.4.其他认证配置案例 (810)4.5.与cas第三方认证配置案例 (825)4.6.策略配置案例 (828)4.6.1针对某用户组设置封堵P2P 和P2P流媒体的策略 (828) 4.6.2针对某用户组设置IM 监控的策略 (832)4.6.3针对某用户组设置开启审计功能 (836)4.7.终端管理配置案例 (838)4.7.1防共享功能配置案例 (838)4.7.2移动终端管理配置案例 (840)4.7.3代理工具理配置案例 (841)4.8.SNMPTRAP配置案例 (842)4.9.综合案例 (846)4.9.1客户网络环境与需求 (846)4.9.2配置思路 (847)附录：SANGFOR设备升级系统的使用 (865)产品升级步骤 (868)前言手册内容第1 部分SANGFOR AC 产品概述。
深信服上网行为管理部署方式及功能实现配置说明（标化院）设备出厂的默认IP见下表：接口IP地址ETH0（LAN）10.251.251.251/24ETH1（DMZ）10.252.252.252/24ETH2（W AN1）200.200.20.61/24AC支持安全的HTTPS登录，使用的是HTTPS协议的标准端口登录。
如果初始登录从LAN口登录，那么登录的URL为：https://10.251.251.251，默认情况下的用户名和密码均为admin。
设备正常工作时POWER灯常亮，W AN口和LAN口LINK灯长亮，ACT灯在有数据流量时会不停闪烁。
ALARM红色指示灯只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。
如果在安装时此红灯长亮，请将设备掉电重启，重启之后若红灯一直长亮不能熄灭，请与我们联系。
『部署模式』用于设置设备的工作模式，可设定为路由模式、网桥模式或旁路模式。
选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。
路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能；旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。
选择【导航菜单】中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，会出现『路由模式』、『网桥模式』、『旁路模式』的选项，选择想要配置的网关模式。
路由模式：是把设备作为一个路由设备使用，一般是把设备放在内网网关出口的位置，代理局域网上网；或者把设备放在路由器后面，再代理局域网上网。
深信服上网行为管理功能参数AC-4300-RY上网行为管理产品功能性能参数项目指标具体功能要求性能吞吐量2.5Gbps，标配6个千兆电口，4个千兆光口，标准2U设备，配备冗余电源部署方式网关模式支持网关模式，支持NAT、路由转发、DHCP 等功能；网桥模式支持网桥模式，以透明方式串接在网络中；旁路模式支持旁路模式，无需更改网络配置，实现上网行为审计；网关管理管理界面支持SSL加密WEB方式、SSH命令行方式管理设备；分级管理不同用户组的管理权限支持分配给不同管理员；集中管理多台设备支持通过统一平台集中管理、集中配置等；被控设备加入统一平台支持以硬件证书验证身份；告警管理支持攻击、泄密告警，危险行为告警、邮件延迟审计告警等；加密连接具有IPSec VPN远程加密访问和连接的模块，并能提供IPSec VPN客户端授权远程接入访问；排障工具提供图形化排障工具，便于管理员排查策略错误等故障；上网故障排除系统支持开启直通后，流量控制模块依然生效，避免全部数据直通导致线路流量过大；实时监控设备资源信息提供设备实时CPU、内存、磁盘占有率、会话数、在线用户数、系统时间、网络接口等信息；流量状态实时提供用户流量排名、应用流量排名、所有线路应用流速趋势、流量管理状态、连接监控信息；安全状态实时显示当天的安全状况，最后发生安全事件的时间、类型、总次数、源对象，帮助管理员管理内网安全；上网行为监控实时显示设置过滤条件的用户上网行为监控，支持手动设置刷新时间；用户管理本地认证支持触发式WEB认证，静态用户名密码认证等；第三方认证支持LDAP、Radius、POP3、Proxy等第三方认证；支持ISA\ lotus ldap\novel ldap\oracle、sql server、db2、mysql等数据库等第三方认证；双因素认证支持以USB-Key方式实现双因素身份认证；IP、MAC认证支持绑定IP认证、绑定MAC认证，及IP/MAC绑定认证等；支持通过SNMP服务器跨三层获取MAC地址；支持当用户MAC地址变动时，需要重新认证；短信认证支持短信认证方式，用户输入手机号作为用户名，通过短信猫或短信平台发送验证码；短信认证能够根据不同用户推送不同认证页面，该认证页面可自定义，编辑内容包括文字、颜色风格、图片，且图片支持轮询播放公用账户支持多人使用同一帐号登录，且支持重复登陆检测机制；账户有效期指定账户支持有效期限制，并支持自动过期；单点登录支持AD、POP3、Proxy、PPPOE、H3C IMC/CAMS、锐捷SAM、城市热点等系统进行认证单点登录，简化用户操作；可强制指定用户、指定IP段的用户使用单点登录；强制AD认证指定用户用AD域账户登录操作系统，否则禁止上网；安全组嵌套同步支持AD安全组嵌套同步；LDAP服务器的域对象的策略管理与同步主要目的是对已有的AC 与LDAP服务器结合进行优化，便于客户实现策略管理在AC上进行，用户管理在域上进行，不需同步用户到本地组织结构中即可实现策略管理功能认证失败支持为认证失败用户提供基本网络访问权限机制；认证后页面跳转认证成功的用户支持页面跳转：1.跳转到用户原本输入的URL地址；2.跳转到管理员指定的URL地址；3.跳转到该用户上网信息排行页面；4.跳转到注销页面;帐户导入支持从本地导入和扫描导入，支持以CSV格式文件导入帐户/分组/IP/MAC/描述/密码等信息；支持从外部LDAP服务器导入账户及分组信息；组织结构用户分组支持树形结构，支持父组、子组、组内套组等；用户状态查询支持用户登录时间、注销时间、在线时长的查询；自动注销支持自动注销指定时间内无流量的已认证用户；冻结用户支持冻结认证失败次数超过最大值的用户，在冻结时间结束后恢复登录；用户密码强度可设置用户密码不能等于用户名；新密码不能与旧密码相同；可设置密码最小长度；可设置密码包括数字或字母或特殊字符；应用管理应用识别规则库1、支持根据标签选择应用，标签分类至少包含安全风险、高带宽消耗、发送电子邮件、降低工作效率、外发文件泄密风险、主流论坛和微博发帖6大类；2、支持给每个应用自定义标签；3、支持根据标签选择一类应用做控制；4、支持对每一种应用的定义和解释，帮助客户快速定位应用的分类；5、支持给每一种应用列上图标，易于客户了解应用的特征。
深信服上网行为管理-管理员手册深信服电子科技有限公司■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第1章前言.......................................................... 错误!未定义书签。
第2章系统管理...................................................... 错误!未定义书签。
设备登录....................................................... 错误!未定义书签。
修改管理员密码............................................. 错误!未定义书签。
创建二级管理员............................................. 错误!未定义书签。
系统基本信息配置............................................... 错误!未定义书签。
序列号..................................................... 错误!未定义书签。
系统时间................................................... 错误!未定义书签。
规则库升级................................................. 错误!未定义书签。
全局排除地址............................................... 错误!未定义书签。
设备配置备份与恢复......................................... 错误!未定义书签。
深信服上⽹⾏为管理操作步骤（傻⽠版）
⼀．建⽴应⽤⿊名单库
1.点击“对象定义”---“⾃定义应⽤”（图1）
(图1)
2.点击“新增”，新增相应的应⽤内容，添加后点击“提交”（图2）（图3）
（图2）
（图3）
3.添加完成后可以看到在“⾃定义应⽤”表中多了⼀个“禁⽌⽹上交易”的类型，（图4），请注意：必须勾选“⽤户⾃定义规则优先”
（图4）
⼆．制定应⽤过滤策略并指派给⽤户或组
1.点击“⽤户与策略管理”----“新增”---“上⽹权限策略”（图5）
2.勾选“应⽤控制”（图6）
（图6）
3.点击应⽤分类的添加键“”添加应⽤“禁⽌⼴发WEB交易”分类（图7）
（图7）
4.填⼊相应的策略名称，动作选择“拒绝”,⽣效时间选择“全天”（图8）
（图8）
5.点击“适合的组和⽤户”，将策略指派给某个⽤户或组（图8）
6.完成以上所有操作，即可以在“上⽹策略“中看到刚刚所做的策略（图9）
（图9）。
深信服上网行为管理-管理员手册深信服电子科技有限公司■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第1章前言.......................................................... 错误!未定义书签。
第2章系统管理...................................................... 错误!未定义书签。
设备登录....................................................... 错误!未定义书签。
修改管理员密码............................................. 错误!未定义书签。
创建二级管理员............................................. 错误!未定义书签。
系统基本信息配置............................................... 错误!未定义书签。
序列号..................................................... 错误!未定义书签。
系统时间................................................... 错误!未定义书签。
规则库升级................................................. 错误!未定义书签。
全局排除地址............................................... 错误!未定义书签。
设备配置备份与恢复......................................... 错误!未定义书签。
上网行为管理设备详细介绍深信服上网行为管理设备主要功能如下：简述：能够规范员工的上网行为，提高员工的工作效率，并对员工的上网行为提供法律依据。
细述主要功能如下：1、屏蔽网络应用我们的用完善的上网策略来规范您内网用户的上网行为（比如：禁止在上班时间聊天、打游戏，上不健康网站、炒股、网上购物等）提高工作的效率。
2、流量控制能够对每个员工或部门，或者对内网不同的VLAN和终端上网电脑进行分组的流量进行控制和带宽管理提升宽带利用率，保证正常上班和业务系统拥有足够的带宽。
3、禁止大量占用资源的下载禁用一些关于BT、电驴、在线电视、电影等恶性下载软件的应用，保证上网的带宽价值。
4、降低法律诉讼风险降低企业的法律责任：员工利用公司提供的互联网连接访问色情、反政府、邪教等不良网站或在网上发表非法言论或从事其他一些非法活动等，这些活动极有可能会给所在的公司带来法律诉讼、行政处分等风险。
5、自动备份收发信息能够自动备份员工客户端的邮件收发，包括邮件的标题、正文和附件。
6、全面记录员工网络行为（即内容审计功能）强大的内容审计功能：能设定规则检测需要监控的所有电脑的所有上网行为（包括上的网站、聊天的内容、发的邮件和邮件的内容等）。
7、数据中心报表强大的数据中心报表功能，给领导提供直接的上网数据统计和上网行为统计。
高度的硬件集成，部署灵活。
8、邮件延迟审计现在内网的安全越来越受到广大网管的重视，保护内部重要数据安全、防止重要信息外泻（比如：设计图纸、公司内部方案、财务报表、最新的新闻信息等）例：现在企业大量使用电子邮件进行各种信息的交流，公司内部员工用互联网可以很轻易的把企业的关键信息传播出去一些商业、技术上的关键性信息的泄露会给企业带来无法弥补的损失。
对这我们用邮件延迟审计的专利，可以对所有的出口邮件进行审核拦截。
9、丰富的权限分配能够为设备的管理人员进行功能管理的细分。
比如网管只能管理流量控制、屏蔽网络应用功能，而行政可以查看和管理员工上网行为，信息审计员能够查看和管理收发信息。
设备部署深信服上网行为管理简介深信服上网行为管理是一种面向企业网络的行为管理和内容审查解决方案。
它通过实时监控企业网络的流量和行为，提供细粒度的访问控制和内容过滤，帮助企业实现网络安全管理和资源优化。
本文档将重点介绍设备部署深信服上网行为管理的步骤和注意事项。
步骤1. 硬件选购首先需要根据企业的规模和需求，选择适合的深信服上网行为管理设备。
深信服提供多款不同规格和性能的设备，根据企业的网络规模和用户数量，选择合适的型号和配置。
2. 网络规划在部署深信服上网行为管理设备前，需要进行网络规划。
确定设备的位置和连接方式，保证设备能够覆盖到企业内的所有网络流量。
3. 设备接入将设备按照网络规划的要求接入企业的网络中。
一般情况下，将设备接入企业的核心交换机或网络边界设备。
4. 配置设备接入设备后，需要按照深信服提供的操作手册和技术文档，对设备进行配置。
主要配置包括网络接口设置、防火墙规则配置、访问控制策略配置等。
5. 日常运维设备部署完成后，需要进行日常的运维管理。
定期对设备进行升级和维护，监控设备运行状态，及时处理设备故障和异常。
注意事项1. 安全性在设备部署过程中，需要注意设备的安全性。
设备应放置在安全的物理环境中，防止被未经授权的人员物理访问。
同时，需要对设备进行安全配置，设置合适的访问控制策略，防止未经授权的访问。
2. 网络可用性在部署深信服上网行为管理设备时，需要确保网络的可用性。
设备应该能够满足企业的网络带宽需求，并且不影响网络的正常运行。
3. 管理权限设备部署完成后，需要合理设置管理员权限。
只允许授权的人员具备设备管理权限，防止未经授权的访问和操作。
4. 定期备份定期备份设备的配置文件和数据是非常重要的。
在设备出现故障或损坏时，可以通过备份文件快速恢复设备的配置和数据，减少系统停机时间。
总结设备部署深信服上网行为管理是企业网络安全管理和资源优化的重要环节。
本文档介绍了设备部署的步骤和注意事项，希望能够帮助您顺利完成设备部署，并确保网络的安全和稳定运行。
深信服上网行为管理-管理员手册深信服电子科技有限公司本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第2章系统管理.............................................2.1设备登录............................................2.2管理员配置..........................................2.2.1修改管理员密码................................2.2.2创建二级管理员................................2.3系统基本信息配置....................................2.3.1序列号........................................2.3.2系统时间......................................2.3.3规则库升级....................................2.3.4全局排除地址..................................2.3.5设备配置备份与恢复............................2.3.6WEBUI选项.....................................2.3.7远程维护...................................... 第3章网络配置.............................................3.1部署模式............................................3.2静态路由............................................ 第4章策略管理.............................................4.1用户认证与管理......................................4.1.1用户组管理....................................4.1.2认证策略......................................4.1.3不需要认证....................................4.1.4IP/MAC绑定....................................4.1.5不允许认证....................................4.2策略管理............................................4.2.1购物娱乐类网站................................4.2.2P2P及P2P流媒体封堵...........................4.2.3外发文件封堵..................................4.2.4上网审计......................................4.3流量管理............................................4.3.1线路带宽配置..................................4.3.2保证通道......................................4.3.3限制通道......................................4.4终端接入管理........................................4.4.1共享接入管理.................................. 第5章日志中心管理.........................................5.1日志中心配置........................................5.1.1准备工作......................................5.1.2外置日志中心安装过程..........................5.1.3日志中心登录..................................5.1.4同步策略设置..................................5.1.5AC同步配置....................................5.2日志中心登录........................................5.2.1内置日志中心登录..............................5.2.2外置日志中心登录..............................5.3日志查询............................................5.3.1所有行为日志..................................5.3.2网站访问日志..................................5.3.3邮件收发日志..................................5.3.4发帖/发微博日志...............................5.3.5其他日志......................................5.3.6日志导出......................................5.3流量时长分析........................................5.4报表中心............................................5.5系统管理............................................ 第1章前言本手册用于讲解AC常见功能操作方法，为管理员提供日常策略维护指导。
附件五上网行为管理AC-1200配置管理文档1. 设备名称本系统上网行为管理设备采用深信服公司生产的AC-1200。
2.设备功能根据用户提出的应用需求，AC-1200在本系统中的设计功能是对网络资源进行合理的分配，并对内部工作人员的上网行为进行规范，以及对防火墙的功能进行必要的补充。
3.设备硬件信息3.1 AC-1200产品外形AC-1200产品外形和接口信息如图1所示。
图1 AC-1200产品外形和接口信息网络连接与管理方式AC-1200的ETH0（LAN）口通过透明网桥的方式与核心交换机CISCO4506的GE3/1连接，加入本地局域网络。
ETH2(WAN1)口与路由器CISCO2821，与Internet连接。
ETH1(DMZ)端口作为WEB管理端口连接到核心交换机的G3/30。
设备端口IP地址分配见表1。
本设备只提供WEB管理方式。
通过网络连接到WEB管理端口，打开浏览器，在地址栏输入https://192.168.5.41 ，进入管理页面输入用户名和密码，单击“登录”，即可进入管理界面，如图2所示。
表1设备端口IP地址分配表图2 WEB登录页面4. 配置管理4.1 WEBUI界面登录后看到的是WEB管理的首页，包含左侧的功能菜单栏和右侧的状态信息显示。
如图3所示。
图3 WEB用户管理界面4.2 系统配置系统配置部分包含系统信息、管理员帐户、系统时钟等信息。
4.2.1 系统信息系统信息包含系统内的序列号和license信息，如图4所示。
图4系统信息4.2.2 管理员帐户本系统内除admin帐户外，另创建了一个gtyl管理员帐户，其权限与admin相同。
图5所示为管理员帐户列表。
图5管理员帐户列表如需对管理员帐户进行配置，直接单击蓝色用户名，如需创建新管理员，单击左上角“新增”图标，即可进入创建页面。
4.2.3 系统时间系统时间设置界面如图6所示。
图6系统时间设置页面4.2.4 系统升级如图7列表中所显示的，除病毒库未购买升级服务，网关补丁不需购买服务外，其他服务都在2012年4月7日到期，到时可根据实际情况决定是否购买。
