SANGFOR_SSL_v5.8_2013年度渠道高级认证培训01_第三方服务器结合认证

外置数据安装
安装数据中心软件之前，需要检查服务器硬件和操作系统的条件，满足安装条件才 能继续进行安装。 1、硬件要求 最低配置： 硬盘：分区NTFS/FAT32格式，5G以上剩余空间。 内存：2G以上。 CPU：Intel E3 1220 V2及以上。 建议配置： 硬盘：NTFS分区，根据日均日志量及保存期限要求，建议500G以上。 内存：8G CPU：Intel E5620 2.40GHz 2、软件要求 Windows Server 2003 32位操作系统 Windows Server 2008 32位操作系统
在报表设置中，我们可对报表缓存存放的方 式和路径进行设置，另外还可设置流量统计 和流速趋势表格中显示的条数。
外置数据中心使用指导
四、数据管理
可进行日志库备份、还原、删除等操作
在日志库备份页面中，可以对各个节点当前 的日志库做备份。 在日志库还原页面中，可以将之前备份好的
日志库文件还原。如果日志库出现问题，可 以通过这种方式恢复到之前备份好的日志库。

注意事项
1、外置数据中心只支持安装在server2003 、server2008 32位系统。
2、SSL5.7和VSP外置数据中心安装程序不能通用。 3、安装时请关闭服务器杀毒软件和防火墙。
4、要确保设置的web服务器端口以及日志备份服务器端口未被其他程序占用。
5、安装路径不能包含中文,否则安装之后无法启动备份服务器。
外置数据中心安装
安装步骤：
1、双击安装程序SSLVPN_DC_5.7.exe，点击“下一步”进行安装
2、设置端口，一般按默认的即可，确保这些端口不与服务器上的其他程序冲突。 3、选择安装路径，点击“下一步安装完成”。 注：程序安装包在深信服 官网即可下载。

配置说明： 1.配置总部与分支建立 VPN互联，请参考《 DLAN互联基础配置》，此处不再赘述 2.配置分支设备的隧道间路由
分别在分支 1和分支2配 置两条路由
如图，总部分别与两个分支建立VPN连接， 用户要求不能改变任何一端的IP地址，实 现分支与总部互访。 问题分析：
分支1与分支2内网均为192.168.1.0/24网段，
2.隧道内NAT功能的主要作用是什么？

本案例中，源IP为分支的内网网段，源端口必须选择1-65535，因为发起连接的端口均为随机端口。目标IP可为总部 的内网WEB服务器IP，目的端口为WEB端口80。
配置方法一：通过VPN内网权限实现。
第二步：在总部设备的『VPN信息设置』->『用户管理』页面编辑分支用户，点击权限设置，页面如下： 注意：一旦设置了VPN内网权限， 不光VPN对端访问本端受到限制，
本端访问VPN对端一样会受到内网
权限的控制。因为内网权限只检查 数据包的IP和端口，不管这个数据 包是VPN对端主动发起的还是本端 主动发起VPN对端响应的，只要符 合规则条件的数据包都会做相同的 处理。通过防火墙过滤规则可做到 更细化的控制。
配置方法二：通过防火墙过滤规则实现。
第一步：在总部的VPN设备『防火墙设置』->『IP组定义』定义好分支网段的IP组，与总部WEB服务器的IP组，界 面如下：
配置方法二：通过防火墙过滤规则实现。
第二步：在总部VPN设备的『防火墙设置』->『过滤规则设置』->『VPN<->LAN』，删除VPN->LAN的三条规则（ 因为VPN->LAN默认是放通所有数据的），然后添加一条规则，界面如下：
问题思考
1.WEBAGENT有哪几种填写方式？什么情况下必须使

勾选上“断线自劢重 试连接”，并在系统 托盘处也勾上“自劢 重连SSL VPN”，能 够在超时时间后自劢 重新连接SSL VPN
全局启用系统 托盘功能，此时，所有 用户组及用户都默认启 用了系统托盘功能
易用性－客户端组件策略
功能介绍
这里的客户端组件是指 硬件特征码认证或登录 前安全检查功能涉及到 的相关组件
启用防中间 人攻击
问题思考
1.管理员A登录设备控制台后，创建了管理员B，请问管理员B对管理员A所做的 配置是否具有编辑权限？ 2. 请说出启用系统托盘的两种方法并配置实现开机后自劢登录SSL VPN。 3. 在客户端选项中，存在客户端组件策略的相关配置，请问这里所指的客户端
组件是什么组件？

3.访客
管理设备的管理员，对所管理的页面和内容只具有查看权限，丌具有编 辑权限。
通过设置管理员账号，达到分级分权限的管理，能够实现多达16 级的管理员分级管理。
易用性－管理员账号
应用案例
为了保障设备管理的安全性以及可监督性，某公司IT部门决定让管理员A和 管理员B来共同管理SSL VPN设备，管理员A能够查看和编辑设备所有页面，且
注意事项：流缓存功能仅对TCP应用有效
快速性－流缓存
2.配置步骤
（1）开启流缓存序列号，激活流缓存模块 （2）启用流缓存功能 （3）设置流缓存策略组管理，让个别用户或者是用户组关联流缓存策略 组，优先启用流缓存 。
优先启用流缓存的目的是为了让该用户具有更高的流缓存优先级。每个设备
平台的流缓存用户并发数是固定的，如果超过这个值，优先使用流缓存的用
选择用户手劢 安装或者是自 劢安装组件
若未安装相关的组件或验 证丌通过，可选“禁止登 录”或者“允许登录，但 只能使用WEB服务”

详解参考备注
什么是SSL VPN
• SSL VPN是一种远程安全接入技术，因为采用SSL协议而得名。因为Web浏览 器都内嵌支持SSL协议，使得SSL VPN可以做到“无客户端”部署，从而使得 远程安全接入的使用非常简单，而且整个系统更加易于维护。SSL VPN一般 采用插件系统来支持各种TCP和UDP的非Web应用，使得SSL VPN真正称得上 是一种VPN，并相对IPSec VPN更符合应用安全的需求，成为远程安全接入主 要手段和选择。
SANGFOR SSL VPN 基本功能介绍
培训内容
培训目标
SSL 基础介绍
1.了解SSL的理论基础，什么是SSL，它的作
用是什么。
SANGFOR SSL VPN 基 础知识
1.了解什么是SSL VPN以及SSL VPN的应用 场景，能解决客户什么问题。
PKI 体系
• PKI（Public Key Infrastructure ）是一种遵循标准的利用公钥加 密技术为电子商务的开展提供一套安全基础平台的技术和规范。 简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的 基础设施。用户可利用PKI平台提供的服务进行安全的电子交易 ，通信和互联网上的各种活动。 • PKI技术采用证书管理公钥，通过第三方的可信任机构--CA认证 中心把用户的公钥和用户的其他标识信息捆绑在一起，在互联网 上验证用户的身份。目前，通用的办法是采用建立在PKI基础之 上的数字证书，通过把要传输的数字信息进行加密和签名，保证 信息传输的机密性、真实性、完整性和不可否认性，从而保证信 息的安全传输。PKI是基于公钥算法和技术，为网上通信提供安 全服务的基础设施。是创建、颁发、管理、注销公钥证书所涉及 到的所有软件、硬件的集合体。其核心元素是数字证书，核心执 行者是CA认证机构。