深信服URL组设置

SANGFOR SG快速安装手册技术支持说明为了让您在安装，调试、配置、维护和学习SANGFOR设备时，能及时、快速、有效的获得技术支持服务，我们建议您：1.参考本快速安装手册图文指导，帮助你快速的完成部署、安装SANGFOR设备。

如果快速安装手册不能满足您的需要，您可以到SANGFOR技术论坛或官网获得电子版的完整版用户手册或者其他技术资料，以便你获得更详尽的信息。

2.致电您的产品销售商（合同签约商），寻求技术支持。

为了更快速的响应您的服务要求和保证服务质量，您所在地的SANGFOR的产品销售商配备有经过厂家认证的技术工程师，会向您提供快捷的电话咨询、远程调试及必要的上门技术服务。

3.在不紧急的情况下，您可以访问SANGFOR的技术论坛，寻求技术问题的解决方案和办法。

4.致电SANGFOR客服中心，确认最适合您的服务方式和服务提供方，客服中心会在您的技术问题得到解决后，帮助您获得有效的服务信息和服务途径，以便您在后续的产品使用和维护中最有效的享受技术支持服务，及时、有效的解决产品使用中的问题。

SANGFOR技术论坛：公司网址：技术支持服务热线：400-630-6430（手机、固话均可拨打）邮箱：support@目录技术支持说明 (1)目录 (2)声明 (3)前言 (4)第1章SG系列硬件设备的安装 (5)1.1环境要求 (5)1.2电源 (5)1.3产品接口说明 (5)1.4配置与管理 (6)1.5单设备接线方式 (8)1.6双机备份接线方式 (9)第2章SG系列硬件设备部署 (11)2.1路由模式 (12)2.1.1路由模式部署配置案例 (13)2.2网桥模式 (19)2.2.1网桥多网口 (19)2.2.2多网桥 (25)2.2.3DMZ口重定向 (32)2.3旁路模式 (37)2.3.1旁路模式部署配置案例 (38)2.4单臂模式 (43)2.4.1单臂模式部署配置案例 (43)2.5高可用性配置案例 (46)2.5.1多机同步 (46)2.5.2双机维护 (50)第3章基本功能配置 (55)3.1封堵P2P应用配置案例 (55)3.2审计用户上网行为配置案例 (59)3.3限制下载工具的网络流量配置案例 (61)3.4保证重要应用网络流量配置案例 (67)3.5上网加速配置案例 (73)3.6上网代理配置案例 (74)3.7防共享功能配置案例 (75)3.8无线管理配置案例 (78)3.8.1客户网络环境与需求 (78)3.8.2无线基本配置 (79)3.8.3配置开放式无线网络案例 (79)3.8.4配置企业级认证无线网络案例 (82)第4章密码安全风险提示 (86)4.1修改控制台登录密码 (86)声明Copyright©2015深圳市深信服电子科技有限公司及其许可者版权所有，保留一切权利。

Sangfor AF 路由模式设置1接口/区域设置：
1）设置 WAN口和LAN口属性
WAN口：勾选“WAN口”
静态IP地址：服务器外网地址/24
下一跳网关：服务器网关地址
LAN口：静态IP地址：服务器内网网关地址/24
下一跳IP地址 --空--
2）三层区域
将WAN口和LAN口添加到第三层区域
2添加路由
新增单个静态路由
目的地址：0.0.0.0
网络掩码：0.0.0.0
下一跳IP地址：服务器网关地址
接口:WAN口
度量值：0
3地址转换
1）代理上网：
新增源地址转换
源：区域：三层LAN区
IP组: 全部
目的：区域：三层WAN区
IP组/接口： IP组：全部
--其他默认--
2）开启5566端口映射-----远程控制使用端口新增目的地址转换
源：区域：三层WAN区
IP组：全部
目的：区域：—默认—
IP组：全部
协议：协议类型：TCP
源端口：所有端口
目的端口：5566
目的地址转换：指定IP：服务器内网网关地址
目的端口转换：不转换
3）开启9099端口映射-----健康档案使用端口同上5566
4防火墙
Dos/DDos防护
源区域：WAN/LAN （WAN）
其他全开。

深信服SD-WAN 产品使用手册目录前言 (11)手册内容 (11)本书约定 (12)技术支持 (13)致谢 (13)第1 章SDWAN 的安装 (15)1.1. 环境要求 (15)1.2. 电源 (15)1.3.产品形态 (15)1.3.1.SD-WAN-MIG 一体化网关 (16)1.3.2.SD-WAN-WOC (16)1.3.3.SDWAN 虚拟网元 (16)1.3.4.管控平台X-Central (17)1.3.5.硬件性能参数 (18)1.4.配置与管理 (19)1.5.设备接线方式 (19)1.6.设备开机方式 (20)第2 章SDWAN 组网方式 (21)2.1.hub-spoken 组网 (21)2.2.full mesh 组网 (21)2.3.partial mesh 组网 (22)第3 章SDWAN 的部署 (24)3.1.网关模式部署 (24)3.2.网桥模式部署 (24)3.3.网桥VPN 模式部署 (25)3.4.网桥多线路模式部署 (26)3.5.双网桥模式部署 (27)3.6.单臂模式的部署 (28)3.7.双单臂模式部署 (30)第4 章SD-WAN 易部署和应用选路 (32)4.1.分支邮件易部署 (32)4.2.AutoVPN (33)4.3.SD-WAN 应用选路 (34)4.3.1.指定线路 (34)4.3.2.高质量选路选路 (34)4.3.3.按剩余带宽负载 (35)4.3.4.带宽叠加 (35)4.3.5.线路质量探测原理与淘汰机制 (36)第5 章SDWAN 终端设备 (38)5.1.ssh 登录 (38)5.2.登录WebUI 配置界面 (38)5.3. 状态 (39)5.3.1.广域网优化状态 (39)5.3.2.流量监控 (42)5.3.3.DHCP 状态 (48)5.3.4.设备运行状态 (48)5.3.5.EoIP 状态 (48)5.4.路由设置 (49)5.4.1.系统设置 (50)5.4.2.部署设置 (54)5.4.3.路由设置 (85)5.4.4.用户管理 (93)5.4.5.网络对象 (97)5.4.6.DHCPv4 设置 (105)5.4.7.DHCPv6 设置 (108)5.4.8.Syslog & SNMP (109)5.4.9.SC 设置 (113)5.5.SD-WAN VPN (114)5.5.1.SDWAN 选路 (114)5.5.2. 服务端 (115)5.5.3. 客户端 (134)5.5.4. 多线路 (137)5.5.5.第三方认证 (140)5.5.6.高级设置 (144)5.6.SD-WAN VPN (153)5.6.1.第一阶段 (153)5.6.2.第二阶段 (156)5.6.3.安全选项 (159)5.6.4.EoIP 设置 (160)5.7.流量管理 (164)5.7.1.对象设置 (164)5.7.2.策略设置 (177)5.7.3.流控设置 (186)5.7.4.策略故障排除 (206)5.7.5.高级设置 (207)5.8.应用识别 (210)5.8.1.识别是管理的基础 (210)5.8.2.应用库说明 (211)5.9.NAT 设置 (212)5.9.1.代理上网网段 (212)5.9.2.端口映射 (214)5.10.安全防护能力 (216)5.10.1.端对端传输加密 (216)5.10.2.过滤规则 (217)5.10.3.防DoS 攻击 (219)5.10.4.ARP 欺骗防护 (221)5.10.5.涉及产品 (222)5.10.6.僵木蠕一次清理，保障终端安全 (223)5.10.7.已知威胁 (223)5.10.8.未知威胁 (224)5.11.高可用冗余保护 (225)5.11.1.双机部署方式 (226)5.11.2.双机维护 (227)5.13. 维护 (229)5.13.1. 日志 (230)5.13.2. 序列号 (231)5.13.3. 自动升级 (232)5.13.4. 备份/恢复 (233)5.13.5. 关机 (236)5.13.6.页面控制台 (236)5.13.7.远程技术支持 (238)第6 章方案整体设计 (240)6.1. 总部端 (240) (241) (241) (241)6.2. 数据中心互联 (241)6.3. 分支端 (242)6.4.大中型分支 (243)6.5.跨国分支 (244)6.6.智能应用选路 (245)第7 章广域网优化（SD-WAN 接入网元） (251)7.1.分钟级上线 (251)7.2.AUTO VPN (252)7.3.广域网数据传输优化 (253)7.4.广域网传输安全加固 (262)7.5.广域网立体安全防护 (263)7.6.应用及流量可视化，打造一张可管理的广域网 (267)7.7.应用识别功能 (267)对象设置 (270)策略设置 (283)流控设置 (292)7.7.1.HTP 高速传输协议解决高延迟高丢包 (312)7.7.2.改进型TCP 实现快速TCP 传输 (314)7.8.冗余数据削减技术，提高带宽吞吐 (314)7.8.1.基于码流特征的数据优化 (314)7.8.2.高效的数据流压缩算法 (316)7.8.3.全局IP 流量压缩，降低TCP 和UDP 流量占用 (316)7.9.应用加速，提升核心业务系统访问速度，提升工作效率 (317)7.9.1.传输协议优化 (317)7.9.2.应用协议优化 (318)7.9.3.CIFS 协议优化技术 (318)7.9.4.HTTP 和FTP 协议优化技术 (319)7.9.5.Exchange MAPI 协议优化技术 (320)7.9.6.RDP 与Citrix ICA 协议优化技术 (320)7.9.7.OracleTNS 协议优化技术 (320)7.9.8.常见应用系统加速效果 (321)7.10.广域网流量管理，实现流量整形和基于应用的带宽保障 (322)7.10.1.基于应用和内容的流量管理技术 (322)7.10.2.带宽通道实现智能带宽保证 (322)7.10.3.虚拟线路技术有效保障视频会议带宽，提升访问体验 (323)7.11.视频会议优化，零距离协同办公 (323)7.11.1.智能带宽保障 (323)7.11.2.丢包补偿（UDP 代理+FEC 前向校验） (324)7.11.3.业务数据压缩 (325)7.12.SD-WAN 广域网优化其他亮点技术 (326)7.12.1.移动客户端的广域网优化 (326)7.12.2.多线路复用 (327)7.12.3.HTTP 和FTP 文件预取功能 (327)7.12.4.数据中心智能报表，帮助用户智慧决策 (328)7.12.5.策略路由 (329)7.13.SD-WAN 广域网优化能为您解决的问题 (329)7.14.服务配置说明 (331)7.14.1.应用设置 (332)7.14.2.流缓存设置 (339)7.14.3.视频优化设置 (339)7.14.4. 服务端 (340)7.14.5. 客户端 (346)7.14.6.数字证书 (352)7.14.7.高级设置 (359)7.14.8.LDAP 服务器 (362)7.14.9.高级设置 (364)第8 章灰白盒化交付 (369)8.1.产品介绍 (369)8.2.集中可视可控运营管理 (371)第9 章虚拟化SD-WAN (377)9.1.性能部署要求 (377)9.1.1.场景描述 (377)9.1.2.性能相关要求 (377)9.1.3.检测性能参数 (377)9.1.4.场景拓扑 (378)9.2.前期准备 (378)9.3.部署操作 (378)9.3.1. 云部署 (378)9.3.2.WOC 基础配置 (398)9.3.3.VPN 配置 (402)9.3.4.配置引流策略 (405)9.3.5.验证VPN 业务 (405)9.4.业务配置 (406)9.4.1.加速配置 (406)9.4.2.流量管理 (406)9.4.3.SDWAN 智能选路 (406)9.5. FAQ (407)第10 章SDWAN 管控平台使用说明 (408)10.1.平台性能参数 (408)10.2.首页地图 (408)10.3.智能监控 (410)10.3.1.智能告警 (410)10.3.2.设备配置管理 (411)10.4.Restful API (412)10.4.1.协议规范说明 (412)10.4.2.用户管理接口格式 (413)10.4.3.设备管理接口格式 (414)10.4.4.虚拟网元管理网络编排接口格式 (414)10.4.5.设备功能调用接口格式 (415)10.4.6.平台管理接口格式 (415)10.4.7.数据分析输出接口格式 (415)第11 章数据中心的使用 (417)11.1. 首页 (417)11.2.流量分析 (418)11.2.1.流量排名 (418)11.2.2.带宽分布 (421)11.3.带宽优化 (423)11.4. 报表 (425)11.5. 日志 (430)11.5.1.管理日志 (430)11.5.2.防火墙日志 (431)11.6.系统设置 (433)11.6.1.数据库清理 (433)11.6.3. 子网 (435)第12 章案例集 (438)12.1.双单臂模式部署配置案例 (438)12.2.VLAN 环境下的单网桥部署配置案例 (439)12.3.网桥VPN 部署配置案例 (442)12.4.网桥多线路部署配置案例 (443)12.5.WCCP 的应用场景及配置案例 (445)12.6.MAC 跟踪的应用场景及配置案例 (447)12.7.加速本地子网和静态路由的配置案例 (450)12.8.网关VPN 模式EoIP 部署案例 (452)12.9.添加加速用户的案例 (460)12.10.Sangfor VPN 的配置案例 (462)12.10.1.隧道内NAT 案例 (462)12.10.2.移动PDLAN 用户接入WOC 设备的案例 (466)12.10.3.VPN 内网权限的设置案例 (472)12.10.4.VPN 多线路配置案例 (476)12.10.5.移动用户使用LDAP 认证接入案例 (481)12.10.6.VPN 多子网配置案例 (484)12.10.7.通过隧道间路由实现分支间互访的案例 (487)12.10.8.通过目的路由用户上网的配置案例 (489)12.11.和CISCO PIX 标准IPSEC VPN 互连的案例 (492)12.12.WOC 加速互连的案例 (500)12.12.1.为分支WOC 设备创建用户并关联策略的案例 (500)12.12.2.加速HTTP 或HTTPS 访问的Oracle EBS 案例 (501)12.12.3.加速访问Citrix 服务器的案例 (504)12.12.4.加速访问RDP 服务器的案例 (507)12.12.5.跟总部建立加速连接的配置案例 (510)12.12.6.加速Outlook Anywhere 访问Exchange 服务器的案例 (511)12.12.7.使用透明传输模式的案例 (516)12.12.8.使用反向加速建立双向加速连接的案例 (517)12.12.9.对FTP 服务器的预取案例 (524)12.12.10.通过排除规则对指定网段进行加速的案例 (525)12.13.UDP 优化配置案例 (527)12.14.委派的配置案例 (532)12.15.策略路由配置案例 (540)12.16.综合案例 (546)12.16.1.客户环境与需求 (546)12.16.2.配置思路 (546)12.16.3.总部WOC 设备配置步骤 (547)12.16.4.分支WOC 设备配置步骤 (553)附录A：SANGFOR 设备升级系统的使用 (556)附录B：通过USB 口恢复默认配置 (559)功能1：使用U 盘查看网口配置 (559)功能2：使用U 盘恢复控制台密码 (559)注意事项 (560)前言手册内容第1 部分SANGFOR SDWAN 产品介绍和安装。

以深信服VPN-M5200-S为例演示配置
1.本机网线接到VPN的LAN口,本机IP配置为10。

254。

254.252，
子网掩码为255.255.255。

0，默认网关10。

254.254。

254
2.通过http：//10。

254。

254。

254:1000登陆VPN控制台，安装控
件
默认的登录名和密码均为Admin
3网络接口配置
在系统配置-网络接口配置中配置内外网IP地址,子网掩码和网关
其中多IP绑定为为外网为以太网的模式下使用.功能是设备外网接口能获取多个IP，需要把这些IP都映射到内网服务器时使用。

有2种线路类型，如果是ADSL还要设置相应的用户名和密码，注意勾上自动拨号。

4 代理上网设置
防火墙设置—NA T设置—代理上网设置中设置LAN口内网的代理上网
5 端口映射
在防火墙设置–NAT设置–端口映射中设置端口映射
按照以上5个步骤配置就能完成基本的VPN 和本地子网的上网，以及外网地址对服务器的直接访问。

深信服VPN售后电话：
800-830-6430
400-830-6430。

Sangfor AC设备操作手顺欧智卡信息系统商贸（上海）有限公司2013年7月30日第一部分：基本操作1、打开sangfor在浏览器中输入深信服的管理地址https://192.168.1.2 回车，然后点击“继续浏览此网站”。

（建议使用ie7或ie8浏览器。

本手顺假定sangfor的管理ip地址是192.168.1.2）2、登录sangfor默认的用户名是admin 密码是A dmin （注意：密码的第一个字母是大写）输入之后请点击“登录”按钮。

3、移动用户到其他组按红色箭头顺序点击“用户与策略管理---组/用户---临时组”，找到将要移动的目标用户，这里我新建了个例子用户ocnsh008，点击他前面的复选框，以便选中该用户，最后点击功能栏上的“移动”按钮。

接下来会弹出“组织结构选择”页面，如下图。

这时你就可以将已选中的用户“ocnsh008”移动到目的组，你只需要用光标点击一下目标组即可，这里我们选择“default”组。

（注意：蓝色底的组名就是目标用户的当前组）4、查看用户和组的策略按红色箭头顺序点击“用户与策略管理---组/用户---临时组---策略列表”，在这里可以看到“临时组”的所有策略，这里我们着重看自定义的禁止策略“某公司禁止策略”。

你可以点击该策略名字，以查看该策略的具体内容。

此时，既会弹出该条策略的具体内容设定页面。

常用设定在web过滤中进行设定，你可以按红色箭头所指顺序点击到最终的条件设置区域。

（注意：该条策略的动作是拒绝，也就是说在这个策略里面所选定的所有网站分类都是被拒绝的，即用户无法登陆这些被选中的分类网站。

如果你对策略调整不是很熟悉，建议不要轻易更改策略等相关操作，以免造成用户访问网站出现莫名问题，如需帮助，请联系我们）接下来弹出如下图页面，我们再继续点击红色方框圈中的地方，以编辑该条策略。

下图就是最终的URL网站分类，被选中的类别就会被拒绝访问。

5、开放指定的网站由第四条手顺你应该可以了解到，sangfor将Internet上的网站大多都按照自己的规则分类统一起来，这样的好处是便于用户管理。

深信服序列号激活向导--AC产品规则库
1、登陆设备控制台。

2、进⼊菜单“系统配置”-“序列号”页⾯，在“⽹关杀毒授权序列号”项点击“修改序列号”，输⼊新的⽹关杀毒序列号。

如图：
3、进⼊菜单“系统配置”-“⾃动升级”页⾯，选择“URL库”和“应⽤识别”，点击后⾯
的“⽴即更新”按钮，将库更新⾄最新版本。

如遇，点击“⽴即更新”后⽆法更新⾄最新版本，可以按照如下⽅式操作：
1）点击此页⾯“升级服务器配置”，重新选择其他的服务器（需要先测试选择的服务器可⽤性）。

选择其他服务器后再次进⾏“⽴即更新”
2）如果“应⽤识别库”重新选择其他服务器更新后还是不能更新到最新版本，考虑先“回滚”，再进⾏“⽴即更新”。

若还是存在问题，请联系⼯程师协助。

深信服防火墙路由接口配置案例路由接口的典型应用环境是将SANGFOR NGAF 设备以路由模式部署在公网出口，代理内网上网，像一个路由器一样部署在网络中，如下图所示：配置案例：某用户网络是跨三层的环境，购买NGAF 设备打算部署在公网出口，代理内网用户上网，公网线路是光纤接入固定分配IP 的。

第一步：通过管理口(ETH0) 的默认IP 登录设备。

管理口的默认IP 是10.251.251.251/24 ，在计算机上配置一个相同网段的IP 地址，通过https://10.251.251.251 登录设备。

第二步：配置外网接口，通过『网络』→『接口/区域』，点击需要设置成外网接口的接口，如eth2，出现以下页面：接口[类型]选择路由。

[基本属性]可以设置是否为WAN 口和允许PING。

如果是WAN 口，是否与IPSEC VPN 出口线路匹配。

连接上行链路的接口需要勾选WAN 口。

[区域]选择接口eth2 所属的区域。

区域需要提前设置，本例将ETH2 划入WAN 区域，对于区域的设置请参考章节3.3.1.5 区域设置。

选择配置IPv4 地址：[连接类型]包括静态IP、DHCP、ADSL 拨号三种，根据该线路的特征进行配置，如果选择静态IP，需要填写好IP 地址/掩码以及下一跳网关；如果该接口是DHCP 自动获得地址，则设置DHCP；如果线路是ADSL 拨号，则配置好拨号所需的用户名、密码和其他拨号参数。

静态IP 地址可以填写成“IP/掩码”和“IP/掩码-HA”两种形式，后一种形式表示同步网口配置时，不同步IP 地址，“IP/掩码-HA”的形式适用于NGAF 设备双机部署的环境。

本案例中外网接口连接的是静态IP 的光纤线路，所以选择静态IP，并且配置ISP 提供给该光纤线路的公网IP 地址和下一跳网关。

[线路带宽]设置公网链路的上下行带宽。

点击可以修改带宽单位，包括KB/s，MB/s，GB/s。

[链路故障检测]用于检测链路的好坏。

SANGFOR_AC&SG_v 3.x URL过滤专题文档深信服科技有限公司2011年06月23日SANGFOR AC URL过滤专题文档一、URL过滤功能的作用及应用场景SANGFOR AC设备的URL过滤功能用于检测访问网站的URL地址，对访问网站的行为进行控制。

例如只允许员工上班时间访问与工作相关的网站，全天均不允许访问反动，暴力，色情类网站。

二、URL过滤功能配置案例2.1 案例一：某银行客户要求不允许员工访问色情，赌博和反动网站2.1.1配置思路：1.SANGFOR AC自带URL内置库，含有色情和反动类的URL。

通过新增上网权限策略，在WEB过滤”—“HTTP URL过滤”和“HTTPS URL过滤”下选择色情，赌博和反动的URL组，设置动作拒绝，确认和保存设置。

2.将设置好的上网权限策略关联给用户或者用户组即可。

2.1.2配置步骤和截图：1.新增上网权限策略，拒绝色情，赌博和反动URL组选择需要拒绝的URL组，点击“确定“：点击“提交“，保存并生效配置：如果需要对HTTPS的网站进行与HTTP URL过滤同样的设置，出现如下提示选择【是】或者在HTTPS URL过滤页面勾选【复用HTTP浏览网页过滤设置】，如下图所示：2.将设置好的上网权限策略关联给用户或者用户组2.2案例二：某公司客户要求上班时间不允许员工访问淘宝网站2.2.1 配置思路1. 由于AC的URL内置库包含的是相同类别的网站集合，对于单个网站的允许或者拒绝操作，需要首先在“对象设置”—“URL分类库”下手动新增URL组，包含这个网站的网址。

2. 通过新增上网权限策略，在WEB过滤”—“HTTP URL过滤”和“HTTPS URL过滤”下选择自定义的URL组，设置动作拒绝，生效时间为上班时间，确认和保存设置。

3.将设置好的上网权限策略关联给用户或者用户组即可。

2.2.2配置步骤和截图1.“对象设置“自定义URL组，包含淘宝网站的网址将淘宝网站的所有URL地址填入到URL列表，支持用*通配，代表这个主页和主页下面的所有子链接，/仅代表主页。