深信服培训讲义

格式：ppt
大小：7.13 MB
文档页数：72

下载文档原格式

深信服产品培训PPT

国家密码管理局三证
• 商用密码产品定点生产单位
• 商用密码产品型号证书 SJJ1007
• 商用密码销售许可证
SSL VPN技术引领者
• 2005年推出全球第一款 SSL /IPSec 二合一VPN，并逐渐成为行业标配
• 业内专利数量居首，以客户需求为导向，追求产品高品质
28
众多高端客户的一致选择
安全：上网行为管理AC
41.4%
44.5%
IDC：2012年
IDC：2013年
06年，深信服定义了上网行为管理的类别 09—11年连续三年上网行为管理市场第一 11年，推出第二代上网行为管理
安全：上网行为管理AC
上网行为管理
员工上网
员工效率管理
无关活动影响工作效率
应用带宽管理
无关应用影响网络带宽
泉州产品经理曾庆丰
公司情况介绍
公司总人数 2，000人
2014年2月
2
公司情况介绍
分支机构 49个
3
公司情况介绍
客户总数 21,000家
60家
4
公司情况介绍
高增长
50%以上增长率
2008
5
深信服产品
安全产品优化产品
下一代防火墙
上网行为管理
应用交付
广域网优化
SSL VPN 应用性能管理
企业级无线
连续五年市场占有率第一
深信服SSL VPN市场份额超过40% 终端并发接入授权数量超过200万
39.2%
36.4%
40.3%
2010
2011
2012
Source: Frost & Sullivan
安全：SSL VPN远程接入

深信服IPSEC渠道高级认证培训01_SANGFOR DLAN互联进阶配置

配置说明： 1.配置总部与分支建立 VPN互联，请参考《 DLAN互联基础配置》，此处不再赘述 2.配置分支设备的隧道间路由
分别在分支 1和分支2配置两条路由
如图，总部分别与两个分支建立VPN连接，用户要求不能改变任何一端的IP地址，实现分支与总部互访。问题分析：
分支1与分支2内网均为192.168.1.0/24网段，
2.隧道内NAT功能的主要作用是什么？

本案例中，源IP为分支的内网网段，源端口必须选择1-65535，因为发起连接的端口均为随机端口。目标IP可为总部的内网WEB服务器IP，目的端口为WEB端口80。
配置方法一：通过VPN内网权限实现。
第二步：在总部设备的『VPN信息设置』->『用户管理』页面编辑分支用户，点击权限设置，页面如下：注意：一旦设置了VPN内网权限，不光VPN对端访问本端受到限制，
本端访问VPN对端一样会受到内网
权限的控制。因为内网权限只检查数据包的IP和端口，不管这个数据包是VPN对端主动发起的还是本端主动发起VPN对端响应的，只要符合规则条件的数据包都会做相同的处理。通过防火墙过滤规则可做到更细化的控制。
配置方法二：通过防火墙过滤规则实现。
第一步：在总部的VPN设备『防火墙设置』->『IP组定义』定义好分支网段的IP组，与总部WEB服务器的IP组，界面如下：
配置方法二：通过防火墙过滤规则实现。
第二步：在总部VPN设备的『防火墙设置』->『过滤规则设置』->『VPN<->LAN』，删除VPN->LAN的三条规则（因为VPN->LAN默认是放通所有数据的），然后添加一条规则，界面如下：
问题思考
1.WEBAGENT有哪几种填写方式？什么情况下必须使

深信服培训讲义共73页文档

3、客户网络中原有防火墙或者路由器了，出于某方面的原因想用AC替换掉原有出口的防火墙或者路由器。
典型部署模式与配置
WAN：拨号\固定IP\DHCP IP:192.168.1.1/24 IP:192.168.1.2/24
三层交换机
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
典型部署模式与配置
➢ 网桥模式配置思路
网桥模式部署时需要考虑AC串接在前面防火墙和下面的核心交换机之间网段是否存在空闲的主机IP地址，如果有则分配一个该网段的 IP地址给AC作为网桥的IP地址，如果没有空闲IP的话则配置管理口（DMZ）进行管理。
典型部署模式与配置
➢ 网桥模式配置截图
二、用户认证技术
SANGFOR AC培训大纲
一、设备部署模式二、用户认证技术二、组织结构与上网策略三、流量管理系统
一、设备部署模式
SANGFOR AC部署模式介绍
• 部署模式_简介
1、部署模式是指设备以什么样的工作模式部署到客户网络中去，具体以何种部署方式需要综合客户具体的网络环境和客户的功能需求而定，不同的部署模式对客户原有网络的影响各有不同。
典型部署模式与配置
路由器（FW）
IP:192.168.1.1/24
AC
网桥IP:192.168.1.3/24
IP:192.168.1.2/24
三层交换机
路由器（FW） AC 三层交换机
路由器（FW）
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
SANGFOR AC部署模式介绍

深信服云安全解决方案培训资料

深信服云安全解决方案深信服电子科技有限公司2015年11月7日目录第一章建设背景 (4)1.1 云平台背景 (4)1.2 云平台建设意义 (4)第二章需求分析 (5)2.1 需求概述 (5)2.2 平台侧需求 (7)2.2.1 平台安全需求 (7)2.1.2 接入安全需求 (8)2.1.3 业务可靠需求 (9)2.3 租户侧需求 (10)2.3.1 租户间隔离需求分析 (10)2.3.2 租户虚拟机需求分析 (11)2.3.3 租户互联网业务需求分析 (11)2.3.4 租户外网业务需求分析 (12)2.5 管理运维需求 (13)第三章设计原则 (14)第四章解决方案 (15)4.1 解决方案综述 (15)4.2 平台侧设计方案 (17)4.2.1 平台安全方案 (17)4.2.1.1. 平台分区分域 (18)4.2.1.2. 防网络病毒 (18)4.2.1.3. 应用安全防护 (18)4.2.1.4. 防止漏洞攻击 (19)4.2.1.5. 多业务数据隔离和交换 (19)4.2.2 接入安全方案 (20)4.2.2.1 云间安全互联 (21)4.2.2.2 租户安全接入 (22)4.2.3 业务可靠需求 (23)4.2.3.1. 防拒绝服务攻击 (23)4.2.3.2. 链路/全局负载均衡 (23)4.3 租户侧设计方案 (24)4.3.1 租户安全设计 (24)4.3.2 业务系统安全 (25)4.3.3 业务稳定可靠 (26)4.3.4 业务安全接入 (27)4.3.5 租户应用场景 (28)436 NFV安全组件部署方式 (30)4.4 管理运维设计方案 (31)4.4.1 平台运维 (31)4.4.1 租户运维 (33)4.4.1 平台服务商合作运维 (34)第五章解决方案价值 (35)5.1 高安全：提供专业、可靠的服务 (35)5.2高性价比：降低IT建设成本 (36)5.3 高效率：业务系统部署速度快 (36)5.4 高协同：降低信息共享和业务协同难度 (36)第一章建设背景1.1 云平台背景云计算的兴起，给人们的工作方式以及商业模式带来根本性变化，甚至可能掀起信息技术的第三次“浪潮”。

深信服上网行为管理基础操作培训

深信服上网行为管理基础操作培训
培训内容初识设备
如何登录设备
培训目标
了解设备软件版本，硬件型号及设备面板提示灯含义掌握设备控制台登录方法
如何恢复出厂配置
掌握设备恢复出厂配置方法
如何恢复控制台admin帐号和密码掌握恢复控制台admin帐号和密码的方法
SANGFOR设备升级系统使用介绍掌握SANGFOR设备升级系统使用方法
同时，AC/SG设备eth1口也有保留IP地址128.128.125.252/29，也可以能过交叉线电脑接到设备eth1口，且电脑配置IP为128.128.125.253/29，通过https://128.128.125.252登录设备控制台。
注意：只有路由模式eth0和eth1口才有保留地址，其它模式部署无法使用此方法登录设备
2、准备交叉线短接设备任意两个电口。
3、手动重启设备，重启过程中，注意观察交叉线短接的两个电口ACT灯状态，两个电口ACT灯同时闪烁10次后，说明密码恢复完成，此时可以拨掉短接的交叉线，通过默认的控制台帐号密码admin/admin登录设备即可。设备重启到密码恢复成功大约3到5分钟左右。
4、如果第3步无法根据网口灯状态判断密码恢复是否成功，你可以一直等待，等待5到10分钟左右，尝试通过默认帐号admin/admin帐号登录设备
(2) 如果电脑连接的是设备的eth1口，需先在电脑上配置一个 10.252.252.0/24网段的地址（10.252.252.252除外），打开浏览器输入 https://10.252.252.252 登录设备网关控制台。
2、输入控制台admin帐号登录设备。默认的管理员用户名和密码为admin/admin。
SG： 2.0,2.0Rx,2.1,3.0,3.3,3.3Rx,3.4,3.5,4.0,4.2,4.3,4.4,4.5，4.5Rx， 4.6,5.0,5.1,5.2,5.3,5.4,5.5,5.6,5.7,6.0...............

深信服SSL渠道高级认证培训06_安全桌面功能进阶培训

安全桌面高级配置
2、安全桌面文件导出-功能介绍
SSL5.7版本之后安全桌面支持文件导出功能，需要配合外置数据中心使用，如果没安装外置数据中心或者外置数据中心异常，则无法实现文件导出功能。安装外置数据中心的原因是审计保存从安全桌面中导出的文件。
注：SSL外置数据中心DC5.7的安装与配置请参考《 SSL特殊需求配置指导培训》PPT。
6、安全桌面不支持代理环境、流缓存功能
7、建议使用1G以上内存电脑启用安全桌面。
练练手
某客户希望实现所有移动办公组的用户通过SSL VPN接入，只能在安全桌面内访问远程应用发布资源，安装桌面内只能打开WORD程序，且不允许安全桌面和本地内网进行通信。如何配置实现客户的需求呢？
问题思考
1、SSL安全桌面实现的基本原理是什么？ 2、用户接入SSL VPN后，能否使用U盘拷贝走安全桌面中的资料？为
1、离线登录安全桌面-配置步骤 3、如果是之前已经创建好的DKEY用户，现在需要给他开启离线登录安全桌面的功能，可以将该DKEY插入电脑，编辑该用户，在“离线访问”，点击“绑定USB-KEY”：
绑定之后，该DKEY用户即被允许离线登录安全桌面：
安全桌面高级配置
1、离线登录安全桌面-客户端登录测试客户端电脑通过开始---所有程序---SSLVPN登录客户端，点击离线登录安全桌面：
安全桌面中对注册表的修改都是对重定向之后的注册表的修改，退出安全桌面即会恢复。很好的保护了电脑系统和禁止用户通过注册表泄漏数据。
安全桌面基本原理
2、文件重定向用户在安全桌面中所产生或者所修改的文件，都是经过加密和重定向，被重定向的文件以及重定向后的路径需要保存起来。重定向后的文件，被保存到当前磁盘的$SD$目录下。在每个磁盘的根目录下，存在一个隐藏的文件夹，下面存放了对应的重定向的文件。思考：打开安全桌面时，如果插入一个U盘，能否把安全桌面里面的资料拷走？

SANGFOR AC 11.0版本培训精讲

SANGFOR AC 11.0版本培训
2015.8.25
特别说明
AC 11.0版本又称三合一，三合一指的是将AC，IAM，AC10G三个版本合成一个版本。版本主要意义在于： 1、将AC的所有功能合入到IAM和10G产品，可以显著提升这两个产品的竞争力。
2、完整支持IPv6.目前IPv6的推进进度在加快，国内的政府，高校，海外的马来，新加坡等都提出了IPv6支持的要求
说明：此时如果终端修改了IP或MAC地址，终端上不了网，终端无提示页面。
3、如果认证策略选择录入本地组织结构，【用户管理】—【组/用户】可以查到用户。
需求场景三：客户想终端用户上网认证的过程是透明的，但是用户上线过程中希望能弹出免责申明的页面或广告页面？
说明：如果开启了显示免责声明，则每次上线的时候都会提示免责声明，没有开启则直接上线
2.1 用户名密码认证需求场景一：用户上网的时候要求重定向到密码认证页面，让用户进行密码认证，密码认证通过后才可以上网，密码保存在本地。密码认证方式：本地密码认证
认证效果 1、终端打开网页，弹出免责申明，或包含广告的免责申明页面。
2、终端点登陆，弹出提示“认证成功，3s将跳转页面”
3、认证成功，跳转到了之前打开的页面
4、开启了免责申明提示，又开启了IP/MAC绑定，此时如果终端修改了IP或 MAC地址，终端上不了网是有提示页面的。
二、密码认证
密码认证需要选择密码认证服务器，密码认证服务器可以选择本地用户，也可以选择短信认证、微信认证、二维码认证、ldap服务器、POP3服务器、 radius服务器
对象定义及策略管理
培训内容流量管理
培训目标 ①掌握流控惩罚通道的使用
终端提示页面

深信服渠道售前培训课程

第 28 次中国互联网络发展状况统计报告
截至2011年6月底，我国域名总数为786万个。中国的网站数，即域名注册者在中国境内的网站数（包括在境内接入和境外接入）为183万个。
网络安全信息与动态 2012年1月
难道这些单位不重视安全建设吗？
威胁来自应用层！ 90%投资在网
IPS解码器
防病毒解码器&代理
基于端口/协议的ID
基于端口/协议的ID
基于端口/协议的ID
基于端口/协议的ID
L2/L3网络、高可用性（HA）、配置管理、
报告
L2/L3网络、高可用
L2/L3网络、高可用
性（LH2A/L）3、网配络置、管高理可用、性（HA）性、（配HA置）管、理配、置报管告理、
防止绕过安全体系造成的信息泄漏如“拖库”、 “暴库”的问题
即使被攻击也不会造成大规模信息泄漏
防止绕过安全体系造成的防止页面被非法篡改网站篡改、挂马、盗链等
2、应用场景及主推方案
专线广域网
NGAF 广域网边界安全域
四大场景
电信
联通
互联网接入域
AC/SG
链路负载
NGAF
NGAF
WEB交易系统 WEB门户网站
融合现网环境，与传统安全形成异构
深信服下一代防火墙NGAF是什么？
NGAF是面向应用层设计，能识别用户、应用和内容，具备完整安全防护能力的高性能下一代防火墙。
• 防应用层攻击 • 双向内容检测 • 涵盖传统安全 • 应用层高性能 • 模块智能联动
深信服下一代防火墙NGAF是什么？
• NGAF是新一代安全产品，可替代FW、IPS、AV、WAF、 UTM、网页防篡改等安全产品，可提供完整L2-L7安全防御功能。

深信服移动业务解决方案培训课件

深信服
互联网
远程应用发布
客户无需开发，即可通过轻松将各类应用系统发布到和等智能终端使用
出差员工
移动网点
拜访客户
移动
优点：
用户体验好
离线访问
个性化高
移动使用问题
安全性
开发难度
易用性
数据明文传输，数据易泄露，威胁内部业务系统安全
传统用户名密码认证薄弱，易被攻击
开发人员集成难度大
成功案例
2020/12/3
20.12.300:41:1800: 4100:4120.12.320. 12.300:41
谢谢
00:4100:41:1 820.12.320.1 2.300:41:18
2020年12月3日星期四12时41分18秒
•
每一次的加油，每一次的努力都是为了下一次更好的自己。20.12. 320.12. 3Thursday, December 03, 2020
政府
小额贷款信用卡开卡银行厅堂管理
金融
• 移动销售系统 • 移动CRM系统 • 价格审批系统
企业
教育
• 电子书包 • 移动图书馆
政府/卫生行业典型应用场景
• 典型场景：
• 海关，需要为海关执法人员配备统一的终端，以供其进行移动执法；对其他部门的人员实行策略，开放公文流转、行政审批系统进行移动办公。
•
感情上的亲密，发展友谊；钱财上的亲密，破坏友谊。20. 12.32020年12月3日星期四12时41分 18秒20.12.3
谢谢大家！
系统建设需求：所有终端统一管理设备拒绝接入网络专机专用管理员群发通知
深信服解决方案：设备注册安全策略关联应用安装禁止即时消息推送

SANGFORADV基础知识培训

术语及原理
解部分AD常用技术的工作原理
SANGFOR AD
SANGFOR AD产品应用背景 SANGFOR AD基本功能介绍 SANG深FO信R服A公D常司用简术介语及原理
SANGFOR AD 产品应用背景
AD产品的应用背景
数据统一集中管理是趋势 1. 节省人力成本、管理成本、采购成本等 2. 改善多部门间的协调统一、分工合作 3. 提升工作效率和大型组织的竞争力
优先级：
优先级调度优先级高的节点，优先级高的节点不可用时才会调度到下一节点。
哈希：
根据hash的关键字（如URI、源IP等）经过hash运算得到哈希值，使不同的关键字尽可能平均调度各节点池中各个节点。
3.2.4.会话保持
会话保持：一种援引之前的命中情况来选择命中服务器的方式。会话保持有以下两方面作用： 1.对于同一个访问，保证数据分配到相同的节点。例如用户登录到某应用系统调度到服务器A，然后点击另外一个链接，此时如果又调度到服务器B，那么B服务器会要求重新登录。 2.减少AD的重复运算，提高性能。
从远程用户的角度看，无论真正提供服务的服务器有多少，只存在一个逻辑上的服务器——虚拟服务器。
链路负载: 让发布的服务能在多条链路上实现，提高发布的可靠性和速度。
链路负载
服务器负载: 通过在负载均衡上作流量的分配和优化，提高应用系统的可靠性，提高远程用户访问的速度，降低应用服务器的负荷。
服务器负载
多台服务器提供同一种应用，AD设备根据设定的方法智能的判断服务器是否正常。
1
2
3
检查服务器是否正常的方法有7种：
ICMP监视器、ICMPV6、CONNECT(TCP)监视器、
YSE

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

公司决策层希望实现上班时间能封堵所有员工的P2P和迅雷等多线程下载，玩游戏和炒股，其余部门的人员不准上班时间使用QQ和MSN ，只有技术支持和销售部门才能使用QQ和 MSN聊天，但是要审计聊天内容，下班时间所有的应用都能允许使用，另外所有人的上网行为需要被审计。
上网策略典型应用场景及配置
我们先来分析下客户的需求： 1. 技术支持和销售部门上班时间不允许P2P和迅雷等多线程下载工具下载，玩游戏和炒股，所有上网行为需要被审计，包括QQ和MSN 的聊天内容。其他公司人员上班时间不允许P2P和迅雷等多线程下载工具下载，玩游戏和炒股，QQ/MSN聊天，所有上网行为需要被审计
用户名密码认证场景
案例背景
DMZ服务器防火墙
Si
核心交换
某集团公司内部有办公区和公共上网区，要求实现办公区（192.168.1.0/24）用户上网不能修改IP和MAC地址，公共上网区（192.168.2.0/24）则需要输入账号和密码才能上网，确保网络行为能跟踪到。
解决方案
当用户首次通过AC上网时，AC会要求用户提交用户名密码信息，如果用户提交的用户名密码信息和AC本机保存的信息一致时，给予认证通过。用户名密码认证适用于内网用户IP/MAC不固定、上网需要身份识别，或者内网存在第三方用户名密码认证服务器的网络环境。可以手动在AC上新建用户名和密码，也可以直接沿用第三方认证服务器上的账号和密码(SANGFOR AC与第三方认证服务器结合，支持 LDAP，RADIUS, POP3第三方服务器认证)。
上网策略分类
AC 3.0开始将上网策略分为六大类，分别如下：上网权限策略：主要控制用户能够使用网络资源的权限（能做什么），包括上网应用控制，网页过滤，SSL控制，邮件过滤功能上网审计策略：审计用户上网行为（做了什么），包括应用审计，外发文件告警，流量与上网时长统计，网页内容审计上网安全策略：防止用户使用不安全的网络资源，包括危险行为识别，ActiveX插件过滤和脚本过滤
上网策略分类
终端提醒策略：提醒用户不恰当使用网络资源的情况，包括上网时长提醒，上网流量提醒，公告页面流量配额与时长控制策略：限制用户能使用网络资源的流量和时长，包括流量配额，上网时长控制，并发连接数控制准入策略：终端用户满足特定条件准许使用网络资源，审计加密的IM软件的聊天内容
组织结构与上网策略的关联
SANGFOR AC部署模式介绍
• 旁路模式_简介
1、旁路模式是AC三种工作模式中最简单的一种，但也是所能实现功能较弱的一种部署方式，此种部署模式对客户原有网络无任何影响，即使设备宕机也不影响客户网络。 2、旁路模式AC只用于上网行为的审计和基于TCP应用的控制功能，对基于、旁路模式只用于上网行为的审计和基于应用的控制功能，对基于 UDP协议的应用无法控制。不支持流量管理，准入系统，NAT, VPN, DHCP 等功能。 3、旁路模式下，AC使用LAN/WAN口接核心交换机或者是核心出口路由器上，需要路由器或者是核心交换机支持镜像功能，将流量上下行镜像到AC上来。
认证方式介绍
1、不需要认证
设备根据数据包的源IP地址、源MAC地址、上网计算机的计算机名来识别用户。不需要认证的识别方式，优点是用户上网前浏览器中不会弹出认证框，要求输入正确的用户名密码才能上网。因此用户不会感知到设备的存在。
认证方式介绍
2、密码认证(包括本地密码认证和第三方服务器认证)
典型部署模式与配置
网桥模式配置截图
二、用户认证技术
SANGFOR AC 认证功能介绍
所有计算机上网前必须通过SANGFOR AC的认证才可上网。通过认证功能用于识别内网上网用户的身份，为后续流量管理、用户上网权限策略及应用审计提供基础。
SANGFOR AC的认证方式：
1、不需要认证（IP/MAC绑定） 2、密码认证（包括本地密码认证和第三方服务器认证） 3、单点登录
典型部署模式与配置
路由模式
网桥模式
典型部署模式与配置
路由模式_部署指导
1、首选需要了解客户的实际需求，客户是否必须要用到AC的VPN、 NAT（代理上网和端口映射）、DHCP这几个功能。如果客户网络中已经有其它设备实现了这些功能或者是客户根本用不到这些功能则应首先考虑网桥模式部署。 2、客户新规划建设的网络中来部署AC，相当于一个全新的网络规划，客户想把AC当作一台防火墙部署在出口上，可以部署成为路由模式。 3、客户网络中原有防火墙或者路由器了，出于某方面的原因想用AC替换掉原有出口的防火墙或者路由器。
2.
上网策略典型应用场景及配置
配置思路： 1. 在AC的用户组织结构中建立两个用户组：技术支持和销售部门组，默认组。（也可以按照公司部门结构分别建立多个用户组，根据策略的情况，最少要建立两个用户组）具体配置在用户认证部分的 PPT中介绍，这里不再累述。新建两条上网权限策略：技术支持和销售部门上网权限：上班时间封堵P2P和迅雷等多线程下载工具下载，玩游戏和炒股。关联技术支持和销售部门组。其他员工上网权限：上班时间封堵P2P和迅雷等多线程下载工具下载，玩游戏和炒股，QQ/MSN。关联默认组。
SANGFOR AC 基本功能培训
AC培训大纲 SANGFOR AC培训大纲
一、设备部署模式二、用户认证技术二、组织结构与上网策略三、流量管理系统
一、设备部署模式
SANGFOR AC部署模式介绍
• 部署模式_简介
1、部署模式是指设备以什么样的工作模式部署到客户网络中去，具体以何种部署方式需要综合客户具体的网络环境和客户的功能需求而定，不同的部署模式对客户原有网络的影响各有不同。
典型部署模式与配置
典型部署模式与配置
路由模式配置思路
1、网口配置：确定设备外网口（WAN1口）是固定IP或者是ADSL拨号方式，取得相应运营商给的IP地址信息或者是拨号的帐号密码；确定内网口（LAN 口）的IP地址信息； 2、确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机；
3、客户端输入用户名密码认证
当用户访问网站时，AC会重定向一个认证的页面，如左图所示，用户输入正确的用户名密码认证后，才可以继续上网。
实际应用环境演示与互动
添加/修改认证策略
添加/ 编辑用户信息
三、组织结构与上网策略
组织结构和上网策略功能介绍
组织结构组织结构即为用户和用户组的所属层级关系。SANGFOR AC 提供树形的组织结构，通过树形用户结构管理，符合企业的人员结构划分，同时又可以对相同的上网策略进行继承。上网策略介绍上网策略是对用户的上网行为进行控制、提醒、审计。控制用户使用网络资源的权限；对用户使用网络资源情况进行提醒；对用户访问网络的行为进行审计，从而构建一个可管理、可视化的网络环境。简单而言，上网策略就是要实现让网络管理者能够控制用户能做什么，知道用户正在做什么、以及用户做了什么的功能。
配置步骤一（IP/MAC认证的用户）
1、首先为办公区的用户建一个用户组
办公区用户
配置步骤一（IP/MAC认证的用户）
2、配置认证策略新增一个认证策略，选择认证方式，。需求是同时绑定IP/MAC，因此选择IP/MAC绑定，且绑定方式为用户和地址双向绑定。开启新用户选项，自动添加新用户到办公区用户组。
典型部署模式与配置
FW
IP:192.168.1.1/24
AC
网桥IP:192.168.1.3/24 IP:192.168.1.2/24
192.168.2.0/24
192.168.3.0/24
172.16.1.0/24
典型部署模式与配置
网桥模式配ቤተ መጻሕፍቲ ባይዱ思路
网桥模式部署时需要考虑AC串接在前面防火墙和下面的核心交换机之间网段是否存在空闲的主机IP地址，如果有则分配一个该网段的 IP地址给AC作为网桥的IP地址，如果没有空闲IP的话则配置管理口（DMZ）进行管理。
典型部署模式与配置
路由模式配置截图
典型部署模式与配置
网桥模式_部署指导
1、网桥模式部署相比路由模式对客户的网络影响比较小，当客户确定不需要使用AC的VPN、NAT、DHCP功能时，则应考虑部署网桥模式。 2、根据客户原有网络结构决定AC采用是单网桥、双网桥、网桥多网口等方式。典型的网络环境和部署方式：客户原有网络是单核心交换机、单出口防火墙情况下，AC用单网桥；客户原有网络是单核心交换机、两台出口防火墙情况下，AC用双网桥；客户原有网络是两台核心交换机、单台出口防火墙情况下，AC用双网桥；
SANGFOR AC部署模式介绍
• 网桥模式_简介
1、AC以网桥模式部署时对客户原有网络基本没有改动，不需要更改客户原有的网络设备配置。 2、网桥模式时AC不支持NAT（代理上网和端口映射）、VPN、DHCP功能，除此之外AC的其它功能如URL过滤、流控等其它功能均可实现。 3、网桥模式部署AC时，对客户来说是个透明的设备，如果因为AC自身的原因而导致网络中断时可以开启硬件bypass功能，即可恢复网络通信。 4、网桥模式部署时AC支持硬件bypass功能（其它模式部署均没有支持bypass 功能的说法。
SANGFOR AC部署模式介绍
• 网桥模式_3种类型
1、单网桥，这种部署模式是最常见的。AC部署在出口网关设备（防火墙或者路由器）和内网的主交换机中间。常见于客户原有的网络是单核心交换机、单出口防火墙（路由器）的情况下。 2、多网桥，一般情况下两进两出是最常见的。AC部署在出口网关设备（防火墙或者路由器）和内网的主交换机存在多个核心链路之间。常见于客户原有的网络有可能是多核心交机或者是多出口防火墙（路由器）的情况下。 3、网桥多网口，这种部署相对比较少。是指支持将多于两个以上的网口来组成单对网桥。