深信服SSL VPN总结VPN 是一种能够通过共享的网络基础设施，如：在因特网上提供安全、可靠连接的服务。
VPN 定义为专用网络之间通过公共网络实现的加密连接。
Vpn 默认地址：https://10.254.253.254：1000，账户名/密码：Admin/Admin，默认eth0口ip：10.254.253.254，默认eth1口ip：10.254.254.254VPN的部署模式：1）网关（多线路、单线路）模式2）单臂（多线路、单线路）模式1.网关（多线路、单线路）模式对客户的环境做比较大的改动，用SSL设备替换原有部署在出口处的路由器。
2.单臂（多线路、单线路）模式对客户的网络环境无变动，宕机也不影响网络，只连接LAN口到内网，防火墙、DHCP、NAT等功能无法使用认证方式：1)用户名、密码认证2)数字证书/DKEY认证3)LDAP认证4)RADIUS认证5)短信认证6)硬件特征码认证7)令牌认证1.用户名、密码认证基于用户名和密码的认证，用户登录正确的用户名和密码即可登录2.数字证书/DKEY认证数字证书认证包括自建CA和第三方CA，自建和第三方CA包括数字证书和DKEY，DKEY包括有驱DKEY和无驱DKEY（注意：生成了无驱DKEY不能再生成有驱DKEY；有驱DKEY可生成无驱DKEY）3.LDAP认证轻量级目录访问协议TCP 3894.RADIUS认证：远程用户拨号系统（目前最广泛的AAA认证）UDP 1812(认证) UDP1813（计费）5.短信认证：SSL 设备通过发送短信校验码至用户绑定的手机号码上, 用户正确输入短信校验码后才能登陆SSL。
短信认证需开通序列号才能使用。
（短信认证属于辅助认证，必须同时使用一种主要认证）6.硬件特征码认证：实现SSL VPN 账号和计算机硬件绑定，一个账号只能使用一台或者几台特定的电脑才能登陆，实现账号的安全性（硬件特征码属于辅助认证，必须同时使用一种主要认证）读取接入电脑硬件信息顺序：硬盘ID->网卡MAC>C盘ID>D盘ID>E盘ID...7.令牌认证：（令牌认证属于辅助认证，必须同时使用一种主要认证）VPN设备安全包括：1)多种方式组合认证2)主从账号绑定（专利）3)客户端安全检查4)安全桌面5)防止中间人攻击6)可选消除缓存1.多种方式组合认证：用多种认证方式组合在一起认证2.主从账号绑定：将系统账号与VPN账号绑定，确保账号的安全性3.客户端安全检查：①准入：确保客户的网络环境安全方可登陆②授权：根据登陆账号的安全策略，放行符合策略的访问权限4.安全桌面：启用一个虚拟的桌面进行操作，避免泄露信息5.防止中间人攻击：针对伪造的证书和SSL通道进行检测，并给用户发送告警信息6.可选消除缓存退出SSL VPN是自动删除一切信息VPN设备速度包括：1)TCP快速传输协议2)多线路只能选路3)资源负载均衡4)WEB优化5)流缓存1.TCP快速传输协议基于UDP的可靠传输协议，提高TCP的传输效率2.多线路智能选路实时检测线路，确保线路稳定快速3.资源负载均衡动态选择接入的服务器，提高访问速度4.WEB优化通过图片缩小、过滤、模糊化策略对图片做优化处理，提高访问速度5.流缓存访问过后自动记录缓存，方便下次直接提取Sangfor SSL资源是指远程接入SSL VPN后可供访问的内网服务。
登录界面：系统默认DMZ端口IP为：10.252.252.252 LAN端口IP为：10.251.251.251 登录方式：https://10.252.252.252 (DMZ端口) https://10.251.251.251 (LAN端口)用户名：Admin 密码：Admin一、系统设置：1.1、网关状态：可以查看CPU使用量，会话数，活动连接排名，实时流量。
1.2、网关安全状态：1.3、序列号:1.4、网关运行模式：配置网关的工作模式。
网桥是一种透明的方式，对目前的网络状态不构成影响，路由为代替网关的模式，旁路为从交换机抓取数据。
我们可以点击右下面的“开始配置”：A、我们以“路由模式”为例：选择路由模式-“下一步”，出现LAN的地址配置界面如下：默认地址为：10.251.251.251,您可以修改自己的IP地址根据需要。
“下一步”将进入WAN口配置，您可以选择“ADSL拔号”输入用户名与密码，也可以选择“以太网”进行固定IP配置，或自动获取IP。
“下一步”按钮，进入代理网段设置：这个网段比较重要，例如，您的LAN口地址必须是10.251.251.0/255.255.255.0，如果在路由模式192.168.0.1，那么代理网段为192.168.0.0/255.255.255.0配置正确后，我们将进入最后的保存状态：点击“完成”或“取消配置，进行保存或放弃保存。
B、网桥模式：（以原客户网络地址为192.168.0.*为例），我们在路由器与交换机之间设置AC产品。
“下一步”点击后，输入基于网桥工作状态下的IP地址与掩码，请先点击“清空列表”清除原有默认的IP地址，在IP地址，子网输入的正确的IP与掩码后，点击“添加”，输入本网中的默认网关与DNS地址。
“下一步”，如果是基于三层交换机的，请输入VLAN的地址。
如果客户购买的是多WAN口的，并已经经过出厂授权的，将看到多WAN状态，可分别对双WAN与双LAN口（其中一个为DMZ）进行网桥模式工作，适合于双WAN口线路，双路由器方式，默认会出现:LAN<->WAN.管理口地址为DMZ端口的IP地址，这个地址可以默认为原出厂地址，不能跟局域网地址一样。
深信服上网行为管理部署方式及功能实现配置说明（标化院）设备出厂的默认IP见下表：AC支持安全的HTTPS登录，使用的是HTTPS协议的标准端口登录。
如果初始登录从LAN口登录，那么登录的URL为：https://10.251.251.251，默认情况下的用户名和密码均为admin。
设备正常工作时POWER灯常亮，W AN口和LAN口LINK灯长亮，ACT灯在有数据流量时会不停闪烁。
ALARM红色指示灯只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。
如果在安装时此红灯长亮，请将设备掉电重启，重启之后若红灯一直长亮不能熄灭，请与我们联系。
『部署模式』用于设置设备的工作模式，可设定为路由模式、网桥模式或旁路模式。
选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。
路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能；旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。
选择【导航菜单】中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，会出现『路由模式』、『网桥模式』、『旁路模式』的选项，选择想要配置的网关模式。
路由模式：是把设备作为一个路由设备使用，一般是把设备放在内网网关出口的位置，代理局域网上网；或者把设备放在路由器后面，再代理局域网上网。
配置方法：第一步：先配置设备，通过默认IP登录设备，比如通过LAN口登录设备，LAN口的默认IP是10.251.251.251/24，在电脑上配置一个此网段的IP地址，通过https://10.251.251.251登录设备，默认登录用户名/密码是：admin/admin。
SANGFOR SG快速安装手册技术支持说明为了让您在安装，调试、配置、维护和学习SANGFOR设备时，能及时、快速、有效的获得技术支持服务，我们建议您：1.参考本快速安装手册图文指导，帮助你快速的完成部署、安装SANGFOR设备。
如果快速安装手册不能满足您的需要，您可以到SANGFOR技术论坛或官网获得电子版的完整版用户手册或者其他技术资料，以便你获得更详尽的信息。
2.致电您的产品销售商（合同签约商），寻求技术支持。
为了更快速的响应您的服务要求和保证服务质量，您所在地的SANGFOR的产品销售商配备有经过厂家认证的技术工程师，会向您提供快捷的电话咨询、远程调试及必要的上门技术服务。
3.在不紧急的情况下，您可以访问SANGFOR的技术论坛，寻求技术问题的解决方案和办法。
4.致电SANGFOR客服中心，确认最适合您的服务方式和服务提供方，客服中心会在您的技术问题得到解决后，帮助您获得有效的服务信息和服务途径，以便您在后续的产品使用和维护中最有效的享受技术支持服务，及时、有效的解决产品使用中的问题。
SANGFOR技术论坛：公司网址：技术支持服务热线：400-630-6430（手机、固话均可拨打）邮箱：support@目录技术支持说明 (1)目录 (2)声明 (3)前言 (4)第1章SG系列硬件设备的安装 (5)1.1环境要求 (5)1.2电源 (5)1.3产品接口说明 (5)1.4配置与管理 (6)1.5单设备接线方式 (8)1.6双机备份接线方式 (9)第2章SG系列硬件设备部署 (11)2.1路由模式 (12)2.1.1路由模式部署配置案例 (13)2.2网桥模式 (19)2.2.1网桥多网口 (19)2.2.2多网桥 (25)2.2.3DMZ口重定向 (32)2.3旁路模式 (37)2.3.1旁路模式部署配置案例 (38)2.4单臂模式 (43)2.4.1单臂模式部署配置案例 (43)2.5高可用性配置案例 (46)2.5.1多机同步 (46)2.5.2双机维护 (50)第3章基本功能配置 (55)3.1封堵P2P应用配置案例 (55)3.2审计用户上网行为配置案例 (59)3.3限制下载工具的网络流量配置案例 (61)3.4保证重要应用网络流量配置案例 (67)3.5上网加速配置案例 (73)3.6上网代理配置案例 (74)3.7防共享功能配置案例 (75)3.8无线管理配置案例 (78)3.8.1客户网络环境与需求 (78)3.8.2无线基本配置 (79)3.8.3配置开放式无线网络案例 (79)3.8.4配置企业级认证无线网络案例 (82)第4章密码安全风险提示 (86)4.1修改控制台登录密码 (86)声明Copyright©2015深圳市深信服电子科技有限公司及其许可者版权所有，保留一切权利。
