下载文档原格式
目录目录 (i)声明 ................................................................................................................................................. i v 技术支持.......................................................................................................................................... i v 本手册各章节内容.......................................................................................................................... i v 第1章BM的安装 . (1)1.1环境要求 (1)1.2电源 (1)1.3产品外观 (1)1.4配置与管理 (1)1.5单设备接线方式 (2)1.6登录WebUI配置界面 (2)1.7配置和使用 (4)第2章系统配置 (5)2.1网关运行状态 (6)2.1.1网关运行状态 (6)2.1.2流量状态 (8)2.1.3流量排名 (8)2.1.4活动连接排名 (12)2.1.5连接监控 (13)2.2序列号 (14)2.3网络配置 (15)2.3.1网桥模式 (15)2.3.2网络配置 (15)2.4系统日期和时间 (22)2.5控制台用户管理 (22)2.6 WEBUI配置 (25)2.7配置备份与恢复 (26)2.8重启操作 (27)2.9系统维护 (27)2.10自动升级 (28)2.11系统路由配置 (29)2.12防DOS攻击 (31)第3章对象设置 (32)3.1应用识别规则设置 (33)3.2智能识别规则设置 (36)3.3 IP组设置 (37)3.4时间计划设置 (38)3.5 URL组设置 (39)3.5.1 URL库 (40)3.5.2智能识别 (41)3.6文件类型组设置 (48)3.7 SSL证书库管理 (49)第4章策略管理 (50)4.1上网策略对象 (50)4.1.1新增上网策略对象 (52)4.1.2编辑上网策略对象 (54)4.2认证选项设置 (71)4.2.1新用户认证 (72)4.2.2单点登录选项设置 (75)4.2.3认证通过后页面跳转设置 (87)4.2.4认证冲突设置 (88)4.2.5其它认证选项设置 (89)4.3认证服务器设置 (91)4.3.1 LDAP服务器 (92)4.3.2 RADIUS服务器 (93)4.3.3 POP3服务器 (94)4.4组织结构 (94)4.4.1成员列表 (95)4.4.2上网策略列表 (103)4.4.3编辑访问控制用户 (105)4.4.4用户导入 (112)4.4.5 AD域同步 (116)4.4.6 AD域同步 (122)第5章流量管理系统 (124)5.1流量状态 (125)5.1.1带宽通道 (126)5.1.2排除策略 (127)5.2流量管理 (127)5.2.1带宽分配 (128)5.2.2排除策略 (135)5.3线路配置 (137)第6章流量审计系统 (140)6.1访问控制日志选项 (140)6.2数据中心入口 (141)第7章网关日志与故障排除 (142)7.1日志查看 (143)7.2策略故障排除 (144)第8章高级配置 (146)8.1代理服务器控制 (146)8.2排除IP地址 (147)8.3页面定制 (148)第9章使用帮助 (149)9.1新手向导 (149)第10章网关升级客户端 (149)声明Copyright © 2008 深圳市深信服电子科技有限公司及其许可者版权所有，保留一切权利。
深信服上网行为管理系统用户手册深信服上网行为管理系统用户手册AC 12.0.18用户手册目录前言 (2)手册内容 (2)本书约定 (2)图形界面格式约定 (2)各类标志 (3)技术支持 (3)致谢 (3)第1 章安装指南 (4)1.1.环境要求 (4)1.2.电源 (4)1.3.产品外观 (4)1.4.配置与管理 (5)1.5.单设备接线方式 (5)1.6.双机备份接线方式 (7)第2 章控制台的使用 (8)2.1.登录WebUI配置界面 (8)2.1.1.AC的web 登录方式 (8)2.1.2.统一认证中心的登录方式 (11)2.2.配置和使用 (12)第3 章功能说明 (15)3.1.增值服务导航 (15)3.1.1.激活设备 (15)3.1.2.进入技术社区 (17) 3.1.3.“信服君”机器人 (18) 3.2.行为感知系统 (19)3.2.1.办公网上网态势 (22) 3.2.2.带宽分析 (31)3.2.3.泄密追溯分析 (33) 3.2.4.离职倾向分析 (36) 3.2.5.工作效率分析 (40) 3.2.6.未关机检测分析 (42) 3.3.实时状态 (43)3.3.1.实时状态 (43)3.4.对象定义 (89)3.4.1.应用特征识别库 (91) 3.4.2.应用智能识别库 (97) 3.4.3.自定义应用 (100)3.4.4.URL分类库 (104) 3.4.5.URL库列表 (104) 3.4.6.准入规则库 (109)3.4.7.网络服务 (129)3.4.8.IP 地址库 (131)3.4.9.时间计划组 (139)3.4.10.关键字组 (141)3.4.11.文件类型组 (143) 3.4.12.位置对象组 (144) 3.5.用户认证与管理 (147) 3.5.1.原理 (147)3.5.2.用户认证 (151)3.5.3.用户管理 (220)3.5.4.认证高级选项 (259) 3.6.策略管理 (277)3.6.1.上网策略 (278)3.6.2.策略高级选项 (368)3.7.流量管理 (375)3.7.1.概述 (375)3.7.3.通道配置 (377)3.7.4.线路带宽配置 (414)3.7.5.虚拟线路配置 (415)3.7.6.流量可视化 (425)3.8.终端接入管理 (425)3.8.1.共享接入管理 (426)3.8.2.移动终端管理 (430)3.8.3.代理工具管理 (433)3.9.上网安全 (438)3.9.1.安全状态 (438)3.9.2.安全配置 (441)3.10.VPN配置 (457)3.10.1.DLAN运行状态 (457) 3.10.2.多线路设置 (458)3.10.3.SDWAN智能选路 (460) 3.10.4.基本设置 (472)3.10.5.用户管理 (474)3.10.6.连接管理 (488)3.10.7.虚拟IP 池 (491)3.10.8.本地子网列表 (492) 3.10.9.隧道间路由设置 (494) 3.10.10.第三方对接 (497)3.10.11.通用设置 (509)3.10.12.证书管理 (511)3.10.13.高级设置 (515)3.11.系统管理 (527)3.11.1.防火墙 (527)3.11.2.网络配置 (544)3.11.3.系统配置 (633)3.12.网络安全法 (693)第4 章案例集 (696)4.1.单点登录配置案例 (696)4.1.1AD域单点登录功能配置案例 (696)4.1.2PROXY单点登录配置案例 (723)4.1.3POP3单点登录配置案例 (732)4.1.4Web单点登录配置案例 (737)4.1.5与第三方设备结合单点登录配置案例 (741)4.1.6深信服设备结合认证 (756)4.1.7数据库系统结合认证 (759)4.2.不需要认证用户配置案例 (762)4.3.密码认证用户配置案例 (769)4.3.1短信认证 (769)4.3.2微信及二维码认证 (787)4.3.3密码认证 (801)4.4.其他认证配置案例 (810)4.5.与cas第三方认证配置案例 (825)4.6.策略配置案例 (828)4.6.1针对某用户组设置封堵P2P 和P2P流媒体的策略 (828) 4.6.2针对某用户组设置IM 监控的策略 (832)4.6.3针对某用户组设置开启审计功能 (836)4.7.终端管理配置案例 (838)4.7.1防共享功能配置案例 (838)4.7.2移动终端管理配置案例 (840)4.7.3代理工具理配置案例 (841)4.8.SNMPTRAP配置案例 (842)4.9.综合案例 (846)4.9.1客户网络环境与需求 (846)4.9.2配置思路 (847)附录：SANGFOR设备升级系统的使用 (865)产品升级步骤 (868)前言手册内容第1 部分SANGFOR AC 产品概述。
流量控制技术说明1.带宽管理1.1流量可视化带宽有限，应用无限——组织不断地扩展互联网出口带宽，但仍然感觉不充裕，一旦内网存在网络行为不规范、滥用带宽资源的用户，IT管理员的工作就会饱受抱怨：网络太慢、业务系统访问迟缓、页面迟迟打不开、邮件发送缓慢等。
对此，AC为IT管理员提供了网络流量可视化方案，登陆AC控制台后，管理员可以查看出口流量曲线图、当前流量TOP N应用、用户流量排名、当前网络异常状况（包括DOS 攻击、ARP欺骗等）等信息，直观了解当前网络运行状况。
此外，数据中心（Network Database Center，NDC）对内网用户的各种网络行为流量进行记录、审计，借助图形化报表直观显示统计结果等，帮助管理员了解流量TOP N用户、TOP N应用等，并自动形成报表文档，定时发送到指定邮箱，让IT管理员轻松掌控用户网络行为分布和带宽资源使用等情况，了解流控策略效果，为带宽管理的决策提供准确依据。
如果您是一位大型机构的CIO或CEO，您需要面对的问题将远不止这些，而AC数据中心的功能需要您亲身体验和掌握。
当您面对数据中心的Web页面，通过几次鼠标点击就发现网络及管理中存在的问题时，您将感受到领先技术带来的极富乐趣的用户体验。
1.2流量管理当您了解了带宽的使用情况，并对带宽进行优化和分配后，我们即将对用户(组)的上网行为做进一步的管理和控制。
1.2.1多线路复用和智能选路很多组织拥有电信、网通等两条以上互联网出口链路，如何同时复用多条链路并做到流量的负载均衡与智能分担？通过AC特有的多线路复用及带宽叠加技术，AC复用多条链路形成一条互联网总出口，提升整体带宽水平。
再结合多线路智能选路专利技术（专利号：ZL200610061591.9），AC将出网流量自动匹配最佳出口。
1.2.2基于应用/网站/文件类型的智能流量管理有限的带宽资源如何分配给不同部门/用户、不同应用，如何保障核心用户核心业务带宽，限制网络杀手如BT迅雷等等占用资源？AC可以基于不同用户(组)、出口链路、应用类型、网站类型、文件类型、目标地址、时间段进行细致的带宽划分与分配。
附件五上网行为管理AC-1200配置管理文档1. 设备名称本系统上网行为管理设备采用深信服公司生产的AC-1200。
2.设备功能根据用户提出的应用需求，AC-1200在本系统中的设计功能是对网络资源进行合理的分配，并对内部工作人员的上网行为进行规范，以及对防火墙的功能进行必要的补充。
3.设备硬件信息3.1 AC-1200产品外形AC-1200产品外形和接口信息如图1所示。
图1 AC-1200产品外形和接口信息网络连接与管理方式AC-1200的ETH0（LAN）口通过透明网桥的方式与核心交换机CISCO4506的GE3/1连接，加入本地局域网络。
ETH2(WAN1)口与路由器CISCO2821，与Internet连接。
ETH1(DMZ)端口作为WEB管理端口连接到核心交换机的G3/30。
设备端口IP地址分配见表1。
本设备只提供WEB管理方式。
通过网络连接到WEB管理端口，打开浏览器，在地址栏输入https://192.168.5.41 ，进入管理页面输入用户名和密码，单击“登录”，即可进入管理界面，如图2所示。
表1设备端口IP地址分配表图2 WEB登录页面4. 配置管理4.1 WEBUI界面登录后看到的是WEB管理的首页，包含左侧的功能菜单栏和右侧的状态信息显示。
如图3所示。
图3 WEB用户管理界面4.2 系统配置系统配置部分包含系统信息、管理员帐户、系统时钟等信息。
4.2.1 系统信息系统信息包含系统内的序列号和license信息，如图4所示。
图4系统信息4.2.2 管理员帐户本系统内除admin帐户外，另创建了一个gtyl管理员帐户，其权限与admin相同。
图5所示为管理员帐户列表。
图5管理员帐户列表如需对管理员帐户进行配置，直接单击蓝色用户名，如需创建新管理员，单击左上角“新增”图标，即可进入创建页面。
4.2.3 系统时间系统时间设置界面如图6所示。
图6系统时间设置页面4.2.4 系统升级如图7列表中所显示的，除病毒库未购买升级服务，网关补丁不需购买服务外，其他服务都在2012年4月7日到期，到时可根据实际情况决定是否购买。
深信服上网行为管理-管理员手册深信服电子科技有限公司本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第2章系统管理............................................................2.1设备登录...........................................................2.2管理员配置.........................................................2.2.1修改管理员密码...............................................2.2.2创建二级管理员...............................................2.3系统基本信息配置...................................................2.3.1序列号.......................................................2.3.2系统时间.....................................................2.3.3规则库升级...................................................2.3.4全局排除地址.................................................2.3.5设备配置备份与恢复...........................................2.3.6WEBUI选项....................................................2.3.7远程维护.....................................................第3章网络配置............................................................3.1部署模式...........................................................3.2静态路由...........................................................第4章策略管理............................................................4.1用户认证与管理.....................................................4.1.1用户组管理...................................................4.1.2认证策略.....................................................4.1.3不需要认证...................................................4.1.4IP/MAC绑定...................................................4.1.5不允许认证...................................................4.2策略管理...........................................................4.2.1购物娱乐类网站...............................................4.2.2P2P及P2P流媒体封堵..........................................4.2.3外发文件封堵.................................................4.2.4上网审计.....................................................4.3流量管理...........................................................4.3.1线路带宽配置.................................................4.3.2保证通道.....................................................4.3.3限制通道.....................................................4.4终端接入管理.......................................................4.4.1共享接入管理................................................. 第5章日志中心管理........................................................5.1日志中心配置.......................................................5.1.1准备工作.....................................................5.1.2外置日志中心安装过程.........................................5.1.3日志中心登录.................................................5.1.4同步策略设置.................................................5.1.5AC同步配置...................................................5.2日志中心登录.......................................................5.2.1内置日志中心登录.............................................5.2.2外置日志中心登录.............................................5.3日志查询...........................................................5.3.1所有行为日志.................................................5.3.2网站访问日志.................................................5.3.3邮件收发日志.................................................5.3.4发帖/发微博日志..............................................5.3.5其他日志.....................................................5.3.6日志导出.....................................................5.3流量时长分析.......................................................5.4报表中心...........................................................5.5系统管理........................................................... 第1章前言本手册用于讲解AC常见功能操作方法，为管理员提供日常策略维护指导。
深信服VPN客户端用户手册1.1环境要求1、操作系统：Windows系统，包括windows2000/2003/xp以及vista，不支持WIN98。
2、浏览器：IE5.0以及以上版本，或者基于IE同版本内核的浏览器（如MyIE），不支持Firefox等非IE内核的浏览器注意：只使用『WEB资源』的环境下，可以支持任何浏览器；需要使用其他资源或用到其他通过控件实现的功能时，只能使用IE。
3、电脑安装3721、上网助手等工具，可能会影响正常使用SSL VPN，最好先卸载。
1.2初次配置IE浏览器配置使用SSL VPN之前，可能需要对浏览器进行必要的设置。
步骤如下：（以下所有截图皆在Windows XP系统下的IE为例，其它操作系统或浏览器，界面可能稍有不同）打开IE中的【工具】－【Internet选项】，如下图：打开Internet选项中的【高级】选项卡，勾选【使用SSL2.0】、【使用SSL3.0】和【使用TLS1.0】选项，设置如下图：1.3日常操作1、欢迎页面通常情况下，访问VPN的IP地址http://159.226.152.4，即可进入以下欢迎页面：『提交』连接用于用户名、密码认证用户登录。
『证书登录』和『DKey登录』目前不适用。
2、安全警告框处理访问SSL VPN时，如果弹【安全警告】，提示需要安装数字证书，如下图所示：第一次使用时，请点击【查看证书】按钮，以完成“根证书”的安装。
查看证书界面如下：点击【安装证书】按钮，然后【下一步】，选择“证书存储”的位置，如下图：点【下一步】，并【完成】，会出现【安装证书】的警告框如下，选【是】进行安装。
安装完毕后，会有证书【导入成功】的提示，以后再登录时将不会再出现安全警告框。
3、控件安装如果登录SSL VPN的用户需要访问定义好的『APP服务』，则登录成功后，会自动安装控件或者需要点击【启用APP服务】，出现如下安装页面，选择安装：如果登录SSL VPN的用户需要访问定义好的『IP资源』，则登录成功后，会自动安装控件或者需要点击【启用IP服务】，出现如下安装页面，选择安装：4、可访问资源根据不同的用户认证组合方式登录成功后会出现『SSL VPN资源列表』，请根据需要点击进入。
附件五上网行为管理配置管理文档. 设备名称本系统上网行为管理设备采用深信服公司生产的。
2.设备功能根据用户提出的应用需求，在本系统中的设计功能是对网络资源进行合理的分配，并对内部工作人员的上网行为进行规范，以及对防火墙的功能进行必要的补充。
3.设备硬件信息产品外形产品外形和接口信息如图所示。
图产品外形和接口信息网络连接与管理方式的（）口通过透明网桥的方式与核心交换机的连接，加入本地局域网络。
()口与路由器，与连接。
()端口作为管理端口连接到核心交换机的。
设备端口地址分配见表。
本设备只提供管理方式。
通过网络连接到管理端口，打开浏览器，在地址栏输入，进入管理页面输入用户名和密码，单击“登录”，即可进入管理桌面，如图所示。
表设备端口地址分配表图登录页面. 配置管理桌面登录后看到的是管理的首页，包含左侧的功能菜单栏和右侧的状态信息显示。
如图所示。
图用户管理桌面系统配置系统配置部分包含系统信息、管理员帐户、系统时钟等信息。
系统信息系统信息包含系统内的序列号和信息，如图所示。
图系统信息管理员帐户本系统内除帐户外，另创建了一个管理员帐户，其权限与相同。
图所示为管理员帐户列表。
图管理员帐户列表如需对管理员帐户进行配置，直接单击蓝色用户名，如需创建新管理员，单击左上角“新增”图标，即可进入创建页面。
系统进度系统进度设置桌面如图所示。
图系统进度设置页面系统升级如图列表中所显示的，除病毒库未购买升级服务，网关补丁不需购买服务外，其他服务都在年月日到期，到时可根据实际情况决定是否购买。
在服务期内的项目已全部设置自动升级。
图系统升级全局排除地址全局排除地址列表中的服务器网址不受监控和限制，如图所示。
本次设置未启动该项目，今后可根据实际应用自行设置。
图全局排除地址网络配置本系统网络配置为透明方式，()和()之间配置网桥，线路从路由器连接到口，端口连接到核心交换机的端口，配置为管理端口，加入，地址为。
如图列表所示。
图网络配置防火墙防火墙功能使用实现，此处不做配置。
深信服用户管理以及流量管理配置教程
一、新增用户组
登陆设备后点击左边的“导航菜单”→“用户与策略管
理”→“组/用户”
在右边会出现设备的用户组织结构，这里出现了
default、公司领导、普通员工、服务器和网络管理中
心五个用户组。
其中default用户组是系统默认存在的，其它四个是通过以下方法增加的。
如下图所示，点击右边的“成员管理”→“新增”
选择“组”选项，就会出现如下界面
在“组名列表”种输入工作组的名称点击“提交”即可。
公司领导、普通员工、服务器和网络管理中心四个用户组都是这样添加进去的。
二、在用户组中添加用户
如下图所示，以在“网络管理中心”用户组增加新用户为例，点击“网络管理中心”用户组，右边会列出该用户组中的所有用户，点击“成员管理”→“新增”→“用户”
出现如下图界面,其中在“启用此用户”那里打钩，这里的策略是用IP地址作为用户名，在“显示名”那里填写了显示名后，该显示名会附加出现在登陆名后。
有时候会出现下面的警告
这是因为该IP地址以前已经被设备识别了，被设备默认加入了default用户组中了，而同一个用户是不能同时存在两个不同的用户组中的。
因此，去default用户组寻找到该用户，并将该用户移动到“网络管理中心”用户组中。
如下图所示：
出现以下界面
单击选择“网络管理中心”，出现以下界面
点击“移动”即可。
这样，就可以把所有需要的用户添加到相应的用户组中了。
三、新增线路
所谓线路这里就是指出去外网的链路，藤县水利电业有限公司现在只有一条正在使用的外网链路，所以只需要设置一条线路即可。
如上图所示，进入导航菜单→流量管理→虚拟线路配置
在右边的“虚拟线路列表”中点击“新增”出现以下界面
因为藤县水利电业有限公司的外网带宽为10Mb/s，折算后为1280KB/S，点击“提交”即可。
四、通道配置
所谓通道这里就是把同一条物理线路为不同的用户组划分为不同的逻辑线路，以实现网络带宽的合理分配。
如上图所示，进入
导航菜单→流量管理→通道配置，在右边的“带宽分配”那里点击“新增通道”，则出现
点击“新增一级通道”，出现下面界面
必须勾选“启用通道”，在“通道名称”里输入名称，这里是服务器的通道，所以输入“服务器”三字。
在“通道编辑菜单”—》“带宽通道设置”中生效线路选择“线路一”。
“带宽通道类型”中选择“保证通道”，这是因为服务器必须保证有通信正常，选择保证通道可以保证一定量的带宽只
能给服务器使用，其它用户无法占用。
这里上行带宽设置保证有40%是属于服务器使用的，最大100%，即服务器可以完全占用线路一。
下行带宽设置同理。
这里“优先级”选择“高”，表示该通道比其它通道优先占用空闲的带宽（即除保证通道最小带宽外的带宽）
“通道编辑菜单”—》“通道使用范围”
在“适用对象“中自定义。
然后点击“选择自定义对象”
选择“服务器”后点击确定即可。
下面设置的是限制通道，所谓限制通道是指使用该通道的用户最多可以占用设定的带宽，而不能超出此带宽。
如下图所示
这里设置普通员工通道上行带宽最多占40%，下行带宽同理。
这里优先级选择低，意味着该通道在与服务器争用空余带宽时处于劣势。
这里还可以设置单个IP可以使用最大的带宽。
然后进入“通道编辑菜单”—》“通道使用范围”如下图所
示
在“适用对象”处选择“自定义”，然后点击蓝色的“选择自定义对象”，如下图：
选择“普通员工”后点击确定即可。
公司领导与网络管理中心通道的设置同理。
