深信服上网行为管理流量管理系统配置说明

新上网行为管理系统安装调试手册系统平台：RedHat Linux Enterprise 4;安装方式：自定义安装；安装前设置: 启用防火墙(允许ssh服务和ftp服务)软件包选择: 只勾选ftp服务器、内核开发工具;准备工作: 将随机光盘中的programlinux文件夹拷贝到系统根(/)目录下。

注：请严格安照以下安装步骤进行安装1、安装Mysql数据库1)安装数据库shell〉cd /programlinux/↙shell> rpm —ivh mysql-5—rdsdAS—U3。

i386.rpm↙shell〉chmod a+x mysqlshell↙shell> 。

/mysqlshell↙shell〉/usr/local/mysql/bin/mysqld_safe -—user=mysql ——default—character-set=latin1&2)数据库授权shell〉/usr/local/mysql/bin/mysql↙mysql〉grant all privileges on *。

＊ to sjrdswxwgl@"％" identified by ‘sjrd626876’ with grant option；↙(注意命令行结尾有一个分号，下同）mysql>grant all privileges on ＊。

＊to sjrdswxwgl＠localhost identified by ‘sjrd626876’ with grant option; ↙mysql〉grant all privileges on *。

＊ to sjrdswxwgl＠127.0。

0。

1 identified by‘sjrd626876’ with grant option；↙mysql〉exit;3)修改/etc/rc。

d/rc。

local文件，执行下面这条命令shell〉echo "/usr/local/mysql/bin/mysqld_safe -—user=mysql -—default-character—set=latin1＆" 〉〉/etc/rc.local ↙（注意这两行是一条命令）4)修改/etc/ld.so.conf文件，执行下面两条命令shell〉echo "/usr/local/mysql/l ib/mysql” >〉 /etc/ld.so。

配置思路： 1、配置部署模式 2、配置管理口（DMZ）地址 3、配置监听网段。
典型部署模式与配置
➢ 旁路模式_应用举例_配置步骤
若设备需要跟外网 通关讯和填的，D写内N需需 网S配要 网审 段置计好网
配置完成 点击提交
典型部署模式与配置
➢ 单臂模式_部署指导
单臂模式部署只适用于SG产品，当客户有代理需求，又不希望影响 网络中其它的设备部署或替换原有代理服务器，考虑用单臂部署。
典型部署模式与配置
➢路由模式_应用举例
需求：某用户网络环境如右图， 现将AC部署在网络出口，实现 AC代理内网所有用户上网。 配置思路： 1.选择部署模式并配置内/外网口 2.配置代理上网 3.检查lan to wan防火墙规则是否 放行，默认放行
典型部署模式与配置
➢路由模式_应用举例_配置步骤
典型部署模式与配置
➢ 单臂模式_配置思路 1、配置设备接口地址，网关地址及DNS地址。 2、配置设备代理设置。 3、客户端PC配置SG作为代理服务器。
典型部署模式与配置
➢ 单臂模式_应用举例_配置步骤
需求：客户原有使用squid 代理内网PC上网 ，现需要使 用SG替换Squid代理服务器， 代理内网PC上网。
SANGFOR AC/SG部署模式介绍
➢旁路模式部署环境（举例）：
监听口 管理口
监听口 管理口
SANGFOR SG部署模式介绍
• 单臂模式_简介
➢ 单臂模式部署只适用于SG产品，当客户有代理需求，又不希望影响网 络中其它的设备部署或替换原有代理服务器，考虑用单臂部署
SANGFOR SG部署模式介绍
AC/SG典型部署模式总结
1、路由模式可以实现设备所有功能，网桥模式其次，旁路模式多用于审计，只能对 tcp应用控制，控制功能最弱。 2、路由模式对客户原有网络改造影响最大，网桥模式其次，旁路模式对客户原有网 络改造无影响，即使设备宕机也不会影响客户断网。 3、设备路由模式最多支持4条外网线路（需要足够的授权），默认最多使用eth0到 eth7共8个接口。网桥模式最多支持4对网桥，默认最多使用eth0到eth7共8个接口。 旁路模式除了管理口外，其它网口均可作为监听口。 4、若设备面板有10个网口，eth0到eth7为电口，eth8和eth9为光口，现需要部署 为四网桥，前三对网桥为电口，第四对网桥为光口。则需要先通过SANGFOR设备 升级系统将eth8和eth9两个光口与eth0到eth7之间的两个电口交换才能满足需求

式无线网络及个人无线网络并达到效果
上网策略与流控策略关联SSID 1、掌握上网策略和流控策略对无线网络的生效
方式
PART 1
无线需求
3
1、无线需求
无线是现在IT建设的热点，为了方便员工办公及客户上网，越来越多的企 业、商户开始部署无线。
顾客
无线接入，上网数据分析 建设良好的沟通桥梁
商户
便捷、快速地畅游体验
路由
网桥
Lan
Lan
Lan
Lan
AP AP
AP接入网络当中,AP是否需要做配置？有无WEB登录界面？
AP无需配置
①
AP发现AC
Lan AP
Lan AP
②
AC下发配置给
AP
Lan AP
Lan AP
PART 3 AP发现与激活
14
部署完AC和AP后，紧接的过程是AP发现与激活。AP发现与激活，对用户 是完全透明的，程序自动完成。无需手动激活。
证，但终端用户上网会受AC认证策略的影响。
客户需求无线结合微信认证可以使用此种认证方案！AC认证策略配 置为微信认证。
配置步骤
1.【无线配置】—新建开放式无线网络，认证方式选择无需认证 2.【用户与策略管理】—【认证策略】—新建认证策略，认证方式选择微信认证 3.【用户与策略管理】—【认证选项】—选择微信认证的认证方案，配置相应的 信息
PART 2
授权与部署
7
1.授权
6.0版本开始，有无线功能，通过序列号授权激活
AP外观
AP后面板
后视图
从左到右依次说明： 电源口：48V DC的直流电源，配备电源适配器，接入110~230V电压范围， Console：控制口，用于工程师和测试工程师调试用 LAN：出厂默认dhcp获取地址，支持PoE（Power over Ethernet）供电 Reset：重置按钮，长按RESET按钮5-15秒，除了power灯以外，所有灯都会 灭一段时间，然后AP会重启，并恢复默认出厂配置

网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象 国内最大的应用识别库，超过2000多种主流应用
注：该规则库会定期更新，此显示 为2014年11月前更新的规则总数
网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象
行为管理：应用授权
实现权限与职责的匹配，防止越权访问与泄密风险，管控与业 务无关的上网行为，提升员工工作效率， 过滤不良信息，防 止法律风险
上网行为管理标准 OA
审计
用户身份识别
网络应用识别
流控
封堵 行为管控
数据分析
SANGFOR AC基本功能介绍
用户身份识别
有效区分用户，分层次管理的组织架构，是部署差异化管理策略的依据
用户身份识别
未通过认证的用户： 控制上网权限
通过认证的用户： 定向至指定网页
本地认证
IP/MAC认证 自建帐号密码 USB-Key 认证 短信认证
定向至指定网页ipmac认证自建帐号密码usbkey认证短信认证ldapradiuspop3ipmac认证pop3proxyad单点登录微信认证web单点登录pppoe单点登陆数据库认证第三方设备单点登陆新用户认证自动分组自动认证自动授权用户身份识别有效区分用户分层次管理的组织架构是部署差异化管理策略的依据用户身份识别用户身份识别映射组织结构网关控制台用户与上网策略对应策略列表用户与行为一一对应数据中心网络应用识别识别网络应用了解用户行为是管控措施的基础和对象国内最大的应用识别库超过2000多种主流应用注
控制不可信的下载源，避免下载带病毒的文件 管控文件外发行为，防止机密文件外发等泄密事件
指定下载站点 封堵其他站点
基于文件类型 控制上传/下载