深信服AC組織結(jié)構(gòu)與上網(wǎng)策略管理

1、SANGFOR AC 組織結(jié)構(gòu)與上網(wǎng)策略培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)SANGFOR AC 組織結(jié)構(gòu)介紹1. 掌握符合用戶管理的組織結(jié)構(gòu)的設(shè)計思路及設(shè)置方法SANGFOR AC 上網(wǎng)策略配置1.掌握上網(wǎng)策略的設(shè)置方法2.掌握如何將上網(wǎng)策略與用戶/組進行關(guān)聯(lián)3.掌握用戶/組關(guān)聯(lián)多條上網(wǎng)策略時的匹配順序 組織結(jié)構(gòu)和上網(wǎng)策略功能介紹上網(wǎng)策略典型應(yīng)用場景及配置深信服公司簡介上網(wǎng)策略匹配規(guī)則練練手SANGFOR AC組織結(jié)構(gòu)和上網(wǎng)策略功能介紹組織結(jié)構(gòu)和上網(wǎng)策略功能介紹 組織結(jié)構(gòu) 組織結(jié)構(gòu)即為用戶和用戶組的所屬層級關(guān)系。SANGFOR AC 提供樹形的組織結(jié)構(gòu)，通過樹形用戶結(jié)構(gòu)管理，符合企業(yè)的人員結(jié)構(gòu)劃分，同時又可以對

2、相同的上網(wǎng)策略進行繼承。 上網(wǎng)策略介紹 上網(wǎng)策略是對用戶的上網(wǎng)行為進行控制、提醒、審計?？刂朴脩羰褂镁W(wǎng)絡(luò)資源的權(quán)限；對用戶使用網(wǎng)絡(luò)資源情況進行提醒；對用戶訪問網(wǎng)絡(luò)的行為進行審計，從而構(gòu)建一個可管理、可視化的網(wǎng)絡(luò)環(huán)境。 簡單而言，上網(wǎng)策略就是要實現(xiàn)讓網(wǎng)絡(luò)管理者能夠控制用戶能做什么，知道用戶正在做什么及用戶已經(jīng)做了什么的功能。上網(wǎng)策略分類 上網(wǎng)權(quán)限策略： 主要控制用戶能夠使用網(wǎng)絡(luò)資源的權(quán)限（能做什么），包括應(yīng) 用控制、WEB過濾、SSL管理和郵件過濾。 上網(wǎng)審計策略： 審計用戶上網(wǎng)行為（做了什么），包括應(yīng)用審計、外發(fā)文件告警、流量與上網(wǎng)時長審計和網(wǎng)頁內(nèi)容審計。(注：是否開啟行為和內(nèi)容審計可通過序列

3、號控制） 上網(wǎng)安全策略： 防止用戶使用不安全的網(wǎng)絡(luò)資源，包括危險行為識別、ActiveX插件過濾、惡意網(wǎng)頁過濾和安全桌面。AC將上網(wǎng)策略分為六大類，分別如下：上網(wǎng)策略分類 終端提醒策略： 當(dāng)用戶不恰當(dāng)?shù)氖褂镁W(wǎng)絡(luò)資源時，對用戶進行提醒，包括上網(wǎng)時長提醒、上網(wǎng)流量提醒和公告頁面。 流量配額與時長控制策略： 限制用戶能使用網(wǎng)絡(luò)資源的流量和時長，包括流量配額，、上網(wǎng)時長控制和并發(fā)連接數(shù)控制。 準(zhǔn)入策略： 設(shè)置終端用戶需滿足特定的條件時，才準(zhǔn)許使用網(wǎng)絡(luò)資源；審計加密的IM軟件的聊天內(nèi)容；組織外線路檢測；應(yīng)用程序時長統(tǒng)計。 組織結(jié)構(gòu)與上網(wǎng)策略的關(guān)聯(lián)策略與用戶/組的關(guān)聯(lián)的方法：方法一、在策略中勾選用戶/組。

4、當(dāng)一條策略需要關(guān)聯(lián)給多個用戶/組的時候，可在此設(shè)置。組織結(jié)構(gòu)與上網(wǎng)策略的關(guān)聯(lián)方法二、在用戶/組中選擇策略。可實現(xiàn)不同類型策略的任意組合。上網(wǎng)策略典型應(yīng)用場景及配置上網(wǎng)策略典型應(yīng)用場景及配置上網(wǎng)策略典型應(yīng)用場景上網(wǎng)策略配置上網(wǎng)策略典型應(yīng)用場景及配置某公司網(wǎng)絡(luò)中充斥著各種流量，上班時間P2P下載導(dǎo)致辦公應(yīng)用很慢，員工上班時間炒股，QQ/MSN聊天，玩游戲使得辦公效率不高。公司決策層希望實現(xiàn)上班時間能封堵所有員工的P2P和迅雷等多線程下載，玩游戲和炒股，其余部門的人員不準(zhǔn)上班時間使用QQ和MSN，只有技術(shù)支持和銷售部門才能使用QQ和MSN聊天，但是要審計聊天內(nèi)容，下班時間所有的應(yīng)用都能允許使用，另外

5、所有人的上網(wǎng)行為需要被審計，包括微博內(nèi)容，訪問網(wǎng)站，收發(fā)郵件等。上網(wǎng)策略典型應(yīng)用場景及配置我們先來分析下客戶的需求：技術(shù)支持和銷售部門上班時間不允許使用P2P和迅雷等多線程下載工具，玩游戲和炒股，所有上網(wǎng)行為需要被審計，包括QQ和MSN的聊天內(nèi)容。1.其他公司人員上班時間不允許使用P2P和迅雷等多線程下載工具，玩游戲、炒股及QQ/MSN聊天，所有上網(wǎng)行為需要被審計上網(wǎng)策略典型應(yīng)用場景及配置配置思路：在AC的用戶組織結(jié)構(gòu)中建立兩個用戶組：技術(shù)支持和銷售部門組，默認(rèn)組。 （也可以按照公司部門結(jié)構(gòu)分別建立多個用戶組，根據(jù)策略的情況，最少要建立兩個用戶組。）用戶及用戶組的配置請參考基礎(chǔ)認(rèn)證技術(shù) 培訓(xùn)P

6、PT，這里不再贅述。新建兩條上網(wǎng)權(quán)限策略： 技術(shù)支持和銷售部門上網(wǎng)權(quán)限：上班時間封堵P2P和迅雷等多線程下 載工具，玩游戲和炒股。關(guān)聯(lián)技術(shù)支持和銷售部門組。 其他員工上網(wǎng)權(quán)限：上班時間封堵P2P和迅雷等多線程下載工具下載、玩游戲、 炒股、QQ/MSN。 關(guān)聯(lián)默認(rèn)組。上網(wǎng)策略典型應(yīng)用場景及配置配置思路： 新建一條上網(wǎng)審計策略：開啟所有行為的應(yīng)用審計。關(guān)聯(lián)“技術(shù) 支持和 銷售部門組”和“默認(rèn)組”4. 新建一條準(zhǔn)入策略： 開啟IM監(jiān)控。 關(guān)聯(lián)“技術(shù)支持和銷售部門組”。上網(wǎng)權(quán)限策略配置1. 新建兩條上網(wǎng)權(quán)限策略-技術(shù)支持和銷售部門上網(wǎng)權(quán)限 定義規(guī)則名稱t需要封堵的應(yīng)用，完成后，點確定選擇規(guī)則生效的時間

7、配置完成，點擊提交上網(wǎng)權(quán)限策略配置 1. 新建兩條上網(wǎng)權(quán)限策略-其它員工上網(wǎng)權(quán)限需要限制的應(yīng)用選擇生效時間配置完成，點擊提交上網(wǎng)審計策略設(shè)置2、新建一條上網(wǎng)審計策略，開啟所有的應(yīng)用行為的應(yīng)用審計，關(guān)聯(lián)技術(shù)支持和銷售部門組和默認(rèn)組。勾選需要審計的上網(wǎng)行為，全選代表審計所有的上網(wǎng)行為配置完成，點擊提交準(zhǔn)入策略設(shè)置 3、新建一條準(zhǔn)入策略，開啟IM監(jiān)控，關(guān)聯(lián)技術(shù)支持和銷售部門組。配置完成，點擊提交上網(wǎng)策略典型應(yīng)用場景及配置 配置完成后，在策略列表中將顯示上面配置 的三條上網(wǎng)策略及關(guān)聯(lián)的用戶/組等信息，如下圖： 動動腦 如果用戶/組關(guān)聯(lián)了多條上網(wǎng)策略，這些策略之間是怎么工作的呢？上網(wǎng)策略匹配規(guī)則1、不同

8、類型的策略匹配順序: 和控制臺界面的排列順序一致2、相同類型策略的匹配順序：按由上往下匹配的原則。說明：a. 如果一個組關(guān)聯(lián)了多條不同模塊的策略，只要有一個模塊拒絕，則拒絕。b. 如果一個組關(guān)聯(lián)了多條相同模塊的策略，則按從上往下匹配的原則，匹配第一條策略的動作。上網(wǎng)權(quán)限策略匹配規(guī)則若用戶/組關(guān)聯(lián)多條上網(wǎng)權(quán)限策略，策略的匹配順序如下：策略匹配規(guī)則案例一 1. 某用戶關(guān)聯(lián)如下兩條上網(wǎng)策略，請問這個用戶是否能發(fā)送郵件到公網(wǎng)呢？按策略匹配原則，該用戶會匹配不同模塊中的兩條策略，只要有一條拒絕，則拒絕。本例中，第一條策略SMTP服務(wù)是拒絕的，所以不允許發(fā)送郵件。策略匹配規(guī)則案例二 2. 某用戶關(guān)聯(lián)如下兩

9、條上網(wǎng)策略，請問這個用戶的應(yīng)用使用情況會怎樣呢？此用戶不能訪問游戲和股票交易，其他應(yīng)用都允許使用（默認(rèn)動作是允許）禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng)禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng) 如果內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng)，則可以部分程度上繞過AC的管控，且不能真實記錄每個用戶的上網(wǎng)行為，那么該如何解決呢？ AC設(shè)備有如下方式可以禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng)： 1. 如果AC部署在代理客戶端和服務(wù)器之間，則可通過上網(wǎng)權(quán)限策略的代理控制功能，禁止內(nèi)網(wǎng)用戶通過HTTP代理和SOCKS代理上網(wǎng)。如下圖：禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng) 2. 通過準(zhǔn)入規(guī)則，拒絕代理客戶端的進程運行。對象設(shè)置中禁用代理軟件的規(guī)則在準(zhǔn)入

10、策略中選擇禁用代理軟件的規(guī)則并關(guān)聯(lián)給用戶/組。禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng) 3. 為了防止內(nèi)網(wǎng)用戶通過小路由器NAT代理上網(wǎng)的方式，也可以采取第二種準(zhǔn)入規(guī)則檢測的辦法，路由器上無法安裝準(zhǔn)入客戶端，將導(dǎo)致下面的電腦均無法上網(wǎng)。 如果內(nèi)網(wǎng)用戶通過雙網(wǎng)卡的電腦共享上網(wǎng)或者其他代理服務(wù)器在AC設(shè)備LAN口下的情況，則只能通過設(shè)備的防代理檢測功能來封堵，詳細(xì)介紹請查看PPT上網(wǎng)代理部分。組織外線路檢測組織外線路檢測功能 應(yīng)用場景：內(nèi)網(wǎng)用戶出于某些目的，不通過內(nèi)部統(tǒng)一指定的出口上網(wǎng)，而私自接入其他外網(wǎng)線路，而這些上網(wǎng)行為是不受組織監(jiān)視和管控的，組織管理者希望能主動發(fā)現(xiàn)這類行為，以便及時避免不可管控帶來的

11、泄密等風(fēng)險。例：企業(yè)認(rèn)為網(wǎng)關(guān)才是合法網(wǎng)關(guān)，通過其余的網(wǎng)關(guān)上網(wǎng)都是不允許的，當(dāng)PC通過網(wǎng)關(guān)上網(wǎng)后，管理者希望能夠發(fā)現(xiàn)這樣的私接外網(wǎng)線路上網(wǎng)行為。組織外線路檢測 一、配置思路： 1、配置 一條準(zhǔn)入策略，啟用組織外上網(wǎng)線路檢測 2、將該策略關(guān)聯(lián)給內(nèi)網(wǎng)用戶或組(省略配置）組織外線路檢測二、配置如圖：填入合法的網(wǎng)關(guān)地址若勾選，PC離線后走非的網(wǎng)關(guān)上網(wǎng)，也做記錄組織外線路檢測 三、效果檢驗：將該策略關(guān)聯(lián)給PC 52，若這時PC將網(wǎng)關(guān)改為，管理員可通過數(shù)據(jù)中心的準(zhǔn)入系統(tǒng)查看PC私接外網(wǎng)線路上網(wǎng)

12、的行為，如圖：說明：本案例中，如果pc將網(wǎng)關(guān)指向，并去掉IP 52，只留下52，此時PC與AC失去連接，若這種情況也需要繼續(xù)檢測，則需要勾選“與AC失去連接后繼續(xù)檢測”，準(zhǔn)入客戶端將會繼續(xù)檢測非法網(wǎng)關(guān)線路，當(dāng)下次PC和AC重新連接后上報給AC。組織外線路檢測 注意事項：1. AC檢測到外網(wǎng)線路后只記錄、不拒絕，且準(zhǔn)入客戶端不會有提示信息，效果檢查可以到數(shù)據(jù)中心查看；只有第一次檢測出違規(guī)、或者上一次檢測出合法而本次檢測為非法，才會記錄日志。2. 若PC不安裝或卸載了準(zhǔn)入客戶端，則不受AC監(jiān)控，可通過其它網(wǎng)關(guān)直接上網(wǎng)，且AC上也沒有相應(yīng)的日志。3. 組織外線路檢測只檢查網(wǎng)關(guān)是否合法，不檢查外網(wǎng)連接類型；卸載準(zhǔn)入客戶端不需要解控。練練手某公司購買了SANGFOR AC來進行上網(wǎng)行為的管理，希望能配置實現(xiàn)如下功能：所有員工上班時間不允許訪問色情和賭博類網(wǎng)站所有員工允許QQ和MSN聊天，但不允許通過QQ和MSN傳文件，對于持續(xù)使用QQ和MSN聊天超過一小時的員工，給予一個頁面進行提醒。統(tǒng)計所有員工的上網(wǎng)時