深信服AC組織結(jié)構(gòu)與上網(wǎng)策略管理

SANGFORAC

組織結(jié)構(gòu)與上網(wǎng)策略培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)SANGFORAC組織結(jié)構(gòu)介紹1.掌握符合用戶管理的組織結(jié)構(gòu)的設(shè)計(jì)思路及設(shè)置方法SANGFORAC上網(wǎng)策略配置1.掌握上網(wǎng)策略的設(shè)置方法2.掌握如何將上網(wǎng)策略與用戶/組進(jìn)行關(guān)聯(lián)3.掌握用戶/組關(guān)聯(lián)多條上網(wǎng)策略時(shí)的匹配順序組織結(jié)構(gòu)和上網(wǎng)策略功能介紹上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置深信服公司簡(jiǎn)介上網(wǎng)策略匹配規(guī)則練練手SANGFORAC組織結(jié)構(gòu)和上網(wǎng)策略功能介紹組織結(jié)構(gòu)和上網(wǎng)策略功能介紹組織結(jié)構(gòu)組織結(jié)構(gòu)即為用戶和用戶組的所屬層級(jí)關(guān)系。SANGFORAC提供樹形的組織結(jié)構(gòu)，通過樹形用戶結(jié)構(gòu)管理，符合企業(yè)的人員結(jié)構(gòu)劃分，同時(shí)又可以對(duì)相同的上網(wǎng)策略進(jìn)行繼承。上網(wǎng)策略介紹

上網(wǎng)策略是對(duì)用戶的上網(wǎng)行為進(jìn)行控制、提醒、審計(jì)。控制用戶使用網(wǎng)絡(luò)資源的權(quán)限；對(duì)用戶使用網(wǎng)絡(luò)資源情況進(jìn)行提醒；對(duì)用戶訪問網(wǎng)絡(luò)的行為進(jìn)行審計(jì)，從而構(gòu)建一個(gè)可管理、可視化的網(wǎng)絡(luò)環(huán)境。

簡(jiǎn)單而言，上網(wǎng)策略就是要實(shí)現(xiàn)讓網(wǎng)絡(luò)管理者能夠控制用戶能做什么，知道用戶正在做什么及用戶已經(jīng)做了什么的功能。上網(wǎng)策略分類

上網(wǎng)權(quán)限策略：主要控制用戶能夠使用網(wǎng)絡(luò)資源的權(quán)限（能做什么），包括應(yīng)用控制、WEB過濾、SSL管理和郵件過濾。

上網(wǎng)審計(jì)策略：審計(jì)用戶上網(wǎng)行為（做了什么），包括應(yīng)用審計(jì)、外發(fā)文件告警、流量與上網(wǎng)時(shí)長(zhǎng)審計(jì)和網(wǎng)頁內(nèi)容審計(jì)。(注：是否開啟行為和內(nèi)容審計(jì)可通過序列號(hào)控制）

上網(wǎng)安全策略：防止用戶使用不安全的網(wǎng)絡(luò)資源，包括危險(xiǎn)行為識(shí)別、ActiveX插件過濾、惡意網(wǎng)頁過濾和安全桌面。AC將上網(wǎng)策略分為六大類，分別如下：上網(wǎng)策略分類

終端提醒策略：當(dāng)用戶不恰當(dāng)?shù)氖褂镁W(wǎng)絡(luò)資源時(shí)，對(duì)用戶進(jìn)行提醒，包括上網(wǎng)時(shí)長(zhǎng)提醒、上網(wǎng)流量提醒和公告頁面。

流量配額與時(shí)長(zhǎng)控制策略：限制用戶能使用網(wǎng)絡(luò)資源的流量和時(shí)長(zhǎng)，包括流量配額，、上網(wǎng)時(shí)長(zhǎng)控制和并發(fā)連接數(shù)控制。

準(zhǔn)入策略：設(shè)置終端用戶需滿足特定的條件時(shí)，才準(zhǔn)許使用網(wǎng)絡(luò)資源；審計(jì)加密的IM軟件的聊天內(nèi)容；組織外線路檢測(cè)；應(yīng)用程序時(shí)長(zhǎng)統(tǒng)計(jì)。

組織結(jié)構(gòu)與上網(wǎng)策略的關(guān)聯(lián)策略與用戶/組的關(guān)聯(lián)的方法：方法一、在策略中勾選用戶/組。當(dāng)一條策略需要關(guān)聯(lián)給多個(gè)用戶/組的時(shí)候，可在此設(shè)置。組織結(jié)構(gòu)與上網(wǎng)策略的關(guān)聯(lián)方法二、在用戶/組中選擇策略。可實(shí)現(xiàn)不同類型策略的任意組合。上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置上網(wǎng)網(wǎng)策策略略典典型型應(yīng)應(yīng)用用場(chǎng)場(chǎng)景景及及配配置置上網(wǎng)網(wǎng)策策略略典典型型應(yīng)應(yīng)用用場(chǎng)場(chǎng)景景上網(wǎng)網(wǎng)策策略略配配置置上網(wǎng)網(wǎng)策策略略典典型型應(yīng)應(yīng)用用場(chǎng)場(chǎng)景景及及配配置置某公公司司網(wǎng)網(wǎng)絡(luò)絡(luò)中中充充斥斥著著各各種種流流量量，，上上班班時(shí)時(shí)間間P2P下載載導(dǎo)導(dǎo)致致辦辦公公應(yīng)應(yīng)用用很很慢慢，，員員工工上上班班時(shí)時(shí)間間炒炒股股，，QQ/MSN聊天天，，玩玩游游戲戲使使得得辦辦公公效效率率不不高高。。公司司決決策策層層希希望望實(shí)實(shí)現(xiàn)現(xiàn)上上班班時(shí)時(shí)間間能能封封堵堵所所有有員員工工的的P2P和迅迅雷雷等等多多線線程程下下載載，，玩玩游游戲戲和和炒炒股股，，其其余余部部門門的的人人員員不不準(zhǔn)準(zhǔn)上上班班時(shí)時(shí)間間使使用用QQ和MSN，只只有有技技術(shù)術(shù)支支持持和和銷銷售售部部門門才才能能使使用用QQ和MSN聊天天，，但但是是要要審審計(jì)計(jì)聊聊天天內(nèi)內(nèi)容容，，下下班班時(shí)時(shí)間間所所有有的的應(yīng)應(yīng)用用都都能能允允許許使使用用，，另另外外所所有有人人的的上上網(wǎng)網(wǎng)行行為為需需要要被被審審計(jì)計(jì)，，包包括括微微博博內(nèi)內(nèi)容容，，訪訪問問網(wǎng)網(wǎng)站站，，收收發(fā)發(fā)郵郵件件等等。。上網(wǎng)網(wǎng)策策略略典典型型應(yīng)應(yīng)用用場(chǎng)場(chǎng)景景及及配配置置我們們先先來來分分析析下下客客戶戶的的需需求求：：技術(shù)術(shù)支支持持和和銷銷售售部部門門上上班班時(shí)時(shí)間間不不允允許許使使用用P2P和迅迅雷雷等等多多線線程程下下載載工工具具，，玩玩游游戲戲和和炒炒股股，，所所有有上上網(wǎng)網(wǎng)行行為為需需要要被被審審計(jì)計(jì)，，包包括括QQ和MSN的聊聊天天內(nèi)內(nèi)容容。。其他他公公司司人人員員上上班班時(shí)時(shí)間間不不允允許許使使用用P2P和迅迅雷雷等等多多線線程程下下載載工工具具，，玩玩游游戲戲、、炒炒股股及及QQ/MSN聊天天，，所所有有上上網(wǎng)網(wǎng)行行為為需需要要被被審審計(jì)計(jì)上網(wǎng)網(wǎng)策策略略典典型型應(yīng)應(yīng)用用場(chǎng)場(chǎng)景景及及配配置置配置置思思路路：：在AC的用用戶戶組組織織結(jié)結(jié)構(gòu)構(gòu)中中建建立立兩兩個(gè)個(gè)用用戶戶組組：：技技術(shù)術(shù)支支持持和和銷銷售售部部門門組組，，默默認(rèn)認(rèn)組組。。（（也也可可以以按按照照公公司司部部門門結(jié)結(jié)構(gòu)構(gòu)分分別別建建立立多多個(gè)個(gè)用用戶戶組組，，根根據(jù)據(jù)策策略略的的情情況況，，最最少少要要建建立立兩兩個(gè)個(gè)用用戶戶組組。。））用戶戶及及用用戶戶組組的的配配置置請(qǐng)請(qǐng)參參考考《基礎(chǔ)礎(chǔ)認(rèn)認(rèn)證證技技術(shù)術(shù)》培訓(xùn)訓(xùn)PPT，這這里里不不再再贅贅述述。。新建建兩兩條條上上網(wǎng)網(wǎng)權(quán)權(quán)限限策策略略：：技術(shù)術(shù)支支持持和和銷銷售售部部門門上上網(wǎng)網(wǎng)權(quán)權(quán)限限：：上上班班時(shí)時(shí)間間封封堵堵P2P和迅迅雷雷等等多多線線程程下下載載工工具具，，玩玩游游戲戲和和炒炒股股。。關(guān)關(guān)聯(lián)聯(lián)技技術(shù)術(shù)支支持持和和銷銷售售部部門門組組。。其他他員員工工上上網(wǎng)網(wǎng)權(quán)權(quán)限限：：上班班時(shí)時(shí)間間封封堵堵P2P和迅迅雷雷等等多多線線程程下下載載工工具具下下載載、、玩玩游游戲戲、、炒炒股股、、QQ/MSN。關(guān)關(guān)聯(lián)聯(lián)默默認(rèn)認(rèn)組組。。上網(wǎng)網(wǎng)策策略略典典型型應(yīng)應(yīng)用用場(chǎng)場(chǎng)景景及及配配置置配置置思思路路：：新建建一一條條上上網(wǎng)網(wǎng)審審計(jì)計(jì)策策略略：：開開啟啟所所有有行行為為的的應(yīng)應(yīng)用用審審計(jì)計(jì)。。關(guān)關(guān)聯(lián)聯(lián)““技技術(shù)術(shù)支支持持和和銷銷售售部部門門組組””和和““默默認(rèn)認(rèn)組組””4.新建一一條準(zhǔn)準(zhǔn)入策策略：：開開啟IM監(jiān)控。。關(guān)關(guān)聯(lián)““技術(shù)術(shù)支持持和銷銷售部部門組組”。。上網(wǎng)權(quán)權(quán)限策策略配配置1.新建兩兩條上上網(wǎng)權(quán)權(quán)限策策略-技術(shù)支支持和和銷售售部門門上網(wǎng)網(wǎng)權(quán)限限定義規(guī)規(guī)則名名稱t需要封封堵的的應(yīng)用用，完完成后后，點(diǎn)點(diǎn)確定定選擇規(guī)規(guī)則生生效的的時(shí)間間配置完完成，，點(diǎn)擊擊提交交上網(wǎng)權(quán)權(quán)限策策略配配置1.新建兩兩條上上網(wǎng)權(quán)權(quán)限策策略-其它員員工上上網(wǎng)權(quán)權(quán)限需要限限制的的應(yīng)用用選擇生生效時(shí)時(shí)間配置完完成，，點(diǎn)擊擊提交交上網(wǎng)審審計(jì)策策略設(shè)設(shè)置2、新建建一條條上網(wǎng)網(wǎng)審計(jì)計(jì)策略略，開開啟所所有的的應(yīng)用用行為為的應(yīng)應(yīng)用審審計(jì)，，關(guān)聯(lián)聯(lián)技術(shù)術(shù)支持持和銷銷售部部門組組和默默認(rèn)組組。勾選需需要審審計(jì)的的上網(wǎng)網(wǎng)行為為，全全選代代表審審計(jì)所所有的的上網(wǎng)網(wǎng)行為為配置完完成，，點(diǎn)擊擊提交交準(zhǔn)入策策略設(shè)設(shè)置3、新建建一條條準(zhǔn)入入策略略，開開啟IM監(jiān)控，，關(guān)聯(lián)聯(lián)技術(shù)術(shù)支持持和銷銷售部部門組組。配置完完成，，點(diǎn)擊擊提交交上網(wǎng)策策略典典型應(yīng)應(yīng)用場(chǎng)場(chǎng)景及及配置置配置完完成后后，在在策略略列表表中將將顯示示上面面配置置的的三條條上網(wǎng)網(wǎng)策略略及關(guān)關(guān)聯(lián)的的用戶戶/組等信信息，，如下下圖：：動(dòng)動(dòng)腦腦如果用用戶/組關(guān)聯(lián)聯(lián)了多多條上上網(wǎng)策策略，，這些些策略略之間間是怎怎么工工作的的呢？？上網(wǎng)策策略匹匹配規(guī)規(guī)則1、不同同類型型的策策略匹匹配順順序:和控制制臺(tái)界界面的的排列列順序序一致致2、相同同類型型策略略的匹匹配順順序：：按由由上往往下匹匹配的的原則則。說明：：a.如果一一個(gè)組組關(guān)聯(lián)聯(lián)了多多條不不同模模塊的的策略略，只只要有有一個(gè)個(gè)模塊塊拒絕絕，則則拒絕絕。b.如果一一個(gè)組組關(guān)聯(lián)聯(lián)了多多條相相同模模塊的的策略略，則則按從從上往往下匹匹配的的原則則，匹匹配第第一條條策略略的動(dòng)動(dòng)作。。上網(wǎng)權(quán)權(quán)限策策略匹匹配規(guī)規(guī)則若用戶戶/組關(guān)聯(lián)聯(lián)多條條上網(wǎng)網(wǎng)權(quán)限限策略略，策策略的的匹配配順序序如下下：策略匹匹配規(guī)規(guī)則案案例一一1.某用戶戶關(guān)聯(lián)聯(lián)如下下兩條條上網(wǎng)網(wǎng)策略略，請(qǐng)請(qǐng)問這這個(gè)用用戶是是否能能發(fā)送送郵件件到公公網(wǎng)呢呢？按策略略匹配配原則則，該該用戶戶會(huì)匹匹配不不同模模塊中中的兩兩條策策略，，只要要有一一條拒拒絕，，則拒拒絕。。本例例中，，第一一條策策略SMTP服務(wù)是是拒絕絕的，，所以以不允允許發(fā)發(fā)送郵郵件。。策略匹匹配規(guī)規(guī)則案案例二二2.某用戶戶關(guān)聯(lián)聯(lián)如下下兩條條上網(wǎng)網(wǎng)策略略，請(qǐng)請(qǐng)問這這個(gè)用用戶的的應(yīng)用用使用用情況況會(huì)怎怎樣呢呢？此用戶戶不能能訪問問游戲戲和股股票交交易，，其他他應(yīng)用用都允允許使使用（（默認(rèn)認(rèn)動(dòng)作作是允允許））禁止內(nèi)內(nèi)網(wǎng)用用戶通通過代代理服服務(wù)器器上網(wǎng)網(wǎng)禁止內(nèi)內(nèi)網(wǎng)用用戶通通過代代理服服務(wù)器器上網(wǎng)網(wǎng)如果內(nèi)內(nèi)網(wǎng)用用戶通通過代代理服服務(wù)器器上網(wǎng)網(wǎng)，則則可以以部分分程度度上繞繞過AC的管控控，且且不能能真實(shí)實(shí)記錄錄每個(gè)個(gè)用戶戶的上上網(wǎng)行行為，，那么么該如如何解解決呢呢？AC設(shè)備有有如下下方式式可以以禁止止內(nèi)網(wǎng)網(wǎng)用戶戶通過過代理理服務(wù)務(wù)器上上網(wǎng)：：1.如果AC部署在在代理理客戶戶端和和服務(wù)務(wù)器之之間，，則可可通過過上網(wǎng)網(wǎng)權(quán)限限策略略的代代理控控制功功能，，禁止止內(nèi)網(wǎng)網(wǎng)用戶戶通過過HTTP代理和和SOCKS代理上上網(wǎng)。。如下下圖：：禁止內(nèi)內(nèi)網(wǎng)用用戶通通過代代理服服務(wù)器器上網(wǎng)網(wǎng)2.通過準(zhǔn)準(zhǔn)入規(guī)規(guī)則，，拒絕絕代理理客戶戶端的的進(jìn)程程運(yùn)行行。對(duì)象設(shè)設(shè)置中中禁用用代理理軟件件的規(guī)規(guī)則在準(zhǔn)入入策略略中選選擇禁禁用代代理軟軟件的的規(guī)則則并關(guān)關(guān)聯(lián)給給用戶戶/組。禁止內(nèi)內(nèi)網(wǎng)用用戶通通過代代理服服務(wù)器器上網(wǎng)網(wǎng)3.為了防防止內(nèi)內(nèi)網(wǎng)用用戶通通過小小路由由器NAT代理上上網(wǎng)的的方式式，也也可以以采取取第二二種準(zhǔn)準(zhǔn)入規(guī)規(guī)則檢檢測(cè)的的辦法法，路路由器器上無無法安安裝準(zhǔn)準(zhǔn)入客客戶端端，將將導(dǎo)致致下面面的電電腦均均無法法上網(wǎng)網(wǎng)。如果內(nèi)內(nèi)網(wǎng)用用戶通通過雙雙網(wǎng)卡卡的電電腦共共享上上網(wǎng)或或者其其他代代理服服務(wù)器器在AC設(shè)備LAN口下的的情況況，則則只能能通過過設(shè)備備的防防代理理檢測(cè)測(cè)功能能來封封堵，，詳細(xì)細(xì)介紹紹請(qǐng)查查看PPT《上網(wǎng)代代理部部分》。組織外外線路路檢測(cè)測(cè)組織外外線路路檢測(cè)測(cè)功能應(yīng)用場(chǎng)場(chǎng)景：：內(nèi)網(wǎng)用用戶出于某些目目的，，不通通過內(nèi)內(nèi)部統(tǒng)一指定的的出口口上網(wǎng)網(wǎng)，而而私自自接入入其他他外網(wǎng)網(wǎng)線路路，而這些上上網(wǎng)行行為是是不受受組織織監(jiān)視視和管管控的的，組織管管理者者希望望能主主動(dòng)發(fā)發(fā)現(xiàn)這這類行行為，，以便及時(shí)避免免不可可管控控帶來來的泄泄密等等風(fēng)險(xiǎn)險(xiǎn)。例：企業(yè)業(yè)認(rèn)為為網(wǎng)關(guān)關(guān)才是合合法網(wǎng)網(wǎng)關(guān)，，通過其余的的網(wǎng)關(guān)關(guān)上網(wǎng)都是不允許許的，當(dāng)PC通過網(wǎng)網(wǎng)關(guān)上網(wǎng)后，管管理者者希望望能夠夠發(fā)現(xiàn)這這樣的的私接接外網(wǎng)網(wǎng)線路路上網(wǎng)網(wǎng)行為為。組織外外線路路檢測(cè)測(cè)一、配配置思思路：：1、配置置一一條準(zhǔn)準(zhǔn)入策策略，，啟用用組織織外上上網(wǎng)線線路檢檢測(cè)2、將該該策略略關(guān)聯(lián)聯(lián)給內(nèi)內(nèi)網(wǎng)用用戶或或組(省略配配置））組織外外線路路檢測(cè)測(cè)二、配配置如如圖：：填入合合法的的網(wǎng)關(guān)關(guān)地址址若勾選選，PC離線后后走非非的網(wǎng)關(guān)關(guān)上網(wǎng)網(wǎng)，也也做記記錄組織外外線路路檢測(cè)測(cè)三、效效果檢檢驗(yàn)：將該該策略略關(guān)聯(lián)聯(lián)給PC52，若這這時(shí)PC將網(wǎng)關(guān)關(guān)改為為，管理理員可可通過過數(shù)據(jù)據(jù)中心心的準(zhǔn)準(zhǔn)入系系統(tǒng)查查看PC私接外外網(wǎng)線線路上上網(wǎng)的的行為為，如如圖：：說明：本案案例中中，如如果pc將網(wǎng)關(guān)關(guān)指向向，并去掉IP52，，只留留下52，此時(shí)PC與AC失失去連連接，，若這這種情情況也也需要要繼續(xù)續(xù)檢測(cè)測(cè)，則則需要要勾選選“與AC失失去連連接后后繼續(xù)續(xù)檢測(cè)測(cè)”，準(zhǔn)入入客戶戶端將將會(huì)繼繼續(xù)檢檢測(cè)非非法網(wǎng)網(wǎng)關(guān)線線路，，當(dāng)下下次PC和和AC重新新連接接后上上報(bào)給給AC。組織織外外線線路路檢檢測(cè)測(cè)注意意事事項(xiàng)項(xiàng)：：1.AC檢測(cè)測(cè)到到外外網(wǎng)網(wǎng)線線路路后后只只記記錄錄、、不不拒拒絕絕，，且準(zhǔn)入入客客戶戶端端不不會(huì)會(huì)有有提提示示信信息息，，效效果果檢檢查查可以以到到數(shù)據(jù)據(jù)中中心心查查看看；；只只有有第第一一次次檢檢測(cè)測(cè)出出違違規(guī)規(guī)、、或或者者上上一一次次檢檢測(cè)測(cè)出出合合法法而本次次檢檢測(cè)測(cè)為為非非法法，，才才會(huì)會(huì)記記錄錄日日志志。2.若PC不安安裝裝或或卸卸載載了了準(zhǔn)準(zhǔn)入入客客戶戶端端，，則則不不受受AC監(jiān)控控，，可可通通過過其其它它網(wǎng)網(wǎng)關(guān)關(guān)直直接接上上網(wǎng)網(wǎng)，，且且AC上也也沒沒有有相相應(yīng)應(yīng)的的日日志志。。3.組織織外外線線路路檢檢測(cè)測(cè)只檢檢查查網(wǎng)網(wǎng)關(guān)關(guān)是是否否合合法法，，不不檢檢查查外外網(wǎng)網(wǎng)連連接接類類型型；卸載載準(zhǔn)準(zhǔn)入入客客戶戶端端不不需需要要解解控控。。練練練手手某公公司司購購買買了了SANGFORAC來進(jìn)進(jìn)行行上上網(wǎng)網(wǎng)行行為為的的管管理理，，希希望望能能配配置置實(shí)實(shí)現(xiàn)現(xiàn)如如下功功能能：：所有有員員工工上上班班時(shí)時(shí)間間不不允允許許訪訪問問