1、SANGFOR AC 組織構(gòu)造與上網(wǎng)戰(zhàn)略培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)SANGFOR AC 組織結(jié)構(gòu)介紹1. 掌握符合用戶管理的組織結(jié)構(gòu)的設(shè)計思路及設(shè)置方法SANGFOR AC 上網(wǎng)策略配置1.掌握上網(wǎng)策略的設(shè)置方法2.掌握如何將上網(wǎng)策略與用戶/組進(jìn)行關(guān)聯(lián)3.掌握用戶/組關(guān)聯(lián)多條上網(wǎng)策略時的匹配順序 組織構(gòu)造和上網(wǎng)戰(zhàn)略功能引見上網(wǎng)戰(zhàn)略典型運用場景及配置深服氣公司簡介上網(wǎng)戰(zhàn)略匹配規(guī)那么練練手SANGFOR AC組織構(gòu)造和上網(wǎng)戰(zhàn)略功能引見組織構(gòu)造和上網(wǎng)戰(zhàn)略功能引見 組織構(gòu)造 組織構(gòu)造即為用戶和用戶組的所屬層級關(guān)系。SANGFOR AC 提供樹形的組織構(gòu)造，經(jīng)過樹形用戶構(gòu)造管理，符合企業(yè)的人員構(gòu)造劃分，同時又可以

2、對一樣的上網(wǎng)戰(zhàn)略進(jìn)展承繼。上網(wǎng)戰(zhàn)略引見 上網(wǎng)戰(zhàn)略是對用戶的上網(wǎng)行為進(jìn)展控制、提示、審計?？刂朴脩暨\用網(wǎng)絡(luò)資源的權(quán)限；對用戶運用網(wǎng)絡(luò)資源情況進(jìn)展提示；對用戶訪問網(wǎng)絡(luò)的行為進(jìn)展審計，從而構(gòu)建一個可管理、可視化的網(wǎng)絡(luò)環(huán)境。 簡單而言，上網(wǎng)戰(zhàn)略就是要實現(xiàn)讓網(wǎng)絡(luò)管理者可以控制用戶能做什么，知道用戶正在做什么及用戶曾經(jīng)做了什么的功能。上網(wǎng)戰(zhàn)略分類 上網(wǎng)權(quán)限戰(zhàn)略： 主要控制用戶可以運用網(wǎng)絡(luò)資源的權(quán)限能做什么，包括應(yīng) 用控制、WEB過濾、SSL管理和郵件過濾。 上網(wǎng)審計戰(zhàn)略： 審計用戶上網(wǎng)行為做了什么，包括運用審計、外發(fā)文件告警、流量與上網(wǎng)時長審計和網(wǎng)頁內(nèi)容審計。(注：能否開啟行為和內(nèi)容審計可經(jīng)過序列號控制

3、上網(wǎng)平安戰(zhàn)略： 防止用戶運用不平安的網(wǎng)絡(luò)資源，包括危險行為識別、ActiveX插件過濾、惡意網(wǎng)頁過濾和平安桌面。AC將上網(wǎng)戰(zhàn)略分為六大類，分別如下：上網(wǎng)戰(zhàn)略分類 終端提示戰(zhàn)略： 當(dāng)用戶不恰當(dāng)?shù)倪\用網(wǎng)絡(luò)資源時，對用戶進(jìn)展提示，包括上網(wǎng)時長提示、上網(wǎng)流量提示和公告頁面。 流量配額與時長控制戰(zhàn)略： 限制用戶能運用網(wǎng)絡(luò)資源的流量和時長，包括流量配額，、上網(wǎng)時長控制和并發(fā)銜接數(shù)控制。 準(zhǔn)入戰(zhàn)略： 設(shè)置終端用戶需滿足特定的條件時，才準(zhǔn)許運用網(wǎng)絡(luò)資源；審計加密的IM軟件的聊天內(nèi)容；組織外線路檢測；運用程序時長統(tǒng)計。 組織構(gòu)造與上網(wǎng)戰(zhàn)略的關(guān)聯(lián)戰(zhàn)略與用戶/組的關(guān)聯(lián)的方法：方法一、在戰(zhàn)略中勾選用戶/組。當(dāng)一條戰(zhàn)略

4、需求關(guān)聯(lián)給多個用戶/組的時候，可在此設(shè)置。組織構(gòu)造與上網(wǎng)戰(zhàn)略的關(guān)聯(lián)方法二、在用戶/組中選擇戰(zhàn)略?？蓪崿F(xiàn)不同類型戰(zhàn)略的恣意組合。上網(wǎng)戰(zhàn)略典型運用場景及配置上網(wǎng)戰(zhàn)略典型運用場景及配置上網(wǎng)戰(zhàn)略典型運用場景上網(wǎng)戰(zhàn)略配置上網(wǎng)戰(zhàn)略典型運用場景及配置某公司網(wǎng)絡(luò)中充斥著各種流量，上班時間P2P下載導(dǎo)致辦公運用很慢，員工上班時間炒股，/MSN聊天，玩游戲使得辦公效率不高。公司決策層希望實現(xiàn)上班時間能封堵一切員工的P2P和迅雷等多線程下載，玩游戲和炒股，其他部門的人員不準(zhǔn)上班時間運用QQ和MSN，只需技術(shù)支持和銷售部門才干運用QQ和MSN聊天，但是要審計聊天內(nèi)容，下班時間一切的運用都能允許運用，另外一切人的上網(wǎng)行

5、為需求被審計，包括微博內(nèi)容，訪問網(wǎng)站，收發(fā)郵件等。上網(wǎng)戰(zhàn)略典型運用場景及配置我們先來分析下客戶的需求：技術(shù)支持和銷售部門上班時間不允許運用P2P和迅雷等多線程下載工具，玩游戲和炒股，一切上網(wǎng)行為需求被審計，包括QQ和MSN的聊天內(nèi)容。其他公司人員上班時間不允許運用P2P和迅雷等多線程下載工具，玩游戲、炒股及QQ/MSN聊天，一切上網(wǎng)行為需求被審計上網(wǎng)戰(zhàn)略典型運用場景及配置配置思緒：在AC的用戶組織構(gòu)造中建立兩個用戶組：技術(shù)支持和銷售部門組，默許組。 也可以按照公司部門構(gòu)造分別建立多個用戶組，根據(jù)戰(zhàn)略的情況，最少要建立兩個用戶組。用戶及用戶組的配置請參考培訓(xùn)PPT，這里不再贅述。新建兩條上網(wǎng)權(quán)限

6、戰(zhàn)略： 技術(shù)支持和銷售部門上網(wǎng)權(quán)限：上班時間封堵P2P和迅雷等多線程下 載工具，玩游戲和炒股。關(guān)聯(lián)技術(shù)支持和銷售部門組。 其他員工上網(wǎng)權(quán)限：上班時間封堵P2P和迅雷等多線程下載工具下載、玩游戲、 炒股、/MSN。 關(guān)聯(lián)默許組。上網(wǎng)戰(zhàn)略典型運用場景及配置配置思緒： 新建一條上網(wǎng)審計戰(zhàn)略：開啟一切行為的運用審計。關(guān)聯(lián)“技術(shù) 支持和 銷售部門組和“默許組4. 新建一條準(zhǔn)入戰(zhàn)略： 開啟IM監(jiān)控。 關(guān)聯(lián)“技術(shù)支持和銷售部門組。上網(wǎng)權(quán)限戰(zhàn)略配置1. 新建兩條上網(wǎng)權(quán)限戰(zhàn)略-技術(shù)支持和銷售部門上網(wǎng)權(quán)限 定義規(guī)那么稱號t需求封堵的運用，完成后，點確定選擇規(guī)那么生效的時間配置完成，點擊提交上網(wǎng)權(quán)限戰(zhàn)略配置 1.

7、新建兩條上網(wǎng)權(quán)限戰(zhàn)略-其它員工上網(wǎng)權(quán)限需求限制的運用選擇生效時間配置完成，點擊提交上網(wǎng)審計戰(zhàn)略設(shè)置2、新建一條上網(wǎng)審計戰(zhàn)略，開啟一切的運用行為的運用審計，關(guān)聯(lián)技術(shù)支持和銷售部門組和默許組。勾選需求審計的上網(wǎng)行為，全選代表審計一切的上網(wǎng)行為配置完成，點擊提交準(zhǔn)入戰(zhàn)略設(shè)置 3、新建一條準(zhǔn)入戰(zhàn)略，開啟IM監(jiān)控，關(guān)聯(lián)技術(shù)支持和銷售部門組。配置完成，點擊提交上網(wǎng)戰(zhàn)略典型運用場景及配置 配置完成后，在戰(zhàn)略列表中將顯示上面配置 的三條上網(wǎng)戰(zhàn)略及關(guān)聯(lián)的用戶/組等信息，如以下圖： 動動腦 假設(shè)用戶/組關(guān)聯(lián)了多條上網(wǎng)戰(zhàn)略，這些戰(zhàn)略之間是怎樣任務(wù)的呢？上網(wǎng)戰(zhàn)略匹配規(guī)那么1、不同類型的戰(zhàn)略匹配順序: 和控制臺界面的陳

8、列順序一致2、一樣類型戰(zhàn)略的匹配順序：按由上往下匹配的原那么。闡明：a. 假設(shè)一個組關(guān)聯(lián)了多條不同模塊的戰(zhàn)略，只需有一個模塊回絕，那么回絕。b. 假設(shè)一個組關(guān)聯(lián)了多條一樣模塊的戰(zhàn)略，那么按從上往下匹配的原那么，匹配第一條戰(zhàn)略的動作。上網(wǎng)權(quán)限戰(zhàn)略匹配規(guī)那么假設(shè)用戶/組關(guān)聯(lián)多條上網(wǎng)權(quán)限戰(zhàn)略，戰(zhàn)略的匹配順序如下：戰(zhàn)略匹配規(guī)那么案例一 1. 某用戶關(guān)聯(lián)如下兩條上網(wǎng)戰(zhàn)略，請問這個用戶能否能發(fā)送郵件到公網(wǎng)呢？按戰(zhàn)略匹配原那么，該用戶會匹配不同模塊中的兩條戰(zhàn)略，只需有一條回絕，那么回絕。本例中，第一條戰(zhàn)略SMTP效力是回絕的，所以不允許發(fā)送郵件。戰(zhàn)略匹配規(guī)那么案例二 2. 某用戶關(guān)聯(lián)如下兩條上網(wǎng)戰(zhàn)略，請問這

9、個用戶的運用運用情況會怎樣呢？此用戶不能訪問游戲和股票買賣，其他運用都允許運用默許動作是允許制止內(nèi)網(wǎng)用戶經(jīng)過代理效力器上網(wǎng)制止內(nèi)網(wǎng)用戶經(jīng)過代理效力器上網(wǎng) 假設(shè)內(nèi)網(wǎng)用戶經(jīng)過代理效力器上網(wǎng)，那么可以部分程度上繞過AC的管控，且不能真實記錄每個用戶的上網(wǎng)行為，那么該如何處理呢？ AC設(shè)備有如下方式可以制止內(nèi)網(wǎng)用戶經(jīng)過代理效力器上網(wǎng)： 1. 假設(shè)AC部署在代理客戶端和效力器之間，那么可經(jīng)過上網(wǎng)權(quán)限戰(zhàn)略的代理控制功能，制止內(nèi)網(wǎng)用戶經(jīng)過HTTP代理和SOCKS代理上網(wǎng)。如以下圖：制止內(nèi)網(wǎng)用戶經(jīng)過代理效力器上網(wǎng) 2. 經(jīng)過準(zhǔn)入規(guī)那么，回絕代理客戶端的進(jìn)程運轉(zhuǎn)。對象設(shè)置中禁用代理軟件的規(guī)那么在準(zhǔn)入戰(zhàn)略中選擇禁

10、用代理軟件的規(guī)那么并關(guān)聯(lián)給用戶/組。制止內(nèi)網(wǎng)用戶經(jīng)過代理效力器上網(wǎng) 3. 為了防止內(nèi)網(wǎng)用戶經(jīng)過小路由器NAT代理上網(wǎng)的方式，也可以采取第二種準(zhǔn)入規(guī)那么檢測的方法，路由器上無法安裝準(zhǔn)入客戶端，將導(dǎo)致下面的電腦均無法上網(wǎng)。 假設(shè)內(nèi)網(wǎng)用戶經(jīng)過雙網(wǎng)卡的電腦共享上網(wǎng)或者其他代理效力器在AC設(shè)備LAN口下的情況，那么只能經(jīng)過設(shè)備的防代理檢測功能來封堵，詳細(xì)引見請查看PPT。組織外線路檢測組織外線路檢測功能 運用場景：內(nèi)網(wǎng)用戶出于某些目的，不經(jīng)過內(nèi)部一致指定的出口上網(wǎng)，而私自接入其他外網(wǎng)線路，而這些上網(wǎng)行為是不受組織監(jiān)視和管控的，組織管理者希望能自動發(fā)現(xiàn)這類行為，以便及時防止不可管控帶來的泄密等風(fēng)險。例：企

11、業(yè)以為網(wǎng)關(guān)才是合法網(wǎng)關(guān)，經(jīng)過其他的網(wǎng)關(guān)上網(wǎng)都是不允許的，當(dāng)PC經(jīng)過網(wǎng)關(guān)上網(wǎng)后，管理者希望可以發(fā)現(xiàn)這樣的私接外網(wǎng)線路上網(wǎng)行為。組織外線路檢測 一、配置思緒： 1、配置 一條準(zhǔn)入戰(zhàn)略，啟用組織外上網(wǎng)線路檢測 2、將該戰(zhàn)略關(guān)聯(lián)給內(nèi)網(wǎng)用戶或組(省略配置組織外線路檢測二、配置如圖：填入合法的網(wǎng)關(guān)地址假設(shè)勾選，PC離線后走非的網(wǎng)關(guān)上網(wǎng)，也做記錄組織外線路檢測 三、效果檢驗：將該戰(zhàn)略關(guān)聯(lián)給PC 52，假設(shè)這時PC將網(wǎng)關(guān)改為，管理員可經(jīng)過數(shù)據(jù)中心的準(zhǔn)入系統(tǒng)查看PC私接外網(wǎng)線路上網(wǎng)的行為，如圖：闡明：本案例中，假設(shè)pc將網(wǎng)關(guān)指向，并去掉IP 52，只留下52，此時PC與AC失去銜接，假設(shè)這種情況也需求繼續(xù)檢測，

12、那么需求勾選“與AC失去銜接后繼續(xù)檢測，準(zhǔn)入客戶端將會繼續(xù)檢測非法網(wǎng)關(guān)線路，當(dāng)下次PC和AC重新銜接后上報給AC。組織外線路檢測 本卷須知：1. AC檢測到外網(wǎng)線路后只記錄、不回絕，且準(zhǔn)入客戶端不會有提示信息，效果檢查可以到數(shù)據(jù)中心查看；只需第一次檢測出違規(guī)、或者上一次檢測出合法而本次檢測為非法，才會記錄日志。2. 假設(shè)PC不安裝或卸載了準(zhǔn)入客戶端，那么不受AC監(jiān)控，可經(jīng)過其它網(wǎng)關(guān)直接上網(wǎng)，且AC上也沒有相應(yīng)的日志。3. 組織外線路檢測只檢查網(wǎng)關(guān)能否合法，不檢查外網(wǎng)銜接類型；卸載準(zhǔn)入客戶端不需求解控。練練手某公司購買了SANGFOR AC來進(jìn)展上網(wǎng)行為的管理，希望能配置實現(xiàn)如下功能：一切員工上班時間不允許訪問色情和賭博類網(wǎng)站一切員工允許QQ和MSN聊天，但不允許經(jīng)過QQ和MSN傳文件，對于繼續(xù)運用QQ和MSN聊天超越一小時的員工，給予一個頁面進(jìn)展提示。統(tǒng)計一切員工的上網(wǎng)時長和