深信服上网行为管理
深信服上网行为管理
深信服AC系列产品作为中国上网行为管理领域的第一品牌，可助您实现对互联网访问行为的全面管理。
深信服上网行为管理产品凭借强大的功能和简便的操作，可在P2P流量管理、防止内网泄密、防范法规风险、互联网访问行为记录、上网安全等多个方面为您提供最有效的解决方案。
深信服上网行为管理产品拥有领先的网络行为识别能力，产品内置业界最大的应用识别库，可对多达500多种互联网应用软件进行管控；基于统计学的P2P智能识别技术，可实现对加密的、新版本甚至未知版本的P2P应用进行识别，为彻底管控P2P应用提供了技术保证。
基于8年多来公司在网络核心技术领域的长期积累，以及充分优化的系统架构、高性能的硬件平台，深信服上网行为管理产品的性能遥遥领先于其他同类产品，可管控5万人以上的大型网络。
目前，在中国上网行为管理的高端市场中，深信服AC产品拥有着极高的占有率，6000多家客户中有2000多家属于中高端客户。
深信服上网行为管理产品获得了包括国资委监事会、卫生部卫生监督中心、北海舰队、招商局集团、招商银行、中国银行、中银保险、华夏基金、中国南方航空、广州丰田、东风日产、四川长虹、中粮集团等大型知名用户的认同，是上网行为管理市场当之无愧的第一品牌。
产品功能
1、上网行为控制，规范员工上网行为，提高工作效率
多种认证机制，细致的用户分组和权限划分，基于时间段为用户分配合适的权限；独特的WEB认证、基于浏览器实现方便的用户识别和认证；网页过滤、关键字过滤、深度内容检测等多种控制功能，管控员工在上班时间访问与工作无关的网站、网络聊天、网络游戏、炒股、看电影、P2P行为、文件上传下载等；管控Email、FTP等行为。
独有的网络访问准入系统，只允许符合指定条件的用户才可以连接Internet，避免内网用户遭受病毒、木马、间谍软件等安全威胁；
2、强大的监控和审计，保护内部数据安全、防止机密信息泄露
记录所有访问过的网址、网页标题和网页内容、HTTP/FTP上传下载、通过BBS、BLOG发表的内容；各种搜索记录，QQ、MSN等聊天内容等，所有上网记录，均可完整再现；特有的邮件延迟审计技术，保证所有Email邮件先审计、后发送；Webmail网页邮件内容全面记录，包括正文和附件。
防止公司机密信息通过邮件、即时通讯软件、BBS等途径泄露；同时具有独特的“免审计Key”功能，彻底免除对组织高层领导的网络行为记录；
3、流量控制和带宽管理，优化带宽资源的使用
多线路复用和智能选路技术，提升出口带宽，流量负载分担，智能选择最优上网线路。
对P2P等非业务应用和非业务部门进行带宽限制，细化到应用级别和针对每用户的带宽划分；基于用户（组）、应用类别、时间段等进行带宽分配；
4、海量日志存储、丰富的报表功能，为组织决策提供最有效的数据支持
网络行为日志支持海量存储，满足公安部82号令存储60天要求，且日志的查询、统计、审计等不影响网关性能；全面记录所有上网行为日志，图形化的日志查询、审计、统计功能；提供搜索界面，实现海量日志的内容检索和搜索。
5、更多安全功能，全面提升内网安全级别
防范来自公网和源自内网的DOS攻击，提升网络可用性；防ARP欺骗；网关杀毒，从源头上查杀病毒；网络准入规则，修复内网安全短板，提升内网安全级别。
深信服上网行为管理-基本功能介绍
网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象 国内最大的应用识别库，超过2000多种主流应用
注：该规则库会定期更新，此显示 为2014年11月前更新的规则总数
网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象
行为管理：应用授权
实现权限与职责的匹配，防止越权访问与泄密风险，管控与业 务无关的上网行为，提升员工工作效率， 过滤不良信息，防 止法律风险
上网行为管理标准 OA
审计
用户身份识别
网络应用识别
流控
封堵 行为管控
数据分析
SANGFOR AC基本功能介绍
用户身份识别
有效区分用户，分层次管理的组织架构，是部署差异化管理策略的依据
用户身份识别
未通过认证的用户： 控制上网权限
通过认证的用户： 定向至指定网页
本地认证
IP/MAC认证 自建帐号密码 USB-Key 认证 短信认证
定向至指定网页ipmac认证自建帐号密码usbkey认证短信认证ldapradiuspop3ipmac认证pop3proxyad单点登录微信认证web单点登录pppoe单点登陆数据库认证第三方设备单点登陆新用户认证自动分组自动认证自动授权用户身份识别有效区分用户分层次管理的组织架构是部署差异化管理策略的依据用户身份识别用户身份识别映射组织结构网关控制台用户与上网策略对应策略列表用户与行为一一对应数据中心网络应用识别识别网络应用了解用户行为是管控措施的基础和对象国内最大的应用识别库超过2000多种主流应用注
控制不可信的下载源，避免下载带病毒的文件 管控文件外发行为，防止机密文件外发等泄密事件
指定下载站点 封堵其他站点
基于文件类型 控制上传/下载
深信服上网行为管理和入侵检测网关解决方案1.16
深信服上网行为管理和上网优化网关（入侵检测）解决方案深信服科技有限公司20XX年XX月XX日一．上网行为管理1.产品描述：随着互联网的普及，组织机构的业务几乎都依托于互联网进行着。
ERP、CRM、OA、电子商务、视频会议等系统已成为各组织机构在建设网络的基础设施，来为公司业务建立一个信息化平台。
但是在一个组织机构内部的网络，除了这些关键业务系统外，P2P下载、网络炒股、游戏、视频等非关键业务应用同样共存着，形成了复杂的网络应用“脉络”。
网络速度慢，正常业务受到影响，如何来解决问题呢？扩张带宽，将原有的10M扩张到20M？扩张带宽，IT部需要向公司申请一笔较大的经费，财务部需要从其他部门的预算中挤出30W左右的资金，难度大，周期长，有风险。
但是扩张带宽后，网络速度慢的问题是否会从根本上解决呢？而P2P对于带宽资源的吞噬是一方面，另外一方面P2P会产生大量的连接会话，会对于网络核心以及互联网出口设备都会产生比较大的压力，导致相关设备负载过高，导致设备新建会话的速度变慢从而影响网路速度。
由此看来，组织机构若不能应付P2P应用大量吞噬带宽的现象，单纯通过扩张带宽，也只能获得一时的效果，仍然不能从根本上解决网络速度慢的问题。
网络偶然发生拥堵，很常见，但如果网络开始遭遇频繁的数据重发和拥堵，有一件事情是确定的——如果不将网络拥堵处理妥当，它只会变得更糟。
组织单位面对来自带宽效率、工作效率、泄密、法律和网络安全等风险问题时，往往需要一套完善的可靠的上网行为管理解决方案。
项目具体描述性能稳定多机模式支持两台及两台以上设备同时做主机的部署模式，性能翻倍；识别能力用户KEY 能够以USB-KEY方式实现双因素身份认证，更安全，支持基于KEY的免审计功能应用识别库最大识别近400种应用，国内最大URL智能识别基于人工智能实现海量未知网页的自动识别与分类，从容应对一万亿个独立网页的管理挑战；SSL 加密识别基于关键字过滤SSL加密论坛/BBS/WEBMAIL发帖行为并审计内容，基于关键字/发件人地址等过滤邮件客户端外发SSL加密邮件行为并审计邮件内容，防范SSL加密带来的管理漏洞；管理全面发帖管理允许用户浏览帖子但不准发帖功能，网络言论管理更人性化Webmail管理允许用户登录webmail收邮件，而禁止发送webmail邮件的功能，防泄密管理更灵活；3.相关型号及参数；推荐型号：AC1200-HY价格：36500I.性能参数二．上网优化网关（入侵检测系统）1.产品描述当越来越多的公司将其核心业务向互联网转移的时候，网络安全作为一个无法回避的问题呈现在人们面前。
深信服上网行为管理配置详解
控制台功能说明
2.1WebUI 配置界面
登录界面如下图所示：
控制台功能说明
2.1WebUI 配置界面
如何消除登录控制台的证书告警框？
首先，登录控制台，进入『系统配置』→『高级配置』→『WebUI选项 』页面，点击下载证书，将证书下载到本地安装。
控制台功能说明
主界面
控制台功能说明
2.2实时状态
控制台功能说明
2.2.1运行状态
【资源信息】主要用于显示设备资源的概况，包括CPU使用率，内存使 用率，磁盘使用率，设备会话数，在线用户数，无线热点数，系统时间 和当天日志汇总等信息。
点击
可以设置是否启用自动刷新以及自动刷新的时间。
控制台功能说明
2.2.1运行状态
【接口信息】主要用于显示设备各个网口的状态，是否接线以及各个网 口发送和接收实时流量。Biblioteka 点击可以设置自动刷新的时间。
控制台功能说明
2.2.1运行状态
【用户流量排名】用于显示前十名的用户流量排名情况，可以根据上下 行流量和总流量来排名，界面如下：选中上行则显示上行流量的百分比 ，选中下行则显示下行流量的百分比。
点击
可以设置自动刷新的时间。
控制台功能说明
2.2.1运行状态
【上网行为监控】主要用于显示实时的用户上网行为。
深信服上网行为管理配置
（AC v4.5)
• 硬件安装 • 控制台功能说明 • 案例分析
硬件安装
1.1产品外观
设备出厂的默认IP见下表：
硬件安装
1.2单设备接线方式
用标准的RJ-45以太网线将ETH0（LAN）口与内部局域网 电脑连接，对AC设备进行配置。 用标准的RJ-45以太网线将ETH2（WAN1）口与Internet接 入设备相连接，如路由器、光纤收发器或ADSL Modem等 。 多线路的AC设备可以支持多条Internet线路，此时将 WAN2口与第二条Internet接入设备相连，WAN3口与第三 条Internet线路相连，依此类推。
深信服上网行为管理-单点登录指南
培训内容
单点登录介绍
单点登录实现方式
单点登录配置举例
培训目标
1. 了解单点登录功能的应用场景和概念 2. 掌握AC/SG设备支持的单点登录方式 1. 了解单点登录功能的几种实现方式
1. 掌握常见网络环境中web单点登录方式的部署和 配置
2. 掌握常见网络环境中数据库单点登录的部署和 配置
数据库单点登录配置举例--同步组织结构
如要同步组织结构，则在“用户自动同步”---新增一个“数据库同步”，填写可 以获取用户的sql语句和组路径分隔符，组路径分隔符是指客户的数据表中如果有 多个组，是以什么符号来分隔组和子组，如上述示例是以短横线分隔的：
点同击步"过测来试之有后效，性看"到，的可组以织列结出构可信以息获如取下的：信息：
的流量是PPPOE封堵，需要开启协议剥离才能识别 3、配置PPPOE单点登录
PPPOE单点登录配置示例
第一步：新建认证策略，认证方式为“不需要认证/单点登录”
PPPOE单点登录配置示例
2. 开启PPPOE协议剥离。
如果网络环境中由其 他协议的数据包封装 PPPOE的数据，则也 要开启其他协议的协 议剥离，如pppoe外层 再由vlan封装，则需
WEB单点登录： 适用场景：适用于内网有一套WEB认证系 统（如办公OA），PC上网前会先通过内网 WEB认证系统认证，客户希望部署AC后， 用户上网通过现有的web系统认证后自动通 过AC认证。
PC
OA
①
实现过程：AC监听PC和WEB认证系统之间 的认证交互过程 ，当PC通过WEB认证系统 认证时，自动通过AC认证上线
PPPOE单点登录配置示例
PPPOE单点登录多用于高校场景， 高校学生上网，多数采用拨号上 网，客户希望学生PPPOE拨号成 功后，即能自动通过AC认证可以 直接上网。需要注意，拨号服务 器需要部署在设备wan口方向， 如图
深信服上网行为管理
深信服上网行为管理随着互联网的快速发展和普及，让人们更加容易上网，高端甚至普通的手机设备也给大众带来了便利。
每个人都可以随时随地上网，获取各种信息和服务。
同时，也存在一些不良上网行为，这些行为有可能侵犯其他人的权益和利益，对个人和社会都会造成很大的影响。
为了规范和管理上网行为，深信服上网行为管理应运而生。
接下来，就让我们来详细地了解一下深信服上网行为管理的相关内容。
深信服上网行为管理是一个完整的网络上网管理方案，它包括网络上网行为监控、网络上网流量管理、上网行为审计、过滤与控制等方面。
其目的是规范和保障网络操作的安全性、合法性和合理性，确保网络资源的合理利用。
首先，网络上网行为监控是深信服上网行为管理的重要一环，它可以对网络用户的上网行为进行实时、准确、全面的监控和记录。
通过实时监控，可以及时发现和阻止不良上网行为，避免网络犯罪或其他不法行为的发生。
通过准确记录，可以为后续网络管理和维护提供重要的数据支持。
其次，网络上网流量管理是指对网络上网流量进行有效的管理和控制。
此管理可以精确测算网络上网用户的流量消耗情况，从而合理规划和利用网络带宽，减少网络瘫痪的情况产生。
同时，对于不合理的流量操作，如高流量、过度的流量等，我们可以通过一系列的控制措施进行管理和控制，保证网络正常运行。
第三，上网行为审计是深信服上网行为管理中的另一个重要部分。
通过对上网行为进行审计，我们可以对用户的上网情况进行精确评估，进而发现和消除潜在的网络风险。
同样，该审计还可以为网络管理人员提供有用的信息和数据，支持网络管理人员制定更加合理的网络管理计划。
最后，对于不良网络行为和不良内容，我们可以通过过滤和控制的方式来防止和消除。
深信服上网行为管理会通过各种先进的技术手段来过滤和控制网络上不良内容、欺诈交易、病毒等有害内容，保障网络环境的规范化、健康化，为用户带来更高品质的网络体验。
总之，深信服上网行为管理是一种完整和高效的上网管理方案，它旨在规范和保障网络操作的安全性、合法性和合理性。
深信服上网行为管理-系统测试指南
7.3. 设备上架
线下配置完成后即可将设备接到 网络里面，注意必须是LAN区网 口接核心交换机，WAN区网口接 防火墙。本案例中配置的LAN区 网口是eth0， WAN区网口是eth2。 如图所示接线，如果接反线，将 导致策略失效。
6. 设备健康状态检测
为确保设备软件运行正常，测试前需要进行设备健康状态检查，检查项 目参考此文档“SANGFOR_AC&SG_v6.0_2015年度渠道初级认证培训 13_测试工作指引_测试前期_设备健康状态检查.xls”
至此，测试前准备工作完成，接下来和客户约好测试时间，按时上门测试
7. 现场测试
4、现场测试，如遇到问题无法解决，请及时将设备开直通，避免对客户业 务造成影响。
测试后期工作指引
完成功能测试，在离开客户现场之前，需要进行最后扫尾工作，以确保设 备工作正常。扫尾工作请参考文档“SANGFOR_AC&SG_v6.0_2015年度 渠道初级认证培训13_测试工作指引_测试后期_扫尾工作.xls”
1、需求确认：需要了解客户的核心需求和一般需求，客户要解决什么问 题，设备当前版本是否可以满足？
2、环境确认：提前确认客户的机房网络环境，方便后续设备部署方案确 认及功能测试确认。环境确认请参考文档 “SANGFOR_AC&SG_v6.0_2015年度渠道初级认证培训13_测试工作指 引_测试前期_环境确认表.xls”
安装好后会生成如上图标， 双击此图标进行配置
7.6. 外置数据中心配置：
设置同 步日期
新建一个同步 的用户名密码
新建一个 数据库
选择一个附 件存放目录
7.6. 外置数据中心配置：
深信服上网行为管理-上网策略介绍
注意
1、SSL内容识别是通过设备程序代理实现的，所以需要确保设备本身可以上网 SSL内容识别才生效。
3建立上网权限策略启用ssl内容识别并和用户support关联https协议加密识别加密网站域名在域名列表中才会识别填写mailqqcom支持通配也可以写成qqcomweb加密内容识别后的动作可以审计关键字过滤客户端加密发送接收邮件识别如smtpspop3s默认识别加密客户端所有发送接收邮件如果有例外情况在这里排除服务器地址识别后的动作要以审计或邮件过滤
用户support位于渠道认证测试组，且已通过设备认证
2、需要先确认多功能序列号已激活SSL内容识别，默认是激活的。如下图。
3、建立上网权限策略启用SSL内容识别，并和用户support关联
https协议加密识别
默认识别加密客户端所有发送接收邮 w键件 务加e字b， 器密加过如 地客识网密滤果 址户别站内有端（容域加如例识名密s外别m在发后情t域p送的况s名/接动p，列o收作p在表邮，3这s件中可）里才以排审会除计识服，别关，
终端用户连接数如果超过限制，则异常（如网页打不开），不会给终端弹提示页面。
注意：连接数控制不区分具体应用，可能会导致打不开网页。所以实际场景中，建 议不要使用此功能，如有连接数控制需求的，建议使用流控，也能达到预期效果。
练练手
本章PPT在介绍SSL内容识别时，只介绍了web加密邮件审计，你结合本节 所学内容，尝试自己动手完成加密客户端发送邮件审计及加密客户端发送 邮件过滤实验。
深信服WIFI系统上网行为管理解决方案
谢谢
深圳市南山区麒麟路1号 科技创业中心4楼
Add: 4th Floor, Incubation Center, No.1 Qilin Road, Nanshan District, Shenzhen P.C.:518052 Tel:+86-755-2658 1949 Fax:+86-755-2658 1959 Email:master@
深信服WIFI系统上网行为管理解决方案
应用背景
随着智能手机、pad智能终端的普及，我们已经习惯了随时随地的连
接网络，使用网络。各大型商场，酒店大厅，银行营业厅已经部署了无
线网络。
需求分析
• 上网用户身份确定
• 发ห้องสมุดไป่ตู้免责声明，推送广告页面 • 统计客户信息，挖掘潜在商机 • 保障上网体验 • 提供健康上网环境
典型案例
安徽合肥万达商场
a. 采用短信认证，认证后跳转到公司页面，在认 证页面推送广告； b. 针对用户做流控，限制不当网络行为，特别是 下载，保障访问速度； c. 搜集手机号作为目标客户数据来源，定期发送 手机广告，从而IT给业务带来增值 。
山西大酒店
采用AC无线网络管理和业务增值方案： a. 采用短信认证，认证后跳转到酒店的广告页面； b. 做无线网络的行为管控； c. 实名认证+审计，满足公安部的审查需求。
保障上网体验
上网流量控制： 建议可限制下载类的大流量
应用，限制单用户使用网络的流量，保障用户的 上网体验。
提供健康上网环境
行为管理：
利用上网行为管理设备过滤不良网页和应用，提供 健康绿色的上网环境。对部分敏感信息进行记录，满足 公安部82号令的要求。
AC-SC集中管理
深信服上网行为管理部署方式及功能实现配置说明
深信服上网行为管理部署方式及功能实现配置说明（标化院）设备出厂的默认IP见下表：AC支持安全的HTTPS登录，使用的是HTTPS协议的标准端口登录。
如果初始登录从LAN口登录，那么登录的URL为：，默认情况下的用户名和密码均为admin。
设备正常工作时POWER灯常亮，W AN口和LAN口LINK灯长亮，ACT灯在有数据流量时会不停闪烁。
ALARM红色指示灯只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。
如果在安装时此红灯长亮，请将设备掉电重启，重启之后若红灯一直长亮不能熄灭，请与我们联系。
『部署模式』用于设置设备的工作模式，可设定为路由模式、网桥模式或旁路模式。
选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。
路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能；旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。
选择【导航菜单】中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，会出现『路由模式』、『网桥模式』、『旁路模式』的选项，选择想要配置的网关模式。
路由模式：是把设备作为一个路由设备使用，一般是把设备放在内网网关出口的位置，代理局域网上网；或者把设备放在路由器后面，再代理局域网上网。
配置方法：第一步：先配置设备，通过默认IP登录设备，比如通过LAN口登录设备，LAN口的默认IP是10.251.251.251/24，在电脑上配置一个此网段的IP地址，通过登录设备，默认登录用户名/密码是：admin/admin。
深信服上网行为管理-数据中心配置介绍
注意
外置数据中心和内置数据中心无法使用同一个key，同一个 key只能用于一台内置或一台外置数据中心
内容搜索
内容搜索功能介绍
为便于日志搜索，外置数据中心提供搜索引擎功能，可以根据关键字 对网页，邮件，搜索关键字，webmail/bbs/微薄内容，聊天搜索。 注意：搜索引擎只有外置数据中心才有，且只有admin帐号登录外置 数据中心才有。内置数据中心或非admin帐号登录外置数据中心没有。
内容搜索系统使用
根据需求设置搜索条件 并点击【开始搜索】。
搜索结果显示
输入搜索关键字 点击【开始搜索】
【高级搜索】用 来设置搜索条件， 使用搜索范围更 加精确，点击进 入高级搜索页面
主题订阅
提前设置好自动搜索条件，搜索的内容将以邮件键字类型
内置数据中心KEY配置步骤
2、新建控制台用户
生成key前，先 下载key驱动
如图，新建控制台 用户dkey，先安装 key驱动。插入数据 中心查询key，输入 dkey密码。该用户 的“组织权限设置” 和“页面权限设置” 全选。
内置数据中心KEY配置步骤
2、新建控制台用户
生成key前，先 下载key驱动
内容搜索功能介绍
打开内容 搜索主页
点击【内容搜索】 点击【内容搜索】
所能搜索的内容
内容搜索系统启用
启用搜索系统
网页索引可以选择性开启，因为如 果网页内容较多，可能会影响索引 性能。注意，网页索引，需要先开 启“上网审计策略”中“网页内容 配置审完计后根”点据才击服【会务保生器存效内新存新增大索引】
如图，新建控制台 用户dkey，先安装 key驱动。插入数据 中心查询key，输入 dkey密码。该用户 的“组织权限设置” 和“页面权限设置” 全选。