上网行为管理部署方案培训教材
深信服上网行为管理-无线管理指南
式无线网络及个人无线网络并达到效果
上网策略与流控策略关联SSID 1、掌握上网策略和流控策略对无线网络的生效
方式
PART 1
无线需求
3
1、无线需求
无线是现在IT建设的热点，为了方便员工办公及客户上网，越来越多的企 业、商户开始部署无线。
顾客
无线接入，上网数据分析 建设良好的沟通桥梁
商户
便捷、快速地畅游体验
路由
网桥
Lan
Lan
Lan
Lan
AP AP
AP接入网络当中,AP是否需要做配置？有无WEB登录界面？
AP无需配置
①
AP发现AC
Lan AP
Lan AP
②
AC下发配置给
AP
Lan AP
Lan AP
PART 3 AP发现与激活
14
部署完AC和AP后，紧接的过程是AP发现与激活。AP发现与激活，对用户 是完全透明的，程序自动完成。无需手动激活。
证，但终端用户上网会受AC认证策略的影响。
客户需求无线结合微信认证可以使用此种认证方案！AC认证策略配 置为微信认证。
配置步骤
1.【无线配置】—新建开放式无线网络，认证方式选择无需认证 2.【用户与策略管理】—【认证策略】—新建认证策略，认证方式选择微信认证 3.【用户与策略管理】—【认证选项】—选择微信认证的认证方案，配置相应的 信息
PART 2
授权与部署
7
1.授权
6.0版本开始，有无线功能，通过序列号授权激活
AP外观
AP后面板
后视图
从左到右依次说明： 电源口：48V DC的直流电源，配备电源适配器，接入110~230V电压范围， Console：控制口，用于工程师和测试工程师调试用 LAN：出厂默认dhcp获取地址，支持PoE（Power over Ethernet）供电 Reset：重置按钮，长按RESET按钮5-15秒，除了power灯以外，所有灯都会 灭一段时间，然后AP会重启，并恢复默认出厂配置
dp上网行为管理手册
DP上网行为管理手册
一、引言
DP（数据保护）上网行为管理手册旨在规范员工在使用公司网络资源时的行为，保护公司数据安全，防止信息泄露和网络攻击。
二、适用范围
本手册适用于公司所有员工，在使用公司网络资源时必须遵守相关规定。
三、上网行为规范
1.员工在使用公司网络资源时，应遵守相关法律法规，严禁访问非法网
站和传播违法信息。
2.使用公司网络资源进行个人事务需谨慎，不得用于从事非工作相关的
网络活动。
3.禁止在公司网络资源上从事影响生产工作的行为，如观看视频、玩游
戏等。
4.不得私自设置网络共享和传输敏感信息，包括但不限于公司机密资料、
个人隐私等。
5.员工不得修改、破坏公司网络安全设置，如未经授权擅自更改网络配
置等行为。
四、网络安全意识培训
公司将定期组织网络安全意识培训，提高员工对网络安全的认知和风险意识。
五、网络监控和违规处理
1.公司将对员工上网行为进行监控，如发现违规行为将依据公司制度进
行处罚。
2.对于严重违规行为，公司有权立即停止员工使用公司网络资源，并追
究其法律责任。
六、责任和义务
1.每位员工有责任遵守本手册规定，保护公司数据安全，不得故意或者
过失泄露公司信息。
2.公司网络管理员有责任负责监督和管理员工的上网行为，及时发现并
处理违规行为。
七、结束语
公司希望通过这份DP上网行为管理手册，加强员工对网络安全的重视，共同维护公司数据安全和网络稳定。
以上为DP上网行为管理手册内容，望各位员工遵守执行。
上网行为管理部署方案培训
3.2、上网策略管理-策略对象设置
3.2.2、网页过滤 d、SSL控制
SSL证书的颁 发机构
导入受信任的 根证书
受信任的根证 书，应用于证
书链控制
3.2、上网策略管理-策略对象设置 3.2.3、邮件过滤
邮件过滤用于过滤使用SMTP和POP3协议收发的邮件，对webmail无 效。
收邮件
发邮件
3.2、上网策略管理-策略对象设置
策略匹配顺序：由上 至下，当涉及相同的 规则时，注意将较细 的规则放在前面。
应用类型 选择应用类型
策略叠加时，缺省动作以此条为准， 还是继续往下匹配，如果以此条为准， 则执行缺服省务动控作制应，不用下再名面匹称策配略到中 了的应用 规则名称
细分子类应用类型
对应用类型下的子类进 行选择
3.2、上网策略管理-策略对象设置 3.2.1、上网权限 b、网络服务控制：根据目标IP、端口和时间来控制上网数据。
策略对象：用于设置详细的上网策略。 包括：上网权限、网页过滤、邮件过滤、应用审计、流量统计与上网计时、
准入系统。
策略名称
策略描述
一条策略中包含这六种控制方式，通过勾选，使此方式生效 并进行设置。
接下来的章节将对这六种控制方式进行详细讲解 掌握：能做到什么？控制的原理？设置步骤？
3.2、上网策略管理-策略对象设置
3.2.3、邮件过滤
邮件延迟审计：设置策略，将匹配条件的邮件，延迟发送，AC通知管理 员查看审核此邮件，由管理员决定是否将此邮件发出，还是删除不发 送。
SANGFOR AC部署模式介绍
• 路由模式_简介
1、路由模式时AC的工作层次基本与路由器相当，具备基本的路由转发及 NAT功能，一般在客户原有网络环境中添加部署AC设备时不采用这种模式， 因为这种部署模式需要对客户的网络环境作较大的改动。 2、一般此种部署模式是客户想用AC替换原有部署的防火墙或者是路由器， 或者是客户在规划新网络建设时将AC部署为路由模式。 3、路由模式下支持AC所有的功能模式。 4、一般客户如果需要作NAT、VPN、DHCP等功能时，AC必须是路由模式， 其它工作模式不支持实现这些功能。
文明上网培训计划
文明上网培训计划一、培训宗旨现代社会信息化程度日益加深，网络已经成为人们学习、工作、生活的重要工具。
但是，网络环境中也存在着很多不文明行为，比如网络谩骂、网络暴力、网络诈骗等，这些行为不仅会对他人造成伤害，也会给网络社会增添负面影响。
为了提高广大网民的网络素养，培养良好的上网行为，特制定本文明上网培训计划。
让大家在网络空间中更加文明、健康地表达自己、共建和谐的网络环境。
二、培训内容1.网络礼仪在网络上，如何与他人进行交流、如何处理网络冲突、如何遵守网络规则是非常重要的。
培训内容主要包括网络礼貌用语、不能做的网络行为等。
2.正确使用网络介绍互联网的基本知识、常见的网络诈骗、网络安全知识、如何使用搜索引擎等，以及如何利用网络资源进行学习和工作。
3.网络心理健康介绍网络心理健康的重要性，如何处理网络暴力、如何抵制网络诈骗、如何应对网络情绪等内容，帮助大家在虚拟世界中保持情绪的平衡。
4.网络素养介绍如何评估网络信息的真实性、如何避免盲目相信网络传言、如何正确使用社交媒体等，提高大家在网络环境中的辨别能力和应对能力。
三、培训方式1.面对面培训通过传统的面对面授课形式，由专业的老师进行讲解，并且结合案例进行分析，帮助大家更深入地理解和掌握培训内容。
2.网络课程利用网络平台，制作网络课程，供大家自主学习，让更多的人能够参与到培训中来。
并且可以通过网络测试，对学员进行考核。
3.互动讨论在培训过程中，设置互动环节，鼓励学员们就所学内容进行讨论、提问，增强学员之间的互动和学习氛围。
四、培训评估1.定期考核每学时结束后，进行一次小测试，评估学员的掌握情况，并对学员进行反馈。
2.毕业考核培训结束后，进行一次总考核，以期考察学员对培训内容的掌握情况，通过考核后，进行培训结业。
3.效果评估培训结束后，定期跟踪学员的上网行为，通过反馈、调查等方式，评估培训的效果，以期对培训过程进行改进。
五、培训目标1.提高学员的网络素养通过培训，提高学员对网络文明的认知，培养良好的上网习惯，增强自我保护意识。
深信服上网行为管理-安装部署指南
TRUNK环境部署：路由模式_配置步骤
LAN口（eth0）填写 任一个不存在的IP 配置完成后可看到配置汇总信息
启用VLAN并据实 填写VLAN地址信 息
TRUNK环境部署：路由模式_配置步骤
TRUNK环境部署：网桥模式
不改变原有拓扑结构，AC网桥模式串接在交换机和防火墙之间（推荐方案）
TRUNK环境部署：网桥模式_配置思路
1、网桥模式部署在路由器与交换机之间，按网桥模式部署配置好 设备。
2、网桥IP配置为不属于任何VLAN的IP，网桥的网关指向任意一个 VLAN的网关。配置启用VLAN，并按格式填写每个VLAN可用的IP。
TRUNK环境部署：网桥模式_配置步骤
填写配任置一完个成不后存可在看的到网汇桥总I信P息 据实填写其中一个能与互 联网通信的VLAN的网关 IP和准确的DNS信息
常见代理环境中的部署方式
2. 代理服务器双网卡（AC/SG设备旁路模式部署）
如果主要用于审计，设备可 采取旁路模式部署，用于监 听内网发往代理服务器的所 有数据。
常见代理环境中的部署方式
3. 代理服务器单网卡（AC/SG设备网桥模式部署） 如左图所示，代理服务器以单臂模 式接在核心交换机上。
内网用户上网数据先通过交换机到 达代理服务器，再由代理服务器经 核心交换机和防火墙到公网。
适用环境：用户通过内网代理服务器上 网，并且需要准确识别用户通过代理服 务器上网的数据和分权限控制。
常见代理环境中的部署方式
1. 代理服务器双网卡（AC/SG设备路由或网桥模式部署）
设备可采取路由模式或网桥模式部署在客户 端与代理服务器之间，考虑到内网改动的大 小，建议采用网桥模式部署。 必须保证内网发往代理服务器的数据先经过 AC/SG设备，也就是代理服务器应该部署于 AC/SG设备的WAN口方向。
上网行为管理部署方案
上网行为管理部署方案1. 引言随着互联网的普及和发展，上网已经成为人们生活中不可或缺的一部分。
然而，随之而来的互联网安全问题也成为一个日益严重的话题。
为了加强对企业网络内的上网行为进行管理和控制，保护企业网络安全，本文将介绍一个上网行为管理部署方案。
2. 方案概述该上网行为管理部署方案旨在通过控制网关设备来管理和控制员工的上网行为，包括访问控制、流量控制、安全监控等功能。
通过合理设置策略和规则，提高网络安全性和可靠性。
3. 部署架构下图展示了上网行为管理部署方案的整体架构：+--------------+| Internet |+--------------+|+--------------+| Gateway |+--------------+|+--------------+| Firewall |+--------------+|+--------------+| DNS |+--------------+|+--------------+| Web Proxy |+--------------+|+--------------+| Log Server |+--------------+3.1 网关设备网关设备是整个部署方案的核心，负责管理和控制员工的上网行为。
网关设备应当具备访问控制、流量控制、安全监控等功能，以实现对员工上网行为的全面管理。
3.2 防火墙防火墙用于保护企业内部网络免受外部网络的攻击和恶意行为。
防火墙应当通过设置规则和策略，限制员工对特定网站、应用程序的访问，阻止潜在的安全威胁。
3.3 DNS服务DNS服务负责将域名解析为IP地址，在上网行为管理中起到重要作用。
通过控制DNS服务，可以限制员工对某些特定网站的访问，从而达到上网行为管理的目的。
3.4 Web代理Web代理是一种网络应用程序，通过代理员工的上网请求，可以对上网流量进行监控和过滤。
通过设置代理服务器，可以对员工的上网行为进行实时监测和记录。
天融信上网行为管理
产品概况
产品主要分为两大功能 1、网络控制功能 2、应用审计功能
网络控制及审计功能
• 控制功能
– 访问控制控制 – IP/MAC – 带宽控制 – P2P控制 – 认证控制 – 上网控制
• 审计功能
– – – – – – 邮件审计 IM审计 股票及网络游戏审计 网络电话、电视审计 网站提交及网站访问 下载信息审计
协议管理
• 带宽控制中的协议管理在设备中已经进行了预分类，这些协议不可修改和编 辑。 对于如P2P下载阻断的设置中可能阻断其他应用问题，如可能阻断163、126 邮箱登陆的问题，这里只需要在自定义协议里添加443端口的协议，只要在 协议里添加了该端口，那么该端口就被排除在外，不予阻断。 如果设置完P2P下载后数据库无法使用，可在协议管理中的应用列表中将该 IP地址添加进去，端口号为0~65535，这样设置后，该IP地址不再进行限制 。
升级配置
• 库的升级分为两个，一个是URL过滤库，一个是应用识别库。 • 可选择自动更新的时间点，建议按每周作为一个周期来更新。
升级日志
• 升级日志主要记录了库升级的状态信息
本地升级
• • • •
本地升级包括了URL库、应用识别库、软件版本、系统平台四部分。 当设备不能与互联网通信时，URL库和应用识别库可通过本地升级的方式来 实现。 软件版本是当前系统工作的主要部分，通常软件升级就选择它来升级。 系统平台是指底层的内核版本，该内核版本通常情况是不需要升级的。
上传本地的数据备份文件：
点击“浏览”按钮，弹出下列选择窗口：
选择本地的数据备份文件（*.tar.gz），如上图的 “MAIL_20080116000100.tar.gz”。然后点击“打开”按钮，将自动把所选 文件的路径名称填入本地数据文件的文本框中，如下图所示。
【培训课件】校园上网管理方案
学生上网：馅饼还是陷阱？
在中国8700万互联网上网人群中，青少年就占据了80%的比例，北 京网吧20％的学生上网主要是查看色情网站内容，20％的学生上网 主要是进行聊天和玩游戏，只有10％的学生因需要而上网查阅资料。 来源： 法制晚报 积极作用： 1.快速掌握多方面知识的重要 途径 2.网络是加强交流的有益工具
网络诈骗就在我们身边
04年7月： – 利用多种IE漏洞种植木马病毒，并散布“联想集团和腾讯公司联 合赠送QQ币”的虚假消息，诱使更多用户访问该网站时造成感染。 04年12月： – 12月网上首次出現假冒的中国銀行网站 – 内蒙古呼和浩特一市民，因登录了一个假的中国银行网站，卡里 的2.5万元莫名其妙地不见了。 – 假冒中国工商银行与中国农业银行网站 • ( ) • ( ) 05年1月： – 假冒中华慈善总会网站骗善款 05年2月 – 假工商銀行网站再出現 – ：假冒的中国銀行网站
导致浏览器显示
ቤተ መጻሕፍቲ ባይዱ
–
一些简单的小伎俩
Use META to redirect the real web site at the back
<META HTTP-EQUIV="Refresh“ CONTENT="0;url=”>
其它即时聊天软件msn，yahoo messenger)
点对点(P2P)又如何 ?
目前最流行的BT，eMule，PP点点通 设计上可穿透大部份防火墙，打破传统CS文件下载方式 黄色视频和图片安全传输地带 传档案与网址的功能 – 通过点对点交换的档案可能带有 viruses, worms, Trojan horses, 及 spyware – 无经验的用户可能通过点对点交换机密数据而不自知
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
典型部署模式与配置
路由器（FW）
IP:192.168.1.1/24
AC
网桥IP:192.168.1.3/24
IP:192.168.1.2/24
三层交换机
路由器（FW） AC 三层交换机
路由器（FW）
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
3.2.1、上网权限
a、应用服务控制：对数据包的协议和特征字段等进 行分析，判断数据类型。
b、网络服务控制：对数据包的IP和端口进行分析控 制，相当于传统防火墙。
c、高级配置：控制使用代理等数据。
3.2、上网策略管理-策略对象设置
3.2.1、上网权限
a、应用服务控制：根据分析数据包特征字段，获取应用类型，内置大量 规则，由研发根据目前常见应用分析出来的，并会进行实时更新。
3、网桥多网口，这种部署相对比较少。是指支持将多于两个以上的网口来组成 单个网桥。
SANGFOR AC部署模式介绍
• 旁路模式_简介
1、旁路模式是AC三种工作模式中最简单的一种，但也是所能实现功能较弱 的一种部署方式，此种部署模式对客户原有网络无任何影响，即使设备宕机 也不影响客户网络。 2、旁路模式AC只支持审计和基于TCP应用的控制功能，无法对任何基于 UDP协议的应用作任何的控制。 3、旁路模式一般AC使用一个监听口单接部署在核心交换机或者是核心出口 路由器上，需要路由器或者是核心交换机支持镜像功能，将流量上下行镜像 到AC上来。
典型部署模式与配置
➢ 路由模式配置截图
典型部署模式与配置
➢ 网桥模式_部署指导
1、网桥模式部署相比路由模式对客户的网络影响比较小，当客户确定不需要使 用AC的VPN、NAT、DHCP功能时，则应考虑部署网桥模式。
2、根据客户原有网络结构决定AC采用是单网桥、双网桥、网桥多网口等方式。 典型的网络环境和部署方式： 客户原有网络是单核心交换机、单出口防火墙情况下，AC用单网桥； 客户原有网络是单核心交换机、两台出口防火墙情况下，AC用双网桥； 客户原有网络是两台核心交换机、单台出口防火墙情况下，AC用双网桥；
内置URL由支研持发一收级集通并配提符供网上定时更 新，内置URL无法编辑，导出等操作
3.2、上网策略管理-策略对象设置
3.2.2、网页过滤 b、关键字过滤：
搜索引擎：对知名搜索引擎 上搜索关键字进行控制
HTTP上传：对通过HTTP协 议上传的其他关键字进行控 制，包括发贴、webmail等。
3.2、上网策略管理-策略对象设置 3.2.2、网页过滤 b、关键字过滤：关键字组设置
3、管理时采用管理口（DMZ）配置IP地址进行管理，其它所有接口均可作为监 听口，可使用一个口或者是多个口同时作为监听口，监听口无需任何配置的。
典型部署模式与配置
三层交换机
路由器（FW）
镜像 监听口
DMZ（管理口） IP:192.168.1.2/24
192.168.3.0/24 192.168.2.0/24 192.168.1.0/24
SANGFOR AC部署模式介绍
• 网桥模式_3种类型
1、单网桥，这种部署模式是最常见的。AC部署在出口网关设备（防火墙或者路 由器）和内网的主交换机中间。常见于客户原有的网络是单核心交换机、单 出口防火墙（路由器）的情况下。
2、多网桥，一般情况下两进两出是最常见的。AC部署在出口网关设备（防火墙 或者路由器）和内网的主交换机存在多个核心链路之间。常见于客户原有的 网络有可能是多核心交机或者是多出口防火墙（路由器）的情况下。
SANGFOR
Hale Waihona Puke 部署模式介绍 典型部署模式与配置 访问控制 其它功深能信介服绍公司简介
典型部署模式与配置
路由 模式
网桥 模式
旁路 模式
典型部署模式与配置
➢ 路由模式_部署指导
1、首选需要了解客户的实际需求，客户是否必须要用到AC的VPN、 NAT（代理上网和端口映射）、DHCP这几个功能。如果客户网络中 已经有其它设备实现了这些功能或者是客户根本用不到这些功能则应 首先考虑网桥模式部署。
SANGFOR AC
部署模式介绍 典型部署模式与配置 访问控制 其它功深能信介服绍公司简介
三、访问控制
1、组织结构管理 2、上网策略管理 3、流量管理
三、访问控制
3.1、AC组织结构管理-概念
组织结构：管理用户、设置分组和关联策略
用户： 一般情况下，每个用户都必须 有个所属组
组织
父组 用户组
子组
典型部署模式与配置
➢ 网桥模式配置截图
典型部署模式与配置
➢ 旁路模式_部署指导
1、旁路模式是所有部署模式中最简单的一种，但也是功能实现较弱的一种部署 方式。当客户的需求只是上网审计和基于TCP的应用过滤时，可以考虑此种 部署方式，常见于高校、大型国有企业专门用于AC作审计；
2、旁路部署时一般设备是接在核心交换机上，核心交换机通过将镜像功能将需 要审计的流量镜像过来；
功能和前面类似，不再赘述。
功能和前面类似，不再赘述。
3.2、上网策略管理-策略对象设置
3.2.1、上网权限 c、高级配置：
检测代理数据， 控制是否可以使
用代理上网 识别某些使用http和SSL 标准端口的非标准协议， 例如QQ等。
3.2、上网策略管理-策略对象设置
3.2.2、网页过滤 a、URL过滤：对访问网页的URL进行过滤，内置研发收集
三层交换机
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
WAN：拨号\固定IP\DHCP
IP:192.168.1.1/24
192.168.1.0/24
二层交换机
典型部署模式与配置
➢ 路由模式配置思路
1、网口配置：确定设备外网口（WAN1口）是固定IP或者是ADSL拨号方式， 取得相应运营商给的IP地址信息或者是拨号的帐号密码；确定内网口（LAN 口）的IP地址信息； 2、确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指 给设备下接的核心交换机；
SANGFOR AC部署模式介绍
• 网桥模式_简介
1、AC以网桥模式部署时对客户原有网络基本没有改动，不需要更改客户原 有的网络设备配置。 2、网桥模式时AC不支持NAT（代理上网和端口映射）、VPN、DHCP等功 能，除此之外AC的其它功能如URL过滤、流控等其它功能均可实现。 3、网桥模式部署AC时，对客户原有网络是透明的，因此当网络因为AC的原 因而中断时可以马上绕开AC，即可恢复客户原有的网络。
建好“财务部”组后，建立其子组：“回款部”和“统计部”
三、访问控制
3.1、AC组织结构管理-新增用户
可以同时新增多个用户， 但只能编辑公共属性
用于在用户在线列 表等地方显示
三、访问控制
3.1、AC组织结构管理-移动对象
对已经设置好的用户或者组，可以进行移动，移动在组织结构中的位置。
三、访问控制
2、客户新规划建设的网络中来部署AC，相当于一个全新的网络规划， 客户想把AC当作一台防火墙部署在出口上，可以部署成为路由模式。
3、客户网络中原有防火墙或者路由器了，出于某方面的原因想用AC替 换掉原有出口的防火墙或者路由器。
典型部署模式与配置
WAN：拨号\固定IP\DHCP IP:192.168.1.1/24 IP:192.168.1.2/24
URL组
策略叠加时，缺省动作以此条为准， 还是继续往下匹配，如果以此条为准， 则执行缺省动作，下面策略中的URL
控制不再匹配到了
3.2、上网策略管理-策略对象设置
3.2.2、网页过滤 a、URL过滤：URL组设置（自定义URL组过滤）
查询内置和外置url， 不支持模糊查询
用户根据自身情况 自定义URL组
典型部署模式与配置
➢ 旁路模式部署配置思路
1、一般AC旁路接在核心交换机的镜像口上，核心交换机需要将上下行流量 镜像到AC过来。 2、旁路模式部署时必须配置管理口IP地址进行管理，可以分配内网任意网段 空闲IP地址进行管理，监听口可以接任意网口（除了配置为管理口接口之 外），可以同时接多个进行监听。 3、需要确认内网所有需要进行审计的内网网段（监控网段），需要确认内网 是否有服务器提供访问时需要也进行记录。 4、管理口不仅用于管理，还用于包括和外置数据中心同步、作TCP控制时发 reset包使用。
典型部署模式与配置
➢ 网桥模式配置思路
1、网桥模式部署时需要考虑AC串接在前面防火墙和下面的核心交换机之间 网段是否存在空闲的主机IP地址，如果有则分配一个该网段的IP地址给AC作 为网桥的IP地址，如果没有空闲IP的话则配置管理口（DMZ）进行管理。
2、典型的前端防火墙和下面的核心交换机之间的链路配置了点到点的IP地址 段，则AC串接进去后也无可用主机IP地址分配，因此这种情况下AC只能配 置管理口（DMZ）进行管理。
策略对象：用于设置详细的上网策略。 包括：上网权限、网页过滤、邮件过滤、应用审计、流量统计与上网计时、
准入系统。
策略名称
策略描述
一条策略中包含这六种控制方式，通过勾选，使此方式生效 并进行设置。
接下来的章节将对这六种控制方式进行详细讲解 掌握：能做到什么？控制的原理？设置步骤？
3.2、上网策略管理-策略对象设置
root根组 一级组
二级组
上网策略
关联
用户 用户组
三、访问控制
3.1、AC组织结构管理-新建用户组
以“财务部”为例，财务部为一级组，下属有“回款部”和“统计部” 两个子部门
可以同时建立多个子组 显示所属组路径，即父组路径，同时也是AC中 组的表达方式。