深信服设备排除策略使用说明

查看拒绝列表查看拒绝列表使用说明：当内网的数据被设备拦截，且无法判断改数据是被AC哪个功能模块所拦截时，开启拒绝列表。

开启拒绝列表后可以通过该列表来确定，数据被设备什么模块拦截的。

此功能多用于排错，不熟悉网络者请联系深信服客服人员来处理。

一、开启拒绝列表的方法：网关日志与故障排除—策略故障排除中，选择开启拒绝列表，或者开启拒绝列表并直通。

两者的区别是后者开启后，所有经过AC的数据都将被放通，以检查数据被拦截是否与深信服设备有关。

1.开启拒绝列表：如下图，点击开启拒绝列表（标注1），便可以看见开启成功的消息（标注2）2.开启拒绝列表并直通：如下图，点击开启拒绝列表并直通（标注1），便可以看见开启直通成功的消息（标注2）注意：1.开启拒绝列表并直通后，设备将所有通过的数据都放行，而在拒绝列表中显示的是数据流将在哪些模块被设备拦截。

2.若以非管理员身份登陆，则看不见“开启拒绝列表并直通”这个选项。

二、查看拒绝列表的方法：在网关日志与故障排除－策略故障排除－拒绝列表－点击查看，弹出网页即为拒绝列表，如下图： 若弹出的页面被拦截，可以输入地址http://设备LAN口IP/droplist.htm以手动查看。

拒绝列表的Action的解释说明详见附表。

三、定义拒绝列表开启条件：在默认情况下，在拒绝列表中查看到的是被设备所拦截的所有条目，数据量很大。

但是只有第一个被设备拒绝丢弃的包才会记录被哪个模块所丢弃的，为了保证重要的信息条目不被冲掉，此时可以通过设置开启条件来过滤掉某些无关的条目，达到针对性查看指定的数据。

配置方法：1.开启条件设置：勾选设置开启条件，随之该条目上会显示出如下图的大红框。

2.配置开启条件：可根据数据的源IP、目标IP、数据协议类型来定义开启条件。

其中数据源、目标IP可以为所有IP，也可以为指定的IP地址。

而协议类型除可以选择所有协议外，还可以选择这四种情况的一种：TCP协议、UDP协议、ICMP协议以及其他协议。

以下根据协议类型进行详细的说明：①TCP和UDP协议：两者的配置界面是一样的，下图展示的是TCP协议的界面。

TCP协议配置说明：协议类型选为TCP协议后，可以指定该协议的源端口以及目标端口。

例如：上图所示，即设定查看条件为：源IP为192.168.1.1的由TCP协议80端口出去的所有数据，即可查看该台电脑的浏览网页的数据。

②ICMP协议：此时无需配置协议的端口号。

例如：若要查看所有流经AC的ICMP(Ping)数据流，只需实现如图的设置，然后点击查看拒绝列表即可。

③ 其他协议：此时需要指定该协议的协议号。

例如：要查看所有流经设备的ospf 协议的数据流，则需填入该协议的协议号89，然后点击查看拒绝列表即可。

附表：AC 拒绝列表的日志对应解释对应模块对应模块——source sourceaction 解释WEB 认证认证------web authen web authen web authenAC 用户认证模块的拒绝日志(只包括由AC 进行身份认证的部分)s ession have been redirect, need drop HTTP GET 请求会话，已经被重订向到login 页面，以后该连接的数据都被丢弃s ession user had been freezed, need drop 用户被冻结期间，所有数据被丢弃n ew packet, check bind mac error 新连接，用户绑定MAC 地址与数据包源MAC 不一致n ew packet, user had been freezed 用户被冻结n ew udp packet, need web authen, drop 新的UDP 连接，用户尚未通过认证，拒绝new unknow prot packet, need web authen, drop 未知协议的数据（非TCP、UDP、ICMP），用户未通过认证，拒绝e stabish packet, check bind mac error 已连接数据，用户绑定MAC 地址与数据包源MAC 不一致 e stabish packet, user had been freezed 用户被冻结estabish packet, not tcp, need web authe n, drop未通过认证，非TCP 数据，拒绝 estabish packet, not http, need web auth en, drop未通过认证，非HTTP 数据，拒绝 i nsert new user, have no user node 加入新用户，但缺少节点，可能没内存了r edirect to login page 重订向到login 页面，原连接断开防火墙防火墙——fir firewall ewall ewallAC 防火墙规则模块中各项拒绝日志this packet has been dropped by the url get f ilter!!URL 过滤，被某种类型拒绝 this packet has been dropped by default url g roup actionURL 过滤缺省拒绝 This packet has been dropped because of match ing url get sense keyword!!匹配关键字过滤，被拒绝 this packet has been dropped because of downl oading forbidden file type with http!下载文件类型过滤 this packet has been dropped because of posti ng forbidden file type!上传文件类型过滤 this packet has been dropped because of match ing sense keyword for post!上传关键字过滤 this packet has been dropped by Internet acce ss rule!上网权限或防火墙规则拒绝 this packet has been dropped by firewall rul e!防火墙规则拒绝 T his packet has been dropped by Session flag! 拒绝已经打上标记的连接，在任何模块拒绝了一次数据后，都可能给这个连接打上标记，之后防火墙每次都会把该连接的数据拦截C ontent Filter has dropped this packet! 内容检测拒绝Drop this packet because of using socks prox y!使用Socks 代理，拒绝 D rop this packet because of using http proxy! 使用HTTP 代理，拒绝Drop this packet because of trying to use htt p proxy!试图使用HTTP 代理，拒绝 this packet has been dropped because of downl oading forbidden file type with ftpFTP 下载文件类型过滤 this packet has been dropped because of uploa ding forbidden file type with ftpFTP 上传文件类型过滤 Drop this packet because the protocol is not HTTP or SSL在HTTP 和SSL 标准端口非标准协议 t his packet has been dropped by Post content HTTP 上传过滤，包括关键字和文件类型filter流量流量与与P2P 控制控制——Flox FloxCtrl Ctrl CtrlP2P 与流量控制模块的拒绝日志（上网行为管理-访问控制组-P2P 与流量控制）D roped for time limit 上网时长限制，上网时间已用完D roped for group up bound 已达到组的上行带宽限制D roped for user up bound 已达到用户的上行带宽限制D roped for group down bound 已达到组的下行带宽限制D roped for user down bound 已达到用户的下行带宽限制D roped for user up bound(P2P only) 已达到用户P2P 流量的上行带宽限制 D roped for user down bound(P2P only) 已达到用户P2P 流量的下行带宽限制DoS 防御防御——DOS DOS防火墙的防DOS 攻击模块的拒绝日志I P NOT in LAN network! 由于数据包的源IP 不在内网网段列表中而被丢弃I P in SYN(IP) deny list 源IP 在拒绝列表中(已经判断为小包攻击), (该IP 被封锁, 后续所有数据包都被丢弃)I P log to SYN(IP) deny list! 记录攻击日志(小包攻击), 封源IPR andom SYN(IP) attack! 在内核CPU 占用过高的情况下， 会开启智能防护, 而且该数据包源IP 不在白名单中, 导致被丢弃 ( 1.8 以后不会开启该功能 )I P add to SYN(IP) deny list! 源IP 被加入到拒绝列表中 (小包攻击, 该IP 被封锁)I P in SYN(MAC) deny list 源MAC 在拒绝列表中(已经判断为小包攻击), (该MAC 被封锁) I P log to SYN(MAC) deny list 记录攻击日志(小包攻击), 封源MACR andom SYN(MAC) attack 在内核CPU 占用过高的情况下， 会开启智能防护, 而且该数据包源MAC 不在白名单中, 导致被丢弃 ( 1.8 以后不会开启该功能 )I P add to SYN(MAC) deny list 源MAC 被加入到拒绝列表中 (小包攻击, 该MAC 被封锁)I P in DOS deny list 源IP 被加到连接数过多的拒绝列表中, 连接数过多是指对WAN 口的某个IP 或者AC 本身的某个端口建立了过多的TCP 连接,例如，内网IP: 192.168.0.1 与外网IP: 202.96.134.133:80 在一分钟内建立的连接超过了阀值, 则导致192.168.0.1这个IP 被封锁期间再也连接不上 202.96.134.133:80, 不过换个目的IP 或者目的端口后又可以了建立新的TCP 连接了I P add to DOS deny list 源IP 被加到连接数拒绝列表中内容内容检测检测检测模块模块模块——ContentChecker ContentChecker访问控制组内容检测模块下的各项配置的拒绝列表日志项P2P 与流量控制模块下的P2P 智能检测的拒绝日志（上网行为管理-访问控制组-P2P 与流量控制-P2P 流量控制）D roped by session counter(TCP) 连接数控制D roped by session counter(UDP) 连接数控制D roped by session counter(ICMP) 连接数控制D roped by P2P checker P2P 智能检测D roped by rule:163, ICMP内容检测规则第163条符合，丢弃。