深信服AD设备典型网络部署方案
署模式介绍
2.路由模式介绍
常见的部署方式，可以同时实现服务器负 载和多链路负载，设备直接接入网络边界， 启用NAT代理上网，防火墙做透明模式， 适合新建网络或者替代原有出口路由器或 者防火墙。部署时改动较大，需内网规划 IP段和添加相应的路由。
路由模式下可实现入站链路负载、出站链 路负载、服务器负载。
启用后内网用户才可以从WAN口管理到AD设备 4. 配置默认路由 5. 前置防火墙上做端口映射（映射内网服务器的服务端口或者全映射到AD
WAN口IP地址）
旁路模式部署案例与配置
旁路模式部署案例配置截图：
必须选择WAN 接口类型
点击确定
1. 配置WAN口 2. 代理上网配置 3.启用远程维护 4.添加默认路由 5.端口映射
路由模式部署案例与配置
配置思路：
通过manage口（https://10.252.252.252 或者https://10.254.254.254）登录设备 （ admin/admin ），做基本网口配置，再把设备架入网络中。
1. 配置设备外网口（WAN口）和内网口（LAN口）地址。 2. 内网若有多网段环境，添加静态路由回指给设备下接的核心交换机。 3. 配置代理上网。 4. 配置智能路由。
网络环境： 网络出口是防火墙设备，外网只有一 条公网线路。
旁路模式部署案例与配置
旁路模式部署配置思路：
1. 配置AD WAN口信息 2. AD上启用代理上网功能（使服务器看到的源IP是AD，服务器回包会回给
AD，保证来回数据都经过AD） 3. 启用远程维护，【系统配置】-【设备管理】-【管理网口】-启用远程维护。
路由模式部署案例与配置
配置截图：
1.配置LAN口地址
智能路由下一个PPT 讲解此处不要求掌握
2.配置WAN口接口地址和网关（配置链路带宽，健康检查机制等）
3.配置静态路由（保证AD能够和用户网段通信）4.配置代理上网 5.智能路由
旁路模式部署案例与配置
旁路模式部署案例
用户需求： 不希望改变原来的网络拓扑结构,内 网多台服务器要做服务器负载。此需 求可以选择旁路部署。
旁路模式部署案例与配置
WAN口开启PING的方法：
AD设备默认情况下新建的WAN口（旁路模式也一样）是无法PING通的，如果要让用 户能PING通WAN口，则需要在网络安全处勾选“WAN口入站路由转发”。
练练手
某用户网络拓扑如图所示，用户需要 使用AD来实现入站链路负载和服务器 负载，请参考旁路模式部署章节配置 好并且上架（负载部分不需要配置）
问题思考
1.请说出AD有哪几种部署模式？几种部署模式之间有什么区别？
AD部署模式介绍
3.旁路模式介绍
旁路部署不需要改动原有网络结构。旁路环 境下AD设备可实现服务器负载和入站链路负 载，不支持出站链路负载。 AD设备旁路部署时，必须连接WAN口到交 换机。WAN口可以和服务器在同一网段，如 果不在同网段，则需要保证AD和服务器路由 可达。 若服务需要发布到公网，需要在边界出口设 备上做的端口映射给AD设备（全映射或者服 务器相关应用端口）
深信服AD设备典型网络部署方案
培训内容
AD部署模式介绍 AD典型部署及配置
培训目标
了解AD各种部署模式的应用场景 了解AD各种部署模式的配置方法
深信服 AD
AD部署模式介绍 AD典型部署及配置
AD部署模式介绍
1.什么是部署模式 2.路由模式介绍 3.旁路模式介绍
AD部署模式介绍
1.什么叫部署模式
AD典型部署案例及配置
1.路由模式部署案例 2.旁路模式部署案例
路由模式部署案例与配置
用户需求： 希望实现代理内网上网和智能选路，内 网访问网通服务器走网通线路，访问电 信服务器走电信线路。同时要实现外网 用户访问内部服务器的时候能够做自动 选路快速访问。
网络环境： 两条外网线路，内网有服务器群，防火 墙透明部署
部署模式是指设备以什么样的工作方式部署到用户网络中去，不同的部 署方式对用户的网络影响各有不同，具体以何种部署方式需要综合用户 具体的网络环境和用户的功能需求而定。
深信服AD支持路由模式、旁路模式两种部署方式。 注意：配置AD设备时不需在界面上选择部署模式，以什么方式接入 客户的网络就是什么部署模式
深信服AD设备典型网络部署方案
AD部署模式介绍
2.路由模式介绍
常见的部署方式，可以同时实现服务器负 载和多链路负载，设备直接接入网络边界， 启用NAT代理上网，防火墙做透明模式， 适合新建网络或者替代原有出口路由器或 者防火墙。部署时改动较大，需内网规划 IP段和添加相应的路由。
路由模式下可实现入站链路负载、出站链 路负载、服务器负载。
网络环境： 网络出口是防火墙设备，外网只有一 条公网线路。
旁路模式部署案例与配置
旁路模式部署配置思路：
1. 配置AD WAN口信息 2. AD上启用代理上网功能（使服务器看到的源IP是AD，服务器回包会回给
AD，保证来回数据都经过AD） 3. 启用远程维护，【系统配置】-【设备管理】-【管理网口】-启用远程维护。
AD典型部署案例及配置
1.路由模式部署案例 2.旁路模式部署案例
路由模式部署案例与配置
用户需求： 希望实现代理内网上网和智能选路，内 网访问网通服务器走网通线路，访问电 信服务器走电信线路。同时要实现外网 用户访问内部服务器的时候能够做自动 选路快速访问。
网络环境： 两条外网线路，内网有服务器群，防火 墙透明部署
深信服AD设备典型网络的部署
培训内容
AD部署模式介绍 AD典型部署及配置
培训目标
了解AD各种部署模式的应用场景 了解AD各种部署模式的配置方法
深信服 AD
AD部署模式介绍 AD典型部署及配置
AD部署模式介绍
1.什么是部署模式 2.路由模式介绍 3.旁路模式介绍
AD部署模式介绍
1.什么叫部署模式
AD部署模式介绍
3.旁路模式介绍
旁路部署不需要改动原有网络结构。旁路环 境下AD设备可实现服务器负载和入站链路负 载，不支持出站链路负载。 AD设备旁路部署时，必须连接WAN口到交 换机。WAN口可以和服务器在同一网段，如 果不在同网段，则需要保证AD和服务器路由 可达。 若服务需要发布到公网，需要在边界出口设 备上做的端口映射给AD设备（全映射或者服 务器相关应用端口）
深信服AD智能路由介绍
部署前后网络拓扑
智能路由典型案例与配置
3.深信服AD配置思路
1.3.1.基础网络配置：配置LAN口地址，配置WAN口接口地址和网关（配置链路带 宽，健康检查机制等），配置静态路由（保证AD能够和用户网段通信），配置代 理上网。 1.3.2.配置DNS代理：让内网用户从两条链路的公网DNS解析域名，充分利用带宽。 1.3.3.配置ISP地址段：设备默认有电信、联通、中国移动、教育网四个运营商IP地 址库，此案例需要用到电信和联通IP地址库，能满足需求，可以不需要添加。 1.3.4.配置智能路由：根据需求进行智能路由的配置（根据源IP、端口，目标IP、 端口选路）
部署前网络环境
智能路由典型署深信服AD于网络出口， 启用智能路由做上网流量的链路负载。 防火墙以透明模式部署到AD与核心之间。 内网访问电信服务器的流量通过电信线路 去访问，访问联通服务器的流量从联通线 路去访问，其余的流量按照两条外网线路 的流量情况，从最小流量的线路出去访问 。这样既合理分配了外网流量，又提高了 用户的整体访问速度。
则不参与调度
智能路由典型案例与配置
4.深信服AD配置步骤与截图
4.3.ISP地址段配置
设备默认有四 个运营商的地
址
智能路由典型案例与配置
4.深信服AD配置方法与截图
4.3.智能路由配置
网通的策略 设置方法与
电信类似
设备默认会自动 添加一条加权最
小流量策略
配置完成： 智能路由的匹配顺序是
由上往下匹配 可以调整规则的链路顺范序围
选择电信
目的IP地址择电 信ISP地址段
注意事项
1.智能路由配置时源IP可引用“用户地址集”，用户可根据需要自定义地 址并引用。
注意事项
SANGFOR_AD部署指导(路由模式)
电信 NAT
注： 转换源 IP 地址建议只填一个 IP 地址，这样会话保持会比较稳定；1.6 以后版本出接口不能 选“应用于所有接口”
1.3 系统路由（回包路由）
1.4 策略路由 电信走电信，网通走网通，其他的走电信或者网通
网通策略路由
电信的策略路由
其他的策略路由
上面这条“其他的策略路由”在这个例子中就是当目标IP既不是电信也不是网通时，这些数 据走电信或者网通，那么它的选路策略是加权轮询，权值由链路的带宽决定。轮询是根据用 户的，也就是源IP，例如当两条线路的带宽比例是1：1时，源IP为IP1的数据到达AD设备， AD设备会从wan1口转发，当IP2的数据到达AD设备之后，数据会从wan2口转发，由此类推。 并且当AD设备为某个源IP的数据选择了一条线路，那么以这个IP为源的数据也将一直走这 条线路。也就是说对于这些数据设备是有一个根据源IP的会话保持，并且没有超时时间，要 去除这个会话保持只有重启设备。 注意：策略路由对设备自身发起的数据生效
一、实施前准备工作
详细了解客户的需求： 1、链路负载：
链路个数； 带宽大小，是否需做带宽控制； 主要业务需用到的链路； 是否使用 DNS，如果使用请按照《AD 产品域名申请说明.docx》进行申请，并了解详 细需求； 链路类型：电信、网通、教育网等； 出站策略需求： 2、服务器负载：
服务器数量及处理能力：方便制定节点选择算法； 应用类型：方便以后的配置 实际业务需求：是否需做 4、7 层处理； 3、AD 部署位置确认 AD 前面是否存在路由器和防火墙，如存在，前置网关需做端口映射、透明代理、直 通、SNAT： 比如：DNS 策略需开放 tcp、udp53 端口，映射目的 IP 为 AD 设备 DSN 服务器开放 的 IP 地址；
SANGFOR AD链路负载与服务器负载配置_
入站负载典型应用案例及配置
入站链路负载与服务器负载配置思路：
三、服务器负载配置 1.应用负载->节点监视器->定义节点监视方式 2.应用负载->节点池->新建节电池，添加提供同一服务 的服务器至池中，选择调度算法 四、建立虚拟服务器 1.应用负载->虚拟服务->选择服务为http的80端口，选择 前面设置好的节点池，选择会话保持为“cookie”（http 服务选这个较好），选择域名发布，选择前面建立的 DNS策略
智能路由应用案例及配置
推荐解决方案： 部署SANGFOR AD，启用智能路由 做上网流量的链路负载。 内网访问电信服务器的流量通过电信 线路去访问，访问联通服务器的流 量从联通线路去访问，其余的流量 按照两条外网线路的流量情况，从 最小流量的线路出去访问。 这样既合理分配了外网流量，又提高 了用户的整体访问速度。
三种调度方式， 因为本例2个 DNS权值都为1， 则加权轮询和 轮询效果相同。 添加监视域名，用来检测 2条公网各添 所填写DNS服务器是否可 加一个DNS 用，不可用的则不参与调 度
启用DNS负载
智能路由应用案例及配置
2.出站链路负载功能配置
2.1 配置链路监视器，对公网链路状态进行实时检测
出站链路负 载功能配置 设备使用定义好的监视方法 在控制左树 对添加的IP地址进行监视， 如图位置 可达则视此链路有效。
1.3 配置两条线路均代理上网
此处以电信出口为例 定义名称 指定代理网 段从哪条公 网线路出去 无特殊细化需求一般都代理所有IP地址
定义NAT地址池，可以只使用一个地 址，没特殊需求最好将此公网链路上 的所有IP地址填入
智能路由应用案例及配置
SANGFOR_AD_V2.0_技术单张(仍含SINFOR)_200905
深信服是领先的前沿网络设备供应商，旨在通过创新、技术领先的解决方案帮助用户提升互联网带宽价值。
目前深信服的用户已超过14，000家，并在中国以外的多个国家和地区设立了分支机构，用户遍布全球。
咨询电话：800－830－9565服务电话：800－830－6430公司网址：
深信服AD系列应用交付产品打破国外厂商垄断，在同等投入水平下，除获得链路、服务器二合一负载
路由模式部署网桥模式部署
路由器深信服AD系列应用交付设备防火墙
路由器
防火墙
深信服AD 应用交付设备
系列
深信服AD系列应用交付设备产品参数一览表。
SANGFOR_AD部署指导文档(网桥模式)
一、实施前准备工作详细了解客户的需求：1、服务器负载：服务器数量及处理能力：方便制定节点选择算法；应用类型：方便以后的配置实际业务需求：是否需做4、7层处理；2、AD部署位置确认部署位置前后设备的接口类型。
做负载的服务器IP，及服务端口。
架设AD之前客户是如何访问的，希望架设之后达到什么样的访问效果。
网桥模式只支持服务器负载。
不支持多进多出模式的桥，如果是端口聚合线路上，无法部署。
桥的网口不区别进出方向，没有lan区，wan区的说法。
二、拓扑的制作将实施前准备工作做好后，进行网络环境拓扑的制作，为了方便后期的实施，此处一定要细化，并注意以下问题：1、拓扑的比较:客户的实际环境确认增加AD设备后的实际环境确认2、IP地址标示：标示增加AD设备后IP地址规划，3、增加必要的说明：以上制作完成了需经过客户的确认，是否满足要求，拓扑的实施是否可行，确认无误后才进行下面的相关配置。
三、现场实施、配置、测试案例分析:xxxx信息中心深信服AD应用案例需求：针对OA服务器做应用负载。
应用情况：之前使用一台OA服务器，发现这台服务器的负载很高，经常CPU，内存不够。
现在需要增加一台服务器。
网络拓扑：解决方案：部署思路：1基本网络配置1.1 网络规划，部署方式，网桥接口及地址1.2 系统路由（回包路由）2应用负载设置大概流程应用端口（服务）-访问地址（IP组）-确定负载的服务器（节点池）-关联起来（虚拟服务）2.1 定义服务（定义访问端口）定义好哪个或者哪些端口需要被AD捕获进行负载操作。
2.2 定义IP组（目的IP）定义哪些目标地址需要被做负载操作，就是客户端实际访问的地址。
2.3 定义节点池（定义服务器IP及服务端口）定义负载服务器，实际需要负载的地址及端口。
2.4 节点状态的查看2.5 配置虚拟服务（关键配置，这步就是应用负载核心配置，它主要就是调用服务\IP组\节点池实现应用负载）具体配置：1基本网络配置1.1网络规划，部署方式，网桥接口及地址网桥地址的配置：注：网桥模式不支持两个口接在同一个vlan内，不支持双网桥模式。
深信服ad实施方案
深信服ad实施方案深信服AD实施方案。
一、背景介绍。
深信服AD（Active Directory）是一种用于管理网络中的用户、计算机和其他设备的目录服务。
它可以帮助组织中的用户轻松地访问资源、共享信息以及与其他用户进行沟通。
在当今的企业网络中，AD已经成为了管理和维护网络安全的重要工具。
因此，制定一套科学合理的AD实施方案对于企业的网络安全和管理至关重要。
二、目标与意义。
1. 目标，制定深信服AD实施方案的目标是为了提高企业网络的安全性和管理效率，确保用户能够便捷地访问所需资源，同时保护企业的敏感信息不受未经授权的访问。
2. 意义，AD实施方案的制定和实施将帮助企业建立起一套完善的网络管理体系，提高网络安全性，降低管理成本，提升员工工作效率，为企业的发展提供有力的支持。
三、实施步骤。
1. 网络规划，在实施AD之前，需要对企业网络进行全面规划，包括网络拓扑结构、IP地址分配、子网划分等，确保AD的顺利实施。
2. 系统部署，根据企业规模和需求，选择合适的深信服AD产品，进行系统部署和配置，包括域控制器、组策略、用户账号管理等。
3. 用户培训，对企业员工进行AD系统的使用培训，包括账号登录、密码管理、文件共享等操作，提高员工对AD系统的使用熟练度。
4. 安全策略，建立完善的安全策略，包括访问控制、身份认证、加密传输等，确保企业网络的安全性和数据的保密性。
5. 运维管理，建立AD系统的运维管理流程，包括日常监控、故障处理、性能优化等，确保AD系统的稳定运行。
四、实施方案的优势。
1. 提高安全性，通过AD的身份认证和访问控制机制，加强对企业网络的安全防护，防止未经授权的访问和数据泄露。
2. 提升管理效率，AD可以集中管理用户账号、计算机、打印机等资源，简化了企业的管理工作，提高了管理效率。
3. 降低成本，通过AD的集中管理和自动化运维，降低了企业的IT管理成本，提升了企业的整体竞争力。
五、实施方案的风险及对策。
深信服上网行为管理-安装部署指南
TRUNK环境部署：路由模式_配置步骤
LAN口（eth0）填写 任一个不存在的IP 配置完成后可看到配置汇总信息
启用VLAN并据实 填写VLAN地址信 息
TRUNK环境部署：路由模式_配置步骤
TRUNK环境部署：网桥模式
不改变原有拓扑结构，AC网桥模式串接在交换机和防火墙之间（推荐方案）
TRUNK环境部署：网桥模式_配置思路
1、网桥模式部署在路由器与交换机之间，按网桥模式部署配置好 设备。
2、网桥IP配置为不属于任何VLAN的IP，网桥的网关指向任意一个 VLAN的网关。配置启用VLAN，并按格式填写每个VLAN可用的IP。
TRUNK环境部署：网桥模式_配置步骤
填写配任置一完个成不后存可在看的到网汇桥总I信P息 据实填写其中一个能与互 联网通信的VLAN的网关 IP和准确的DNS信息
常见代理环境中的部署方式
2. 代理服务器双网卡（AC/SG设备旁路模式部署）
如果主要用于审计，设备可 采取旁路模式部署，用于监 听内网发往代理服务器的所 有数据。
常见代理环境中的部署方式
3. 代理服务器单网卡（AC/SG设备网桥模式部署） 如左图所示，代理服务器以单臂模 式接在核心交换机上。
内网用户上网数据先通过交换机到 达代理服务器，再由代理服务器经 核心交换机和防火墙到公网。
适用环境：用户通过内网代理服务器上 网，并且需要准确识别用户通过代理服 务器上网的数据和分权限控制。
常见代理环境中的部署方式
1. 代理服务器双网卡（AC/SG设备路由或网桥模式部署）
设备可采取路由模式或网桥模式部署在客户 端与代理服务器之间，考虑到内网改动的大 小，建议采用网桥模式部署。 必须保证内网发往代理服务器的数据先经过 AC/SG设备，也就是代理服务器应该部署于 AC/SG设备的WAN口方向。
深信服上网行为管理部署方式及功能实现配置说明
深信服上网行为管理部署方式及功能实现配置说明（标化院）设备出厂的默认IP见下表：AC支持安全的HTTPS登录，使用的是HTTPS协议的标准端口登录。
如果初始登录从LAN口登录，那么登录的URL为：，默认情况下的用户名和密码均为admin。
设备正常工作时POWER灯常亮，W AN口和LAN口LINK灯长亮，ACT灯在有数据流量时会不停闪烁。
ALARM红色指示灯只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。
如果在安装时此红灯长亮，请将设备掉电重启，重启之后若红灯一直长亮不能熄灭，请与我们联系。
『部署模式』用于设置设备的工作模式，可设定为路由模式、网桥模式或旁路模式。
选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。
路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能；旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。
选择【导航菜单】中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，会出现『路由模式』、『网桥模式』、『旁路模式』的选项，选择想要配置的网关模式。
路由模式：是把设备作为一个路由设备使用，一般是把设备放在内网网关出口的位置，代理局域网上网；或者把设备放在路由器后面，再代理局域网上网。
配置方法：第一步：先配置设备，通过默认IP登录设备，比如通过LAN口登录设备，LAN口的默认IP是10.251.251.251/24，在电脑上配置一个此网段的IP地址，通过登录设备，默认登录用户名/密码是：admin/admin。
深信服负载均衡初级认证培训设备部署
路由模式部署案例与配置
配置截图：
1.配置LAN口地ຫໍສະໝຸດ 讲解此处不要求掌握 2.配置WAN口接口地址和网关（配置链路带宽，健康检查机制等） 3.配置静态路由（保证AD能够和用户网段通信） 4.配置代理上网 5.智能路由
智能路由下一个PPT
旁路模式部署案例与配置
旁路模式部署案例
用户需求： 不希望改变原来的网络拓扑结构,内 网多台服务器要做服务器负载。此需 求可以选择旁路部署。 网络环境： 网络出口是防火墙设备，外网只有一
器相关应用端口）
AD典型部署案例及配置
1.路由模式部署案例
2.旁路模式部署案例
路由模式部署案例与配置
用户需求：
希望实现代理内网上网和智能选路，内
网访问网通服务器走网通线路，访问电 信服务器走电信线路。同时要实现外网 用户访问内部服务器的时候能够做到自 动选路快速访问。 网络环境： 两条外网线路，内网有服务器群，防火 墙透明部署
条公网线路。
旁路模式部署案例与配置
旁路模式部署配置思路：
1. 配置AD WAN口信息 2. AD上启用代理上网功能（使服务器看到的源IP是AD，服务器回包会回给 AD，保证来回数据都经过AD） 3. 启用远程维护，【系统配置】-【设备管理】-【管理网口】-启用远程维护。 启用后内网用户才可以从WAN口管理到AD设备 4. 配置默认路由 5. 前置防火墙上做端口映射（映射内网服务器的服务端口或者全映射到AD WAN口IP地址）
AD部署模式介绍
1.什么是部署模式
2.路由模式介绍
3.旁路模式介绍
AD部署模式介绍
2.路由模式介绍
常见的部署方式，可以同时实现服务器负
载和多链路负载，设备直接接入网络边界，