深信服AC组织结构与上网策略管理解析.ppt

组织外线路检测 一、配置思路： 1、配置 一条准入策略，启用组织外上网线路检测 2、将该策略关联给内网用户或组(省略配置） 组织外线路检测 二、配置如图： 填入合法的网关地址 若勾选，PC离线后走非的网关上网，也做记录 组织外线路检测 三、效果检验：将该策略关联给PC 52，若这时PC将网关改为，管理员可通过数据中心的准入系统查看PC私接外网线路上网的行为，如图： 说明：本案例中，如果pc将网关指向，并去掉IP 52，只留下52，此时PC与AC失去连接，若这种情况也需要继续检测，则需要勾选“与AC失去连接后继续检测”，准入客户端将会继续检测非法网关线路，当下次PC和AC重新连接后上报给AC。 组织外线路检测 注意事项： 1. AC检测到外网线路后只记录、不拒绝，且准入客户端不会有提示信息，效果检查可以到数据中心查看；只有第一次检测出违规、或者上一次检测出合法而本次检测为非法，才会记录日志。 2. 若PC不安装或卸载了准入客户端，则不受AC监控，可通过其它网关直接上网，且AC上也没有相应的日志。 3. 组织外线路检测只检查网关是否合法，不检查外网连接类型；卸载准入客户端不需要解控。 练练手 某公司购买了SANGFOR AC来进行上网行为的管理，希望能配置实现如 下功能： 所有员工上班时间不允许访问色情和赌博类网站 所有员工允许QQ和MSN聊天，但不允许通过QQ和MSN传文件，对于持续使用QQ和MSN聊天超过一小时的员工，给予一个页面进行提醒。 统计所有员工的上网时长和各种应用的流量 领导的上网行为不做任何控制和审计 您来试试吧！ 1.某客户想要用AC来监控所有QQ聊天的内容，请问应该添加什么策略？ 2.某客户需求是限制办公组用户每天使用流量不超过1G，请问是否可以实现， 通过什么策略实现的？ 3.某客户希望记录内网用户是否通过其它网关上网，请问要怎么配置？ 4.某客户针对用户组添加了以下两个策略，请问HTTP是允许还是禁止？ 策略1 策略2 问题思考 * * 培训内容 培训目标 SANGFOR AC 组织结构介绍 1. 掌握符合用户管理的组织结构的设计思路及设置方法 SANGFOR AC 上网策略配置 1.掌握上网策略的设置方法 2.掌握如何将上网策略与用户/组进行关联 3.掌握用户/组关联多条上网策略时的匹配顺序 组织结构和上网策略功能介绍 上网策略典型应用场景及配置 深信服公司简介 上网策略匹配规则 练练手 SANGFOR AC 组织结构和上网策略功能介绍 组织结构和上网策略功能介绍 组织结构 组织结构即为用户和用户组的所属层级关系。SANGFOR AC 提供树形的组织结构，通过树形用户结构管理，符合企业的人员结构划分，同时又可以对相同的上网策略进行继承。 上网策略介绍 上网策略是对用户的上网行为进行控制、提醒、审计。控制用户使用网络资源的权限；对用户使用网络资源情况进行提醒；对用户访问网络的行为进行审计，从而构建一个可管理、可视化的网络环境。 简单而言，上网策略就是要实现让网络管理者能够控制用户能做什么，知道用户正在做什么及用户已经做了什么的功能。 上网策略分类 上网权限策略： 主要控制用户能够使用网络资源的权限（能做什么），包括应 用控制、WEB过滤、SSL管理和邮件过滤。 上网审计策略： 审计用户上网行为（做了什么），包括应用审计、外发文件告警、流量与上网时长审计和网页内容审计。(注：是否开启行为和内容审计可通过序列号控制） 上网安全策略： 防止用户使用不安全的网络资源，包括危险行为识别、ActiveX插件过滤、恶意网页过滤和安全桌面。 AC将上网策略分为六大类，分别如下： 上网策略分类 终端提醒策略： 当用户不恰当的使用网络资源时，对用户进行提醒，包括上网时长提醒、上网流量提醒和公告页面。 流量配额与时长控制策略： 限制用户能使用网络资源的流量和时长，包括流量配额，、上网时长控制和并发连接数控制。 准入策略： 设置终端用户需满足特定的条件时，才准许使用网络资源；审计加密的IM软件的聊天内容；组织外线路检测；应用程序时长统计。 组织结构与上网策略的关联 策略与用户/组的关联的方法： 方法一、在策略中勾选用户/组。当一条策略需要关联给多个用户/组的时候，可在此设置。 组织结构与上网策略的关联 方法二、在用户/组中选择策略。可实现不同类型策略的任意组合。 上网策略典型应用场景及配置 上网策略典型应用场景及配置 上网策略典型应用场景 上网策略配置 上网策略典型