SANGFOR_AC_v11.0_2016年度渠道初级认证培训12_系统管理讲义.ppt

培训内容 培训目标 授权 掌握哪些规则库及哪些功能受序列号控制，需要授权激活，能够在测试前即设备常规检查阶段检查所需功能序列号是否开通 规则库 了解设备内置规则库的作用及升级方法 配置备份与恢复 掌握配置备份与恢复方法 全局排除地址 掌握全局排除地址的适用场景及配置方法 管理员帐号 掌握控制台用户权限管理配置 DHCP 掌握DHCP适用场景，能够根据实际场景正确配置DHCP并达到效果 授权 深信服公司简介 规则库 DHCP SANGFOR ACSG 配置备份与恢复 全局排除地址 管理员用户 授权 设备的多个功能需要授权激活才能使用。具体需要激活的功能如下 设备序列号：控制设备的外网线路线，设备VPN模块和第三方设备对接标准IPSEC的限制及设备SANGFOR VPN模块支持接入的移动用户数。 多功能项序列号：控制设备是否启用指定的功能，根据客户实际需要激活。通过多功能序列号控制的模块如下。 跨运营商序列号：跨运营商互连IPSECVPN时用到的功能，激活后，可以解决因跨运营商互连VPN导致丢包的问题 网关杀毒授权序列号：决定了网关杀毒病毒库是否能够在线自动升级。 应用识别URL库升级序列号：决定了应用识别和URL规则库是否可以更新 软件升级序列号：决定了软件版本是否能够向上升级 无线管理：决定了设备作为无线控制器，可以接入管理的AP个数 注意 这里重点说明下前面介绍的多功能序列号中关于应用审计序列号的使用。 通过序列号可以将行为与内容审计分离（即可以分别设置只审计用户行为还是审计内容）。主要是满足下面的需求，用户为了避免法律风险，不愿意对内网的用户审计内容，但同时又希望能审计到用户上网的行为。行为内容审计分离通过多功能序列号来进行控制。 ① “个人通信内容审计” 包括“网页邮件审计”、“邮件审计”和“IM审计” 。 ② 如果选中了行为审计，则所有审计都只记录行为。 ③ 如果选中了内容审计但个人通信内容审计没有勾选，则webmail、邮件、IM审计都只记录行为，不记录内容，其他应用如微博记录内容。 ④ 如果选中了内容审计并且勾选了个人通信内容审计，则所有应用的内容都记录。 行为和内容审计效果图 数据中心只显示行为信息，如下图： 规则库 规则库是设备识别具体应用，并进行控制和审计的基础，设备主要有以下规则库。 设备内置规则库有独立研发团队维护，每月更新一到2次。设备规则库支持手动或自动更新。只要确保设备可以连网，就能够连到规则库服务器自动完成更新。 测试实施前，请注意病毒库（如果已激活），应用识别，URL规则库，网关补丁及审计规则库更新到最新。以免影响设备功能。 如果客户有内网应用，设备无法识别，或某些URL不在设备内置URL库中也无法识别，应该怎么处理？ 设备支持自定义应用识别规则和自定义URL规则解决此问题 自定义应用 支持跟踪IP地址，端口，协议，域名自定义应用规则 自定义URL URL支持通配，如,,都可以使用*.或表示 注意：只能通配域名前部分，不支持通配域名中间或结尾部分。 上网策略中可以选择自定义应用及自定义URL，实现对用户访问自定义应用管控 配置备份与恢复 设备支持自动备份及手动备份。建议经常备份配置，以免错误修改了设备配置无法恢复。 手动备份配置 设备默认每天0点备份一次配置，自动保存30天的配置，可以从图中恢复自动备份配置 支持ACSG6.1、AC10.2、IAM4.1及IAM4.1r版本的配置平滑导入AC11.0 全局排除地址 默认状态，经过设备的所有流量都会被设备控制并审计。如果内网有服务器希望不受设备控制和审计或有用户临时要求不受控。可以将地址添加到设备全局排除地址中，全局排除中的地址不受设备控制和审计，但防火墙规则和防DOS攻击除外，即使排除仍然受这两个模块控制。 内置排除了杀毒软件更新地址，以免PC病毒库无法更新 1、支持排除源地址和目的地址 2、支持排除域名，域名支持通配，如排除就包括了,等。 3、不能将DNS服务器排除，如果排除了DNS，则再排除域名会不生效。 注意 全局 排除的IP地址，仍然生效的模块有 nat ，显示代理 ，防火墙规则，防dos攻击 ，arp欺骗防护，系统路由和链路负载，准入IM审计（先开启IM审计后排除PC地址的情况）