深信服-AC-部署模式剖析.ppt

* * * * 部署方法 ： 1、将网关运行模式切换为“网桥模式”； 2、配置网桥IP； 3、点击VLAN设置，勾选“启用VLAN”并添加各VLAN信息； 4、WAN口连接路由器，LAN口连接交换机 注意事项： 1、网桥IP需配置一个不属于任意VLAN的IP。例如：LAN口地址设置为（此IP不属任何VLAN) 2、在VLAN设置中需要添加每个VLAN的IP和ID。 保留原网关，网桥模式部署 保留原网关，网桥模式部署（续） 配置网桥模式过程中启用vlan配置，见下图所示： 网桥IP地址配置不属于任何一个vlan 的IP地址 设备网关配置属于任何一个vlan的网关 部署方法 ： 1、将网关运行模式切换为“旁路模式”； 2、配置管理接口“DMZ”IP信息 ，添加需监控的内网网段 ； 3、将AC LAN或WAN1接口接到交换机的镜像口或HUB上 ； 保留原网关，旁路模式部署 用户环境：路由器作为NAT代理网关，有专门的代理服务器，客户端配置的使用代理方式上网 用户需求：IM监控、访问记录、流控…… 可选部署方式：路由、网桥、旁路 3.4、使用代理服务器 部署方法： 1、将网关运行模式切换为“路由模式”； 2、配置内、外网接口IP信息； 3、在AC控制台-高级选项-“代理服务器设置”中添加代理服务器IP 注意事项： 1、使用路由模式部署可能涉及内网改动较大，建议使用网桥部署 2、必须正确配置代理服务器列表。 3、把AC的IP在IE的代理排除列表里排除掉。 路由模式部署 部署方法： 1、将网关运行模式切换为“网桥模式”； 2、配置网桥IP信息； 3、在AC控制台-高级-“代理服务器设置”中添加代理服务器IP。 注意事项： 1、代理服务器设置与路由模式部署相同； 2、必须正确配置代理服务器列表。 3、把AC网桥IP在IE的代理排除列表里排除掉。 4、如果AC本身要通过代理服务器上网更新内置库，只支持HTTP代理的方式（只有AC 1.8版本才支持）。 网桥模式部署 部署方法 ： 1、将网关运行模式切换为“旁路模式”； 2、配置管理接口“DMZ”IP信息 ，添加需监控的内网网段 ； 3、在AC控制台-高级选项-“代理服务器设置”中添加代理服务器IP 4、将AC LAN接口接到交换机的镜像口或HUB上 旁路模式部署 客户需求： 需要AC做审计、上网行为管理、网关杀毒、IPS、流量管理等；并且前面防火墙链路出现问题或者出现宕机之后，网络还能够切换 3.5、VRRP环境下的支持 客户环境： 内网两台CISCO交换机做HSRP部署，前面是两台CISCO防火墙做双出口 。两台CISCO交换机，PC段（百兆链路）的通过路由指向40；而服务器段（千兆链路）指向右侧防火墙IP。当一个出口出现问题的时候，交换机能通过探测包来检测出口状态，做到断路自动切换。 部署方法 ： 多网桥部署，配置两个网口为LAN口区网口，两个网口为WAN口区网口，放通允许数据方向lan-wan1和dmz-wan2，并配置网桥1和网桥2的IP地址，网关等信息。 3.5、VRRP环境下的支持（续） 客户环境： 内部多网段，有独立 的服务器区，同时有 分公司或移动用户使 用VPN登录、访问服 务器区。 客户需求： 保护服务器群数据， 进行身份验证并分配 不同访问权限，对服 务器区的访问进行监 控，日志记录…… 3.6、特殊环境（应用） 部署方法 ： 1、将网关运行模式切换为l路由（网桥)模式，配置内、外网IP（网桥IP）信息； 2、设备内网（LAN）连接交换机，外网（WAN）连接服务器区 注意事项： 1、如使用路由模式部署，需添加相应路由，AC上可不启用NAT 2、服务器如需连接外网（eg：病毒库更新）则AC上需放行（WAN-LAN）相应规则， 3、网关杀毒并不会拦截上传到服务器区的病毒； 4、正确配置防DOS，防范来自内网的DOS攻击（误配置可能导致访问不正常） 5、推荐使用网桥部署（路由部署可能对内网改动较大。 路由、网桥部署 部署方法 ： 1、将网关运行模式切换为旁路模式，配置管理接口“DMZ”IP；2、在“监控网段列表”中添加内网各网段；3、将设备LAN或WAN1口连接至交换机的镜像口上； 注意事项： 1、访问控制仅限TCP类服务； 旁路部署 谢 谢* * * * * * * * * * 提示： 路由模式部署 替换路由器 网桥模式部署（最常用）， 透明模式部署（仅在需要VPN同时又无法使用路由部署时使用，一般不建议）， 旁路模式部署（不想AC影响原有网络时使用，镜像口或在fw和三层交换间加hub） 注意事项 * * * 让学员回顾之前讲过的旁路模式注意事项 * * 注：代理服务器列表设置是AC识别代理服务器的必要设置 “服务端口设