2IronPortWSA功能测试方法-至顶网.docVIP

PAGE PAGE Cisco Systems, Inc. 第 PAGE 26 页 DATE \@ yyyy-M-d 2011-1-25 Cisco Ironport WEB安全网关快速安装手册 2010年  IronPort WSA安装上线步骤 部署方式 IronPort WEB安全网关支持两种部署方式： 1) 代理模式（Proxy Mode） IronPort代理模式工作方式： 客户机直接连接到 S-Series S-Series 提供代理支持：HTTP, HTTPs FTP traffic 客户机配置方式 自动proxy配置 手工proxy配置 Proxy脚本配置 其他特性： 监听全部65535个TCP端口，阻止内部感染恶意木马、病毒的PC向外网传输关键数据（DLP——数据丢失保护） 强大的URL分类库 WEB信誉过滤引擎 与LDAP服务器完美集成，支持LDAP认证、NTLM认证等。 提供高速缓存，提高用户上网速度 提供灵活的策略定制，可以根据IP/IP段、用户/用户组等信息定制不同的策略 针对广告软件（ADWARE）、流氓软件（Malware）、恶意代码、间谍软件（SPYWARE）、木马的强化扫描 2) 透明模式（Transparent Mode） IronPort透明模式工作方式： 通过四层交换机（L4 switch）端口镜像或支持WCCP的路由器将流量转发到S-Series 对客户端透明方式的代理 其他特性： 监听全部65535个TCP端口，阻止内部感染恶意木马、病毒的PC向外网传输关键数据（DLP——数据丢失保护） 强大的URL分类库 WEB信誉过滤引擎（基于SenderBase） 与LDAP服务器完美集成，支持LDAP认证、NTLM认证等。 提供高速缓存，提高用户上网速度 提供灵活的策略定制，可以根据IP/IP段、用户/用户组等信息定制不同的策略 针对广告软件（ADWARE）、流氓软件（Malware）、恶意代码、间谍软件（SPYWARE）、木马的强化扫描 透明转发配置范例： WCCP方式 策略路由方式 L4TM（四层流量监控）功能两个部署范例（以Cisco交换机为例）： CatOS: 2 examples set span 1/1 2/1 tx; set span 1/1 2/2 rx 1/1: connected to firewall 2/1: connected to T1 gets TX from client to Internet 2/2: connected to T2 gets RX from Internet to clients set span 522-555 2/1 VLANS522-555 are the source (assume clients are here) 2/1: connected to T1, duplex mode IOS: 1 example interface FastEthernet0/4 (connected to T1, duplex) port monitor FastEthernet0/3 port monitor FastEthernet0/6 monitor session 1 source interface fastethernet 0/2 monitor session 1 destination interface fastethernet 4/3 (to T1) 准备阶段 收集网络拓扑及相关信息 - 取得当前网络架构拓扑信息 - 客户上网流程 - 缺省网关（DMZ区防火墙IP地址） - 两个分配给Ironport的IP地址和子网掩码 - DNS服务器（内部/外部） - Ldap服务器的登录方式， 字段结构分析（或AD域信息） - 为Ironport网关提供的可解析的主机名（DNS A记录，如：） - 静态路由（非必需，只有当从缺省网关无法到达某网段时需要设置） 注：一般需要在Ironport网关上设两个IP地址，用来区分开管理IP和代理服务器IP。但不是必需的，管理IP和代理服务器IP在同一端口也可以工作。如果客户不想配置独立的Ironport网关管理端口，只需要在P1端口上设一个IP就足够了。 防火墙配置 在防火墙上配置邮件相关的端口： 出站 Ironport反恶意软件引擎+杀毒引擎+网关系统 Ironport网关到公网(任意) TCP 80 （HTTP）端口 出站 SenderBase数据共享 Ironport网关到公网(任意) TCP 443 （HTTPS）端口 出站 DNS Ironport网关到DNS服务器 TCP和UDP 53（DNS）端口 在防火墙上配置管理端口： 从局