深信服上网优化网关操作手册.docxVIP

深信服上网优化网关 操作手册 (Ver3.3) 武汉汇通时代 共14页第PAGE 1页 产品说明 1.1产品外观 图1-1设备 1.控制口 2.ETH3（WAN2） 3.ETH1（DMZ） 4.ETH2（WAN1） 5.ETH0（LAN） 6.电源灯 7.告警灯 1.2配置与管理 在M6300 SG中一共有10个接口，其中有2个控制口，2个光口和6个以太网接口，默认情况下ETH0、ETH1、ETH2的IP地址已经配置好。控制口仅供开发和测试调试使用，最终用户需从网口通过控制台接入。用户如果需要对设备配置只需在浏览器中输入管理的IP的地址。在配置设备之前，您需要配备一台电脑，配置之前请确定该电脑的网页浏览器能正常使用（如Internet Explorer），然后把电脑与SANGFOR SG连接在同一个局域网内，通过网络对设备进行配置。设备出厂的默认IP见下表： 接口 SG ETH0（LAN） 51/24 ETH1（DMZ） 52/24 ETH2（WAN1） 1/24 1.3设备接线方式 WAN口直接连接MODEM应使用直连线、连接路由器应使用交叉线；LAN口连接交换机应使用直通线、直接连接电脑网口应使用交叉线。当指示灯显示正常，但不能正常连接的时候，请检查连接线是否使用错误。 功能介绍 2.1用户登陆 在浏览器中输入 44即可到达登陆页面，在“用户名”和“密码”中分别输入Admin就可以登陆到SG上了。 图2-1登陆 2.2部署方式 部署模式用于设置设备的工作模式，可把设备设定为路由模式、网桥模式或旁路模式。 选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。 路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能； 旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。 选择【导航菜单】中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，会出现『路由模式』、『网桥模式』、『旁路模式』的选项，选择想要配置的网关模式。 图2-2部署模式选择 图2-3当前模式 2.3添加用户与组 在【组织结构】中选择需要添加子组的用户组，右边进入管理页面，在【成员管理】窗口中，点击新增按钮，然后选择新增类型[组]。 图2-4组 图2-5新增组和用户 图2-6添加组 默认情况下用户连接到网络后，网络用户会自动显示在default组中，如需要移动到其它的组需要以下操作： 图2-7移动用户 用户除了可以自动添加到默认组外，系统还可以手动添加用户到指定的组，手动添加用户可以绑定一个IP地址，当然也可以绑定一个网段如图： 图2-8导入用户 图2-9绑定IP 当然除了以上两种法式外，管理员还可以用CSV格式的文件导入、扫描IP导入和外部LDAP服务器导入。 图2-10导入用户 2.4上网策略 用户/用户组和上网策略在设备上都是独立的元素，需要将上网策略关联给相应的用户/用户组后，上网策略才会起作用。用户/用户组上网时将匹配与其关联的上网策略。 新建上网策略时，可以直接添加需要匹配此策略的用户/用户组。 第一步：在『上网策略』中点击新增策略 第二步：点击进入【适用组和用户】页面，在【组织结构】中选择需要匹配此策略的用户组或者在【当前组路径】中选择用户或子组。勾选[新增子组及用户]表示此用户组市场部门后面新增的子组和用户也会匹配到此策略，不勾选的情况下，后续新增的子组和用户不会匹配此策略。 图2-11制定上网权限策略 将上网权限策略应用到适用组和用户 图2-12策略用户 案例 3.1上网认证 所有计算机上网前，都必须经过用户认证，以识别上网计算机的身份。『认证策略』决定了某个IP/网段/MAC地址上计算机的认证方式。通过『认证策略』设置内网用户的认证方式，以及新用户添加的策略。 设备的认证方式有以下几种： 1、不需要认证；2、密码认证（包括本地密码认证和外部服务器认证）；3、单点登录；4、DKEY认证。 配置举例1：设置工程部/网段的电脑使用本地密码认证，新用户自动添加到“/员工”组，同时用户名要和IP绑定做双向绑定，即用户名要和IP一一对应。内网其他网段的用户不需要认证，以IP作为用户名，新用户自动添加到“/默认组”。（此例中以本地密码认证，其他类型的外部认证服务器设置步骤类似）