计算机网络安全技术与实施（旧）深信服培训-网络安全案例SANGFORACSG2012年度渠道高级认证培训07数据处理流程LSQ.pptVIP

专 业 务 实 学 以 致 用 SANGFOR ACSG数据处理流程 培训内容 培训目标 ACSG数据处理流程 了解ACSG设备所有模块的数据处理流程 认证模块数据处理流程 了解一个认证数据通过设备相关模块处理的流程 上网加速模块处理流程 了解一个数据通过上网加速模块处理的流程 ACSG数据处理流程 数据 防DOS攻击 web认证 准入认证 方向识别 代理识别 数据识别 流量统计 防DOS连接数控制 SNAT SSL代理 邮件代理 上网加速 DNAT 防火墙 审计 流量控制 转发 DLAN ACSG数据处理流程 1. 数据首先经过DLAN模块，VPN的数据被打上标记，转发给虚拟网卡然后进行VPN封装。 2. 防DOS攻击模块处理，这里只对每秒发包数超过阀值的进行限制。 3. 方向识别和代理识别，是LAN-WAN还是DMZ-WAN等等以及有没有用代理，为认证和具体识别做准备，只有上公网的数据需要认证和审计。 4. 进行认证。 5. 数据识别只是给数据打上标记，由应用控制后交给防火墙处理后，再交给访问跟踪模块审计。 6. 审计完之后，由流控模块对上网数据进行流量管理。 统计流量。 经过防DOS攻击，这里针对连接数进行限制。 9. 最后SNAT出公网转发。 认证模块数据处理流程 数据 是否是在线用户 是否组织结构用户 进入下个模块 是 否 在线用户 组织结构 新用户认证 是 否 认证策略 不需要认证 认证模块数据处理流程 1. 一个上网数据进入AC/SG设备，首先根据IP判断是否为在线用户。如果是，就记录用户标记交给下一个模块；如果不是，数据进入认证模块匹配认证策略。 2. 认证策略，决定这个IP将采取怎样的认证方式。如果是不需要认证的用户，则直接加到在线用户列表，匹配指定组的上网权限。 3. 根据认证方式查找组织结构内是否有该用户。如果有则以组织结构中的用户认证，认证成功后加入在线用户。如果组织结构中没有该用户则匹配新用户认证策略。 4. 根据新用户认证策略，认证成功后加入在线用户列表，然后再加入到组织结构内。 上网加速模块数据处理流程 数据 重定向给本机 请求发给公网服务器 是 TCP 80数据? 磁盘缓存？ 是 应用识别 防火墙 上网加速 HTTP数据？ 内存缓存？ 否 否 从内存读取，返回 从磁盘读取，返回 是 是 否 上网加速模块数据处理流程 一个上网数据进入SG设备，如果目标端口是TCP 80， 设备开启了上网加速功能的话，数据会被重定向到SG设备本机，所以通过上网加速模块处理的数据，源IP会转换成SG设备的IP地址，转发出去。 重定向完成后，数据会先经过应用识别和防火墙模块处理，所以对于上网加速的数据，网页过滤等功能仍然生效。 到上网加速模块处理时，会先判断是否为HTTP协议的数据，如果不是，则直接转发到公网。 如果是HTTP协议的数据，那么设备会先从内存缓存匹配是否有缓存，再到磁盘缓存匹配是否有缓存，有缓存的话，直接从缓存读取返回客户端，没有缓存则转发到公网服务器，待得到公网服务器的回应后再更新设备的缓存。 专 业 务 实 学 以 致 用