SANGFOR_AC_SG_2011年度渠道培训实验手册20110408.doc

2011年度渠道初级认证培训-AC/SG实验手册1. 实验说明为了让实验更贴近用户真实情况，提高实验效果。本实验手册将以客户案例的形式模拟演练。本实验拓扑为渠道远程实验室拓扑。2. 实验要求与目的2.1. 实验要求本实验要求操作人员具备以下知识方可进行：1. 熟悉计算机操作，熟悉WINDOWS系统操作。2. 有一定数据通信网络基础，了解路由交换原理，TCP/IP和ISO参考模型。3. 了解业内常见的应用服务器和应用场景。4. 学习过AC/SG渠道初级认证培训教材。2.2. 实验目的通过本实验的学习，能够掌握基本测试实施，能独立配置AC/SG设备的主要功能。能达到渠道初级认证的通过标准。3. 实验拓扑4. 典型案例与实验4.1. 路由模式典型案例14.1.1. 客户背景某企业客户出口带宽10M，内网有500人使用。由于内网原来没有任何控制，部分用户上班时间下载P2P、看在线视频导致带宽经常跑满，发送邮件、上网下载资料非常慢。有的用户上班时间玩QQ游戏直接导致了办公效率的降低，虽然已公布禁止玩游戏，但是没有有效手段进行管理。公司高层希望网络中心能通过技术手段解决此问题。提高办公效率。4.1.2. 客户需求经过前期工作，客户已经采购了一台低端SG设备。与客户高层和网络中心的沟通，一致通过采用以下办法来解决客户的问题：1. 用SG设备替代原有出口路由器，实现代理上网功能。启用上网加速，提高访问网页的速度。2. 上班时间禁止所有用户玩游戏，看在线视频（包括PPS等），该用户上班时间为上午8:00-12:00 下午2:30-6:00 3. 针对所有用户P2P、迅雷等下载控制在2M以内，单用户不做限制。4. 针对所有用户HTTP应用、邮件做带宽保障，保障至少可以使用到3M。4.1.3. 实验说明1. 针对典型案例1中客户的需求，实验室A拓扑中SG设备的部署与客户需求类似，请用该SG设备配置实现客户的需求。2. SG设备的模式已经部署好，请不用做修改了，具体配置请参考渠道初级认证教材部署模式部分。3. 实验前请检查实验室中各个设备是否都能够正常登陆。4.1.4. 实验结果检查登录server-A服务器，检查一下项目，看是否达到，没有效果检查配置并解决。检查项目达到目标是否上班时间打开QQ游戏，检查是否正常封堵。上班时间打开，是否可以看视频。访问几次，，10分钟后到【实时状态】-【流量状态】-【加速状态报告】查看是否可以正常看到加速数据。查看流量通道策略，是否与下图匹配（可放大查看）：4.1.5. 配置思路配置完毕请在此总结出配置思路。4.2. 路由模式典型案例24.2.1. 客户背景某金融客户的营业厅使用一台服务器代理内网用户上网。原网络出口带宽20M，内网上网PC 100台左右。企业政策不允许内部员工炒股，但是偶尔还是会有人违反规定。之前出现过内网通过QQ软件和邮件往外网发送企业秘密资料的情况，但是并没有追踪到是谁发送出去的。企业高层非常关注此事件，希望信息中心通过技术手段解决该问题，降低泄密风险。4.2.2. 客户需求经过前期工作，客户已经采购了一批AC设备用于各个营业厅。通过与客户信息中心的沟通，一致通过采用以下策略实现解决客户关注的问题：1. 用AC设备替代原有服务器。实现代理上网功能。2. 组织结构分为两个组，领导组和普通员工组。3. 普通员工组需要监控全天所有发往公网的BBS，邮件等。全天禁止QQ等IM传文件，全天监控所有IM聊天内容。全天禁止所有人炒股。领导组不用添加任何策略。4. 所有用户上网绑定IP/MAC，并且只允许公司100台PC上网。4.2.3. 实验说明1. 针对典型案例2中客户的需求，实验室A拓扑中SG设备的部署与客户需求类似，请用该SG设备配置实现客户的需求。2. SG设备的模式已经部署好，请不用做修改了，具体配置请参考渠道初级认证教材部署模式部分。3. 实验前请检查实验室中各个设备是否都能够正常登陆。4.2.4. 实验结果检查检查项目达到目标是否查看组织结构是否存在“领导组”与“普通组”。将server-A移动到普通组，登录163发送邮件查看是否可以记录邮件内容。将server-A移动到普通组，发送QQ消息查看是否可以监控QQ聊天内容将server-A移动到普通组，用QQ发送文件看是否可以发送。将server-A移动到普通组，用大智慧炒股软件看是否可以使用。将server-A移动到领导组，发BBS帖子，上QQ等是否符合需求。将server-A的IP地址改成0查看是否可以正常上网。4.2.5. 配置思路配置完毕请在此总结出配置思路。4.3. 网桥模式典型案例14.3.1. 客户背景某政府客户原网络出口带宽100M，内网用户200人左右。由于内部人员公然在BB论坛上发表针对领导的一些不健康言论，对单位产生了较严重的后果。但是信息中心不知道是谁发了这样的言论，导致无法对内部人员进行有效管理。内网用户整天挂P2P、迅雷等软件导致领导炒股很慢。4.3.2. 客户需求经过前期工作，客户已经采购了一台中高端AC设备。与客户高层和网络中心的沟通，一致通过采用以下办法来解决客户的问题以及对网络进行优化：1. 将用户分成两个组，领导组与普通组。2. 普通组用户需要审计所有上网行为，包括BBS等。领导组不做任何审计和控制。3. 启用流控策略，保障领导组上午9:00-11:30 下午1:30-3:00开盘时间炒股带宽至少在20M，单用户不受控制。全天控制普通用户下载带宽不超过40M。单用户不受限制。4.3.3. 实验说明1. 针对典型案例1中客户的需求，实验室A拓扑中AC设备的部署与客户需求类似，请用该AC设备配置实现客户的需求。2. AC设备的模式已经部署好，请不用做修改了，具体配置请参考渠道初级认证教材部署模式部分。3. 实验前请检查实验室中各个设备是否都能够正常登陆。4.3.4. 实验结果检查检查项目达到目标是否查看组织结构是否存在“领导组”与“普通组”。将server-A移动到普通组，发送BBS帖子，查看是否可以审计。将server-A移动到领导组，发送BBS帖子，查看是否可以审计查看流量通道策略，是否与下图匹配（可放大查看）：4.3.5. 配置思路配置完毕请在此总结出配置思路。4.4. 网桥模式典型案例24.4.1. 客户背景某高校客户原出口网络1G带宽，内网用户5000多人左右。为了响应公安部82号令（要求提供互联网服务的单位提供60天的上网行为记录）的要求，客户需要网络行为审计设备。大量用户的迅雷下载也导致在下课时间网速十分缓慢，学生普遍反映CF，魔兽等游戏延迟很大，严重影响使用效果。近期也出现针对某领导的非法言论，客户希望内网含有此类关键字的数据都不能发往公网。客户给网络中心提出此要求，在近期解决。4.4.2. 客户需求经过前期工作，客户已经采购了一台高端的AC设备。与客户网络中心进行详细沟通后一致同意采用如下策略来实现需求：1. 将用户分为黑名单，白名单两个组。黑名单放置所有用户。白名单放置几个高层领导用户。不做任何控制与审计2. 黑名单用户组需要审计所有上网行为包括BBS发帖，网站，邮件等。白名单组不做任何限制。3. 由于AC内置数据中心容量有限，无法满足60天记录日志的要求，需要独立安装外置数据中心。将数据同步到外置数据中心进行查询。4. 黑名单用户下载全天P2P，迅雷下载控制在300M，单用户200K。建立带宽保障策略，保障所有用户玩游戏，HTTP，邮件等应用至少在200M。5. 针对黑名单用户组，禁止论坛搜索“游戏”关键字，内网用户BBS或者邮件含有此类关键字也无法发送出去。4.4.3. 实验说明1. 针对典型案例2中客户的需求，实验室A拓扑中AC设备的部署与客户需求类似，请用该AC设备配置实现客户的需求。2. AC设备的模式已经部署好，请不用做修改了，具体配置请参考渠道初级认证教材部署模式部分。3. 实验前请检查实验室中各个设备是否都能够正常登陆。4.4.4. 实验结果检查检查项目达到目标是否将server-B移动要黑名单，发送BBS帖