1天AC2-安全产线AC基础运维2

AC基础运维2,1-S-AC-03-V1,授权,1,规则库,2,配置备份与恢复,3,全局排除地址,4,管理员账号,5,6,目录,DHCP,授权,设备的多个功能需要授权激活才能使用。具体需要激活的功能如下,授权,设备序列号：控制设备的外网线路线，设备VPN模块和第三方设备对接标准IPSEC的限制及设备SANGFORVPN模块支持接入的移动用户数。多功能项序列号：控制设备是否启用指定的功能，根据客户实际需要激活。通过多功能序列号控制的模块如下。,授权,跨运营商序列号：跨运营商互连IPSECVPN时用到的功能，激活后，可以解决因跨运营商互连VPN导致丢包的问题网关杀毒授权序列号：决定了网关杀毒病毒库是否能够在线自动升级。应用识别&URL库升级序列号：决定了应用识别和URL规则库是否可以更新软件升级序列号：决定了软件版本是否能够向上升级无线管理：决定了设备作为无线控制器，可以接入管理的AP个数,注意,这里重点说明下前面介绍的多功能序列号中关于应用审计序列号的使用。,通过多功能序列号可以将行为与内容审计分离（即可以分别设置只审计用户行为还是审计内容）。主要是满足下面的需求，用户为了避免法律风险，不愿意对内网的用户审计内容，但同时又希望能审计到用户上网的行为。,注意,行为和内容审计效果图,数据中心只显示行为信息，如下图：,授权,1,规则库,2,配置备份与恢复,3,全局排除地址,4,管理员账号,5,6,目录,DHCP,规则库,规则库是设备识别具体应用，并进行控制和审计的基础，设备主要有以下规则库。,设备内置规则库有独立研发团队维护，每月更新一到2次。设备规则库支持手动或自动更新。只要确保设备可以连网，就能够连到规则库服务器自动完成更新。,规则库,测试实施前，请注意病毒库（如果已激活），应用识别，URL规则库，网关补丁及审计规则库更新到最新。以免影响设备功能。,规则库,如果客户有内网应用，设备无法识别，或某些URL不在设备内置URL库中也无法识别，应该怎么处理？,设备支持自定义应用识别规则和自定义URL规则解决此问题,自定义应用,支持跟踪IP地址，端口，协议，域名自定义应用规则,自定义URL,URL支持通配，如,都可以使用*或表示注意：只能通配域名前部分，不支持通配域名中间或结尾部分。,自定义URL,上网策略中可以选择自定义应用及自定义URL，实现对用户访问自定义应用管控,授权,1,规则库,2,配置备份与恢复,3,全局排除地址,4,管理员账号,5,6,目录,DHCP,配置备份与恢复,支持ACSG6.1、AC10.2、IAM4.1及IAM4.1r版本的配置平滑导入AC11.0,设备支持自动备份及手动备份。建议经常备份配置，以免错误修改了设备配置无法恢复。,授权,1,规则库,2,配置备份与恢复,3,全局排除地址,4,管理员账号,5,6,目录,DHCP,全局排除地址,默认状态，经过设备的所有流量都会被设备控制并审计。如果内网有服务器希望不受设备控制和审计或有用户临时要求不受控。可以将地址添加到设备全局排除地址中，全局排除中的地址不受设备控制和审计，但防火墙规则和防DOS攻击除外，即使排除仍然受这两个模块控制。,全局排除地址,1、支持排除源地址和目的地址2、支持排除域名，域名支持通配，如排除就包括了,等。3、如果使用的是内网DNS，解析数据不经过AC，则排除域名默认不生效。,注意,全局排除的IP地址，仍然生效的模块有nat，显示代理，防火墙规则，防dos攻击，arp欺骗防护，系统路由和链路负载，准入IM审计（先开启IM审计后排除PC地址的情况）,授权,1,规则库,2,配置备份与恢复,3,全局排除地址,4,管理员账号,5,6,目录,DHCP,管理员账号,全局排除的IP地址，仍然生效的模块有nat，显示代理，防火墙规则，防dos攻击，arp欺骗防护，系统路由和链路负载，准入IM审计（先开启IM审计后排除PC地址的情况）,管理员账号,授权,1,规则库,2,配置备份与恢复,3,全局排除地址,4,管理员账号,5,6,目录,DHCP,DHCP,设备路由模式部署，支持DHCP，其它模式不支持。,设置将指定的IP分配给指定的计算机,问题思考,1、全局排除的地址，哪些模块对其仍然生效？2、为了规避法律风险，客户只