BlueCoat代理服务器配置指南

1、BlueCoat代理服务器配置指南Blue 国 CoatSystems2011年1月目 录、安装设备及安装环境41.1实施设备清单41.2实施拓朴结构图4二、实施步骤42.1物理连接42.2初始IP地址配置42.3 远程治理软件配置 42.4 网络配置 52.4.1 Adapter 1地址配置52.4.2 静态路由配置 5243配置外网DNS服务器62.4.4配置虚拟IP地址62.4.5 配置 Fail Over 62.5 配置代理服务端口72.6 配置本地时钟 72.7配置Radius认证服务72.8 内容过滤列表定义及下载 82.9 定义病毒扫描服务器 92.10 带宽治理定义 102.1

2、1 策略设置 112.11.1配置DDOS攻击防备112.11.2 设置缺省策略为 DENY112.11.3 配置 Blue Coat An ti-Spyware策略112.11.4 访咨询操纵策略配置 -VPM 112.11.5 病毒扫描策略配置 112.11.6 用户认证策略设置 122.11.7 带宽治理策略定义 132.11.8 Work_Group用户组访咨询操纵策略定义15162.11.9 Ma nageme nt_Grou用户组访咨询操纵策略定义2.11.10 High_Level_Group用户组访咨询操纵策略定义2.11.11 Normal_Group用户组访咨询操纵策略定义

3、 172.11.12 Temp_Group用户组访咨询操纵策略定义 1716192.11.13 IE扫瞄器版本检查策略2.11.14 DNS解析策略设置19安装设备及安装环境实施设备清单Bluecoat安全代理专用设备 SG60010 一台，AV510-A 台，BCWF内容过滤， MCAFEE 防病毒 ,企业版报表模块。实施拓朴结构图Bluecoat设备SG600-10-3配置于内网，AV510-A与SG600-10之间通过ICAP 协议建立通信。连接方法有以下几种，网络示意结构如下图： 旁路模式：实施步骤物理连接两台 Bluecoat SG80C 2 的 Adapter。nterface 0

4、和 AdapterlnterfaceO通 过以太网双绞线连接于两台 Radware CID交换机。初始 IP 地址配置通过设备前操纵面板能够设置 ProxySG800-2的Adapter。nterfaceO的地 址为：第一台 SG8002：(IP)24(Mask)(Default Gateway)第二台 SG8002：1(IP)24(Mask) (Default Gateway)远程治理软件配置Bluecoat安全代理专用设备通过IE扫瞄器和SSH命令进行治理，扫

5、瞄器 治理端口为8082，治理用的PC机需安装了 Java运行环境。治理界面的URL 为：0 Browser CmfiQunadjQfi3c . V-kwg |Mwii 柑CC WWW wM ih# lie* Cw 303M4 0DC4iEontabo4 M* |if4 &* I4M f 已 程亠1皿触*w9 T曰wi3 SuppeduFR,1MaM- ELn LaaJ VSSQ Xnec:8082和1:8082W3 WD9 M.CwjT,wiwi 魁 副网络配置MaintenanceStatistics.Ccmflgu ra

6、tion在xxxxx网络环境中|1)ProxySG880两个端口均需配置 除缺省路由指向防火墙ArcTihi?IP,还需一条静态路由，作为内网通讯的路由，地址；(2)(3)配置个虚拟IP外网DNS，以便ProXySG到互联网的访咨询,I 每台另外需要 IP地址配置FailG停止工作，其虚拟IP将切换到另外一台。* Sfttirtis地址，作为内部职员的Over,当一台：ProxyS Health Checks Adapter!地址配置 BandwMA MQHL从一 Web治理界面入，dNs解析服务器匚P地址；5Interface- 0 nlsrface 0 not a member c( an

7、ybridesManagementCon sole/C on figubati on/Network/在 sAdapters 下拉框中选择71 Adapterl，并在 IP address for In terface 0和 SubAdapter进 Access Logging n et mask for In terface 0中配置IP地址和子网掩码，如下图示:MamtefvncaStatratKS入,CorrNgurotion丿第一台 ProxySG800-2的 IP地址为：191.32.1Q 掩码：2letitifimsnClockArcniveFkmrtin

8、oircial Hcutng Tship，第二台ProxySG800-2附悄地址为:19VF32：1.12；掩码：2RoutingDNBVieRoihaTahlfe点击Apft也使配置生效。HView 1h currerrt Routing Tb-i?0 Heahh Checks 静态路由配置* Bandwidth Mgmt 从Web治理界面 0 Forwarding在窗口上部选项中 LoggingS iuiLt，爬 st Lirc r. i me cufmrr R j.itiny -atieMan ageme nt Con sole/Co nfiguratio n/

9、Network/Routi ng 进选择 Rout ing,并在 In stall Rout ing table from 下拉框中选择Text Editor,如下图示cancel点击In stall，并在弹出窗口中输入静态路由: 如下图示：IdprtirCkckArctiivcJ Network AdaotsraRouting DN$0 ServicesQ External Services0ChecksCtJS s&eis;Promote cnlr/ i点击邨sta吐吏配置生效C orrtigbira I ior配置外网DNS服务器

10、StatisticsVIPt-JL hu从web治理界面Nerworkruuing：0 Srvic如下图示 Enpmal Service 点击询New增加外 亠 AuthinticMioA配配置虚拟勺IP地址* CantwTt FilteringMan ageme nt Con sole/Co nfiguratio n/Network/DNS 进入,IP AddiessIIP AQdiOto141.32. r 20网DNS服务器IP地址，并点击Apply使配置生效。Delete入,入,址:0）Maintonancfl!*Slabs Ucs、g i- F *,_ConflguraUonLVIPS

11、，d Generalirnricon点击:New配置 Mgplera第一台 ProxyS 第二台 BroxyS Q HodKti Cheeks 配置Faj：Over Pcik 从Web治理FadiQiier iSidlpe虚拟IP地址J ladowrdd Fuilcivyr 艸卩,并点击Apply使配置生效。匚毗血IPG800-2 的虚拟 IP,地址为：3G800-2 的虚拟 IP地址为:4ijfipuD Seitinigs7 *anabtdemsnt Con sole/C on figurati on/Network/Adva need 进:在窗口上部选

12、项中选择Fail over 力口下图示Go 世 Fallajer Oroups-iVchrMaJ Network点击1New配置Failover组，；:经US k W * * * Iw Add FnilaiTEr &r:crii卩191.12120220 Services0 Ej!&mal ServleQ Heahh Chtcki在弹出窗口中，选择Exist4 Policy191321叩3 （第一台 Proxy SSL,，在Group Setting 中，选择w）rGroup IP如下图示：卜- 广 Eld別 fl Qi ： r inup Selinasng IP,并在下拉框中选择已定义的虚拟

13、IP地SG800），4 （第二台 ProxySG80RelstMa Prlorllr，点点击OK完成配置。并点击HO （B-253） r ulsrEnable,并在 Relative Priority 中选中 Maste 使配置生效。GiowApplybver组，如下图示：J:瞽*嵐了.】mt A l显匚*Confl guralloin在弹出窗口中，选4NeW IP，指定虚拟IP地址：4 （第一台PrMiotenairiiceStalk tJcsservice Portfi-oxySG800), 3(第二台 ProxySG800),在

14、 Group Setting 中，选择archiveEnab個，点击OK完成配置配置代理服务端口 t Configuration在 xxxxx 网络中 ProxySG 将提供 HTTp （ 80 端口）、SOCKS 、DNS（53端口）的代理服务，其它通讯如： 妣趾Telnel-Corrso* ;asDNS-Pfox/ p 兮 I rare parant 即piiEMakito*nanceStatistics1080 端口）p或SOCKS代理实现。UTGI进入Ro in ng从Web治理界面如下图示：HTTP Pi OxyFTP ProxySOCKS PFOXl配置本地时钟3hefl Prox

15、ies从.Web治玉里界面,.。Hvlth Chvckf如下图示:：。Bandwidth Mgmt.9 PolicywMSN、流媒体等均通过HTTInii E9 54尸77丽旳宓|osLksIManagemenbComsole/Configuratio n/Services-i.( pjh odroTacqu iri ng utc :Asqdr e UTC S iwQuery nterVa.l irninulsErn/Service PortsMan ageme nt Con sole/Co nfigurati on/Ge neral/Clock进入,*ptIyCancelHelp选择本地时钟

16、定义为+ 8区，并点击Apply使配置生效。配置Radius认证服务Configuratkirt互联网访咨询用户将米纳 Externdl ServicesRADHIS Reali属性进行定义，分组与-0n5Clr -M-resa工作组Logi n（1）NTLM-RadiFtADi IS RFwilms属性对应关系如下:Us进行用户认证，用冃户分组通过 Radius的Gt neral治理组;.Framed(2)LDCal高级组CalLBack一般组;Call .Back 3ea爬茁3临时组円O&tbou nd(5)logi n(3)Framed(4)Rc|ue&1 Sinrag*从Web治理界面

17、 Management Console/Configuration/Authentication/RADI PolicyUS进入，如下图示：/8il Polo Manacer ”ApplyCancelHe pliODLlCOREldPaloSLr;slitiitkSgGUnciiFfaTranaparcnlProFgrinsRfiK|idesiSkFaQe* S5MgrrPolicy点击New生成RADIUSSSH CcnSDlG4丄i一I- rEKXernal Services如下图示：丄 AuthFitictiDnCans ole 4czessrri LMRA口 U RealmsREaim

18、 nsmeHost;置谕，在弹窗.!中器RilUS Ger era地址,RAD USPert_Eil?rri lm!1I其中，Real Name定义为 RADIUS , Primary .server host中定义 RADIUS * RADIUSI I服务器 IP 地址：2 （暂定），Port 为 1812, Secret为 RADIUS 中定rietflgrthsneMincer义的通讯密码；丿二义。并点击Apply使配置生效。LDAP注：Port和Secret的定义必须与RADIUS服务器中定义保持Local如需定义备份的Obi COABd如下图示：W rraspa:

19、nt Frc-FOffflBRequhl surag# J Bandwidth Mgmt. 在 Alternate ServFol c/eptions密码。刊1心Files.15 us I Psi _yfJansgep从Web治理界面CartfiguratjionTrjmpiiBVilpraiuptunifc致。RADIUS服务器，在上部选项中选择 RADIUS Servers,2lmiiiLrte-srer定义中，定义备用的 RADIUS服务器URLIPTTLIP地址，及通讯mm 腎 S. i1i-.ti .I-蘿购鏡藤鹽緞Stati PolicyP0llC/Opt0D3其中，Method选

20、证一次将保持即小时；. L0C310303$ &.Blue Coat Wetj FUtaAutomatic DonlaadD/narriic CstaoirizatnonUsername定 IP，在），用户认内容过滤列表定义及下载l-FILTER并点击 Apply使配置生效。Sffl圳-心宀set to derxjRDcwlosd NowU F&r;e Full Update在PrOxySG中加载Blue Coat分类列表作为互联网访咨询操纵及An ti-SpyProve ntiaware策略的基础。从Web治理界面 Fonvardingcoat进入，如下图示：I .*Man ageme nt

21、 Con sole/Co nfiguratio n/Co ntent Filteri ng/BlueApplyCsn?lH&lp输入用户名/密码，选择Force Full Update，并点击Apply使配置生效,然后点击Download Now开始下载分类列表库络和d,新，示:UAkrCIUHVI iaContent FilteringG&nAraJLdcsIB u a uc a:ConfigurationMAibnteriince粒 aitriiKy弹 Mcnci-“ lufsrayMThjrcday * Fms I? Ssturda/StatisticsRequest Storage B

22、andwidth Mlgmt.分类列表下载终止后（第一次下载超过80Mbypes数据所需时刻与网 口带宽有关）BliiCodtWeb FilterAutomatic DoM iluH rp JALfO/sujiy 刑卵 mEjfCfiDtoriS如下图示：他阮Local F i Coat、n EMirnlc CluuilziUuri tckrig 、定义自动下载更新，在上部选项中选择、Co notcatFgofize dnanicallyI宀* C3M0XU* d fFianhaiy in tie badeg our dgenze d - ism ica lh-1 n i al tmMalmt

23、wiancoStatisticsAutomatic Dow nloaConfiguration其中:选择每苗UTC对刻下午 硕（本地时刻晚上12:00）自动下载更9 Bandwidth Mgmt.Gwiaiai并点击Apply使配置生效。匚 we广 U5-e L oca I Datsb as e启动动态分类模式，在上部菜单选择Bcsptons丄 Content Filtering尸 CGreralLocal DatabaseBlue亡心乱Dyn amic Categorization，如下图Use 3rciPa巧 Ccn-E-# F Pb- Na-ACprtjniri%令 Edit ICAP

24、Service1口二園选择 Enable Dynami|cTaiegoraiion和 CaiegorizeaynamTcaTlylnihe backgr ound，并点击耳Apply1使配置生效IB. I 跆 8j ctqt/L.-csL/c*jisIs/nt Maridgemerii ConsoleConfTgurationTCConfifluimticiHMaimten-nrstreamingPrcNles 旦I )Shfell ProxiesICOP选定UseBLue Coat二定义病毒扫描服务器Ser/ice-orsups.Z AP Sehiii y If1oICA.= versiDn

25、类列表生效，从Web治理界面Management Console/. Mayinny m rw nraber yfypn erin g/Ge neral 进, iiimertJi :乞色Patience cxage del刖：5Econds :5女hA图（示尺：TOr ensb edNoiladminitroiorF vnuaKectEttWeb FiJie，p并点击Apply使配置生效。l/elhz-d suppo re * resp zn5：e nr DCrfi cat or厂 rqiiFsl modincjticn对所有通过ProxySG的HTTP、FTP通讯进行病毒扫描，病毒扫描服务C

26、QfLiSqlQ AJXE5S器采纳 McAfee，ProxySLD“RADIUSLaujl、n、r SeneG通过ICAP协议实现与:财饑:病毒扫描服务器通Hiroups讯。IGAp 3frrefing-Sense sett n口合Get s etin os fforr G胡 sghe r从 Web治理界面 Management Console/Configuration/External Services/ICAObli.COREIdp进入，点击fNew生成Ti同庐pwiW PrcwyF q rm &Request Storage *Service名为 McAfeeeittb Creck；

27、jp|ors CAP服务配置，如下图示:Reais terRegister the ssrJreror hea ih checteITn:_1和McAfee_2，选择服务名 McAfee_1，并点击Edit,进入服务配置窗口，如下图示:lil0a/fJiflTT7clWTS-z “C邸 s I *lt . e dJConti rationMaintorirKoStatisticsSOCKS Pro时 irj provesSfre riningi PicjHef;Senfl ce-Groups在 Service URL 中，定义、rfcap:/5,并点击 Sense sett

28、in gs从 McAfSSH ConsQlfl1ee猎取病毒扫描参SSH ConsoleJ.-frtairitnanccSafeco CroupllSOCKS Frew/定义进行健康检查，点击 OK完成定义，并点击卩Apply使配置生效 选择服务名McAfJ Exurnal Service-oee_2,并点击Edit，重复以上过程,. Edit SeLviLiE + * L中定义 iCap:/6。McATe_GfOiU pMrAitPAffluo Kanjre.Arnup I在 Service URL从Wfeb治理界面J Auifirrtiutionce-Group进入，将两

29、台Realms 7vice Group配置如下图Management Console/Configbn/External Services/SeriMcAfee服务器定义为一个Group，点击New生成Ser示:RADIUSLoralCertificate,j0taqnty, iteL1md0v rService Group名定乂为 McAfee_Ghl9a tdr Dg GtmPci 刖 &jtsst1utiin 如下图示：.”oup，点击.Edit进行服务器组定义，切ply日通过点击New将McAfee_1和McAfee_2加入McAfee_Group中，点击Edit能够改变Group成员

30、的权重，选择OK完成配置，并点击Apply使配置生效。MaintenanceConfigura tiontJFlHiJ I n.r-li lldn 带宽治理定义Folio 3ub&itutiQn -p/J Enobl& I 4ndivL d.t!E M-onkf 4r按照带宽治理策略要求，定义七个带宽类，其中Work_Group_BFarmsMan agementeGrouEJ Banjnwidih iflgrm Group_Bandwidth、组、n Jip_Gjoup_Eandwidth分不对应工作组、治理组、 lorn sl_Gr oufi_Bnifc, i di th.gap 电 ci

31、fieil2 DOOC2_ 兽Limit_App_BandWffljth 对应高QlpNormalTem Pplic OdILQJIS 一 亠 u亠般组、临时组的带宽治理要求Visual Folicv blanaqer应用的带宽治理策略，.DdOS攻击防备I豐J Policyattack-detection. Jisa Plii Managerclie-ntMaintenanceVI eve l pMcve downStatisticsSepuenuS - APokeyisusi Poll ry File?en able-limitsomrns4卄士举口夂缶rs UplQBid. 曲白 rna

32、t- n.11 File Mi cm an-ft* Tntcrriet Enpl n rsr进入从 Web 治理界面* Management gon sole/c on figuraon/Policy/Policy省策设： I 如1下下 图示:,17 |訂 J I A I i L I -I izH &-! 0Opti ons-Ofl-4t、Z-I-*r-x r k iv /，、厶J* J-亠A|Zr+ TfCt/ t .亠 J1 v Blue CoatPolicy MscELagezr 21. 1 Qi6a丿置土效。r -t “：置治iue Coat Anti-spyware 策略Ud 111

33、1DBliLcT Jove Vp4 Hov-a Iovil3 ZikEt-ali PolicyTBlueOCoatUpkiad 启nd Im时all Fj|己Management Console/configuration/Policy/Policy”1 El 希 E 喇 t3K :QQCJKjqiAra : lcms put入缺省策略设置，如下图示:J E如下nstall Local File From 的下拉框中选择 Local File，点击 In stall图示:are策在弹出的窗口中，点击扫瞄，并选定 Blue Coat公布的Anti-Spyw略，选择In stall将策略加载到Pr

34、oxySG中。访咨询操纵策略配置-VPM访咨询操纵策略通过Blue Coat图视化界面VPM进行配置，从 Web治理界面 Mjinagement Console/configuration/Policy/ Visual Policy Manager进入，并点击丄aunch，即可启动VPM界面，如下图示:病毒扫描策略配置定义对所有通过ProxySG的流量进行病毒扫描，使用病毒扫描服务器组McAfee_Group。ai sii error occurs arixg xltpro cessing.Deity the eliint reu*st (tecommended)EMktiiiMi withu

35、qiaft胪止刘皿占电 Df .V- Do not use any 10AFservize从VPM的Policy菜单选择必匕目Web Conte nt Layer,策略层，名字定义为 Web AV，并在第一条规则中，Action栏用鼠标右键，选 弹出窗生成Web内容操纵用鼠标右择$et；在弹出的窗口中选择并New，选定Set ICAP Response Service口女DftlsU Hui龟T M(v Vp& DovnFoJicrKo.5 oilAnr 在UseAc lionTi ackC uTir* KiilICAPrespo nse service的下拉框中选择IrEKistiiff A

36、ctic(n Obi eels-WM|IMcAfee_Group，并选定 Co艮至至上一层，在窗口中选择 图示：ICAP response,点、击OK，退至ntinICAPResponseSet/icel并点击OK，完成规则设置；如下ure without fuAtthLDLiieitel在VPM菜单中用户认证策略设 从VPM的咨询用户认证层，stallicy 菜单选择 Add Web AuthenticationMln* inf5-rmi m. r# irinreMfulljz名字定义为 Web_Radius_Auth,并在第 栏用鼠标右键，选择Set,在弹出的窗口中选择New，选定 出窗C

37、octfigTiraliiox iitu* H 电JLpTn Pelete Rxleayer,生成Web访一条规则中，Authenticate，弹Actio n:rs.aLJ Fclicy可冈P,规贝lei 的.eE&diis kutlMi SOOS_1lum_Aui極h在弹出的窗口中点击OK，退到上一层，在窗口中选择 Authenticat J设置；如下图示：,Realm 栏选定 radius(RADIUMode 中选定 Proxy I1,并点击OK，完成Show：AllO ki.A SOCES Authentic Ate Object在VPM菜单中点击InstaiTPoifCy将策略加载到

38、I Pration Layer，生成 SOCAuth，并在第一条规则从VPM的PoliCy菜 单选择Add SOCKS Authe nticoxySG 中。KS访咨询用户认证层，名字定义为宀SOCKSRadiuS 标右键，选择Set,在弹出的窗口中选择 出窗口如下中，Action栏用S Authe nticate,LanceTTRTpNew，选定 SOCKEdj/t P li cy QoiLfi giir ati oci Vi ew tM耳* M dv-* DovrriITb 則| lhb*ftdLTB 轨thmII SOGESMlLXMtolb| Bffi4widthMHiM髦:EhPort

39、:. eo or 180123(其中，选定P2P和All P2P，并选择OK，完成定义Fatb;oEkci llui在第一条规则的Destination栏用鼠标右键，选择Set,在弹出 选择Nlew，选定URL，弹出窗口如下图示:HilpSettings retrieve! frorr ProxySj Arplimce 13E. J68- 1. 35窗口中在Simple Match中指定关键业务的域名，选择 Add增加定义，选择 Clos e终止定义。在第一条规则的Action栏用鼠标右键，选择Set,在弹出的窗口中选择 New，选定Man age Ban dwidth,弹出窗口如下图示：严A

40、lEudwidthandwi dth7OKCanatlH*lpK_CuLcelU1V其中，Name定义为 Key_App_Bandwidth , Limit Bandwidth on 中选定 Ser ver Side和 Inbound,在 Bandwidth Class中选定 Key_App_Bandwidth，选择 O K完成定义；重复以上过程，定义名 Name为Limit_App_Bandwidth_in，属性为Server Side Inbound, Bandwidth Class为 Limit_App_Bandwidth ；定义名 Name为 Limit_App_Bandwidth_o

41、ut，属性为 Server Side Outboun d， Bandwidth Class为 Limit_App_Bandwidth ；定义名 Name为 Work_Group_Bandwidth，属性为 Server Side Inbound, B andwidth Class为 Work_Group_Bandwidth;定义名 Name为 Management_Group_Bandwidth,属性为 Server Side Inbo und, Bandwidth Class为 Management_Group_Bandwidth定义名 Name为 High_Level_Group_Band

42、width，属性为 Server Side Inbou nd，Bandwidth Class为 High_Level_Group_Bandwidth；定义名 Name为 Normal_Group_Bandwidth，属性为 Server Side Inbound, Bandwidth Class为 Normal_Group_Bandwidth;定义名 Name为 Temp_Group_Bandwidth,属性为 Server Side Inbound, B andwidth Class为 Temp_Group_Bandwidth。在VPM界面点击Add Rule增加七条规则，总共八条规则，第一

43、条规则定义：在Destination栏用鼠标右键，选择Set,在弹出窗口 中选择以上定义的关键业务 URL，在Action栏用鼠标右键，选择Set,在弹 出窗口 中选择 Key_App_Bandwidth ；第二条规则定义：在Service栏用鼠标右键，选择Set,在弹出窗口中选 择All P2P，在Action栏用鼠标右键，选择 Set,在弹出窗口中选择Limit_Ap p_Ba ndwidthn;第三条规则定义：在Service栏用鼠标右键，选择Set,在弹出窗口中选 择All P2P，在Action栏用鼠标右键，选择 Set,在弹出窗口中选择Limit_Ap p_Ba ndwidth_o

44、ut;第四条规则定义：在Source栏用鼠标右键，选择Set,在弹出窗口中选择Work_Group，在Action栏用鼠标右键，选择 Set,在弹出窗口中选择 Wor k_Group_Ba ndwidth ；第五条规则定义：在Source栏用鼠标右键，选择Set,在弹出窗口中选择Management_Group,在Action栏用鼠标右键，选择 Set,在弹出窗口中选 择 Management_Group_Bandwidth;第六条规则定义：在Source栏用鼠标右键，选择Set,在弹出窗口中选riJnc Coatp，在 Action /ction栏用鼠标右键，选择t Set，在弹出窗口中选择 Hig1hJLfevel_Grbp_BandWidtfr；E第七条规则定义：在SourcQ栏用鼠标右键，选择Set,在弹出窗口中选 选择No包 Install Ffllicy择NoVmal_Grbup, 在1Attibn栏用鼠标右键，选释 Se,在弹出窗口中1 JGIjr SB URL： si . Any|Any. |FoTiermal_G_Bandwidth；上第丿八条规则定义在I /Source栏用鼠标右键，选择 Set,在弹出窗.| n| x丨中选择 Temp_Goup, 在Acti