SINFOR_AC_v19_新产品部署培训_20090108

1、为保证培训效果，请将手机调为振动或者静为保证培训效果，请将手机调为振动或者静音音如无紧急事情，课堂期间不得离开，请将需如无紧急事情，课堂期间不得离开，请将需要处理的事情留在课间休息时间解决要处理的事情留在课间休息时间解决 AC1.9 AC1.9新功能及操作培训新功能及操作培训 2008-12-302008-12-30目录目录 第一部分 AC1.9针对AC1.8版本主要改动 第二部分 操作配置实例以及注意事项第一部分 AC1.9针对AC1.8版本主要改动访问控制组和访问控制用户访问控制组和访问控制用户AD域同步域同步新用户认证策略新用户认证策略在线用户列表在线用户列表网络准入系统网络准入系统流量

2、管理系统流量管理系统控制台用户管理控制台用户管理访问控制组和访问控制用户 1.8的版本是将用户组和策略关联到一起的，即用户属于哪个组，就执行该组的策略。 从1.9的版本开始，访问控制组开始与用户上网策略区分开，分为只包含用户和用户组信息的【组织结构】和管理用户上网策略的【上网策略对象】这两个部分。上网策略对象 【上网策略对象】是用来统创建、编辑、管理上网策略的。在这个模块内，创建了上网策略后，是需要关联到用户或用户组来实现用户和用户组的上网控制。上网策略对象 【上网策略对象】内的同一条策略是可以关联到多个组的，同时一个组也可以关联到多条策略。 即：上网策略跟组是多对多的关系。注意：单用户或单个

3、组默认可以关联的上网策略是10条。上网策略对象 当一个用户组关联到多条上网策略时，匹配的顺序如下图：上网策略对象 针对1.9版本的一个用户组可以关联多条上网策略的情况，新增了【生成策略报告】的功能，供查看所选对象的最终策略。组织结构 【组织结构】是以root作为根组，支持组包含子组，子组包含下一级子组，这样一层层包含下去的用户组树状结构，它本身支持16级组，即从root组开始可以包含16级子组。例如：root组下包含市场部组，市场部组又可以包含市场部领导组。这样一级一级的包含，到市场部领导组的时候，已经是第3级组了，表示为：/市场部/市场部领导。组织结构-用户组 【组织结构】本身代表根组roo

4、t组，root组中包括：组内【成员列表】以及【上网策略列表】两部分信息。【成员列表】 包括本组内的用户信息，以及本组包含的第一级子组信息。【上网策略列表】 包含本组关联的上网策略。组织结构-用户 【组织结构】里的用户信息，同样也包含了【用户属性】和【上网策略列表】两部分。【用户属性】部分针对1.8版本没有做太多的改动。认证方式以及种类也跟之前一样。【上网策略列表】跟用户组一样，是用于对单个用户关联策略信息，并显示用户从所属组继承的策略信息。1.9版本支持对单用户关联上网策略。组织结构-用户 用户的身份认证等信息可以直接到其所属组，找到该用户来查看，也可以直接设置查询条件进行搜索来查看。AD域同

5、步 【AD域同步】是1.9新增功能，支持ac中域账户信息跟域服务器间的同步，即支持直接将域服务器中的组织结构信息整体导入到AC中，并实现与域之间的同步。 AD域同步支持两种工作模式：【按AD域组织结构同步】和【按AD域安全组同步】。前者同步的对象是AD域的ou，后者同步的是域的安全组。AD域同步 AD域同步时，可选为自动同步，或手动同步，选择自动同步时，会每天同步一次。 【查看同步报告】可以查看域同步的状态信息。 新增AD域同步策略时，可以将域组织结构导入到指定的用户组内，并且可以选择域中那些OU需要同步到AC中。同时可以限制导入到AC中的ou深度，即允许导入域几层子ou。新用户认证策略 1.

6、9针对新用户认证做了调整，可以根据新认证用户的IP段来划分新用户认证通过后，用户所属的组。在线用户列表在线用户列表 1.9版本将在线用户列表信息合并到控制台统一查看，限制了普通用户的查看的权限。但是web认证用户仍旧可以通过IE来访问http:/ac ip的方式注销用户账户。 1.9版本支持对在线用户列表中的用户做冻结和解冻的操作，并且可以强制注销某用户。网络准入系统 将准入规则合入【上网策略对象】中，去除了启用准入系统的项。直接激活选项卡后，关联准入规则即可使用。流量管理系统这里针对1.8的版本最大改变的地方有：流量状态：新增针对流控策略规则实时显示带宽占用情况。流量管理： 取消【固定预留】

7、，简化配置步骤。 新增【目标ip组】的配置，用于规则针对那些目标IP生效。 新增了对外提供服务的服务器，在外网用户访问时做流量控制的功能。 支持对单用户的流控策略。对单用户的流控，目前只支持在填写【选择对象】的时候，手动填写用户名的方式。 在对组流控策略中，单用户之间的关系，去掉了自由竞争，只保留了用户之间的带宽平均分配。流量管理系统控制台用户 针对1.8以及以前版本控制台用户权限不够细化的情况，1.9版本对控制台用户权限做了详细的限制。【限制ip登陆】也合入【控制台用户管理】，可以做到指定的控制台用户只能使用固定的几个ip地址来登陆控制台。【控制台用户管理】中控制台用户分为系统管理员和普通管

8、理员2大类，权限各有不同。 系统管理员的权限跟Admin基本相同。 普通管理员的权限可以做细化的限制。如图可以看到支持针对哪些模块做管理。第二部分 操作配置实例以及注意事项操作配置实例主要分为：新用户的添加与认证配置2.用户组的上网策略配置1.3.上网流量控制配置配置实例背景配置实例背景 XX公司有行政部、市场部、销售部、研发部、客服部等5个部门，各部门使用独立网段需要对全公司人员上网行为做统一管理，具体策略需求如下：根据IP将各部门划分成组，单独控制。全局生效策略拒绝色情、病毒钓鱼、反动网站，记录基本上网行为。行政部不做控制。市场部上班时间禁止与工作无关的应用，其它允许。销售部上班时间不做控

9、制，监控QQ和MSN的聊天内容，监控邮件记录。研发部上班时间禁止与工作无关的应用，禁止即时聊天工具，其它允许。客服部仅允许访问公司相关网站，使用QQ或MSN，其它全部拒绝。1. 流量控制：保证邮件带宽至少占用50%。限制p2p、迅雷等占用总带宽的20，单个用户上行5KB/S、下行15KB/S。老板不受任何限制，其他人员单个用户上行50KB/S、下行150KB/S。发布到公网的公司网站服务器流量保证不超过带宽的10%。配置总思想 根据用户的IP段划分用户所属的用户组。 用户组策略：配置一个公用总策略关联到根组，并强制子组继承。各组再定义各自策略，简化配置步骤。 流量控制策略：根据流控带宽规则制定

10、策略。新用户的添加与认证配置 根据IP将各部门划分成组，单独控制。 本条可以通过新用户认证策略来实现，避免手动添加。用户组的上网策略配置 全局生效策略拒绝色情、病毒钓鱼、反动网站，记录基本上网行为。注意：全局生效的策略需要关联到根组，并强制子组继承。注意：全局生效的策略需要关联到根组，并强制子组继承。 注意：注意：因为全局策略强制子组继承后，全局策略是优先于子组其他策略执行的，因为全局策略强制子组继承后，全局策略是优先于子组其他策略执行的，所以需要勾上此项：所以需要勾上此项：“如遇策略组合，则缺省动作以下条的为准，并且继续叠加如遇策略组合，则缺省动作以下条的为准，并且继续叠加规则规则”，此时，

11、子组的相关策略才可以生效。，此时，子组的相关策略才可以生效。用户组的上网策略配置 行政部不做控制。 市场部上班时间禁止与工作无关的应用，其它允许。 销售部上班时间不做控制，监控QQ和MSN的聊天内容，监控邮件记录。 研发部上班时间禁止与工作无关的应用，禁止即时聊天工具，其它允许。 客服部仅允许访问公司相关网站，使用QQ或MSN，其它全部拒绝。以上策略配置跟1.8的配置相同的部分就不做介绍了。下面我们以销售部为例做详细的说明。用户组的上网策略配置销售部上班时间不做控制，监控QQ和MSN的聊天内容，监控邮件记录。1. 在上网策略对象里，新建销售部策略，并配置上网策略：上班时间不做控制，监控QQ和MSN的聊天内容，监控邮件记录。2. 关联销售部策略到销售部的上网策略列表中3. 查看本组关联到的策略组后的结果上网流量控制配置保证邮件带宽至少占用50%。限制p2p、迅雷等占用总带宽的20，单个用户上行5KB/S、下行