深信服AC-1200配置手册范本

1、附件五上网行为管理AC-1200 KS管理文档时间：2021.02.02创作：欧阳术1 投备名称本系统上网行为管理设备采用深信服公司生产的AC-1200O设备功能根据用户提出的应用需求，AC-1200在本系统中的设廿功 能是对网络资淵进行合理的分趾，并对内部工作人员的上网行 为进行观范，以及对航火墙的功能进行必要的补充。设备硕件信息3.1 AC-1200产品外形AC-1200产品外形和接口信息如图1所示。图1 AG1200产品外形和接口信息网络连接与管理方式AC-1200的ETHO ( LAN ) 口通过透明网桥的方式与核心交换 机CISCO4506的GE3/1连接，加人本地局域网络。 ETH

2、2(WAN1) 与路由器 CISCO2821,与 Internet 连接。 ETHl(DMZ)端口作为WEB管理端口连接到核心交换机的 G3/30o设备端口 IP地址分配见表1。本设备只提供WEB管理方式。通过网络连接到WEB管理 端口，打开测览器，在地址栏输入 HYPERLINK 1 1,进人管 理页面输入用户名和密码，单击登录，即可进人管理界 面，如图2所示。表1设备端口 IP地址分配表接口IP地址描述ETHO (LAN)透明模式与核心交换G3/1连接ETH1 (DMZ)192.16& 5.41与VLAN5某端口连接（WEB管理）ETH2 (WAND192.16 &1.6与路由器G0/0/

3、0连接2 WEB登录页面4 配置管理4.1 WEBUI 界面登录后看到的是WEB管理的首页，包含左侧的功能菜单栏 和右侧的状态信息显示。如图3所示。图3 WEB用户管理界面42系统配置系统趾置部分包含系统信息、管理员嗾户、系统时卸等信 息。4.2.1系统信息系统信息包含系统内的序列号和license信息，如图4所 爪O图4系统信息422管理员帐户本系统内除admin t户外，另创建了一个gtyl管理员帐户， 其权眼与admin相同。图5所示为管理员帐户列表。图5管理员帐户列表如需对管理员嗾户进行趾置，直接单击蓝色用户名，如需创 建新管理员，单击左上角“新增”图标，即可进人刖建页面。 4.2.3

4、系统时同系统时间设置界面如图6所示。图6系统时间设置页面4.2.4系统升级如图7列表中所显示的，除病毒库未购买升级服务，网关补 丁不需购买服务外,其他服务部在2012年4月7日到期,到时 可根据实际情况决定是否咧买。在服务期内的项目已全部设置 自动升级。7系统升级4.2.5全局排除地址全局排除地址列表中的服务器网址不受监控和限制，如图8所示。本次设置未启动该顶目，今后可根据实师应用自行设 置。8全局排除地址4.3 H络配置本系统网络配置为透明方式,ETHO(LAN)和ETH2(WAN1)之间配置网桥Internet线路从路由器连接到WAN1 口，LAN端口连接到核心交换机的VLAN 1端口，配

5、置DMZ为管理端口，加人V LAN 5, IP地址为1c如图9列表所示。9网络配置4.4防火塔防火墙功能使用USG2220实现，此处不做配置。45安全防护本设备的安全肪护功能是对USG2220的部分补充。4.5.1防DOS攻击DOS攻击（拒绝服务攻击）是通过发送大量请求，耗尽服 务器资源，使得合法靖求得不到响应。本设备肪DOS攻击设置 如图10所示。10肪DOS攻击设置4.5.2 KarpesARP 是一种常见的内网病毒，中毒的客户端不断向内 网发广播包，严重影响局域网的通讯，甚至斷网。本设备肪 ARP欺骗设置如图11所示。11肪ARP欺骗4.5.3网关杀毒本设备的杀毒网关未卿买病毒库升级服务

6、，病毒库为2011-03-31之前,已设置全部杀毒功能。如图12所示。12网关杀毒配置4.6 1量管理461虚抑裁路配置这里的虚抓线路I!置实际就是Internet的接人线路配置。我们配置上、下行线路带宽均为10240Kbps(10Mbps)o如图13所爪O13虛拥线路配置4.6.2通道配置通道配置是本设备进行网络流量管理的核心内容。通过添Jin 不同的通道，并对他们进行网络带宽的分配，可以使符合该通 道策齡的应用停到带宽的保证或限制。通道配置如图14所示。配置列表中的顶目,除上班时间流量管理是我们M添加的 项目，其余均为系统根据实际情况已制定的通道。此次配置将 全部应用启动。下面已低延时保障

7、为例，说明趾置参数。如图15和图16所 爪O图15延时保障通道配置图16低延时通道应用范围从图16可以看出，本设置适用于实时性较高的应用，如网 游、股票行情和交易等。、图15可以看到，系统预留20%的带 宽保证这类应用的流量需求。实际操作中,我们添加了一个命名为上册时间流量限制的通 道，以此为例，讲解添加配置步骤。首先，单击图14左上角的加号“添加通道”。如图17所 示，我们设置通道为限制通道，最大上、下行带宽为50%,优 先级为低，并且设置单IP资源不超11 50Kbpso在通道适用范围中，找们设置为适用于所有应用，适用对象 为临时人员（自动获取IP地址的人员），生效时间为工作时 间，目标I

8、P组为自动获取。如图18所示。其中用户组“临时人员”、生效时间“工作时间（周一到 周日，9: 00-19: 00）、目标IP组“自动获取都是已经在对 象定义和用户管理中定义好。当带宽资源已经满负荷时，系统将保证优先级高的通道的带 宽。图17配置带宽通道设置实例图18通道适用范围设置实例47用户和上网策峪4.7.1上网策峪制定上网策略的目的是保证带宽不被非公业务占用和怵助行 政规定的实施。这里通过一个示例说明上网策略的配置方法。（本策略不被 启动）O策略目的：在上讯时IO,禁止临时人员、综合管理 部人员、“财务部人员、“公司领导”通过互联网使用“HTTP怵议”、“QQ、 “漓宝”、“迅雷下载”

9、“P2P网络 视颐O策略启动后结果：上述人员在周一到周日9: 00-19: 00,无 法浏览网页，不能通11 QQ i天，无法使用迅雷下裁，无法观 看P2P视頫。设置步骤如下：1）添加上网策略单击导航菜单的“用户与策略管理”上网策略“新增” “上网权限策即，如图19所示。图19添加上网策略2）配置策略名称和信息在上网权限策略页面中，输入策略名称亦公策略”和策略 信息“測试”，如图20所示。图20配置策略名称和信息然后单击“应用”栏下面的显示器图标，选择要趾置的应用。进人图22所显示的画面。选择好应用后，单击确定”。22应用选择确定后进入图23所示页面。234）配置适用组和用户单击图23中的“适

10、用组和用户”，选中需要禁止应用的用户组,点“提交”如图24所示。图24配置适用组和用户至此，本策昭配置完成。4.7.2用户管理在用户管理部分，已经把终端客户按部门分组添加到系统 中，每个用户与一个或几个IP地址绑定，台式机用户绑定一 个,笔圮本用户绑定两个,领导绑定三个。图25所示为组/用户视图，左侧为用户组列表，右侧为选中 用户组中的成员。图25中选中的是公司领导用户组，右侧显示的是改组 成员名单。单击右侧列表中的具体成员名称，可以进人该用户的具体趾 置信息视图。在此可以对该用户进行配置。配置的内容包括用 户属性（图26）和策略列表（图27）o如图26中设置用户“张先龙绑定IP地址192.1

11、6800.202,图27中设置该用户应用策略“亦公策略”，（该策略未启动）O25组/用户视图26用户属性设置 27用户策略列表48对象定义对象定义部分包含系统趾置所用到的基础信息的定义。其中 各种库资渦都由系统自定义，并可从网上自动升级。本次配置 我们定义了 IP组（图28）和时间廿则组（图29）两顶内容， 其他内容可根据需求再iiJDo28 IP组定义29时间计划组定义49实时状态监控实施状态中包括运行状态、安全状态、流量状态、上网行为 监控和在线用户管理等功能。下面做分别介绍。4.9.1运彳亍状盗图3所示的是系统实时运行状态枫览，色含资湄信息、接口 吞吐率折线图、应用流量排名、用户流量排名

12、等。此视图内容 可自定义。4.9.2安全状态本项统廿安全事件列表，如图30所示。30安全狀态监控4.9.3浦量状态本顶内容包括用户流量排名（图31 ）、应用流量排名（图32）、流量管理状态（图33）和连接监控（图34）。31用户流量排名32应用流量排名33流量狀态管理34连接监控4.9.4上网行为监控针对各个用户的上网行为的监控功能。如图35所示。35上网行为监控4.9.5在线用户管理本项功能是针对在线用户进行控制管理。如图36所示。36在线用户管理4.10 it 报表在管理页面的任何一贡,单击右上角的“内置数据中心”, 将会弹岀新的页面（图37）,这就是内置数据中心。在这里可 以査询各种历史记录和貌廿