A07-交付-AC-管理员手册v11

1、管理员手册深信服科科技股份份有限公公司修订历史史编号修订内容容简述修订日期期修订前版版本号修订后版版本号修订人1完成管理理员手册册编写20166100081.01.0lxf2优化20166081181.01.1maruui 版权权声明本文中出出现的任任何文字字叙述、文档格格式、插插图、照照片、方方法、过过程等内内容，除除另有特特别注明明，版权权均属深深信服科科技股份份有限公公司所有有，受到到有关产产权及版版权法保保护。任任何个人人、机构构未经深深信服科科技股份份有限公公司的书书面授权权许可，不得以以任何方方式复制制或引用用本文的的任何片片断。目录TOC o 1-3 h u HYPERLINK

2、l _Toc31165 目录 PAGEREF _Toc31165 3 HYPERLINK l _Toc1471 第1章 前言 PAGEREF _Toc1471 55 HYPERLINK l _Toc24603 第2章 系统管管理 PAGEREF _Toc24603 5 HYPERLINK l _Toc21333 2.1 设备登登录 PAGEREF _Toc21333 5 HYPERLINK l _Toc14956 2.2 管理员员配置 PAGEREF _Toc14956 77 HYPERLINK l _Toc11206 2.2.1 修修改管理理员密码码 PAGEREF _Toc11206 7

3、HYPERLINK l _Toc26889 2.2.2 创创建二级级管理员员 PAGEREF _Toc26889 7 HYPERLINK l _Toc11707 2.3 系统基基本信息息配置 PAGEREF _Toc11707 99 HYPERLINK l _Toc6369 2.3.1 序序列号 PAGEREF _Toc6369 99 HYPERLINK l _Toc24492 2.3.2 系系统时间间 PAGEREF _Toc24492 10 HYPERLINK l _Toc5833 2.3.3 规规则库升升级 PAGEREF _Toc5833 100 HYPERLINK l _Toc880

4、9 2.3.4 全全局排除除地址 PAGEREF _Toc8809 111 HYPERLINK l _Toc12887 2.3.5 设设备配置置备份与与恢复 PAGEREF _Toc12887 111 HYPERLINK l _Toc22798 2.3.6 WWEBUUI选项项 PAGEREF _Toc22798 12 HYPERLINK l _Toc21649 2.3.7 远远程维护护 PAGEREF _Toc21649 12 HYPERLINK l _Toc31108 第3章 网络配配置 PAGEREF _Toc31108 133 HYPERLINK l _Toc20713 3.1 部署模

5、模式 PAGEREF _Toc20713 133 HYPERLINK l _Toc4591 3.2 静态路路由 PAGEREF _Toc4591 177 HYPERLINK l _Toc27499 第4章 策略管管理 PAGEREF _Toc27499 188 HYPERLINK l _Toc29379 4.1 用户认认证与管管理 PAGEREF _Toc29379 188 HYPERLINK l _Toc9475 4.1.1 用用户组管管理 PAGEREF _Toc9475 188 HYPERLINK l _Toc27225 4.1.2 认认证策略略 PAGEREF _Toc27225 19

6、 HYPERLINK l _Toc10051 4.1.3 不不需要认认证 PAGEREF _Toc10051 200 HYPERLINK l _Toc9777 4.1.4 IIP/MMAC绑绑定 PAGEREF _Toc9777 222 HYPERLINK l _Toc13079 4.1.5 不不允许认认证 PAGEREF _Toc13079 277 HYPERLINK l _Toc12103 4.2 策略管管理 PAGEREF _Toc12103 288 HYPERLINK l _Toc21054 4.2.1 购购物娱乐乐类网站站 PAGEREF _Toc21054 28 HYPERLINK

7、 l _Toc25134 4.2.2 PP2P及及P2PP流媒体体封堵 PAGEREF _Toc25134 332 HYPERLINK l _Toc2243 4.2.3 外外发文件件封堵 PAGEREF _Toc2243 335 HYPERLINK l _Toc31310 4.2.4 上上网审计计 PAGEREF _Toc31310 38 HYPERLINK l _Toc10935 4.3 流量管管理 PAGEREF _Toc10935 400 HYPERLINK l _Toc4876 4.3.1 线线路带宽宽配置 PAGEREF _Toc4876 440 HYPERLINK l _Toc49

8、40 4.3.2 保保证通道道 PAGEREF _Toc4940 41 HYPERLINK l _Toc13572 4.3.3 限限制通道道 PAGEREF _Toc13572 45 HYPERLINK l _Toc15848 4.4 终端接接入管理理 PAGEREF _Toc15848 50 HYPERLINK l _Toc6342 4.4.1 共共享接入入管理 PAGEREF _Toc6342 550 HYPERLINK l _Toc21925 第5章 日志中中心管理理 PAGEREF _Toc21925 52 HYPERLINK l _Toc16831 5.1 设备系系统日志志 PAGE

9、REF _Toc16831 52 HYPERLINK l _Toc18769 5.2 日志中中心配置置 PAGEREF _Toc18769 53 HYPERLINK l _Toc6885 5.2.1 准准备工作作 PAGEREF _Toc6885 54 HYPERLINK l _Toc18815 5.2.2 外外置日志志中心安安装过程程 PAGEREF _Toc18815 55 HYPERLINK l _Toc32547 5.2.3 日日志中心心登录 PAGEREF _Toc32547 660 HYPERLINK l _Toc22412 5.2.4 同同步策略略设置 PAGEREF _Toc2

10、2412 660 HYPERLINK l _Toc26946 5.2.5 AAC同步步配置 PAGEREF _Toc26946 662 HYPERLINK l _Toc3709 5.3 日志中中心登录录 PAGEREF _Toc3709 62 HYPERLINK l _Toc20005 5.3.1 内内置日志志中心登登录 PAGEREF _Toc20005 622 HYPERLINK l _Toc1490 5.3.2 外外置日志志中心登登录 PAGEREF _Toc1490 633 HYPERLINK l _Toc11471 5.4 日志查查询 PAGEREF _Toc11471 644 HY

11、PERLINK l _Toc30714 5.4.1 所所有行为为日志 PAGEREF _Toc30714 664 HYPERLINK l _Toc6021 5.4.2 网网站访问问日志 PAGEREF _Toc6021 667 HYPERLINK l _Toc12657 5.4.3 邮邮件收发发日志 PAGEREF _Toc12657 669 HYPERLINK l _Toc18162 5.4.4 发发帖/发发微博日日志 PAGEREF _Toc18162 700 HYPERLINK l _Toc13779 5.4.5 其其他日志志 PAGEREF _Toc13779 73 HYPERLINK

12、 l _Toc3960 5.4.6 日日志导出出 PAGEREF _Toc3960 73 HYPERLINK l _Toc12894 5.5 流量时时长分析析 PAGEREF _Toc12894 74 HYPERLINK l _Toc4636 5.6 报表中中心 PAGEREF _Toc4636 755 HYPERLINK l _Toc20928 5.7 系统管管理 PAGEREF _Toc20928 766 HYPERLINK l _Toc3496 第6章 VPNN配置 PAGEREF _Toc3496 777 HYPERLINK l _Toc25383 6.1 Sanngfoor VVPN

13、配配置 PAGEREF _Toc25383 777 HYPERLINK l _Toc6644 6.2IIPseec VVPN配配置 PAGEREF _Toc6644 822 HYPERLINK l _Toc5860 第7章 技术支支持 PAGEREF _Toc5860 888第1章 前言本手册用用于讲解解AC常常见功能能操作方方法，为为管理员员提供日日常策略略维护指指导。第2章 系统管管理2.1 设备登登录首先确保保本机从从网络可可以访问问到设备备管理IIP地址址，然后后在浏览览器中输输入网关关的IPP及端口口htttps:/1192.x.xx.2554。出出现一个个如下图图的安全全提示：点击

14、后出现现以下的的登录界界面：在登陆框框输入【用户名名】和【密码】，点击击按钮钮即可登登录ACC设备进进行配置置，默认认情况下下的用户户名和密密码均为为admmin。如果用户户密码过过于简单单,则会会被检测测为弱密密码,在在控制台台的处理理为:登登录后检检测为弱弱密码则则提示修修改密码码，则会会弹出如如下提示示：如果提示示超过115天都都没有修修改则强强制修改改密码.则会弹弹出如下下提示： 弱密码码修改:2.2 管理员员配置在【系统统管理】-【系系统配置置】-【管理员员账户】页面，可修改改admmin管管理员密密码、删删除管理理员账号号以及创创建二级级管理员员。2.2.1 修修改管理理员密码码管

15、理员账账户页面面找到aadmiin管理理员，直直接点击击，输输入旧密密码，并并设置新新密码即即可修改改admmin账账号的密密码信息息。注：addminn账号只只可修改改密码，不可删删除。2.2.2 创创建二级级管理员员在管理员员账户页页面，点点击可可以创建建二级管管理员。设备确实实管理员员角色有有两种：admiinisstraatorr：内置置的角色色，该角角色的管管理员自自动拥有有管理整整个组织织结构的的管辖范范围，并并且还能能够添加加删除管管理员帐帐户。commmon：系统缺缺省创建建的角色色，可通通过角色色管理添添加或者者删除角角色，该该角色可可设置管管理员可可以管理理的组织织结构范范

16、围。如果选择择管理员员角色为为commmonn，在处，可可以设置置该管理理员可以以管理的的组织结结构范围围。在处处，可设设置该管管理员可可以查看看或编辑辑的控制制台页面面。2.3 系统基基本信息息配置2.3.1 序序列号在【系统统管理】-【系系统配置置】-【序列号号】页面面，可以以查看设设备当前前的授权权信息。序列号一一般在出出厂时已已设置好好，正常常使用过过程中无无需修改改，只有有当设备备相关服服务到期期时，才才需要修修改相关关序列号号。2.3.2 系系统时间间【系统管管理】-【系统统配置】-【系系统时间间】用于于设定SSANGGFORR 设备备的系统统时间。可以直直接在界界面上修修改时间间

17、，也可可以选择择与时时间服务务器进进行时间间的同步步。注：设备备日志记记录的时时间与系系统时间间相关，请注意意确保设设备系统统时间的的准确性性，手动动获取本本地时间间和系统统时间会会重启设设备，请请勿工作作时间操操作。2.3.3 规规则库升升级【系统管管理】-【系统统配置】-【系系统更新新】-【规则库库升级】可以查查看当前前设备规规则库的的最新状状态，请请确保设设备管理理IP能能够访问问互联网网，以便便设备自自动更新新规则库库。2.3.4 全全局排除除地址【系统管管理】-【系统统配置】-【全全局排除除地址】可设置置指定用用户IPP或访问问的目标标服务器器的IPP不受任任何监控控和控制制，直接接

18、放行。排除地地址支持持填写IIPV44地址、IPVV6地址址、域名名。点击页面面的，在文本本框内输输入需要要排除的的IP或或域名即即可。2.3.5 设设备配置置备份与与恢复【配置备备份与恢恢复】用用于将设设备已有有的配置置下载保保存，或或者是将将已备份份的配置置文件恢恢复到设设备中。2.3.6 WWEBUUI选项项【系统管管理】-【系统统配置】-【高高级配置置】-【WEBBUI选选项】页页面可以以设置当当前的页页面参数数，如默默认编码码、控制制登录端端口、超超时时间间等。2.3.7 远远程维护护【系统管管理】-【系统统配置】-【高高级配置置】-【远程维维护】页页面用于于设置是是否允许许从外网网

19、口远程程登录设设备，以以及自动动上报未未识别UURL、系统错错误、未未知应用用信息和和技术支支持协助助。用于于设置是是否允许许从外网网口远程程登录设设备，勾勾选此项项的同时时，设备备的WAAN口自自动开启启允许ppingg，平时时一般建建议关闭闭该选项项。第3章 网络配配置3.1 部署模模式AC设备备支持路路由模式式、网桥桥模式、旁路模模式和认认证模式式四种部部署模式式。路由模式式:一般般用于没没有防火火墙的中中小客户户。设备备做为一一个路由由设备使使用，对对网络改改动最大大，但可可以实现现设备的的所有的的功能；网桥模式式：可以以把设备备视为一一条带过过滤功能能的网线线使用，可不更更改原有有网

20、络拓拓扑结构构的情况况下平滑滑架到网网络中。目前在在客户中中使用最最多的部部署模式式；旁路模式式：仅做做旁路审审计，需需要交换换机做镜镜像至AAC。认证模式式：用户户统一认认证上网网，认证证中心只只支持单单臂模式式部署在在网络中中，每分分支部署署一台AAC用于于上网管管理，认认证中心心在总部部，各分分支ACC和总部部认证中中心对接接，实现现统一认认证；另另一场景景一般有有第三方方无线控控制器，认证中中心和无无线控制制器对接接，实现现统一认认证，出出口部署署AC实实现上网网管控。（认证证中心不不能单独独部署，需要结结合ACC或第三三方无线线控制器器）本例以网网桥模式式部署为为案例，配置需需求及步

21、步骤如下下：需求：目目前网络络已部署署防火墙墙设备IIP地址址为1992.1168.1.11/244，内网网三层环环境，核核心交换换机地址址1922.1668.11.2/24，AC网网桥部署署在防火火墙和核核心交换换机之间间，分配配给ACC设备的的地址为为1922.1668.11.3，配置步步骤如下下：1.通过过【系统统管理】-【网网络配置置】-【部署模模式】进进入配置置界面，点击，选择。2. 点点击，选择择网桥的的网口。 本案案例采用用ETHH0和EETH22作为一一对网桥桥口，EETH00作为LLAN区区网口，ETHH2作为为WANN区网口口。 3.点击，设设置ACC设备的的网桥IIP：

22、4.点点击，设置置DMZZ管理口口的IPP地址，可保持持默认配配置：5.点击击，设置设设备上网网的网关关和DNNS：6.点击击，确认和和提交配配置：注：点击击后，设备会会自动重重启，重重启时间间一般为为1-55分钟，请勿在在工作时时间修改改设备部部署模式式配置。3.2 静态路路由如上需求求，由于于内网三三层环境境，需要要增加内内网网段段的回包包路由指指向核心心交换机机，如内内网有1192.1688.100.0/24、1922.1668.220.00/244等。1.通过过【系统统管理】-【网网络配置置】-【静态路路由】进进入配置置界面。2.点击击，设设置需要要添加的的路由目目的地址址、子网网掩码

23、，下一跳跳指向核核心交换换机。3.点击击完成成配置，如果有有多个网网段，可可添加多多条路由由。第4章 策略管管理4.1 用户认认证与管管理4.1.1 用用户组管管理为了便于于区分员员工角色色进行策策略管理理，我们们可以将将上网用用户进行行分组管管理，【用户认认证与管管理】-【用户户管理】-【组组/用户户】页面面是ACC用户组组织结构构管理的的地方。在该页面面下选择择指定组组，可在在该组下下创建用用户以及及用户组组，在右右边点击击，选选择新增增类型定义组名名，如“市场部部”，点击击提交即即可，该该组适用用的上网网策略，可在后后面策略略管理时时指定。4.1.2 认认证策略略【认证策策略】决决定了某

24、某个IPP/网段段/MAAC地址址上计算算机的认认证方式式。通过过【认证证策略】设置内内网用户户的认证证方式，以及新新用户添添加的策策略。认证策略略是从上上往下逐逐条匹配配的，可可以通过过页面上上的移动动按钮来来调整认认证策略略优先级级。通过过认证策策略可以以为不同同的网段段配置不不同的认认证方式式。认证策略略可以指指定的认认证方式式有不需需要认证证、密码码认证、单点登登录、不不允许认认证4种种，根据据不同的的认证策策略可实实现不同同的用户户认证需需求。4.1.3 不不需要认认证在认证策策略页面面点击设置该策策略适用用的范围围后点击击，适用范范围可以以是IPP、MAAC、IIP段以以及子网网。

25、选择认证证方式为为，继继续点击击选择用户户以组织织结构中中那个组组的身份份上线后后点击即可。4.1.4 IIP/MMAC绑绑定二层环境境1与不不需要认认证用户户设置方方法相同同，但方式需需勾选-选项2用户户上网后后，在【用户认认证与管管理】-【用户户管理】-【IIP/MMAC绑绑定】页页面可以以看到系系统自动动绑定了了终端第第一次上上网的IIP和MMAC信信息，在在该页面面可对相相关信息息进行添添加、删删除和修修改操作作。三层环境境三层环境境下，由由于内网网用户经经过三层层交换机机后，MMAC地地址会被被三层交交换机替替换掉，因此还还需要在在核心交交换机上上开启SSNMPP服务，以支持持AC跨

26、跨三层环环境下的的IP/MACC绑定。1.在核核心交换换机上开开启SNNMP服服务。华为交换换机的配配置命令令：systtem_vieewsnmpp-aggentt coommuunitty rreadd puubliic； 其其中puubliic为三三层交换换机的CCommmuniitysnmpp-aggentt syys-iinfoo veersiion alll； 其其中alll表示示所有版版本思科交换换机的配配置命令令：conffig terrminnal 进入全全局配置置状态Cdp runn 启用CCDPsnmpp-seerveer ccommmuniity pubblicc roo

27、 其其中puubliic为三三层交换换机的CCommmuniitysnmpp-seerveer eenabble traaps 允许设设备将所所有类型型SNMMP TTrapp发送出出去注：三层层交换机机需启用用SNMMP协议议，ACC作为SSNMPP客户端端通过SSNMPP读取交交换机，只支持持SNMMPv11,v22,v22c,不不支持vv3。2.在【用户认认证与管管理】-【认证证高级选选项】-【跨三三层取MMAC】页面，开启跨跨三层MMAC识识别功能能。可以新增增多个SSNMPP服务器器，如果果内网存存在多个个三层交交换机，则每个个三层交交换机的的SNMMP选项项均需要要开启，如下图图点

28、击上图图“查看服服务器信信息”测试能能否从交交换机获获取PCC的IPP和MAAC，有有返回结结果则能能正常获获取，如如下图完成新增增SNMMP服务务器后，可以查查看配置置的所有有交换机机当前ssnmpp获取的的结果，如下图图接下来，需要配配置排除除核心交交换机的的MACC地址，如下图图。实际使用用时，可可开启设设备自动动识别三三层交换换机的MMAC，并自动动添加到到MACC地址排排除列表表，如下下图启用“自自动添加加排除”，定义义10分分钟内同同一个IIP对应应的MAAC地址址记录数数，推荐荐配置55。当同同一个MMAC达达到设置置条件时时，ACC认为是是三层交交换机的的MACC地址，自动将将

29、其排除除。3.与二二次环境境一样，设置认认证策略略，选选择自动动录入IIP和MMAC的的绑定关关系。4.1.5 不不允许认认证认证方式式设置为为的网网段，将将无法通通过设备备访问任任何网络络。在认证策策略页面面点击设置该策策略适用用的范围围后点击击直接点击击即可可。4.2 策略管管理【策略管管理】模模块设置置的策略略主要包包含封堵堵、审计计等策略略，以下下分别以以案例的的形式介介绍一些些常见的的策略设设置方式式。4.2.1 购购物娱乐乐类网站站需求：禁禁止全公公司上班班时间访访问购物物、娱乐乐类网站站。1.【策策略管理理】-【上网策策略】，右边进进入【上上网策略略】编辑辑页面。然后点点击新增增

30、按钮，选择上上网权限限策略，进入编辑辑界面。填写策策略名称称，描述述信息。2.勾选选-，右右边进入入窗口。点击添添加按钮钮。3.点击击应用下下方的，进入【选择应应用】窗窗口。4.展开开应用“访问网网站”，选择择 “网上购购物”和“娱乐”5.点击击确定按按钮。回回到应用用控制页页面。生生效时间间选择上上班时间间，动作作选择为为拒绝。点击确确定按钮钮，完成成网上购购物和娱娱乐类网网站拒绝绝设置。6.选择择选项，进行策策略与用用户/组组关联，勾选“所有用用户”，即可可关联全全网用户户。7.点击击提交按按钮，完完成整个个策略设设置。4.2.2 PP2P及及P2PP流媒体体封堵需求：禁禁止市场场部门用用

31、户及其其所有子子组在上上班时间间使用PP2P和和P2PP流媒体体。1.【策策略管理理】-【上网策策略】，右边进进入【上上网策略略】编辑辑页面。然后点点击新增增按钮，选择上上网权限限策略，进入编辑辑界面。填写策策略名称称，描述述信息。2.勾选选-，右右边进入入窗口。点击添添加按钮钮。3.点击击应用下下方的，进入【选择应应用】窗窗口。4.选择择应用“P2PP”和“P2PP流媒体体”5.点击击确定按按钮。回回到应用用控制页页面。生生效时间间选择上上班时间间，动作作选择为为拒绝。点击确确定按钮钮，完成成P2PP和P22P流媒媒体应用用拒绝设设置。6.选择择选项，进行策策略与用用户/组组关联。7.点击击

32、提交按按钮，完完成整个个策略设设置。4.2.3 外外发文件件封堵需求：为为了避免免公司重重要资料料通过网网络外泄泄，禁止止研发和和财务部部门一切切外发行行为。1.【策策略管理理】-【上网策策略】，右边进进入【上上网策略略】编辑辑页面。然后点点击新增增按钮，选择上上网权限限策略，进入编辑辑界面。填写策策略名称称，描述述信息。2.勾选选-，右右边进入入窗口。点击添添加按钮钮。3.点击击应用下下方的，进入【选择应应用】窗窗口。4.选择择左侧应应用标签签“外发文文件泄密密风险”。5.点击击确定按按钮。回回到应用用控制页页面。生生效时间间选择全全天，动动作选择择为拒绝绝。点击击确定按按钮，完完成外发发文

33、件封封堵设置置。6.选择择选项，选择“研发部部”和“财务部部”。7.点击击提交按按钮，完完成整个个策略设设置。4.2.4 上上网审计计需求：对对内网所所有用户户开启审审计，审审计所有有网络行行为。1.【策策略管理理】-【上网策策略】，右边进进入【上上网策略略】编辑辑页面。然后点点击按按钮，选选择上网网审计策策略，进进入【上上网审计计策略】界面。填写策策略名称称，描述述信息。2.勾选选-，右右边进入入编辑窗窗口。点点击，进入添添加审计计对象页页面。3.点击击审计对对象下方方的按钮钮，进入入编编辑窗口口。选择择需要开开启的审审计记录录，设置置审计访访问网站站的URRL。选选择为上上班时间间。注：不

34、建建议开启启未识别别的网络络应用日日志，该该日志类类似防火火墙日志志，对上上网行为为管理审审计来说说意义不不大。4.选择择适用的的对象，这个需需求选择择即可：5.点击击按钮钮，完成成整个策策略。4.3 流量管管理【流量管管理】支支持保证证和限制制通道两两种形式式，分别别用于针针对重要要应用的的流量保保障和大大流量应应用的带带宽限制制， 4.3.1 线线路带宽宽配置设置流量量管理配配置前，需要先先根据出出口互联联网带宽宽设置带带宽参数数。点击对应应的线路路名称即即可编辑辑带宽参参数，如如下图设设置线路路1上行行4Mbbps，下行1100MMbpss4.3.2 保保证通道道需求：针针对HTTTP访

35、访问网站站、DNNS、视视频会议议保证上上行2MMbpss，下行行20MMbpss，以确确保网络络繁忙时时这些应应用能优优先处理理。1. 【流量管管理】-【通道道配置】，右边边进入【通道配配置】编编辑页面面。然后后点击按按钮，选选择一级级通道，进入【新增一一级通道道】界面面。填写写策略名名称。2.选则则，设置置上行带带宽保证证2Mbbps，下行带带宽保证证20MMbpss，优先先级高。3.点击击。适用应用用选择，点点击进入入按钮，进入编编辑窗口口。4.选择择应用访访问网站站、DNNS、网网络会议议，点击击。5.点击击按钮钮，完成成整个策策略。4.3.3 限限制通道道需求：针针对普通通员工，限制

36、整整个组的的P2PP和P22P流媒媒体上行行不超过过1Mbbps，下行不不超过110Mbbps，单用户户最大上上行5000Kbbps，下行11Mbpps，以以避免普普通员工工P2PP下载占占满带宽宽，应用用其他正正常办公公业务。1. 【流量管管理】-【通道道配置】，右边边进入【通道配配置】编编辑页面面。然后后点击按按钮，选选择一级级通道，进入【新增一一级通道道】界面面。填写写策略名名称。2.选择择，设置置上行带带宽最大大1Mbbps，下行带带宽最大大10MMbpss。3.勾选选，设置上上行5000kbbps，下行11Mbpps。4.点击击。5.适用用应用选选择，点击击进入按按钮，进进入编辑辑窗

37、口。6.选择择应用PP2P、P2PP流媒体体，点击击。7.适用用对象选选择，点击击进入按按钮，进进入编辑辑窗口。8.选择择-组，点击。9.点击击按钮钮，完成成整个策策略。4.4 终端接接入管理理4.4.1 共共享接入入管理需求：用用户内网网存在大大量电脑脑，移动动终端共共享热点点，需要要封堵电电脑和移移动用户户的通过过代理方方式上网网的行为为。配置置步骤如如下：1.【终终端接入入管理】-【共共享接入入管理】，右边边进入【共享接接入管理理】的配配置页面面。勾选选启用共共享接入入检测，如下图图所示：2.在【共享接接入管理理】页面面，点击击，如下图图所示：选选择“统计所所有终端端”，可识识别PCC与

38、PCC、PCC与移动动终端，移动终终端与移移动终端端之间的的共享。选选择，一个个IP地地址只允允许一个个用户上上线。3.【终终端接入入管理】-【共共享接入入管理】，右边边进入【信任列列表】的的配置页页面，对对不需要要开启代代理检测测的用户户、用户户组或IIP地址址，添加加到信任任列表。如下图图所示：注：共享享终端管管理存在在一定误误判几率率，建议议可先开开启检测测不冻结结运行一一段时间间后，确确认误判判率比较较低后，再开启启冻结。第5章 日志中中心管理理企业对上上网日志志审计的的需求主主要是因因为政府府监管部部门明文文要求及及出现事事故后能能够事后后追踪，中华华人民共共和国网网络安全全法为为保

39、障网网络安全全，维护护网络空空间主权权和国家家安全、社会公公共利益益，保护护公民、法人和和其他组组织的合合法权益益，促进进经济社社会信息息化健康康发展制制定。由由全国人人民代表表大会常常务委员员会于220166年111月7日日发布，自20017年年6月11日起施施行。中华人人民共和和国网络络安全法法要求求：第三章网网络运行行安全 第一节 一般规规定第二十一一条 国国家实行行网络安安全等级级保护制制度。网网络运营营者应当当按照网网络安全全等级保保护制度度的要求求，履行行下列安安全保护护义务，保障网网络免受受干扰、破坏或或者未经经授权的的访问，防止网网络数据据泄露或或者被窃窃取、篡篡改：采取监测测

40、、记录录网络运运行状态态、网络络安全事事件的技技术措施施，并按按照规定定留存相相关的网网络日志志不少于于六个月月；5.1 设备系系统日志志设备本身身记录330天系系统日志志，为了了满足网网络安全全法六个个月以上上日志保保存的要要求，建建议配置置AC设设备的【系统管管理】【高高级配置置】【外部部sysslogg设置】功能，将系统统日志保保存到外外部syysloog日志志服务器器上。5.2 日志中中心配置置AC设备备出厂时时一般自自带了5500GG的硬盘盘，可直直接使用用内置日日志中心心。如果果您需要要保存的的日志时时间较长长，由于于设备内内置存储储的硬盘盘容量有有限，并并且设备备日志查查询和报报

41、表统计计会消耗耗一定设设备的性性能，建建议安装装外置日日志中心心，设备备会将相相关日志志同步到到外置数数据中心心。计算公式式：1.上网网审计按按照推荐荐开启功功能：按照步骤骤一配置置后，理理论评估估一个用用户一天天产生日志2M*日日均累计计用户数数*1880（天天）=大大致6个个月日志志量，从从而进行行估算磁磁盘空间间是否充充足如果不是是确认是是否为5500GG硬盘，请联系系深信服服科技确确认磁盘盘大小如果计算算的日志志量超过过5000G，请请一定要要选择外外置数据据中心5.2.1 准准备工作作1、20008及及之后的的服务器器操作系系统，并并且系统统要求是是64位位操作系系统。（请根据据内置

42、日日志中心心每天日日志量合合理评估估服务器器的存储储空间，NTFFS格式式）注：每天天日志量量超过220G，服务器器配置选选型请咨咨询深信信服技术术支持工工程师。2、数据据中心安安装包，请登录录深信服服官网下下载相应应的数据据中心版版本： HYPERLINK /plugin.php?id=service:download&action=view&fid=100000002253587#/100000007141875/all httpp:/m/pllugiin.pphp?id=serrvicce:ddownnloaad&aactiion=vieew&ffid=10000000002225335

43、877#/11000000000711418875/alll注：中文文安装包包支持在在简体中中文和繁繁体中文文操作系系统上运运行，英英文安装装包仅支支持在英英文操作作系统上上运行。3、日志志中心服服务器和和AC之之间需开开放 TTCP 8100，以供供数据同同步。4、日志志中心服服务器需需开放4443端端口（可可修改），以供供外置日日志中心心登录。5.2.2 外外置日志志中心安安装过程程从深信服服网站上上下载DDataaCennterrSettup_11.0.eexe安安装程序序，双击击DattaCeenteerSeetupp_111.0.exee程序，即出现现程序安安装向导导，界面面如下图图

44、所示：点击，选择择是否同同意许可可协议，勾选，即可可点击，继继续安装装，界面面如下图图所示：点击，弹出出如下界界面：这一步用用于设置置程序安安装目录录、日志志存放目目录以及及附件的的存放目目录：点击，弹出出如下界界面：这一步用用于设置置Webb服务的的监听端端口，推推荐使用用默认的的4433端口（登陆方方式：hhttpps:/ipp），如如果4443端口口已被其其他程序序占用，则可以以修改成成服务器器上其他他的空闲闲端口，界面如如下图所所示：设置好WWeb服服务端口口，点击击，弹出如如下界面面：设置置磁盘预预警。请请提供足足够的磁磁盘空间间用于存存放期望望的日志志量（依依据网络络安全法法要求，

45、推荐配配置1880天以以上）。点击：设置置是否开开启磁盘盘异常告告警和数数据中心心异常告告警点击，设置置预警邮邮件的发发送和接接收邮件件地址：点击，安装装程序会会弹出详详细的配配置信息息，界面面如下图图所示：如果确认认这些信信息无误误，则点点击安装装，此时时程序将将自动安安装，整整个安装装过程可可能会占占用您22-3分分钟，请请耐心等等待。安安装完成成后，会会出现如如下界面面：点击完成成，即完完成了数数据中心心的整个个安装过过程。5.2.3 日日志中心心登录日志中心心安装过过程中如如果采用用默认端端口4443，则则日志中中心的访访问地址址访问地地址是： HYPERLINK https:/服务器

46、IP地址 httpps:/服务务器IPP地址，如果服服务器IIP为1192.1688.1.2400，则访访问地址址为 HYPERLINK 40 htttpss:/1922.1668.11.2440登陆界面面如下：在登录录框中输输入和，点击登登录按钮钮即可登登录数据据中心的的查询页页面，默默认情况况下的用用户名和和密码均均为addminn。5.2.4 同同步策略略设置在日志中中心【系系统管理理】-【系统配配置】-【同步步策略】创建同同步策略略，用于于设置数数据中心心与网关关同步日日志的策策略。如如下图所所示：点击，新建同同步策略略：同步步策略名名可以自自定义设设置，但但是需与与AC网网关的数数据

47、中心心同步配配置的同同步账号号一致。：接入密密钥也需需与ACC网关的的数据中中心同步步配置的的同步密密钥保持持一致。： 设设置同步步策略的的描述信信息。： 设置置从哪天天的日志志开始同同步。：勾勾选需要要同步到到外置数数据中心心的日志志类型。点击提交交，生效效和保存存配置。5.2.5 AAC同步步配置在AC管管理界面面【系统统管理】-【系系统配置置】-【日志中中心配置置】新增增同步配配置，根根据外置置日志中中心设置置的IPP地址、同步策策略名和和密钥设设置同步步。写入外置置日志中中心IPP地址后后，设备备会自动动发现日日志中心心创建的的同步策策略，选选择之前前定义的的同步策策略即可可。5.3

48、日志中中心登录录5.3.1 内内置日志志中心登登录内置日志志中心的的登录接接口在设设备控制制台页面面右上角角，点击击即可进进入内置置日志中中心。5.3.2 外外置日志志中心登登录日志中心心安装过过程中如如果采用用SSLL加密方方式登录录，默认认端口4443，日志中中心的访访问地址址为： HYPERLINK https:/服务器IP地址 hhttpps:/服务务器IPP地址，如果服服务器IIP为11，则则访问地地址为hhttpps:/11在登录框框中输入入用户名名和密码码，点击击登录按按钮即可可登录数数据中心心的查询询页面，默认情情况下的的用户名名和密码码均为aadmiin。内置日志志中心和和外

49、置日日志中心心登录后后的界面面基本相相同。5.4 日志查查询5.4.1 所所有行为为日志用于查询询用户或或用户组组的所有有行为日日志，步步骤如下下：1.设置置查询条条件2.选择择需要查查询的日日期范围围，需要要查询的的用户/组、应应用，如如果需要要针对IIP地址址查询，可点击击3.在源源IP地地址处，输入需需要查询询的IPP地址，点击，即可可查询出出这个IIP地址址的所有有上网日日志。4.点击击每条记记录最后后面的，可查查看这条条日志的的详细信信息。5.4.2 网网站访问问日志用于查询询用户或或用户组组的网站站访问日日志，步步骤如下下：1.设置置查询条条件2.选择择需要查查询的日日期范围围，需

50、要要查询的的用户/组、网网站分类类，如果果需要针针对IPP地址查查询，可可点击3.在源源IP地地址处，输入需需要查询询的IPP地址，点击，即可可查询出出这个IIP地址址的所有有网站访访问日志志。访问网站站日志可可以根据据URLL中的关关键字进进行搜索索。5.4.3 邮邮件收发发日志用于查询询用户或或用户组组的邮件件日志，步骤如如下：1.设置置查询条条件2.选择择需要查查询的日日期范围围，需要要查询的的用户/组、邮邮件类别别，如果果需要针针对IPP地址查查询，可可点击3.在源源IP地地址处，输入需需要查询询的IPP地址，点击，即可可查询出出这个IIP地址址的所有有邮件收收发日志志。5.4.4 发

51、发帖/发发微博日日志用于查询询用户或或用户组组的发帖帖和发微微博日志志，步骤骤如下：1.设置置查询条条件2.选择择需要查查询的日日期范围围，需要要查询的的用户/组，外外发方式式是发帖帖还是发发微博，如果需需要针对对IP地地址查询询，可点点击3.在源源IP地地址处，输入需需要查询询的IPP地址，点击，即可可查询出出这个IIP地址址的所有有发帖和和发微博博日志。如果希望望根据发发帖内容容反查用用户，可可使用关关键字搜搜索发帖帖纪录。在发帖或或微博内内容选取取一段做做为关键键字查询询条件，点击即可。5.4.5 其其他日志志AC设备备还提供供了外发发文件、即时通通讯、搜搜索关键键字、终终端接入入日志、

52、安全日日志等日日志可查查询，查查询方式式基本类类似不再再赘述。5.4.6 日日志导出出AC设备备所有查查询日志志都可以以导出为为exccel格格式的表表格以供供二次分分析，导导出接口口在界面面右上角角按钮。点击后，点击下下载即可可。5.5 流量时时长分析析流量时长长分析用用于流量量分析和和时长分分析，流流量分析析可统计计应用流流量排行行、网站站分类流流量排行行、域名名流量排排行、应应用流速速趋势、流控通通道趋势势、网站站分类流流速趋势势；时长长分析可可统计应应用时长长排行、网站分分类时长长排行和和域名时时长排行行，所有有统计出出来的信信息均可可以pddf格式式导出，以供汇汇报使用用。如应用流流

53、量排行行，可根根据用户户、用户户组、终终端类型型、位置置、应用用进行流流量统计计。在右边的的统计选选项设置置需要统统计的TTOPNN以及统统计的依依据和时时间范围围，即可可生成相相关的统统计报表表。5.6 报表中中心报表中心心包括【报表收收藏】和和【报表表订阅】两部分分。分别别用于管管理和个个性化定定义报表表寄报表表内容。报表收藏藏用于管管理通过过流量时时长分析析（流量量分析、时长分分析)、用户行行为分析析（用户户行为分分析、网网站分类类分析、单用户户分析）、终端端接入分分析（终终端接入入分析、终端接接入安全全）三个个模块收收藏的报报表。Webuui：报报表中心心 收藏 报报表收藏藏报表收藏藏

54、分为名名称、页页面、编编辑、删删除四列列，界面面如下：报表订阅阅用于管管理内置置分析报报表和自自定义报报表模板板，设置置此报表表生成后后自动发发送的邮邮箱地址址，帮助助管理员员管理报报表。5.7 系统管管理【系统管管理】用用于查看看数据中中心的系系统状态态、管理理同步账账号、登登录数据据中心的的用户、系统参参数设置置、导入入导出日日志等。可通过【磁盘空空间】查查看当前前日志中中心磁盘盘剩余空空间以及及已存储储的日志志量。第6章 VPNN配置6.1 Sanngfoor VVPN配配置需求：总总部和分分支分别别一台AAC做出出口，路路由部署署，需要要实现vvpn互互联，分分支能够够正常访访问总部部

55、业务。配置步步骤如下下：第一步：开通授授权第二步：总部配配置 先查看网网络配置置在【系统统管理】【网络络配置】-【网口配配置】，确定wwan口口地址。总部配置置基本设设置。在【vppn配置置】【基基本设置置】，填填写出口口的weebaggentt地址。 配置用用户管理理。在【vppn配置置】【用户户管理】-【新增用用户】给给分支新新建帐号号和密码码，类型型选择【分支】。点击“确确定”，分支支用户添添加成功功。 配置vvpn内内网接口口，发布布lann口的网网段在【vppn配置置】【高高级设置置】【vppn接口口设置】，将llan11口默认认的4个个0的掩掩码改成成和laan口真真实的掩掩码一致

56、致。第三步：分支配配置1 ）配配置连接接管理在导航菜菜单【vvpn配配置】【连接管管理】，添加总总部给的的账号密密码。点击“完完成”，会提提示重启启vpnn服务，再查看看dlaan运行行状态的的连接数数即可。配置vppn内网网接口发发布laan口路路由。在【vppn配置置】【高高级设置置】【vppn接口口设置】，将llan11口默认认的4个个0的掩掩码改成成和laan口真真实的掩掩码一致致。测试效果果：Vpnn建立连连接成功功，两端端内网ppc可以以正常互互访。注意事项项：1、第一一次打开开【用户户管理】模块的的时候浏浏览器会会提示会会需要安安装插件件，安装装好插件件才会有有【新增增用户】的选项项。 22、如果果事两台台硬件设设备做对对接，新新增用户户的时候候【类型型】选择择【分支支】，如如果是移移动用户户，则选选择【移移动】。 33、如果果内网有有不同于于设备llan口口的网段段需要通通过vppn访问问，则还还需要配配置本地地子网掩掩码，路路径在【vpnn配置】【本地地子网掩掩码】以以发布vvpn路路由。 44、当总总部waan口有有多个公公网地址址的时候候，weebaggentt的填写写格式是是：IPP1#IIP2:40009;如如果waan口是是拨号的的，则可可以联系系4000申请wwebaagennt.6.2IIPseec VVPN配配置需求：总总部或者者分支有有一台