toppolicy安全策略管理平台用户手册

WEB管理介 WEB管 界面布 图 设备管 从EXCEL表导入设 专线接入设 设 其他工 开启服 开 服 时钟设 SNMP设 基 设备基本信息查 设备升级历史查 网络设置查 接 连接日志查 健康记 更新设 设 生 请 导 拓扑图 拓扑 拓扑图显示设 拓扑图节点查 设备定 显示设 设备查 管理关键字对 管理URL对 管理登录标题对 应用程序识 自定义应用 账号过滤 配置规则检测对象 配置自定义规则 内容过滤策略 内容过滤策略 配置URL过滤规 白配置 白配置 带宽控制 带宽控制 接口 / /资源 DHCP地址 资源 ACL管 用户管 角色管 用户 用户组 设置IP地址对 设置子网对 设置IP地址范围对 设址组对 设置单次时间对 设置多次时间对 配置阻断策 配置控制策 配置应用端口绑定策 配置系统参 配置设备阀值 配置反邮 配置流量异常检测 配置防御策 配置VONE策略 配置VONE策略 配 Plus策 配置 网关策 配置 模块策略 查看IPS流 查 信 配 策略模 配置动态隧 配置静态隧 获取设备静态隧 移动用户组管 移动用户管 配置用户角 配置角色权 按角色导出/导入 用户名IP 获取VRC任务管 管理根和 附录 和配置Top。本文档主要介绍如何配置Top安全策略管理平台。通过阅读本文档，用户能够正确地配置Top安全策略管理平台，并综合运用该系统提供的多种安全管理方法，包括设备管理、策略管理、VRC管理等有效地管理网络中的，实现高效可靠的点击（选择）>>用户 Top安全策略管理平台，主要用于中兴公司的集中管理。通过友好的理、及网络设备的投入成本。目前，Top系统可以对其进行集中的网络设备包括：、、IDSIPSUTM、防病毒网关等。TOS平台的中兴设备，还支持策略、IPS策略、防策略和通信策略的定义、分发及下发，避可以监视全网设备的状态，而且支持采用标准SNMP协议监视设备性能和接口的详细信息。支持一定时间段内新建连接。对于设备，还可以集中隧道状态以及客户端的状态。对于IPS设备，还可以同时多台中兴IPS设备的流量，NetFlow流量数据的传输，则可以在面板中查看设备的NetFlow流量信息通过编写Xml格式规则的方式自定义系统规则、TA规则、设备规则、IDS规则、IPS规则和阀值规则，系统能在有安全匹配规则时，根据规则中配置的方式进行。CA支持本地CA，可以为网络设备、VRC和管理员生成、更新、；支持第 客户端，支持通过OCSP协议验证设备和 客户端。及TP服务器上的IPS规则库、应用识别库文件进行有计划地升级。基于配置检测规则、配置管理、体检评分和体检结果分析，Top能够全面对设安全网关设备，包括、、防御、防网关和UTM，支持中兴的软件版本包括TOS3.3.005、TOS3.3.006、TOS3.3.010和TOS3.3.017。用户在登录系统前应首先安装Top服务器，之后启动相应的程序，才能通过管WEB用户可以通过https协议以WEB的方式对系统进行管理。在时，用户需要在管理主机的浏览器上输入Top服务器的IP地址或，例如：输入WEB管理界面由快捷菜单、一级页、二级页、状态栏及管理页面组成。管等，二级栏用于配置子菜单。

”按钮可将窗口最大化；点击 Top为管理员提供可定制的、自由、个性的功能模块管理界面，管理员可以在12个既定功能模块的基础上根据自己的权限、管理习惯等通过添加TAB页和二级来定制简洁、易用、友好的下级管理界面。成Tab页的添加，点击【取消】按钮撤销本次操作。选择“包含二级页”后，新添加的Tab页下才能添加二级页，否则只能直接选择一个具体的Tab页，点击右键菜单项修改，可以修改该Tab页的名称，点击右键菜单项删除，可以删除该Tab页。的空白处点击右键菜单添加二级页，如下图所示。选择一个具体的二级页，点击右键菜单项修改，可以修改该二级页的名称，点击右键菜单项删除，可以删除该二级页。别规则库”以及“VRC升级包”五个功能添加到导航栏的“升级管理”模块下；其余Top针对设备的管理提出了域的概念，使得设备的管理集中而有序。在这种管理模型下，所有和 设备首先需要通过浏览器登录Top管理端添加到SNMP协议扫描设备的信息设备PN码管理：主要介绍如何管理设备的PN于不使用模块的产品，添加设备时应选择TP主动探测设备状态。设备主TP设备时必须选择“主动”。对于要使用功能模块的产品，添加设备时应选择设在设备上导入TP或第CA签发的设备本机。如果是基于TOS3.3.005以TPIPSec3.3的设备，开VRCD、VDCD和PLUTO3.3IPSec服和IPSec虚接口绑定。为了便于用户根据其内部组织机构对网络设备进行管理，Top采用了类似DNS扑图对安全域和设备进行管理、设备类型设置、设备模板管理、设备PN码设置、设备参TP对设备支持基于域的管理，一次只能对一台设备进行管理，不能对整个域只有当管理员所属的角色具有对“域”的“管理”权限（13.2角色管理）时，称名方式为即“a.b.c.d”，新添加的域是所选域的子域，例如：选择在父域 只能升级基于TOS平台的中兴设备，TP系统自动过滤掉域中其他类型的设备。TP选择升级包后点击【完成】按钮即可以对该设备域中的所有基于TOS平台的中兴设备进行升级。设备升级包导入请参见14.1设备系统升级包管理。IPIP。设备类型，具体请参见4.6设备类型管理。系统内置的设备类型，可以逐条设置各种类型设备的信息，也可以先Excel格式的模板文件，然后将设备信息输入Excel文件中，导入多个设备的信息，具体操作请参见从EXCEL表导入设备。自定义类型设备则只能逐条添加。 且Top与设备处于正常连接状态；离线：表示设备不 Top未与设备正常连接；：即系列，表示添加设备时， 数字决定，如SJW11-A(TV-61030)、SJW11-A(TF-31104- OEM产品以及在添加设备时没有指定用户名/且非主动的设备统一属于系列4。SNMP加入列表对于中兴公司的非TOS平台设备，以及第厂家的设备，如果如snmp或者命令行。 TOS且版本号IPSec的优先级最高，IPSec3此参数仅对中 设备的唯一标志。TPsnmpID，具体请参见设备发现。硬件序列号可作为设备向TP时认证的一13.5系统参数显示是否已经为设备或更新如果添加设备时选择“暂不生成”，则此处显示“未生成”，否则显示“已生成”。对于主TP的设备，当管理员在页面上方点击【更新】按钮，为设备后，此列将更新为“已显示设备最近一次向TP发送通告包的时间。因此，此列仅对主对主TP的设备有效。对于TP主动连接的设备，此列始终显示“00/0000:00:00”。SJW11-A(TV-61030)、SJW11-A(TF-31104-)，第一个型号对应的设备属于系列6，第二个型号对应的设备属于系列>基本信息IP及其用户名，则可以通过点击“自动获取”获得设备的类型；加该设备的类型后再添加该设备。关于设备类型设置请参见4.6如果选择了“生成”，且设备为基于TOS3.3.005以上平台的设备，则添加设备时自动将设备下发到设备，无需管理员手如果选择“暂不生成”，之后可通过设备列表上方的“更新证书”按钮，为设备。如果采用第CA服务器为设备签发，则在添加设备时应设置TP管理设备的方式。默认不选择该项，表示由设备根据配置的必须输入该项，同时在设备上开启GUI服务。当设备主TP时，如果不对设备管理，则无需设置该 端口均为443，如果包含了SSL 关于多设备多线路的设置具体请参见设置多设备多线路。当Top不能直接连接TopGate-W设备时，在所管理设备与TP内IP地址级、配置恢复和WEBUI管理等操作。SNMPTP和TSMTP设备子网是指允许网关隧道对端的本地网段。设备子网有“自动”和“手记录本地保护子网的作用；当子网类型为“手动”时，TP下发本地保护子网给设备，此子网。管理员在TP上手动配置设备本地保护子网的具体操作步骤如下：多线路指一台物理设备的多条IPSEC线路使用不同的IPSEC线路优先级向TP，行修改，“设备类型”和“设备ID”不可修改。从TP服务器上删除。页面上方的按钮“”将设备信息，然后在别的安全域中点击粘贴按钮“”，，200，如果达到上文件（Excel文件）TP系统预定义的类型的设备，无法通过EXCEL表格批量增加设备，需要管理员事先定义好设备的XLS模板文件，名为“dev_model(中文).xls”的模板的方法如下：点击设备列表上方的导入设备按钮“”，弹出“通过Excel文件添加设备”窗XLS文件。需要在EXCEL表格中指定设则可以不添加管理IP。Excel文件中“设备名称”只能输入大小写字母、数字以及中划线“-”和下划线“_”击设备列表上方的导入设备按钮“”，弹出“通过Excel文件添加设备”窗口。点击【浏览】按钮可以选择XLS配置向导，Top管理员可以恢复设备出厂时的缺省配置，如接口配置、用户类型等；同时可以对其进行简单配置（ADSL拨号设置和专线接入设置），以便企业通过该设备接入（如Internet）。Top可以为设备恢复出厂配置，同时根据需要配置ADSL拨号参数，以便该设备通过ADSL拨号方式（口的IP为动态IP）与建立通信链路。ADSL拨号分别对ADSL拨号的“拨号设置”、“内部接口”、“NAT策略”、“从内到外 该用户 IP配置了起始IP地址和终止IP地址后，设备中将首先自默认情况下，自动生成一条控制策略所有服务（源为“any”，目的为“any”，权限为“”）；当选DHCPServer服务”左侧的复选框后，可以在该设备的内部接口上启动DHCPServer服务，以便该IP地址。IPIPTop可以为设备恢复出厂配置，同时根据需要配置专线接入参数，以便该DMZ自动生成一条目的NAT策略：策略的“源”设置为“any”，“目的”设置为与IP”对应的主机地址对象，“服务”设置为与“映射端口”对应的自定义服务对IP”对应的主机地址对象，“转换后的目备的内部接口上启动DHCPServer服务，以便该设备作为DHCP服务器为内网接口所在子网的主机动态分配IP地址。区域的DHCP服务，具体操作请参见该设备的相关手册。设定的IP在同一个网段，并且不能包含已经分配的IP地址。参见13.2角色管理），则不管设备是否显示，在Top管理器界面中都可以通加设备时设置的“管理IP”实现对设备的设置。管理员通过修改当前关联的设备类型，可以控制能否对设备进行某种管理操作。通过Top，如果设备支持 过命令探测设备和TP服务器之间的网络连接是否通畅。使用TracerouteTrace命令，通过Top，如果设备支持net管理，并开放了相应权限，管理员还可以通过net协议对设备进行管理。 用户可以通过命令行的方式对设备进行管理和。通过Top，如果设备支持SSH管理，并开放了相应权限，管理员还可以通过SSH协议对设备进行管理。点击设备相应的连接操作栏中的Ssh命令，Top调用了第软件“PUTTY”与设备建立SSH连接。如果设备，并已获取设备的管理IP，如下图所示。用户可以通过命令行的方式对设备进行管理和。立，而无需用户自行输入用户名和。通过Top，如果设备支持WEBUI管理，并开放了相应权限，管理员还可以通过WEBUI对设备进行管理。Top中的“其他工具”只作用设备，Top对华盾设备进行管理在设备类型对象中设置管理连接协议及其端，具体请参见4.6设备类型应的蓝色超级文字“其他工具”，Top便会自动登录到设备的管理界面。的管理用户名和，并将设备管理员的登录信息提交到设备上，这样Top便可登录设备，并对其进行管理和。理器界面中可以对设备进行设置，包括开启系统服务、开启服务、远程管理SNMP、设置系统时钟、重启设备和设置超级管理员口令。对设备以及其他类型的，无法对设备进行操作。系统服务是指对设备进行管理或通过TOPSEC对设备进行的服务，包括服务、SSH服务、net服务、HTTP服务和NTP服务。如果停止这些系统服务，管理员将无法通过TOPSEC对设备进行，无法通过SSH协议、 NET协 和 员可以通过TP管理器查看和设置设备的系统时钟。具体操作如下：选定设备，点击设备列表上方的“”图标，在弹出的窗口中激活“时间”TP管理员可以查看和设置设备当前的日期和时间。需要注意的是，页面上显示的时间，请在设备上查看当前准确时间。另外，TP管理员可以在此手工修改日期和置“设置时间”命令，关于设备类型的操作具体请参见4.6设备类型管理。对基于TOS平台的中兴设备，TP提供了SNMP（SimpleNetworkManagement管理SNMP主机和SNMP陷阱主机。 对基于TOS平台的中兴设备，TP提供了基本的功能，TP管理员可以超级管理员superman的系统登录口令，具体操作如下：1）选定设备，点击设备列表上方的“ TP管理员可以修改设备的超级管理员的口令。“新”指修改后的超级管理管理员。最少不能低于8位。备操作”权限并设置“设置”命令，关于设备类型的操作具体请参见4.6设备类选定设备，点击设备列表上方的“”按钮，在弹出的窗口中激活“”置设备“重启设备”命令，关于设备类型的操作具体请参见4.6设备类型管理。恢复默认配置只对TopGate-WTopGate-W设备默认配置的功 4.6设备类”或“SNMP接口”时才可以将设备加入列表，否则菜单显示为灰色不可操选中要的设备，点击设备列表上方的加入SNMP按钮“”，可以将设备加入或取消加入列表。设备是否被加入列表，可以在设备列表的属性“SNMP”一列查看，显可以同时500台设备。管理员可以根据需要将设备加入及移出设备列表。息。关于查看信息更详细的信息，请参见7管理。选中要接收日志的设备，点击页面上方菜单栏的接收日志按钮“”，可以将设请参见9日志审计。对于基于TOS平台的中兴设备，TP管理员可以点击设备列表上方的查看设备首页按相关的信息等关键信息。查看设备基本信息、网络设置、接口信息时，必须在设备上开放SNMP服务。 VRC用户最大数等。在“接口状态”处可以查看网络接口的工作模式、接口地址以及是以及当前通过建立的连接信息。需要注意的是，查看设备基本信息时，必须在设备上开放SNMP服务。当设备所属的设备类型支持“版本管理”时，Top可以获取设备的版的接口进行。需要注意的是，查看接口信息时，必须在设备上开放SNMP服务，否则将获取不到接口相关信息。 的信息。功能只针对于具有功能的设备，对于设备不会显示任在进行之前，用户需要先在“系统参数”中开启隧道状态功能，而且没有“”页签。启用基本管理中首先设置好被设备的管理用户名和。过去5秒建立的连接以及建立连接的总数，如下图所示。总数——刷新】按钮可以获得当前的连接信息，如下图所示。TPTP服务器上将设备添加到“接收日志设备列表”中，TP操作，请参见12.7设备升级任务管理。丁文件导入到TP服务器中。具体操作请参见14.1设备系统升级包管理。设备升级、设备库升级、IPS应用识别规则库升级以及IPS检测规则库升级选择的待升级设备，点击设备列表上方设备升级按钮“”，弹出“升级管升级包，具体操作参见14.1设备系统升级包管理。当设备将陷阱主机设置为TP服务器时，Top能够接收中兴所有设备和第IDS设备产生的SNMPTrap。当设备有实警信息时，设备列表中的设备图标上备管理操作”中选择了“SNMPTrap”，管理员可以选择设备后点击设备列表设备设备，请参见更新设备。导入TP服务器（请参见导 。第CA签发方式有两种a）第CA直接为设备签发b）在TP上为该设备生成请求（请参见生成请求），在第CA更新，是指为该重新生成一个公钥/私钥对，并重新签发该。当某个证办法，替换该的私钥/公钥对，从而确保其安全性。如果添加设备时选择“暂不生设备所属设备类型的设备管理操作中的“其他选项”中的“TOS”开启，并且设备是指TP将到载体中，然后在设备端从载体中将导入到设备中。一次操作，可同时为20个设备，将会以tar包的形式打包分发。IE8IE配置即可解决打开IE8的“工具>Internet选项”页面，激活“安全”页签，将Top服务器的URL地址加入信任站点。式。4）设定好的方式后，点击【】按钮完成。成请求，再由第CA根据请求为该设备。 在第的CA中心，根据请求为设备生成，并通过Top管理器导入是指将第CA为设备生成的导入TP服务器，否则主动的设备以从TP服务器再次下发。如果设备由请求文件生成，则TP管理员必须将设备的文件导入TP服务器，然后由管理员下发设备。如果设备由第CA直接签发，则管理员可以拉框中选择“导入”按钮，如下图所示。编码格式分为三种：DER编码二进制X.509、PEM编码二进制X.509、标准密钥文件格式PKCS12。TopPlicy系统支持设备PN码与设备类型对应的对应表，这样当管理员在添加新的设设备类型。设备PN码的管理操作具体如下：进入设备PN码管理界面，页面右侧显示Top内置的设备PN码列表，如下添加设备PN输入设备PN对于设备PN码，管理员可以点击修改图标“”，对其进行修改；点击删除图标“”，可以将其删除；点击刷新图标“”，可以获得当前的设备PN码信息。4.6设备类型管理 。对于新添加的设备模板，管理员可以点击设备模板列表上方的修改图标“”， 需要设定端。需要设定端。线。需要设定端。才可以对设备进行相应功能的管理操作。Top预定义了多种设备类型，管理员也可以根据需要手动修改、和载入设备类型。具体操作如下：进入设备类型管理界面，界面右侧显示Top内置的设备类型列表，如下图选择一个已有类型后，点击图标“”，在该设备类型的基础上添加新的设员添加此种类型的设备时，TP可以自动解析出该设备的类型。大于等于100。组选择此项后将自动在统一类型组IP中匹配版本并更新该设备的类型IP； 和HTTPS方式设置“端口”项。单选项，可选值包括：ssh连接协议、net连接协议、TopsecXDOC连v1TopsecXDOCv2ssh和net方式用于对ssh和net连接协议方式设置“端口”、“移除命令结果首、数”；对TopsecXDOCv1v2设置“移除命令结果首TP解析设备日志所使用的日志解析对象。不同的产品类型，需选 、启明、思科和fortinet2。关于日志解析对象设置请参见4.7.3日志解析文件编辑。XDOC2及获取配置方式，其中可对除“获取配置” 持命令行连接协议（net，ssh，xdoc）；对的设备，选择ciscotftpARPSNMPXDOC2两种方式进行，其他内容只支持SNMP一种方式。SnmpTarpFW、TAFW4000和IDS。还可以根据需要添加新的方式，具体设置请参见4.7.1OID对象管理。TPtrapsnmpsnmptrap陷阱主机，设置snmp方式的规则 net和SSH方式要设置“端口”；对于Web方式要是只程序库和升级库。其中升级IPS规则库、IPS应用程序库和库XDOCFTP或TFTP升级则需要设置升 和 且在设备上开启了GUI服务，则TP会将设备自动更新到设备的本设置中IP地址和IP地址2，从而使设备在TP中自动上线。TOSTP对TOS设备可进行的策略包管理权限。根据不同设备类型，确可选值包括：策略、策略、IPS策略、防策略和参数设策略包括：VONE策略（TOS005）、VONE策略（TOS006） PULSA策略； 对于已添加的设备类型，管理员可以点击列表上方的修改图标“”对其进行修网络设备及其属性，由对象识别符（OID：ObjectIdentifier）唯一指定。MIB是一个树形结构，SNMP协议消息通过遍历MIB树形中的节点来网络中的设备。1）在TP上，针对不同的产品类型需选择正确的解析方式。是对于第设备而言，如果TP服务器上现有的MIB库中不存在设备的OID变量，则需要管理员输入新的OID对象，否则TP服务器不能接收到设备的信息。进入设备参数对象管理页面，激活“OID对象”页签，进入OID对象界面，如下图所示。进入设备参数对象管理页面的具体方法请参见3.2功能模块配置。添加OID组MIB树中的准确位置，在整个MIB库中OID必须是唯一的。修改OID删除OID刷新OIDTP接收到设备的Trap信息时，由于不同设备的级别有不同的分类方法，管理员可以设置一定的规则，当设备信息中的OID-ID字段满足设定的条件时，将串件。选择多个OID时只要满足其中一个即可。日志解析文件编辑用于管理日志解析对象。TP接收到设备日志时，会根据“设备版入TP服务器。选择文件名，点击【打开】按钮，导入时，TP服务器将对文件的正确性进行检测，Top的拓扑图模块包括安全域拓扑和GIS拓扑，其中安全域拓扑模块可显示本域和子域中的所有设备、以及域中所建立的隧道信息，GISTP服务器Top的安全域拓扑可给管理员提供一个直观、操作方便的可视化总览图，以对安全域下的设备进行设备、设备库、IPS应用识别规则库以及IPS检测规则库升级。详细的升级步骤请参见4.2.1安全域管理。可以将安全域中的设备导出。详细的导出步骤请参见4.2.1安全域管理。管理员可以点击拓扑图上方或者左侧“基本操作”功能菜单设备>基本管理添加设备。参数具体介绍请参见设备管理。也可以利用已有设备，在左侧“基本操作”功能菜单设备>基本管理下点击菜单展开， 添加策略加按钮“”，弹出“动态隧道-添加”窗口，如下图所示。具体参数说明请参见修改策应 管理员可以点击左侧“基本操作”功能菜单隧道下的隧道应用图标“ 该策略。 管理员可以点击左侧“基本操作”功能菜单隧道下的隧道禁用图标“”，禁用该策略。在上方中选择保存图标“”，可以将该拓扑图中各元素位置及其背景保在上方中选择载入背景图图“可以选择JPG格式文件更换背景图；点击删除背景图图标“”可以将载入的背景删除。在上方中选择排列图标“”，可以分别将选中的图标进在上方中选择自动排列图标“”，可以将拓扑图中所有的图标恢复到默在右键菜单中选择打印图标“”，如下图所示。管理员可以通过显示比例控制标“”。进入及相关参数设置页面，如下图所示。大图标模式可以切换回原来的图标模式。显示特定的拓扑图信息；若想恢复原有的拓扑图，则相应选择显示本域隧道/显示子域隧道/显示域间隧道/显示外域隧道/显示文字/显示上下级连线即可。GIS拓扑以世界地图为背景，采用类似DNS系统树形结构的虚拟区域对设备进行组初次进入GIS拓扑图管理界面，如下图所示。进入拓扑图管理页面的具体操作请参见3.2功能模块配置。GISGIS拓扑界主机的鼠标放置到虚拟区域图标“”上，会显示该虚拟区域中设备的、离线和报需在GISTP服务器图标到GIS拓扑图TP服务器具体操作步骤如下：点击GIS拓扑界面 完成GIS拓扑后，管理员可查看TP所管理设备的设备列表、隧道列表、VRC菜单级联下的查看图标“”，如下图所示。激活“隧道列表”页签，可查看Top所管理的所有设备间建立的隧道，可TP服务器所有的报表信息，包括报表文件名、生成时间、文件大小和URL地址信息。如下图所示。 道图和VRC图，如下图所示。菜单区域下的添加图“ 或点击GIS拓扑上的虚拟区域添加图“ 选中待删除的虚拟区域图标，点击左侧“基本操作”功能菜单区域下的删除图标 在安全域中添加的设备不会自动显示在GIS拓扑图中，管理员可以在GIS拓扑中添加新设备和导入已添加到安全域中的设备至GIS拓扑地图上，并对其进行升级、管下面介绍如何在GIS拓扑图中导入/导出设备，具体操作步骤如下：在“未导入GISTP安全域中已添加但未导入到GIS拓选择TP服务器图标或虚拟区域，然后在“未导入GIS拓扑”界面中选择需导入至GIS拓扑图中的设备，点击“ ”，可将该设备导入至GIS拓扑图中，如下图所示。GIS拓扑图中的设备移除。GISTPServer的安全域中删除，只是不显示在GIS地图中，如下图所示。添 管理员可以点击GIS拓扑上方或者左侧“基本操作”功能菜单隧道下的隧修 应用策管理员可以点击左侧“基本操作”功能菜单隧道下的隧道应用图标“”，应用该策略。禁用策略管理员可以点击左侧“基本操作”功能菜单隧道下的隧道禁用图标“”，禁用该策略。本级服务器的GIS拓扑管理模块可以显示其直连和非直连下级级联服务器的GIS拓GIS拓扑的变化。管理员在本级服务器GIS拓扑图中，只可查看下级级联服务器GIS拓扑结构、重新定位GIS拓扑位置。默认状态下，Top不显示下级级联服务器的GIS拓扑图。勾选“是否显示下级级联”控制开关，系统将自动显示下级级联服务器GIS拓扑结构，如下图蓝框所示。设置是否按本级显示下级级联服务器GIS默认状况下，Top根据下级服务器的GIS拓扑结构显示下级服务器GIS拓扑状重新定位下级GIS拓扑位置。线状态、其GIS拓扑中的和离线设备数，如果其GIS拓扑中设备存在未被确认的报警信息，还会显示设备个数。如下图所示。移动鼠标至虚拟区域，界面将显示虚拟区域的名称、该虚拟区域内和离线设存在未被确认的信息，还会显示次数。其中次数包含Top检测的次数及设备主动上传给Top的次数，如下图所示。的缩放功能。管理员可根据设备的实际部署位置将设备定位到GIS地图中的具置，2)长按Top管理器所在主机的鼠标左键并移动可移动GIS地图，滚动鼠标滚轮可实现GIS地图的缩放。在GIS地图中，浏览到设备所在的具置后，将设备拖拽至地图的相应位置。建议先在地图上定位设备所处的位置，然后再导入设备到GIS拓扑图中。 ”在GIS拓扑图中导入/导出/定位设备后，必须点击“GIS拓扑图”左上角的保存图标 ”，否则关闭Top管理器时，用户所做的设置将被撤销。虚拟区域中，此时GIS拓扑用虚连线表示虚拟区域间建立了隧道，点击显示/隐藏虚拟隧道，可以显示/隐藏虚拟区域间的连线。如下图所示。设备间相隔较近时，当缩小GIS拓扑的显示，设备首先将，然后隐藏至虚显示所有节点分级显示节点，可以将已显示的设备隐藏至虚拟区域中，如下图所示。点击“搜索结果”界面上的图标“”，可实现搜索结果切换到设备列表；点击“未GIS设备”界面上的图标“”，可实现设备列表切换到搜索结果列表。仅可以对自身管理权限范围内的所有进行管理和，而且针对中兴公司基于TOS平台的网络设备中，安全策略分为全局策略和设备私有策略。全局策略及其相关对象由Top管理员在Top中统一定制、下发和管理；设备3.3.005及以后版本的网络设备（基于上的全局策略ID号均大于500000。12.10的相关描述）Top基于策略对象配置策略，并通过策略包对策略进行分组管理和分组下发，Top支持分析对象的被关系。策略对象被分两种情况，一种是策略规则直接策略对象，另一种是间接策略对象。TOS服务对象的设置便于用户根据不同的服务定义控制规则。Top中的服Top中预定义的一些常用服务，包括：ETH服务、IP服务、ICMP服务、TCP服务、UDP服务。系统定义的各类服务均可以进入策略对象管理页面后，在界面左侧策略对象菜单中选择服务对象（TOS）>系统定义服务下的各类服务来进行查看。ETH查看系统定义的ETH服务对象的关系信息。IP看系统定义的IP服务对象的关系信息。选择待查看关系的ICMP服务对象，然后点击查看关系图标“”，可以查看系统定义的ICMP服务对象的关系信息。TCP选择待查看关系的TCP服务对象，然后点击查看关系图标“”，可以查看系统定义的TCP服务对象的关系信息。选择待查看关系的UDP服务对象，然后点击查看关系图标“”，可以查看系统定义的UDP服务对象的关系信息。服务、UDP服务。ETHTop支持对象组管理自定义ETH对象成员。配置自定义ETH服务的具体操作在界面左侧策略对象菜单中选择策略对象>服务对象(TOS)>自定义服务ETH理具体操作一致，此处不再赘述，具体请参见错误！未找到源。。添加自定义ETH“”，弹出ETH服务新建窗口，如下图所示。修改自定义ETH删除自定义ETH注意的是：不能删除已经被的自定义服务对象。查看自定义ETH服务关选择待查看关系的ETH服务对象，然后点击查看关系图标“”，可以查看当前自定义的ETH服务对象的关系信息。刷新自定义ETH点击刷新图标“”，可以获得当前自定义的ETH服务对象信息IPTop支持对象组管理自定义IP对象成员。配置自定义IP服务的具体操作步骤策略对象>服务对象(TOS)>自定义服务IP服此处不再赘述，具体请参见错误！未找到源。。选择待删除的自定义IP服务对象，点击删除图标“”，可以删除该对象。需要注意的是：不能删除已经被的自定义服务对象。选择待查看关系的IP服务对象，然后点击查看关系图标“”，可以查看当前自定义的TP服务对象的关系信息。在界面左侧策略对象菜单中选择策略对象>服务对象(TOS)>自定义服务>理具体操作一致，此处不再赘述，具体请参见错误！未找到源。。图标“”，弹出ICMP服务新建窗口，如下图所示。选择待删除的自定义ICMP服务对象，点击删除图标“”，可以删除该对象。需要注意的是，不能删除已经被的自定义服务对象。看当前自定义的ICMP服务对象的关系信息。TCP在界面左侧策略对象菜单中选择策略对象>服务对象(TOS)>自定义服务>TCP作一致，此处不再赘述，具体请参见错误！未找到源。。选择待删除的自定义TCP服务对象，点击删除图标“”，可以删除该对象。需要注意的是：不能删除已经被的自定义服务对象。选择待查看关系的TCP服务对象，然后点击查看关系图标“”，可以查看当前自定义的TCP服务对象的关系信息。点击刷新图标“”，可以获得当前的自定义TCP服务对象信息>服务对象(TOS)>UDP服务，下方界面便是UDP对象组界面。UDPIP地址对象组的管理具体操作一致，此处不再赘述，具体请参见错误！未找到源。。“”，弹出UDP服务新建窗口，如下图所示。注意的是：不能删除已经被的自定义服务对象。选择待查看关系的自定义UDP服务对象，然后点击查看关系图标“”，可以查看当前自定义的UDP服务对象的关系信息。策略中该服务组对象。配置服务组的具体操作如下所示：在界面左侧策略对象菜单中选择策略对象>服务对象(TOS)>服务组，下方界面处不再赘述，具体请参见错误！未找到源。。，①点击“备选成员列表”右侧的排序图标“”，对以字母或数字开头的备选成不能删除已经被策略的服务组。选择待查看关系的服务组，然后点击查看关系图标“”，可以查看该服务组对象的关系信息。IPS设备根据固定端口来识别服务，Top中预先定义了一些常用的服务端口，用户可以根据实际情况修改预定义的服务对象端，但不能删除预定义的服务对象。端的输入格式如下：多个端以“,”隔开，如（1,2,3）；端选择待查看关系的服务端口，点击查看关系图标“”，可以查看该服务端口对象的关系信息。点击策略对象界面上的分配图标 ”，立即弹出选择设备窗口，如下图所示配置VLAN虚接口的具体步骤如下所示：添加VLANVLAN接口。点击新建图标“”，弹出新建VLAN接口窗口，如下图所示。行状态时会被对方的IP地址所覆盖。接口的IP地址会显示在下方列表中。参数值设置完成后，点击【确定】按钮完成VLAN接口的设置，点击【取消】按修改VLAN选择待修改的关键字对象，然后点击修改图标“”，可以修改该VLAN虚接口的删除VLAN选择待删除的关键字对象，然后点击删除图标“”，可以删除该VLAN虚接口。需要注意的是不能删除已经被的VLAN虚接口。查看VLAN虚接口对象关选择待查看关系的VLAN虚接口，然后点击查看关系图标“”，可以查看该VLAN虚接口的关系信息。刷新VLAN过滤对象是进行深度内容过滤的基础，Top中定义的过滤对象共有三类：关键字对象、URL对象和登录标题对象，下面分别对其进行详细介绍。>关键字，在界面右侧点击新建图标“”，弹出新建关键字窗口，如下图所示。 注意的是：不能删除已经被策略的关键字对象。选择待查看关系关键字对象，然后点击查看关系图标“”，可以查看该关键字对象的关系信息。URL对象是HTTP过滤的基础，可以根据需要过滤对敏感URL的。管理配添加URL在界面右侧点击新建图标“”，弹出新建URL窗口，如下图所示。到信息图标“”上时，显示设置URL的约束条件。修改URL选择待修改的URL对象，然后点击修改图标“”，可以修改该URL对象的属性删除URL意的是：不能删除已经被策略的URL对象。查看URL对象关选择待查看关系URL对象，然后点击查看关系图标“”，可以查看该关键字对象的关系信息。刷新URLHTTP服务器、FTP服务器、POP3服务器、SMTP服务器或NET服务器向客户端返回的Banner信息中往往提供了服务器的版本号等敏感信息，可以在内容过滤策略中>登录需要注意的是：不能删除已经被策略的登录标题对象。选择待查看关系标题对象，然后点击查看关系图标“”，可以查看该登录标题对象的关系信息。在Top中，应用识别对象主要用于防御策略中，以便根据应用识别对象的TOS3.3.005平台和基于TOS3.3.006平台的设备，TP系统提供应用程序>应用程序识别（TOS005），点击右侧界面中的新建图标“”，弹出新建应用程序识别窗Skype、MSN（WindowsLiveMessenger）、YaHooMSG（雅虎通）、Gtalk（Talk）、POPO（网易POPO）、ALiWangWang（阿P2P协议的扩展功能，通过将中兴公司提供的新协议特征码 P2P工具占用的带宽必须在设定的QoS限制范围内，否则该应用程序的运行；“连接数限制”表示BT和edonkey等XunLei工具占用的连接数过设定的最大连接数，否则断开连接；“账号过滤”如：处理动作选择“宽带控制”时，上传和必选，否则会导致下别对象。需要注意的是：不能删除已经被的应用程序识别对象。（TOS005可以查看该对象应用程序识别(TOS005)的关系信息。一个应用程序识别对象中的规则可以包含两种：（1）TPIPS应用程进入策略对象管理页面，在界面左侧的策略对象菜单中选择>应用程序识别（IPSV2/IPSV3/TOS006），点击右侧界面中的新建图标“”，弹出新建应账号过滤：对于所有未配置到账号过滤中的账号（QQ和MSN账号），配置默认允许或默认。账号过滤的配置步骤请参见账号过滤别对象。需要注意的是：不能删除已经被的应用程序识别对象。选择待查看关系应用程序识别对象，然后点击查看关系图标“”，可以查看该应用程序识别对象的关系信息。应用协议，然后再配置针对这些自定义应用协议的处理动作（具体操作请参见.2>自定义应用（IPSV2/IPSV3/TOS006），点击右侧界面中新建图标“”，弹出新建自定义协议的端，最后点击【添加】按钮，将其添加到端口列表中。议。需要注意的是：不能删除已经被的自定义应用协议。选择待查看关系自定义应用协议对象，然后点击查看关系图标“”，可以查看该自定义应用对象的关系信息。账号过滤用于对即时通讯工具的账号进行过滤，目前Top中支持的即时通讯软件包括QQ和MSNTop既可以通过账号过滤规则对即时通讯工具的账号进行过滤，.2应用程序识别（IPSV2/IPSV3/TOS006）的相关描述，本节主要介绍如何配置账>账号过滤（IPSV2/IPSV3/TOS005/TOS006），点击右侧界面中新建图标“”，弹出新建需要注意的是：不能删除已经被的账号过滤规则。 选择待查看关系的账号过滤对象，然后点击查看关系图标“”，可以查看该账号过滤对象的关系信息。在Top中，检测对象主要用于防御策略中，以便根据检测规则的规则检测对象可以包含两种：（1）导入到TP系统的IPS检测规则库中的自定义安全的配置请参见配置自定义的相关描述。进入策略管理页面，在界面左侧的策略对象菜单中选择规则检测对象>攻击检测规则（IPSV2/IPSV3/TOS006），点击右侧界面中的新建图标“”，弹出新建攻在“类型”列表中选中某个检测规则（IPS检测规则库中的规则，需要注意的是：不能删除已经被防御策略的检测规则。查看检测规则关选择待查看关系的检测规则对象，然后点击查看关系图标“”，可以查看该规则检测规则对象的关系信息。除了IPS检测规则库中的，Top管理员也可以自行添加具有某种特征的安全，然后再配置针对这些自定义的处理动作（具体请参见配置进入策略管理页面，在界面左侧的策略对象菜单中选择规则检测对象>自表示，如（1:100）；（!10）10以外的所有端口；选择“any”表表示，如（1:100）；（!10）10以外的所有端口；选择“any”表户手册“附录C自定义规则使用说明当鼠标指向信息图“”注意的是：不能删除已经被检测规则的自定义规则。可以查看该自定义检测规则对象的关系信息。在Top中，防御策略对象主要用于配置的控制策略，以便根据，，查看防御策略对象关选择待查看关系的防御策略对象，然后点击查看关系图标“”，可以查看该防御策略对象的关系信息。在Top中，Anti-DDOS对象主要用于配置的ACL策略，以便根据统计型，包括：SYNFlood、UDPFlood、ICMPFlood、IPSweep和、Scan。2）异常包，包括：Land、SmurfofDeathWinNukeTCPScan、IP、TearOfDrop和Targa3配置Anti-DDOS添加Anti-DDOS进入Anti-DDOS管理页面，点击页面右侧的对象列表上方的新建图标“”，如WinNuke、TCPScan、IPOption、ipspoof、icmpredrt、Teardrop和Targa3 的SYN包，包的源地址和目标 方会给自己发送SYN-ACK时为止，这样过多的空连接会耗尽被方的资源，导致服务。2）Smurf是一种服务，简单的来说，它可以通过大规模的发送以被 等，WinNuke现已发展到不仅可以单个IP，还可以被的利用。6）IPOption，者通过检查IP包中的选项域，使用这个规则选项搜7）ipspoof即IP电子，简单说即是一台主机设备冒充另外一台主机的IP地址，与其它设备通信，从而达到某种目的的技术。Teardrop利用了被方对于IP碎片的重新组合来实施 。10）Targa3是一种整合了多种 服务的工具包，可以通过多种方式对被 选择可以防御的统计型防护类型，包括：SynFlood、UdpFloodIcmpFlook、IpSweep和PortScan。中兴只检测已选择的类型。SYNFlood是当前比较流行的服务的方式之一。SYNFlood利TCP协议的固有缺陷，通过发送大量的TCP连接请求，使被攻SYN半连接，从而耗尽被方的资源而无法响应正常请求。2）UDPFlood是当前比较流行的服务的方式之一。者通过发UDPIP封包，以至于受害者再也无法处理有效的连接时，就发生了UDP泛滥。ICMPFlood通过向被者发送大量的ICMP回应请求，消耗被者的资源来进行响应，直至被者再也无法处理有效的网络信息流时，就发生了ICMP泛滥。IPSweep（IP扫描）ICMP的基本情况。IPSweep一般来说是的第一步。TCPUDP端口）IP修改Anti-DDOS删除Anti-DDOS查看Anti-DDOS对象关选择待查看关系的Anti-DDOS对象，然后点击查看关系图标“”，可以查看该Anti-DDOS对象的关系信息。刷新Anti-DDOSTop中的内容过滤策略按照基于TOS005和TOS006两种平台设备分为两类，略、FTP策略、SMTP策略、POP3策略、IMAP策略、NET策略、RSH策略、防病毒策略以及DNS策略。HTTP内容过滤策略可以依据页面URL、关键字和等特征，对HTTP进行过WEB页面；另外，也可以实现对用户进行HTTP会话认证。配置HTTP添加HTTPhttpheader网络地址的设置请参见管理关键字对象。向到的URL地址。登录标题对象。登录标题对象的设置请参见管理登录标题对修改HTTP口中修改该HTTP内容过滤策略的参数。删除HTTP选择待删除的HTTP内容过滤策略，然后点击删除图标“”，即可删除该查看HTTP内容过滤策略关选择待查看关系的HTTP内容过滤策略对象然后点击查看关系图“，可以查看该HTTP内容过滤策略对象的关系信息。刷新HTTP配置FTP内容过滤策略的具体步骤如下所示：FTP策略，点击右侧界面中的新建图标“”，弹出新建FTP策略窗口，如下图所示。FTPFTP传输的文件名否则，根据FTP策略的默认权限进行处理。关键字的设置请参见表示FTP策略允许文件的登录标题对象。登录标题对象的设置请参见管理登录标题对选择待修改的FTP内容过滤策略，然后点击修改图标“”，可以在弹出的修改窗口中修改该FTP内容过滤策略的参数。选择待删除的FTP内容过滤策略，然后点击删除图标“”，即可删除该FTP内容选择待查看关系的FTP内容过滤策略对象然后点击查看关系图“”，可以查看该FTP内容过滤策略对象关系信息。点击刷新图标“”，可以获得当前的FTP内容过滤策略信息配置SMTP理；否则，根据SMTP策略的默认权限进行处理。SMTP策略，点击右侧界面中的新建图标“”，弹出新建SMTP策略窗口，如下图所登录标题对象。登录标题对象的设置请参见管理登录标题对选择待修改的SMTP内容过滤策略，然后点击修改图标“”，可以在弹出的修改窗口中修改该SMTP内容过滤策略的参数。选择待查看关系的SMTP内容过滤策略对象然后点击查看关系图“，可以查看该SMTP内容过滤策略对象的关系信息。点击刷新图标“”，获得当前的SMTP内容过滤策略信息POP3策略用于对使用POP3协议接收的邮件的、内容、附件中的文件名以及收配置POP3添加POP3POP3策略，点击右侧界面中的新建图标“”，弹出新建POP3策略窗口，如下图所登录标题对象。登录标题对象的设置请参见管理登录标题对修改POP3选择待修改的POP3内容过滤策略，然后修改图标“”，可以在弹出的修改窗口中修改该POP3内容过滤策略的参数。删除POP3查看POP3内容过滤策略关选择待查看关系的POP3内容过滤策略对象然后点击查看关系图“”，可以查看该对象的关系信息。刷新POP3点击刷新图标“”，获得当前的POP3内容过滤策略信息配置IMAP登录标题对象。登录标题对象的设置请参见管理登录标题对口中修改该IMAP内容过滤策略的参数。选择待查看关系的IMAP内容过滤策略对象然后点击查看关系图“，可以查看该IMAP内容过滤策略对象的关系信息。点击刷新图标“”，获得当前的IMAP内容过滤策略信息配 NET策略用于替换 NET服务器向客户端返回的Banner信息，保护服务器的配 NET策略，点击右侧界面中的新建图标“”，弹出新建 NET策略窗口，如下 设置进行内容过滤令具备的特征。当通过设备的相应协议令管理关键字对象登录标题对象。登录标题对象的设置请参见管理登录标题对 NET策略的添加；点击【取消】 NET内容过滤策略的参数。 选择待删除 NET内容过滤策略然后点击删除图“即可删除 选择待查看关系 可以查看该NET内容过滤策略对象的关系信息。点击刷新图标“”，可以获得当前 NET内容过滤策略信息RSH协议可以实现在系统上执行命令，并把结果显示到客户端系统中。RSH策关键字对象时，根据关键字对象的权限对命令进行处理；否则，根据RSH策略的默认权配置RSHRSH策略，点击右侧界面中的新建图标“”，弹出新建RSH策略窗口，如下图所示管理关键字对象登录标题对象。登录标题对象的设置请参见管理登录标题对选择待修改的RSH内容过滤策略，然后点击修改图标“”，可以在弹出的修改窗口中修改该RSH内容过滤策略的参数。选择待删除的RSH内容过滤策略，然后点击删除图标“”，即可删除该RSH内容选择待查看关系的RSH内容过滤策略对象然后点击查看关系图“”，可以查看该RSH内容过滤策略对象的关系信息。点击刷新图标“”，可以获得当前的RSH内容过滤策略信息DNS协议完成到IP地址的解析工作。DNS策略用于对通过设备的DNS查询请求进行过滤和重定向。当通过设备的DNS查询报文匹配选中的关键字对象时，根据关键字对象的权限对该次查询进行过滤或转发处理；否则，根据DNS策略的默配置DNS添加DNSDNS策略，点击右侧界面中的新建图标“”，弹出新建DNS策略窗口，如下图所示管理关键字对象修改DNS选择待修改的DNS内容过滤策略，然后点击修改图标“”，可以在弹出的修改窗口中修改该DNS内容过滤策略的参数。删除DNS选择待删除的DNS内容过滤策略，然后点击删除图标“”，即可删除该DNS内容查看DNS内容过滤策略关选择待查看关系的DNS内容过滤策略对象然后点击查看关系图“”，可以查看该DNS内容过滤策略对象的关系信息。刷新DNS略、FTP策略、邮件策略以及NET策略。HTTP内容过滤策略可以依据页面URL、关键字和等特征，对HTTP进行过WEB页面；另外，也可以实现对用户进行HTTP会话认证。配置HTTP添加HTTP向到的URL地址。登录标题对象。登录标题对象的设置请参见管理登录标题对修改HTTP口中修改该HTTP内容过滤策略的参数。删除HTTP选择待删除的HTTP内容过滤策略，然后点击删除图标“”，即可删除该查看HTTP内容过滤策略关选择待查看关系的HTTP内容过滤策略对象然后点击查看关系图“，可以查看该HTTP内容过滤策略对象的关系信息。刷新HTTP配置FTP内容过滤策略的具体步骤如下所示：FTP策略，点击右侧界面中的新建图标“”，弹出新建FTP策略窗口，如下图所示。FTPFTP传输的文件名表示FTP策略允许文件的登录标题对象。登录标题对象的设置请参见管理登录标题对 选择待修改的FTP内容过滤策略，然后点击修改图标“”，可以在弹出的修改窗口中修改该FTP内容过滤策略的参数。选择待删除的FTP内容过滤策略，然后点击删除图标“”，即可删除该FTP内容选择待查看关系的FTP内容过滤策略对象然后点击查看关系图“”，可以查看该FTP内容过滤策略对象的关系信息。点击刷新图标“”，可以获得当前的FTP内容过滤策略信息反邮件检查是通过检查其发件人和收件人的邮件地址及IP地址是否匹配黑白名件地址白”。3）“IP地址”。4）“邮件地址”。如果黑白均不对以SMTP协议发送的邮件，如果命中白，则此处放行；如果命中，邮件被并抛弃。对以POP3和IMAP协议接收的邮件，如果命中白，则此处放行，能正常接收到原邮件；如果命中，接收到的邮件中加入了邮件标记信息。控制规则设置请参见配置控制策略。圾邮件检查，当确认不是邮件时，才执行查杀。当一个IP地址同时存在于IP地址 和IP地址白时，白 修改该反邮件策略的参数。查看反邮件策略关理；否则，根据SMTP策略的默认权限进行处理。邮件策略，点击右侧界面中的新建图标“”，弹出新建邮件策略窗口，如下图所示。登录标题对象。登录标题对象的设置请参见管理登录标题对可以查看该邮件内容过滤策略对象的关系信息。配 NET策略用于替换 NET服务器向客户端返回的Banner信息，保护服务器的配置NET策略的具体步骤如下所示NET策略，点击右侧界面中的新建图标“”，弹出新建 NET策略窗口，如下 登录标题对象。登录标题对象的设置请参见管理登录标题对象 NET策略的添加；点击【取消】 NET内容过滤策略，然后点击修改图标“”，可以在弹出的修 NET内容过滤策略的参数。 选择待删除 NET内容过滤策略然后点击删除图“即可删除 NET内容过滤策略关选择待查看关系的 NET内容过滤策略对象，然后点击查看关系图标“”，可以查看该 NET内容过滤策略对象的关系信息。 点击刷新图标“”，可以获得当前 NET内容过滤策略信息RSH协议可以实现在系统上执行命令，并把结果显示到客户端系统中。RSH策关键字对象时，根据关键字对象的权限对命令进行处理；否则，根据RSH策略的默认权配置RSHRSH策略，点击右侧界面中的新建图标“”，弹出新建RSH策略窗口，如下图所示。管理关键字对象选择待修改的RSH内容过滤策略，然后点击修改图标“”，可以在弹出的修改窗口中修改该RSH内容过滤策略的参数。选择待删除的RSH内容过滤策略，然后点击删除图标“”，即可删除该RSH内容选择待查看关系的RSH内容过滤策略对象然后点击查看关系图“”，可以查看该RSH内容过滤策略对象的关系信息。点击刷新图标“”，可以获得当前的RSH内容过滤策略信息DNS协议完成到IP地址的解析工作。DNS策略用于对通过设备的DNS查询请求进行过滤和重定向。当通过设备的DNS查询报文匹配选中的关键字对象时，根据关键字对象的权限对该次查询进行过滤或转发处理；否则，根据DNS策略的默配置DNS添加DNSDNS策略，点击右侧界面中的新建图标“”，弹出新建DNS策略窗口，如下图所示。管理关键字对象修改DNS选择待修改的DNS内容过滤策略，然后点击修改图标“”，可以在弹出的修改窗口中修改该DNS内容过滤策略的参数。删除DNS选择待删除的DNS内容过滤策略，然后点击删除图标“”，即可删除该DNS内容查看DNS内容过滤策略关选择待查看关系的DNS内容过滤策略对象然后点击查看关系图“”，可以查看该DNS内容过滤策略对象的关系信息。刷新DNSTOS3.3.006平台的设备，TP系统可以为其配置内容安全策略，内容安全SMTP、POP3、IMAP、DNS、NET和RSH等协议，以及各种即时通讯协议。WEB过滤：设置用户的防：对HTTP，FTP，IMAP，POP3与SMTP等协议，以及应用程序识别策略配置反保护。Messenger、阿里、迅雷和SKYPE等）配置过滤、带宽控制及控制。 NET传输令进行关键字过滤过滤和过滤的策略，则检查顺序为：HTTP内容过滤->URL过滤->Webfilter->过对于邮件类协议（POP3、SMTPIMAP），如果在内容安全策略中同时配置了邮件对于FTP协议，如果在内容安全策略中同时配置了FTP过滤和防过滤策略，则检查顺序为FTP过滤->防过滤。HTTP设置内容安全策略的HTTP过滤策略。在下拉列表中选择已经配HTTP过滤策略，HTTP.1HTTP策略FTP设置内容安全策略的FTP过滤策略。在下拉列表中选择已经配置Web防设置内容安全策略的反邮件策略。在下拉列表中选择已经配置完成的反邮件策略，反邮件策略的配置请参见.3配NET NET过滤策略， NET过滤策略的配置请参见RSH完成的DNS过滤策略，DNS过滤策略的配置请参见.7设置DNS策略，，选择待查看关系的内容安全策略对象，然后点击查看关系图标“”，可以查看该内容安全策略对象的关系信息。URL过滤规则是HTTPURLWEB过滤的基础，可以根据需要过滤对敏感URL的。配置URL新建URL弹出新建URL过滤规则窗口，如下图所示。自定义页面”、“URL重定向”。反国家与政策”、“潜在不安全的”、“潜在浪费带宽”、“大众兴趣”、“文化、时评聊天与”、“行业分类”、“计算机技术相关”数。白设置请参见配置URL白。项数。设置请参见配置URL。选择“URL重定向”时需设置此参数。当鼠标移动至信息图标“”时，URLhttp://修改URL在对象列表中选择需要修改的URL过滤规则然后点击列表上方的修改图“”，修改URL过滤规则信息。删除URL在对象列表中选择需要删除的URL过滤规则然后点击列表上方的删除图“”，删除URL过滤规则信息。查看URL过滤规则关选择待查看关系的URL过滤规则对象，然后点击查看关系图标“”，可以查看该URL过滤规则对象的关系信息。刷新URLURL白中的URL地址可以不经过URL过滤规则的过滤，默认为安全地址。配置URL过滤规则的步骤如下：新建URL（IPSV3/TOS006）>URL白，点击页面右侧的对象列表上方的新建图标“”，弹出“URL白”窗口，如下图所示。白设置白中的URL地址。在文本框中输入标准格式的URL地址后点击显示设置白URL地址的格式要求。 修改URL在对象列表中选择需要修改的URL白，然后点击列表上方的修改图标“”，修改URL白信息。删除URL在对象列表中选择需要删除的URL白，然后点击列表上方的删除图标“”，删除URL白信息。查看URL白关选择待查看关系的URL白对象，然后点击查看关系图标“”，可以查看该URL白对象的关系信息。刷新URLURL中的URL地址经过URL过滤规则的过滤，确定为地址，被列入到的URL不能通过安全网关。配置URL新建URL（IPSV3/TOS006）>URL，点击页面右侧的对象列表上方的新建图标“”，弹出“URL”窗口，如下图所示。设置中的URL地址。在文本框中输入标准格式的URL地址后点击显示设置URL地址的格式要求。 修改URL在对象列表中选择需要修改的URL，然后点击列表上方的修改图标“”，修改URL信息。删除URL在对象列表中选择需要删除的URL，然后点击列表上方的删除图标“”，删除URL信息。查看URL关选择待查看关系的URL对象，然后点击查看关系图标“”，可以查看该URL对象的关系信息。刷新URL见配置防御策略。另外，检测规则中兴公司来，管理员可以通在对象列表中选择需要修改的检测规则，点击对象列表上方的修改图标“”，在对象列表中选择需要删除的检测规则，点击对象列表上方的删除图标“”，可以删除该检测规则。查看检测规则关选择待查看关系的检测规则对象，然后点击查看关系图标“”，可以查看该检测规则对象的关系信息。TP系统支持对基于中兴TOS3.3.005平台和基于TOS3.3.006等P2P应用进行带宽控制；一个“独享”子类只能设置一个“独享”规则。>带宽控制（TOS005）>接口，点击页面右侧的对象列表上方的新建图标“”，弹出新建接选择待查看关系的接口对象，然后点击查看关系图标“”，可以查看该接口对象的关系信息。类子类，所有子类父类的带宽流量，因此所有子类的“保证带宽”之和，不能大于>带宽控制（TOS005）>类，点击页面右侧的对象列表上方的新建图标“”，弹出“类”窗8级优先级，0级为最高优先级。在网络拥塞的情况下，当同一物QoS规则的连接都独享父类指定的带选择待查看关系的带宽控制类对象，然后点击查看关系图标“”，可以查看该带宽控制类对象的关系信息。>带宽控制（TOS005）>规则，点击页面右侧的对象列表上方的新建图标“”，弹出“规则”8级优先级，0级为最高优先级。在网络拥塞的情况下，当同一物“子网”和“地址组”对象。相关设定请参见6.1.15地址对象。址组”对象。相关设定请参见6.1.15地址对象。QoS的控制，比如在上班时间段选择待查看关系的带宽控制规则对象，然后点击查看关系图标“”，可以查看该带宽控制规则的关系信息。等P2P应用进行带宽控制。>带宽控制（TOS005）>动态规则，点击页面右侧的对象列表上方的新建图标“”，弹出“动7级优先级，1级为最高优先级。在网络拥塞的情况下，当同一物理查看动态规则关可以查看该带宽控制动态规则对象的关系信息。FTPQoS策略的相关介绍请参见应用程序识别。接口、类、规则以及动态规则共同组成了基于中兴TOS3.3.005平台的带宽>带宽控（TOS006点击页面右侧的对象列表上方的新建图“弹“带宽控（TOS006”“中”和“低”4级优先级。“”为最高优先级。在网络拥塞的情况下，QoS策略的优先级高，与该QoSACL规则匹配的上时需要设置该项。设置当上行数据流匹配该对象的ACL策略时，在数据流匹配该对象的ACL策略时，所有匹配该规则的IP地址的总当上行数据流匹配该对象的ACL策略时，匹配该规则的每一个IP“中”和“低”4级优先级。“”为最高优先级。在网络拥塞的情况下，QoS策略的优先级高，与该QoSACL规则匹配的下时需要设置该项。设置当下行数据流匹配该对象的ACL策略时，在数据流匹配该对象的ACL策略时，所有匹配该规则的IP地址的总当下行数据流匹配该对象的ACL策略时，匹配该规则的每一个IP 选择待查看关系的带宽控制策略对象，然后点击查看关系图标“”，可以查看该带宽控制策略对象的关系信息。> 选择待查看关系的接口对象，然后点击查看关系图标“”，可以查看该接口对象的关系信息。 在Top中，VONE对象包括资源对象和ACL规则，“资源对象”定义了不同方式下的内网资源，“ACL规则”定义了在什么时间内允许或对哪些资源进行对象”和“ACL规则”的配置请参见本节介绍，“Vone6.2.4安全 在策略对象框中，点开/Plus对象下的子菜单资源，然后选中应用Web化，在右侧界面中，点击新建图标“”，弹出配置应用WEB化资源的窗口，最多63字节。设置资源的描述信息，描述的长度过31个字符。一个字母、数字代指该资源的地址（可以使用IP地址或）。不可为空，最多255