安全接入网关管理员手册

df/an.

移动云管理员手册

V33

声明

本文的内容是橙乐移动云管理（以下简称SGA）平台配置。文中的资料、说明等相关内容的版权归西

安橙乐信息技术有限公司所有和保留。本文中的任何部分未经西安橙乐信息技术有限公司（以下简称橙乐）

许可，不得转印、影印或复印、发行。

本手册仅作为操作使用手册，手册里包含的所有内容不提供任何明示或者暗示的担保。

本手册只作为SGA3.0版本的使用说明，如需获取其它版本的使用手册，请联系服务部获取相关文档。

解决方案中所谈及的科技产品的名称是橙乐的商标。方案中涉及的其他公司的注册商标属各商标注册

人所有，恕不逐一列明。

致谢

感谢你使用橙乐的产品和使用手册，如果你在使用的过程中对我们的产品和手册有任何的建议或者

意见，都可以通过电话、QQ或者邮件的形式反馈给我们。我们将不胜感激！

联系信息

办公地址：西安市经济技术开发区凤城九路海博广场C座10层11005室

产品咨询热线/p>

售后服务电话/p>

邮箱163.com

邮编：710000

2005-2015©版权所有西安橙乐信息技术有限公司

本手册以系统版本3.2.0.1为例，在win7、IE9的情况下进行配置、演示。不同版本的SGA在后台配置

会稍有不同。如有任何疑问，请咨询科技售后获取技术支持。

本文约定:

描述代替符号举例

菜单栏[]应用发布按钮简化成【应用发布】

连续菜单栏-A快捷菜单下的快捷配置简化成

【快捷菜单】一【快捷配置】

按钮加粗并加上边框确定按钮简化成陋

（，

输入栏如基本配置的IP地址简化成‘IP

地址'

单选框或复选框rj如网络设置的接入方式选项简化

成r接入方式」

弹出对话框()更改密码一网页对话框简化成

｛更改密码一网页对话框｝

SGA后台配置中带有“*”标注的为必填项。

本文如看到“注：”表示需要您留意，请务必认真阅读。

“移动云接入管理平台”设备在本文描述中都将以“SGA”字样代替描述。

目录

1产品简介.....................................................................0

1.1概述....................................................................0

1.2客户端环境要求..........................................................0

1.3管理员配置环境要求......................................................1

2默认配置.....................................................................1

2.1快捷菜单................................................................2

2.1.1快捷配置.........................................................................2

2.2应用发布...............................................................10

2.2.1CAB应用........................................................................10

2.2.2TCP应用........................................................................17

2.2.3IP应用..........................................................................19

2.2.5移动视频资源...................................................................26

2.2.4单点登录........................................................................27

2.2.5IBOX云盘.......................................................................30

2.2.6应用相关配置...................................................................33

2.3用户管理...............................................................36

2.3.1系统用户........................................................................36

2.3.2系统用户组.....................................................................42

2.3.3导入/导出用户...................................................................44

2.3.4用户注册审批...................................................................51

2.3.5在线用户........................................................................53

2.3.6登录历史记录...................................................................54

2.3.7用户相关配置...................................................................54

2.3.8管理员账户......................................................................56

2.4认证与策略.............................................................58

2.4.1登录策略........................................................................58

2.4.2认证服务配置...................................................................61

2.4.3客户端策略......................................................................76

2.4.4移动IP过滤.....................................................................77

2.5证书中心...............................................................77

2.5.1CA配置.........................................................................77

2.5.2生成证书........................................................................77

2.5.3证书列表........................................................................80

2.5.4证书申请审批...................................................................81

2.5.5证书吊销........................................................................82

2.5.6在线证书状态服务...............................................................82

2.6VPN......................................................................................................................................83

2.6.1IPSEC......................................................................................................................................................83

2.6.2PPTP.......................................................................................................................................................89

2.6.3网对网配置......................................................................92

2.7网络配置...............................................................94

2.7.1基本配置........................................................................94

2.7.2路由配置........................................................................98

2.7.3SNMP配置......................................................................99

2.7.4DHCP服务器...................................................................100

2.7.5防火墙配置.....................................................................100

2.7.6网络测试.......................................................................104

2.8系统管理...............................................................104

2.8.1系统配置.......................................................................104

2.8.2页面定制.......................................................................107

2.8.3消息公告.......................................................................109

2.8.4双机配置.......................................................................110

2.8.5备份/恢复.......................................................................111

2.8.6系统升级.......................................................................112

2.8.7关机重启.......................................................................115

2.8.8日志中心.......................................................................116

3附录.......................................................................118

3.1串口下设置说明.........................................................118

3.2双机热备功能配置说明..................................................121

1产品简介

1.1概述

我公司作为国家密码管理局批准的商用密码产品生产定点单位和销售许可单位,推出了

自主研发的移动云产品。目前，手机上的应用还是很有局限性，应用软件供应商很难在智能

手机上开发其应用系统，如果想把WINDOWS平台上的应用软件移植到智能手机上，还存在很

多技术上的难度，底层支持，浏览器支持，兼容性等问题非常明显，的移动云应用平台给出

了很好的解决方案，它借由客户端去访问互联网上的应用服务器资源，它既能充分利用手机

的便携性，续航时间和通信能力等众多天生优势，又不要求其具有较高的数据处理、计算和

存储能力。一方面，运用远端“云计算”的高速处理能力来解决手机处理能力低下的问题：

另一方面，利用“云存储”则可以解决手机存储能力不足的问题。

移动云软件具备在任何地点、向任何用户交付任何应用的能力。它给将基于云的资源交

付给用户，通过这个应用集中管理的平台，不断优化用户的应用性能和安全性，以应对不断

变化的工作负载需求和基础架构可用性。从而使手机用户能够轻松访问其授权的应用和程

序，可以提供足以媲美本地PC的丰富、完整的用户体验。移动云软件的一般部署方式如图

1所示。

图1

1.2客户端环境要求

移动终端推荐使用的操作系统：android2.3及以上，IOS4.3及以上。

PC推荐使用的操作系统：windowsxp/win7/win8

1.3管理员配置环境要求

推荐使用浏览器：IE7,IE8,IE9,IE10

2默认配置

SGA默认在ethO口和eth1口设置了IP。ethO口:54/24,eth1口：

54/24oSGA的后台管理端口默认为：4433,前台登录端口默认为：443。

现将设备的eth1口接入到网络中，则你的电脑也要配置一个192.168.1.X/24网段的IP,

确保SGA与电脑室相通的。打开IE浏览器，输入SGA的后台管理地址：

httDS：//54:4433,则会看到图3的登录界面。

—丽而已■理平日

I

99

图2

‘管理员’输入：admin,‘密码’输入：111111,这是设备默认的管理员密码。登录

成功后，如图4所示：

左边为模块区，点击每个模块都会进入相应模块的配置界面。

上部为标题栏，能看到I系统信息|、|修改密码||、陋可按钮,

点击系统信息看到的就是图4的界面,

点击|修改密码||可以修改管理员的密码,默认是最低6位，且必须含有字母、数字、特

殊字符。

丽,退出后台配置界面。

图3

2.1快捷菜单

可对初次使用系统进行最简配置，实现系统基本可用。

2.1.1快捷配置

快捷配置里面包括6个选项卡，分别是【网口配置】，【DNS配置】，【动态域名】，【许

可配置】，【时间配置】，【证书配置】，如图5所示。

图4

【网口配置］通过点击相应网口丽按钮,可修改该网络接口的接入方式、IP地址、

掩码、默认网关、MTU值、线路权重，也可配置多个虚拟IP地址（即一个网口绑定多IP

地址）。如图6所示:

禧前言管理平之

控制台主页»55^eadmin登录！您上一次矍录的IP是：0登录时间为:2012T2-614:28:27

DNSS?S动杰域名|许可配置|时目被置|证于酣8

etho

1921681108

192168.1101

1500

1（有多条线路上网寸，该值可调节本线路占整体的比重，值越大比重越大）

IP地址掩码

[添加

碓重孟

图5

「接入方式」项中，支持3种接入线路方式：静态IP,DHCP,PPPOEo只有静态IP

接入方式可配置虚拟IP（即一个网口绑定多IP地址）。只有静态IP和PPPOE接入方式可

配置线路权重。

“静态IP”，选择接入方式为“静态IP”时，看到图7的界面，可以对设备的接口配置

静态的IP、掩码和网关。MTU值请保持默认，勿轻易修改。

网口配置「DNSR量|动态域名|许可歆蹙|时间设置|证书配蹙

网口设置

名称：

接入方式:

I现址：

掩码:

默认网关:

MTU:

线路权重:

I眺址推码

虚嘏IP：

[W

确定ss

图6

“DHCP”模式：设备动态获取IP地址，不用手工分配（不建议采用这种方式）;

“PPPoE”：将设备当网关直接接入到互联网，拥有一条拨号宽带线路，就可以拨号上

网，填写由运营商为你提供的账户密码登陆，见图8。

网口酉选|DNSgjffl|动态域名许可配量|时阚设蹙|证书酉造

网口设置

名称：etho

接入方式：|PPPoE国

账号：-12345678@163gd—

密码：*•••••••••

确认密码：-.............

线路权重：1（有多条线路上网寸，该值可调节本线路占整体的比重，值皴大比重越大）

状态显示：

I确定重置

图7

‘线路权重'：即线路负载均衡，只在有多条线路上网时起作用，该值针对内网通过设

备上网的用户，调节本线路占整体的比重，值越大比重越大。具体举例说明：如ethO为

PPPOE拨号上网线路，线路权重设置为3,ethl也为PPPOE拨号上网线路，线路权重设

置为7,可理解为2条线路带宽看作一个整体值：10,ethO占整体的30%,ethl占整体

的70%,即内网用户通过设备上网，数据流会从这2条线路分别出去，30%的数据会走ethO

出去，70%的数据会走ethl出去。这一说法只是一个大约的数据流分配走向，具体不会有

那么精确。

【DNS配置】：配置DNS服务器的IP地址，使设备能正常解析域名，如图9：

网口配置|DNS配置|动态域名|许可配置|时间设置证书配置

DNS设盖

首选DNS廉费器：20296.134.133

备用DNS服务器：8.8.88

匣:is

图8

【动态域名】：页面如图10所示，系统默认内置了希网和花生壳2个免费域名客户端。

图9

以下以希网网络(www.pubyun,com)域名为例:

网口配置DNS®置动态域名许可配置时间设置证书酉(置

提交重置

图10

‘用户账号'：希网网站上，您申请域名所登录的有效账号;

'登录密码'：希网网站上，您申请域名所登录账号的密码;

'描述'：可不填；

F绑定接口J：绑定一个可以连接外网的设备接口；

‘动态域名'：您将绑定在设备上的有效域名；

'更新频率'：设置系统将每几分钟去更新该域名所对应的设备的公网IP地址;

『自动启动J：勾选上启用后，系统每次启动将自动启动该域名客户端；

提交后，如需要马上启用该域名客户端，需要在返回页，操作项下点击画。

花生壳()域名配置如下:

网口配置DNSffl贵动态域名许可配置时间设置证书配置

花生壳()配置

用户账号：

登录密码：

描述:

绑定接口:

Web服务地址:

DDNS服务器:

自动启动：

修改后需要重新启动服务才能生效

提交重走

图11

'用户账号'：花生壳网站上，您申请域名所登录的有效账号;

'登录密码'：花生壳网站上，您申请域名所登录账号的密码;

‘描述’：可为空;

「绑定接口上绑定一个可以连接外网的设备的接口;

'Web服务地址’：花生壳的Web服务地址，可不做修改;

'DDNS服务器’：花生壳的DDNS服务器地址，可不做修改；

『自动启动J：勾选上启用后，系统每次启动将自动启动该域名客户端；

提交后，如需要马上启用该域名客户端，需要在返回页，操作项下点击画

图12

注：请勿在无技术人员的情况下，随意修改'序列号'里的信息。

【时间设置】：默认自动同步时间，如时间不对，需要手工同步系统时间，如下图14：

I网口配置DNS®置动态域名许可酉z贵时间设羌证书酉e贵

手工设置

系统日期：|2013-03~18I（YYYY-MM-DD）

系统时间：115:04:38|（HH：MM：SS）

确定

使用时间服务罟同步

时间服务器：|

同步

图13

注：在配置时间服务器同步之前，请确认您的设备与外网是连通的，并且配置了有效的

DNS。

【证书配置】选项卡

出厂时，设备上有一套自建的证书文件，包括CA根证，服务器证书，证书销毁列表，

可进入CA配置页面查看证书的信息，如图15：用户可以不修改此证书，直接使用。设备

支持多CA认证（三个CA）,还可以在此配置其它CA信息。

网口配置一,—DNS配置|动态域名许可配盘——时间证书配送

当前CA酉E置类型：自建CA更新CA®贵

根证书信息

颁发给：root

颌发者：root

序列号：C8DB26397D3BD2FA

有效起始日期：2008年9月8日17:06:15

有效终止曰期：2033年9月2日17:06:15

服务寄E书信息

颌发给：server

颌发者：root

序列号：AAE470529209C381

有效起始日期：2008年9月8日17:06:22

有效终止日期：2033年9月2日17:06:22

更新服务器证书（如果设备地址发生改变，需要重新签发服务器证书，点此梃接配置新服务器证书）

图14

用户如果要修改证书，可点击更新CA配置，进入以下界面:

注意：在配置证书的时候，请务必先在【系统管理】一【系统配置】一【时间设置】里,

将时间设置精确。

证书创建方式分两种：一、自建证书，二、导入第三方签发的证书。

我们选择「自建证书J，用户只要填写好下面的信息，点陋，系统便可根据您提交的

信息生成CA根证书。

根证书奔走

证书创建方式⑥自建证书©导入第三方签发的证书

使用者名称*

Email

组织名称*

部门名称

城市*

省份*

国家代号*CN国家代号必须是两位，中国代号CN

私钥保护口令*

确认私钥保护口令*

提交重置

图15

CA根证书生成后，会自动跳转到服务器证书的生成界面，如图17：

自建根证书创建成功，下一步，清继续酉匕置服务器证书，完成CA配置的更新操作

服势署证书配置

使用者名称：*（请埴写设备域名或加地址）

Email:

组织名称:*

部门名称

城市“

省份*

国家代号*CN国家代号必须是两位，中国代号CN

确定重置

图16

用户填写好需要填写的信息，|确定|后,将会自动重启系统服务，用户可刷新页面重新

回到CA配置页面，可查看到您刚才生成的证书信息，自建证书的生成将会自动为CA根证

生成证书销毁列表。

注：自建CA和自建服务器证书必须一气呵成，该次自建证书的生成才会有效。

如果用户有自己的一套证书，也可以在系统上导入自己的证书，选择导入第三方签发的

证书出现以下界面：

系统支持X509,P12,P7B格式的根证书的导入，注意：根证书只有导入私钥文件，

才能在系统里面的证书生成页面生成用户证书。如果不需要通过系统生成、签发与导入CA

根证匹配的用户证书，可不导入根证书的私钥。

服务器证书的导入支持X509和P12格式，服务器证书可不导入。需要注意的是：服

务器证书一定要是上面导入根证书签发的。特别注意：服务器私钥文件不支持WINDOWS

系统证书机构下生成的.pvk格式的文件，您可以在WINDOWS系统证书机构生成一个P12

格式的服务器证书导入到系统里面。如果是WINDOWS下生成的服务器证书，请在生成证

书的时候，选择类型为“服务器证书”，客户端证书类型是不能在此作为服务器证书导入的。

'证书销毁列表配置‘可不做配置，如果用户需要导入证书销毁列表，需要注意的是：

该证书销毁列表一定要与上面导入的服务器证书和CA根证书相匹配，并且证书销毁列表的

生成时间不能过期，否则系统将会提示导入第三方证书不成功。

如果用户导入的根证书是带私钥的，提交后，系统为该CA根证书生成证书销毁列表。

根证书倒凄

证书创建方式©自建证书㈱导入第三方英发的证打

选择证书类型［X509证书(、cer.Lcrt,•pem,,.de7)三］

粮证书文件=I浏览...I

私钥文件叩是JKS格式私钥,请转粮为PEM格式和钥，且休方法卷见茶助文档

私钥保护口令

展务器证书承盖

选择证书类到；X509证■(*cer*crt,*pem/der)臼

序号器证书-［涵览...］

服劳器私铜-［浏览...］用是」KS格式私朗，请转换为PEM格式私钥，具体方法绘见帮助文档

保护口令

证书徜毁列表配造

证书消毁列表【澜览...I

提交重奏

图17

2.2应用发布

2.2.1CAB应用

CAB应用里面包括4个选项卡，分别是【CAB应用发布】、【CAB应用分组】、【CAB

服务器】、【CAB服务配置】。

[CAB应用发布】选项卡页面如图19所示:

条件过滤，可针对己经发布的CAB应用资源，根据名称，描述，状态进行单独、组合、

模糊、精确等查询。

快技菜华

CAB应用发布CAB服务善

盲网发布

CAB应用

条件过虎▼

TCP应用

IP应用

单点餐录描述:

IBOXzfi状态:

应用相关取置近询者空

*IN*XU蹂所有

£1。名彝3伸述«程序

当蔺第in页其深记录H匕|UR矮克茗J区依北

图18

添加/配置CAB应用资源，点添加后，出现图20、21配置界面（分为基本信息、通

用配置、PC端配置和移动客户端配置。可以根据需要选择相应的选项配置后使用）:

CAB应用发布CAB应用分组CAB服务器CAB服务配置

基本信息

名称：*（H能包含中文，字母，数字和.一@符号）

描述：仅能包含中文，字母，数字和符号）

排序优先级：（值越大在前台资源列表中的显示位置越靠前，不填或为项”按默认排序）

启用

通用球孟

应用账户：

登录域：使口域帐号为\domain\user厕这里输入"domain";为空为不加入域）

登录后工作目录：

登录后启动程序：

中断时会活保持：1设定保持时长为“1X120分钟（时长范图＞99999）

窗口大小：800*600日

颜色深度：国

图标;系统默认图标反J

PC湍陷

使用方式：|TCP画

是否隐藏B（选中该项，在用户页面此奥源将不可见）

是否自动弹出B

移动

工作目录1:

启动程序1:

工作目录2:

启动程序2:

工作目录3:

启动程序3:

关联SSO:

图19

关联CAB•若者

应用美联制多个ii务25后会启用负致均15

192168.110.120

全第添加》

192168110122

192168110123

192168110.124

19216811056

百全部刷像

图20

基本信息

‘名称‘：CAB应用资源在系统和用户界面的显示名称。

'描述，：可为空。

'排序优先级'：值越大在前台资源列表中的显示位置越靠前，不填或为0则按默认排

序。

「启用」：是否启用该资源。

通用配置是PC端和移动云客户端使用时都必须配置的选项如下：

通用配置

「应用账户J:可以采用“使用登录设备账号”和“设置默认账号”

“使用登录设备账号”：如选择这一项，表示应用账户直接使用SGA设备内的账户

进行登录，此种情况下需要iCylanAPP在相应服务器自动创建相应具有远程桌面登录

权限的账号进行匹配使用，用户会自动登录相应的CAB应用资源。此种方法，Windows

登录和SGA前台共用一套账号和密码。

“使用默认账号”：如选择这一项，表示应用账户可以使用终端服务器上具有远程

桌面登录权限的账号自动登录使用。

'登录域'：如果发布的cab服务器是域中心服务器或者是已经加入域的服务器，需要

填写域名。

'登录后工作目录'：登录CAB应用后启动的程序的工作目录。

'登录后启动程序’：登录CAB应用后启动的执行程序名。

『中断会话保持」：远程连接中断时将会话保持，可设置为：不保持、一直保持和设定

保持时长。

『图标」：该资源在客户端的显示图标。自定义图标可在【应用发布】一【应用相关配

置】一【图标管理】模块页面上传。

PC端配置，配置后只适用于登录PC前台的用户使用，如下：

「使用方式」：CAB应用所走的隧道方式。有TCP,IP,内网方式三个选择项。

f是否隐藏J：勾选后，在用户有权限访问该资源的情况下，用户登录前台将不会显示

该资源。

「是否自动弹出即一登录进移动云PC前台页面，马上弹出该应用页面，不用用户

手工点击。

移动客户端配置，配置后只适用于登录移动客户端的用户使用，如下:

'工作目录1,2,3'：登录CAB应用后启动的程序的工作目录。

'启动程序1,2,3'：登录CAB应用后启动的执行程序名。

上述两项配置后，在移动云客户端可以同时启用多个应用程序

「关联SSO」：关联相应SSO（单点登录）资源，再配合科技的iCylanAPPServer使用。

可以直接用手持终端登录SSO资源，第一次输入用户名和密码后，以后访问无需再次输入即

可登录使用。

（强制使用服务器配置」：强制使用在SGA后台配置的分辨率等信息。

「关联CAB服务器」：CAB资源关联到多个CAB服务器后，自动启用服务器负载均衡

应用必须要关联CAB服务器！CAB服务器需要在【CAB服务器】选项卡中配置后才能

显示，并且CAB负载均衡的依据是:网络利用率/CPU使用率/内存使用率，不包含登录用户

数）

【CAB应用分组】选项卡：

将多个应用分到一个指定的组，在前台访问后，应用会在一个分组里。

3SS1/1®共1条记录画©i必区跳到第正］页1

图21

【CAB服务器选项卡】页面如图23所示:

“admin,欢迎黄录？念上一次登录的IP是：31登录时间为:2013-8-816:18:28

CAB应用发布CAB研分相CABflg^g|CABfl除雀B!

。本加》却断Ma除所有

13£锵，毗，iPifiiit:端口31烧*花跄

图22

只有在此处添加了CAB服务器后，CAB应用发布页面中『关联CAB服务器」栏才有

相应信息出现。并且必须要添加CAB服务器才能正常使用CAB应用。

添加/配置CAB服务器，点屋洞后,出现以下配置界面:

ICAB应用发布|CAB应用分组|CAB服务器|CAB服务配置

基本信息

名称：*一（只能包含中文，字母，数字和.一@符号）

描述：[]（R能包含中文，字母，数字和•一©符号）

启用画

通用配置

CAB服务器地址：*一I崛址或域名

iServe端口：*19221-（1-65535,使用默认值即可，若要修改，请与iServei厢务器保持一致）

PC送配S

共享打印机：|共享默认国

使用WINDOWS组合键：|在远程计算机上一四

本地设备映射《PC瑞）

磁盘唳射串口映射井口映射

磁盘映射

图23

基本信息

'名称'：在CAB应用发布页面中“关联CAB服务器”栏显示的服务器名称。

'描述'：可为空。

『启用」：是否启用该资源。

通用配置

'CAB服务器地址'：要发布的CAB应用服务器的IP地址。

'iserver端口'：iserver侦听端口，默认是19221端口

PC端配置

[共享打印机J：选择是否共享用户的打印机，分别有3个选择项：共享所有，共享默

认，不共享。

『使用WINDOWS组合键J：有在远程计算机上，在本地计算机上，在全屏模式下三

种选项。

本地设备映射（PC端）

将本地电脑的磁盘映射到服务器，可以实现远端文件保存到本地

[CAB服务配置】选项卡，如图27所示：

CAB应用发布CAB应用分组CAB服务器CAB服务配置

02送信息

画同步本地用户账号到CAB服务器（开启后，设备上的用户耨自动同步到CAB服务器上）

I□同步用户账号时不带前缀（如遇同名账号，CAB服务器上原账号密码会被替代）

确定重置

图24

『配置信息」：同步本地用户账号到CAB服务器（开启后，设备上的用户将自动同步

到CAB服务器上）、同步用户账号时不带前缀（如遇同名账号，CAB服务器上原账号密码

会被替代），并且在【用户管理】一【系统用户】一【系统用户】选项卡中会显示I同步所有

的按钮，如图28：

>>admin,欢迎婺录！您上一次登录的IP是：31登录时同为:2013・8・816:18:28

系统用户批量添加用户至尊且用户批量移出组批量修改用户禺按用户多硬件绑定管理自动生成密码配蚩

分随户

名称：真实姓名：|

系统用户组

斫属用户组:触

导入/导出用户

用户类型：证书序歹骋：

用户主册审批

认证类数：【啷户：:

在线用户V

靖