网络安全设备配置与管理（基于深信服）（AI助学）（微课版）全套课件 项目1-6 下一代防火墙配置与管理-网络安全设备综合实战

ConfigurationandManagementofNext-GenerationFirewallDevices教师xxxCybersecurity下一代防火墙设备

配置与管理ONE教学目标TeachingObjectives知识目标01理解下一代防火墙的基础概念。02掌握下一代防火墙的性能指标。03熟悉下一代防火墙的技术及应用。教学目标能够运用防火墙的相关功能有效防护网络攻击，保障网络系统安全、稳定运行。能够针对不同规模与需求的网络环境，设计切实可行的防火墙部署与组网方案，并能够运用科学、合理的方法进行故障分析与排查。能够运用多种方式登录防火墙，配置防火墙的网络接口、访问控制、安全策略等。能力目标教学目标素质目标培养学生的创新思维，在应对复杂多变的网络安全环境时，积极探索新的防护策略。培养学生的团队协作与沟通能力，共同完成防火墙的部署、配置与维护。培养学生的网络安全意识和责任感，认识防火墙在保障网络安全中的重要作用。教学目标321TWO1.1防火墙概述OverviewofFirewalls防火墙的定义防火墙概述“防火墙”起源于建筑领域，它能够将建筑物分隔成不同的区域，阻止火势从一个区域蔓延至另一个区域，为建筑物内的人员和财产提供安全保障。防火墙网络安全领域一种位于内部网络和外部网络之间的网络安全系统，保护一个网络区域免受来自另一个网络区域的攻击和入侵。国家标准GB/T20281—2020《信息安全技术防火墙安全技术要求和测试评价方法》定义防火墙为对经过的数据流进行解析，并实现访问控制及安全防护功能的网络安全设备。防火墙的分类防火墙概述防火墙软件防火墙硬件防火墙Windows系统防火墙Linux系统防火墙设备形态其他各安全厂商的软件防火墙运行于特定的计算机上，需要客户预先安装好操作系统盒式防火墙桌面型防火墙框式防火墙防火墙的分类防火墙概述防火墙边界防火墙个人防火墙部署位置内部防火墙混合防火墙防火墙百兆级防火墙万兆级防火墙性能芯片级防火墙千兆级防火墙防火墙的历史演进防火墙概述防火墙的发展经历了从低级到高级、从功能简单到功能复杂的过程，在这一过程中，网络技术的不断发展，新需求的不断提出，推动着防火墙向前发展演进。防火墙的性能指标防火墙概述1.吞吐量核心性能指标之一指其在无丢包、满足指定服务质量的条件下，单位时间内能够接收、处理并转发的最大数据量，通常以每秒比特数（bitspersecond，bps）为核心衡量单位，也可根据场景换算为每秒字节数（Bytespersecond，Bps）。是衡量防火墙处理能力的关键指标。在高数据流网络环境中，如数据中心或大型企业网络，较大的吞吐量可以确保防火墙不会成为网络瓶颈，从而保证网络的流畅性和高效性。防火墙的性能指标防火墙概述2.时延指数据包通过防火墙所需要的时间，通常以毫秒（ms）为单位。防火墙的处理速度、内部架构以及采用的过滤和检测方法都会影响时延性能。在对实时性要求较高的网络应用中，如语音通话、在线游戏和视频会议等，低时延对防火墙来说是最基本的要求。防火墙的性能指标防火墙概述3.丢包率指在传输过程中丢失的数据包数量占总发送数据包数量的百分比。当网络数据流超过防火墙的吞吐量或者网络出现拥塞时，丢包的可能性就会增大。较低的丢包率意味着防火墙在强大的负载压力下能够稳定地工作。防火墙的性能指标防火墙概述4.并发连接数指防火墙能够同时处理的连接数量，并发连接数越多，防火墙抗攻击能力也越强。对于提供网页服务、邮件服务等应用的服务器，会有大量的用户同时建立连接。如果防火墙的并发连接数过少，当连接请求超过其限制时，新的连接将无法建立，就会导致用户无法正常访问服务。防火墙的性能指标防火墙概述5.每秒新建连接数指防火墙每秒能够建立的新连接数量。反映了防火墙对突发网络连接请求的处理能力。如果这个指标较低，当大量新连接请求同时到来时，防火墙可能无法及时处理，导致连接建立延迟或者失败。深信服下一代防火墙介绍防火墙概述为用户提供L2到L7网络的全面安全防护能力，是一款能够有效应对传统网络攻击和未知威胁攻击的创新网络安全设备以保障用户核心资产为目标，在传统防火墙的基础上集成了丰富的应用层安全功能集成云端订阅服务、机器学习和大数据分析等业内领先的创新安全技术，增强组织网络边界的安全检测与防控能力，保障网络的正常运行，实现业务的稳定运行防火墙概述兼具传统防火墙的所有功能特性同时被赋予了风险预知、深度安全防护、检测响应的能力，最终形成了全程保护、全程可视的融合安全体系。包括交换/路由、访问控制、双机热备、抗DDoS（分布式拒绝服务）攻击、应用代理、DHCP/DNS（动态主机配置协议/域名服务）、VPN（虚拟专用网）等功能防火墙概述融合不是单纯的功能叠加，而是依照业务开展过程中会遇到的各类风险而提供的对应安全技术手段的融合，能够为业务提供全流程的保护。多层安全防护措施持续检测和快速响应机制资产风险发现与策略验证相关信息通过多元化渠道呈现给用户融合安全事中事后全流程事前THR1.2下一代防火墙的部署与组网方案DeploymentandNetworkingSchemeoftheNext-GenerationFirewall下一代防火墙的部署与组网方案常用的部署模式下一代防火墙的部署模式是指设备的工作模式，主要分为如下几种模式。部署模式场景说明路由模式设备可以作为路由设备使用，对网络改动最大，但可以实现设备的所有功能透明模式可以将设备视为具备过滤功能的网线来使用，通常在不便调整原有网络拓扑的情况下启用，能够无缝接入网络实现设备的大部分功能虚拟网线模式是透明部署中另外一种特殊情况，无须检查MAC表，直接从虚拟网线配对的接口转发，且虚拟网线转发效率高于透明模式旁路模式设备连接在内网交换机的镜像口或集线器上，镜像内网用户的数据，通过镜像的数据实现对数据流进行检测。可以完全不需要改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备只对数据流进行检测，无法对恶意数据流进行阻断混合模式主要指设备的各个网口，既有2层口又有3层口的情况，特别是当DMZ（非军事区）服务器集群需要配置公网IP地址的时候下一代防火墙的部署与组网方案高性能组网方案深信服下一代防火墙支持两台设备以主主模式或主备模式运行。主主模式指两台防火墙均处于工作状态，根据数据流转发到不同防火墙的情况来进行数据处理，通过心跳口同步配置及会话，起到设备冗余与负载均衡的作用。下一代防火墙支持网桥模式主主部署（网桥模式包括透明模式和虚拟网线模式）下一代防火墙的部署与组网方案高性能组网方案主备模式又称双机热备模式，一台设备处于工作状态，另外一台设备处于热备状态。两台设备通过心跳口检测对端是否存在同步配置及会话，当主设备出现问题触发切换条件时，设备会自动把业务切换到备设备，并且通过会话同步等机制，保证业务不中断，从而实现业务稳定运行。下一代防火墙支持路由模式下主备部署和网桥模式下主备部署。FOUR1.3下一代防火墙的关键技术Keytechnologiesofthenext-generationfirewall下一代防火墙的关键技术DDoS攻击防御技术分布式拒绝服务（DistributedDenialofService，DDoS）攻击攻击者通过控制大量的网络设备（如个人计算机、服务器、物联网设备等），向攻击目标（如网站、Web服务器、网络设备等）发出海量的但并不是出于正常业务需要的访问请求，来耗尽目标系统或网站的资源，让用户无法正常使用该系统或访问该网站，从而达到破坏网站或在线服务正常运行的目的。下一代防火墙运用多重DDoS攻击防御算法，能够有效防御针对数据包、IP报文、TCP报文、基于HTTP（超文本传送协议）的DDoS攻击等各类泛洪攻击，同时对各种畸形报文攻击进行检测，并抵御IP地址和端口扫描等窥探攻击。下一代防火墙的关键技术DDoS攻击防御技术下一代防火墙的关键技术入侵防御技术入侵防御系统（IntrusionPreventionSystem，IPS）通过分析网络数据流检测僵尸、木马、蠕虫等恶意威胁入侵，并通过一定的响应方式实时地中止入侵行为，保护企业信息系统和网络架构免受侵害。下一代防火墙的关键技术失陷主机检测技术失陷主机指网络攻击者通过某种手段获得控制权的主机。攻击者在获取控制权后，会建立命令与控制（CommandandControl，C&C）隐蔽通道，并向失陷主机发送恶意指令，甚至利用该主机作为跳板继续攻击内网中的其他主机。下一代防火墙的关键技术失陷主机检测技术下一代防火墙采用本地特征库与云端网络数据流分析（NetworkTrafficAnalysis，NTA）技术相结合的方式，精准定位各类失陷主机的高危行为。下一代防火墙本地配备了大量僵尸网络特征库，包含主流恶意URL、C&CIP地址等，通过比对风险主机的非法外联行为，能够准确确认并定位失陷主机。由于攻击者常采用恶意软件进行隐秘通信，包括使用DGA（域名生成算法）通信、DNS隐蔽通道通信、字典拼接通信、硬编码通信等，大大增加了对非法外联行为的检测难度下一代防火墙采用NTA异常数据流行为分析引擎，基于AI与规则的闭环迭代机制，有效发现异常数据流，定位未知威胁。下一代防火墙的关键技术病毒查杀技术采用流模式和启发式文件扫描技术使用自研的AI杀毒引擎SAVE，可对HTTP、SMTP（简单邮件传送协议）、POPv3（邮局协议第3版）、IMAP（因特网信息访问协议）、FTP（文件传送协议）、SMB（服务器消息块协议）等多种协议类型的近百万种病毒进行查杀，包括宏病毒、脚本病毒等使用自研的AI杀毒引擎SAVE可对多线程并发、深层次压缩文件等进行有效控制和查杀下一代防火墙的关键技术Web应用防护技术采用“规则匹配+智能语义分析引擎”双重检测机制，精准防御攻击者发起的应用层攻击行为。下一代防火墙的关键技术Web应用防护技术该防火墙内置丰富的主流应用特征库并实现实时更新，可高效识别各类主流Web应用攻击。集成Web应用防火墙（WebApplicationFirewall，WAF）模块，专注于七层安全防护，能够有效应对OWASP（开放式Web应用安全项目）组织提出的十大Web安全威胁的主要攻击。下一代防火墙的关键技术引流蜜罐技术旨在诱使攻击者进入虚拟环境中的蜜罐，以便进行攻击行为的监测、分析和响应。蜜罐是特制的虚拟或物理计算机系统，看起来对攻击者具有吸引力，但实际上用于识别和跟踪威胁行为。通过使用引流蜜罐技术，安全团队可以主动扰乱攻击者，并获取对他们行为的实时监测，以保护网络安全和增强应对威胁的能力。FIVE1.4下一代防火墙的行业应用解决方案Theindustryapplicationsolutionforthenext-generationfirewall下一代防火墙的行业应用解决方案1．互联网出口防护解决方案通过全面智能防护引擎，有效拦截攻击行为，精准识别被入侵后的失陷主机行为。下一代防火墙以业务资产和用户安全为核心保护对象，内置12000+漏洞攻击特征识别库及160万+僵尸网络病毒防护库。该方案采用网端云架构构建纵深防御方案，可联动终端安全管理系统定位进程级威胁，并联动云端托管服务快速形成闭环。下一代防火墙的行业应用解决方案2．对外业务安全防护解决方案下一代防火墙提供基于业务的全流程可视化防护方案，内置业务安全专项运营，汇总展示业务风险等级动态识别业务资产，并灵活应对业务频繁变更所带来的配置风险方案内置5200+Web应用防护识别库，采用漏斗式多层Web攻击检测引擎引入虚拟执行技术，能够有效应对变型Web攻击，保护对外业务安全下一代防火墙的行业应用解决方案3．勒索病毒防护解决方案下一代防火墙所构建的勒索病毒防护解决方案01贯穿事前预防、事中防御、事后处置三大关键阶段03为用户系统筑牢全方位安全防线04基于全流程闭环设计理念，深度融合云端协同与AI技术02SIX1-1实战使用Web登录下一代防火墙实战拓扑使用Web登录下一代防火墙1.设备连线使用一根网线，将PC的以太网接口与AF设备的Eth0接口（AF设备默认的管理接口）相连，以对AF设备进行配置。使用Web登录下一代防火墙2.PC端配置使用Web登录下一代防火墙3.网络连通性测试使用Web登录下一代防火墙4.登录AF设备在PC打开浏览器，输入“51”并按回车键，进入AF设备登录界面，输入用户名、密码、验证码，单击“立即登录”按钮使用Web登录下一代防火墙4.登录AF设备使用Web登录下一代防火墙4.登录AF设备SIX1-2实战/下一代防火墙路由模式部署实战拓扑下一代防火墙路由模式部署在PC1端，使用浏览器访问“51”登录AF设备，以便进行后续配置1.Web登录AF设备下一代防火墙路由模式部署2.设置AF设备安全区域：内网区、互联网区下一代防火墙路由模式部署2.设置AF设备安全区域：内网区、互联网区下一代防火墙路由模式部署3.设置防火墙接口IP地址下一代防火墙路由模式部署3.设置防火墙接口IP地址下一代防火墙路由模式部署3.设置防火墙接口IP地址配置完成后的物理接口IP地址信息下一代防火墙路由模式部署4.设置默认路由指向外网网关地址下一代防火墙路由模式部署4.设置默认路由指向外网网关地址下一代防火墙路由模式部署5.设置SNAT代理内网上网下一代防火墙路由模式部署5.设置SNAT代理内网上网下一代防火墙路由模式部署6.放通内网访问外网的策略下一代防火墙路由模式部署6.放通内网访问外网的策略下一代防火墙路由模式部署6.放通内网访问外网的策略设置完成后，应用控制策略信息如下：下一代防火墙路由模式部署7.内网PC2测试AF通信下一代防火墙路由模式部署登录防火墙Web图形界面，在“策略”菜单下的“地址转换”子菜单界面，查看SNAT（源网络地址）策略的匹配数，匹配数为25不为0，说明防火墙使用路由模式部署，代理内网访问外网成功。8.在防火墙查看转换策略匹配条目SIX1-3实战/下一代防火墙DDoS攻击防护实战拓扑下一代防火墙DDoS攻击防护1.Web登录AF设备在PC1端，使用浏览器访问“51”登录AF设备，以便进行后续配置下一代防火墙DDoS攻击防护2.设置AF设备以路由模式部署组网具体过程可参照实战1-2下一代防火墙DDoS攻击防护3.AF设备开启防DDoS攻击策略下一代防火墙DDoS攻击防护3.AF设备开启防DDoS攻击策略下一代防火墙DDoS攻击防护3.AF设备开启防DDoS攻击策略配置后的“DoS/DDoS防护”策略信息如下：下一代防火墙DDoS攻击防护4.内网PC2模拟DDoS攻击在内网PC2打开cmd命令提示符窗口，输入“ping8”，输入后按回车键模拟向公网服务器8发送DDoS攻击，显示“请求超时”说明数据包已被AF设备拦截清理。下一代防火墙DDoS攻击防护5.在AF设备上查看安全防御日志下一代防火墙DDoS攻击防护5.在AF设备上查看安全防御日志Thankyouforlistening感谢聆听教师xxxConfigurationandManagementofNetwork-wideBehaviorControlDevices教师xxxCybersecurity全网行为管理设备

配置与管理ONE教学目标TeachingObjectives知识目标01了解全网行为管理设备的产生背景。02熟悉全网行为管理设备的部署方式、核心功能和特性。03熟悉全网行为管理设备的关键技术及使用的业务场景。教学目标能够根据用户需求设计全网行为管理设备的部署方案和配置策略，对网络系统进行安全审计和管理，有效地控制网络安全风险。能够使用全网行为管理设备的日志系统进行故障排查，根据故障现象判断故障原因并采取相应的解决措施。能够运用多种方式登录全网行为管理设备，使用Web管理界面配置全网监控、上网代理、接入管理、行为管理、流量管理、行为审计、终端行为安全、系统管理等功能。能力目标教学目标素质目标培养学生严谨细致、精益求精的职业精神和对企业网络安全负责的责任心。培养学生面对突发网络状况时的应变能力以及解决实际问题的综合能力。引导学生树立持续发展的理念，主动学习新的网络安全设备和技术，为个人职业生涯发展做准备。教学目标321TWO2.1全网行为管理设备概述OverviewofNetworkBehaviorManagementDevices全网行为管理的产生背景随着互联网的飞速发展，网络已经广泛普及各个领域和企业。企业内部的网络应用不再是局限于简单的文件共享和网页浏览，而是涵盖了电子邮件、即时通信、视频会议、在线办公软件、云服务等丰富多样的应用形式。同时随着移动设备的大量涌现和无线通信技术的进步，移动办公已成为常态，接入设备的类型和数量大幅增加，网络安全问题日益突出，传统的网络管理手段难以对如此庞杂的流量进行全面有效的监控和管理。全网行为技术以及设备的出现在很大程度上解决了用户网络行为管理方面的问题。比如，在保护网络安全方面，全网行为管理设备可以监控网络中的流量，及时发现并拦截有害的流量，保护网络的安全；在管理网络流量方面，全网行为管理设备可以对网络流量进行分析，根据实际情况对网络流量进行优化和管理，提高网络的使用效率；在管理用户行为方面，全网行为管理设备可以识别和管理用户的行为，对于违反网络使用规定的行为进行限制和警告，维护网络安全和管理秩序；在提高网络管理效率方面，全网行为管理设备可以自动分析网络流量和用户行为，减轻网络管理员的工作负担，提高网络管理效率；在符合规范要求方面，一些行业需要遵守特定的网络安全政策和满足合规要求，全网行为管理设备可以为企业提供符合要求的网络管理解决方案。全网行为管理的定义全网行为管理设备概述全网行为管理的初代设备是上网行为管理设备，上网行为管理指的是在企业、学校及其他公共场所等网络环境中，通过技术手段对用户违规的上网行为进行记录、控制、过滤等操作，以达到维护网络安全、提高工作效率、保护企业利益等目的的一种网络管理方式。全网行为管理在上网行为管理的基础上，进行了功能扩展，管理的范围由上网行为的管理延伸至终端的管理以及办公业务和数据的管理，实现对全网终端、应用、数据的可视可控，防范智能感知终端违规接入、敏感数据泄露、上网违规行为等内部风险，解决上网管控、终端准入管控和数据泄露管控场景的问题，实现“内部风险智能感知，全网行为可视可控”的一体化管控。深信服全网行为管理设备介绍深信服全网行为管理设备是一款认证方式丰富、管控精细、违规行为审计全面的网端融合的行为管理设备。深信服于2005年推出我国第一台专业的上网行为管理网关，并定义了上网行为管理设备的核心功能，这些功能包括身份认证、应用权限控制、内容过滤、应用行为记录等。在2011年，深信服推出第二代全网行为管理设备，明确了身份认证、应用权限控制、流量管理、内容过滤、应用行为记录、SSL（安全套接字层）审计、数据分析、安全防护等基础功能，增强了维护上网安全方面的能力。近些年，随着应用的快速发展，用户在新形势下所面临的内部威胁和挑战逐渐升级，深信服行为管理设备在原有管控互联网的基础上，将能力延伸到管控全网的用户、终端、应用和数据，升级为全网行为管理设备，给用户带来更高的价值。TWO2.2全网行为管理设备的部署与组网方案防火墙概述深信服全网行为管理设备支持多种部署模式与组网方案，用于满足不同场景下的需求。单机部署模式有路由模式、网桥模式、旁路模式和单臂模式等。高性能组网方案有主备模式和主主模式，用于满足高可靠性的要求。在不同场景下，需选择不同的部署模式与组网方案，以达到最佳的使用效果。部署模式场景说明路由模式设备参与路由转发，支持设备所有功能网桥模式在不改变原有网络拓扑结构的情况下使用，平滑部署到网络中，可以应用设备的大部分功能旁路模式无须改变用户的网络架构，可避免设备对用户网络造成中断的风险，部分功能无法实现单臂模式设备作为代理服务器代理内部PC上网，使上网数据经过设备，实现权限控制和审计功能，无须改变用户网络拓扑主备模式同时部署两台设备，通过串口线相连，一主一备，主机发生故障时自动切换至备机主主模式支持两台以上设备同时以主机模式运行，推荐在网桥模式下使用TWO2.3全网行为管理的关键技术KeyTechnologiesforFull-NetBehaviorManagement终端接入认证技术全网行为管理的关键技术指通过对终端设备进行身份验证和授权，允许合法用户或设备接入系统的一种技术。该技术可以用于确保系统的安全性和完整性，避免非法用户或设备对系统造成损害，是目前在企业网络中必备的安全技术。接入认证是用户入网的重要一步，只有完成了认证，才能基于用户配置相应的策略。深信服全网行为管理设备支持丰富的身份认证方式，提供了完善的认证体系，满足企业日常的认证需求。目前支持的认证主要分为两大类，802.1x认证和Portal认证，其中Portal认证有多种认证方式，同时可灵活与第三方认证服务器结合。全网行为管理的关键技术终端接入认证技术终端安全管控技术终端安全管控技术包括非法外联管控技术、外设管控技术、离线审计技术等。非法外联管控技术主要从外联检查和外联控制两个不同的层次加强对非法外联的管控，全面保障内网安全。全网行为管理的关键技术终端应用控制技术终端应用控制技术是一种针对终端的安全保障技术，它通过控制终端应用程序等，限制终端设备能够处理的操作类型和数据，以确保应用或者系统不会被恶意软件攻击，从而保障企业网络的安全。全网行为管理的关键技术流量带宽控制技术全网行为管理设备可以通过对各种网络流量进行精细化控制和调度，使有限的带宽资源得到充分的利用，包括保证通道、限制通道、流量子通道、排除策略、惩罚通道等模块。同时可以限制用户能使用的网络资源的流量和时长，包括流量配额，上网时长控制和并发连接数控制，以及在线终端数量限制。全网行为管理的关键技术指通过对网络流量进行控制和调整，使其在一定的带宽范围内稳定地运行。流量带宽控制技术全网行为管理的关键技术行为审计技术全网行为管理设备的行为审计包括互联网审计策略、客户端审计策略、业务审计策略、高级选项，通过多种审计技术让企业网络行为审计可视化。全网行为管理的关键技术指通过对网络流量进行控制和调整，使其在一定的带宽范围内稳定地运行。TWO2.4全网行为管理的行业应用解决方案Industryapplicationsolutionforwholenetworkbehaviormanagement全网行为管理的行业应用解决方案教育行业应用解决方案全网行为管理设备还支持全面记录师生的网络行为，包括访问的网站URL、访问时间、使用的网络应用、上传和下载的文件等信息。对于邮件收发、即时通信工具的使用情况，也能进行详细记录，方便学校在出现网络安全事件或违规行为时进行追溯。AC内置超百万条网址的分类库，涵盖了常见的各类网站类型。学校可根据自身需求，轻松阻止学生访问不良网站。同时支持自定义网址黑名单，针对一些特定网站，可手动添加至黑名单，进一步强化网络访问控制。全网行为管理设备与学校现有的校园认证系统（如AD域、RADIUS等）无缝集成，实现基于用户身份的网络访问控制。教师和学生使用各自的账号登录校园网络后，可根据其身份、所在院系、班级等信息，精准推送相应的网络访问策略。支持全面的网络行为审计与报表生成，使学校能够清晰掌握师生的网络使用情况，及时发现和处理网络安全隐患及违规行为，增强了校园网络的安全性和管理效率。全网行为管理的行业应用解决方案教育行业应用解决方案在数据安全防护方面，运用先进的加密算法，对金融数据在传输和存储过程中进行高强度加密，使数据以密文形式存在，即使数据被窃取，也难以被破解和利用。在数字化转型的关键时期，金融行业的网络安全与管理水平对其稳健发展起着决定性作用。AC凭借其卓越的性能和全面的功能，为金融机构提供了高效的网络安全和管理解决方案，有效解决了行业内长期存在的痛点问题，助力金融业务在安全、合规、高效的网络环境中蓬勃发展。在精细访问控制方面，AC结合金融机构现有的AD域、LDAP等认证系统实现统一身份认证，按岗位和业务需求设置精细粒度的访问权限，针对特定业务系统，设定仅在交易时间内允许访问，非交易时间自动阻断访问请求，从时间维度上降低安全风险。在合规支持方面，AC

详细记录所有网络访问行为和数据操作信息，包括用户登录时间、登录IP地址、系统访问路径、数据传输内容等关键信息，生成完整且规范的日志报表。AC内置合规检测模板，定期自动对系统配置和网络行为进行全面检测，依据检测结果生成专业、详细的合规报告。金融机构无须再耗费大量人力和时间进行烦琐的合规自查，大大简化了合规管理流程，提高了合规工作效率，降低了合规成本。THREE2-1实战使用Web登录全网行为管理设备实战拓扑1.设备连线使用一根网线，将PC的以太网接口与AC的Eth0接口相连，使用Web登录AC进行配置。使用Web登录全网行为管理设备2.PC端配置使用Web登录全网行为管理设备3.网络连通性测试使用Web登录全网行为管理设备4.登录AC设备在PC打开浏览器，输入“51”并按回车键，进入AC登录界面，输入用户名、密码，勾选“我已阅读并同意”，然后单击“登录”按钮。使用Web登录全网行为管理设备4.登录AC设备使用Web登录全网行为管理设备4.登录AC设备使用Web登录全网行为管理设备THREE2-2实战全网行为管理设备路由模式部署/实战拓扑1．Web登录AC设备在PC1端，使用浏览器访问“”登录AC设备，以便进行后续配置全网行为管理设备路由模式部署2．配置AC部署模式单击“系统管理”→“网络配置”→“部署模式”，在界面右下角单击“开始配置”按钮全网行为管理设备路由模式部署2．配置AC部署模式选中“路由模式（使用防火墙网关的路由功能）”全网行为管理设备路由模式部署2．配置AC部署模式进入“网口配置”界面，按照实战拓扑进行设置全网行为管理设备路由模式部署2．配置AC部署模式进入“LAN口配置”界面，按照实战拓扑进行设置全网行为管理设备路由模式部署2．配置AC部署模式进入“WAN口配置”界面，按照实战拓扑进行设置全网行为管理设备路由模式部署2．配置AC部署模式进入“DMZ口配置”界面，按照实战拓扑进行设置全网行为管理设备路由模式部署2．配置AC部署模式全网行为管理设备路由模式部署进入“认证口配置”界面，由于无认证口，因此可直接单击界面右下角“下一步”按钮2．配置AC部署模式全网行为管理设备路由模式部署进入“NAT配置”界面，“外网接口”选择“所有

WAN口”，“代理网段”设置为

PC1网段“/”以及AD域服务器网段“/”，使两设备可正常访问互联网2．配置AC部署模式全网行为管理设备路由模式部署进入“配置完成”界面，单击界面右下角“提交”按钮，提示将重启设备，单击“是”按钮3．检测配置效果全网行为管理设备路由模式部署在PC1打开浏览器，输入“”并按回车键访问公网Web服务器，可正常访问，说明AC路由模式配置成功。3．检测配置效果全网行为管理设备路由模式部署登录AD域服务器，打开浏览器，输入“”并按回车键访问公网Web服务器，可正常访问，说明AC路由模式配置成功。THREE2-3实战全网行为管理设备用户认证/实战拓扑1．Web登录AC设备在PC1端，使用浏览器访问“/login.html”登录AC设备，以便进行后续配置全网行为管理设备用户认证全网行为管理设备用户认证2．配置AC部署模式为路由模式具体过程可参照实战2-23．配置AC用户认证技术——“不需要认证”登录ACWeb图形界面，单击“接入管理”→“用户管理”→“本地组/用户”，在界面单击“新增”按钮，选择“组”，进行新增用户组操作。全网行为管理设备用户认证3．配置AC用户认证技术——“不需要认证”设置“组名列表”为“无需认证”。全网行为管理设备用户认证3．配置AC用户认证技术——“不需要认证”登录ACWeb图形界面，单击“接入管理”→“接入认证”→“PORTAL认证”→“认证策略”，在界面单击“新增”按钮。全网行为管理设备用户认证3．配置AC用户认证技术——“不需要认证”设置“名称”为“无需认证”，“认证范围”处“选择设备”设置为“所有”，“适用范围”设置为“/”，即内网PC的IP地址范围，然后单击对话框右下角“下一步”按钮。全网行为管理设备用户认证3．配置AC用户认证技术——“不需要认证”设置“认证方式”为“不需要认证”，“用户名”为“自动获取”，选择“以IP地址作为用户名”，设置完成后单击对话框右下角“下一步”按钮。全网行为管理设备用户认证3．配置AC用户认证技术——“不需要认证”认证后处理，用来设置用户通过认证之后的用户组，这里选择在“无需认证”用户组，然后单击对话框右下角“提交”按钮。全网行为管理设备用户认证3．配置AC用户认证技术——“不需要认证”在PC1打开浏览器，输入“”并按回车键访问公网Web服务器，可正常访问，没有出现认证界面，达到“无须认证”效果。全网行为管理设备用户认证3．配置AC用户认证技术——“不需要认证”重新登录ACWeb图形界面，单击“全网监控”→“入网用户管理”，界面显示PC1以IP地址“00”为登录名登录上线，并且所属组为“/无须认证”用户组。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”登录ACWeb图形界面，单击“接入管理”→“用户管理”→“本地组/用户”，在界面单击“新增”按钮，选择“组”，打开“添加组”对话框，设置“组名列表”为“办公区”，然后单击对话框下方“提交”按钮。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”单击“办公区”链接，在弹出的对话框中单击“新增”下拉键，选择“用户”，进行新增用户操作。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”单击“办公区”链接，在弹出的对话框中单击“新增”下拉键，选择“用户”，进行新增用户操作。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”打开“添加用户”对话框，设置用户登录名为“sangfor”，勾选“本地密码”，并设置密码，设置完成后单击对话框下方“提交”按钮。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”登录ACWeb图形界面，单击“接入管理”→“接入认证”→“PORTAL认证”→“认证策略”，在界面单击“新增”按钮，打开“认证策略”对话框，设置“名称”为“密码认证”，“选择设备”为“所有”，“适用范围”为“/”，即内网PC的IP地址范围，然后单击对话框右下角“下一步”按钮。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”设置“认证方式”为“密码认证”，“认证服务器”为“本地用户”，然后单击界面右下角“下一步”按钮。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”设置“认证后处理”，由于用户位于本地，因此不需要选择组织结构，直接单击界面右下角“提交”按钮。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”在PC1打开浏览器，输入“”并按回车键访问公网Web服务器，界面自动跳转至AC用户认证界面，输入已配置的本地用户“sangfor”和对应的密码，勾选“记住登录状态”和“我已阅读并同意免责声明条款”，然后单击“登录”按钮。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”界面跳转至Web服务器，通过密码认证后可正常访问。全网行为管理设备用户认证4．配置AC用户认证技术——“密码认证”重新登录ACWeb图形界面，单击“全网监控”→“入网用户管理”，界面显示PC1通过密码认证，以“sangfor”为用户名登录上线，所属组为“/办公区”用户组。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”登录AD域服务器“00”，打开服务器管理器，单击“工具”→“ActiveDirectory用户和计算机”。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”查看AD域用户信息，并重置用户“user123”的密码，方便后续登录测试。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”设置新密码，取消勾选“用户下次登录时须更改密码”，然后单击对话框下方“确定”按钮。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”登录ACWeb图形界面，单击“接入管理”→“接入认证”→“PORTAL认证”→“认证服务器”，在界面单击“新增”按钮，然后选择“LDAP服务器”选项。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”设置“服务器名称”为“LDAP”，“服务器地址”为“00”，管理员账号和密码设置为AD域的管理员账号、密码。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”在“BaseDN”处单击右侧按钮，在弹出的“组织结构选择”对话框中选中“wxjy”，然后单击“确定”按钮。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”单击“测试有效性”按钮，在弹出的对话框中，选中“账户有效性”，“用户名”设置为第（2）步操作中已重置密码的用户“user123”，输入密码，然后单击“测试有效性”按钮。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”系统提示“该域用户账号有效”，单击“关闭”按钮。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”单击“测试有效性”对话框右上角的“关闭”按钮关闭对话框。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”单击“提交”按钮全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”登录AD域服务器“00”，打开服务器管理器，单击“工具”→“ActiveDirectory用户和计算机”。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”登录ACWeb图形界面，单击“接入管理”→“接入认证”→“PORTAL认证”→“认证策略”，在界面单击“新增”按钮，进行新增认证策略操作，设置“名称”为“LDAP”，“选择设备”为“所有”，“适用范围”为“/”，即内网PC的IP地址范围，然后单击对话框右下角“下一步”按钮。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”设置“认证方式”为“密码认证”，“认证服务器”选择“LDAP”，然后单击对话框右下角“下一步”按钮。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”设置“认证后处理”，由于用户位于本地因此不需要选择组织结构，直接单击对话框右下角“提交”按钮。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”由于前期实战已进行密码认证，需注销用户“sangfor”的认证，以免影响LDAP服务器认证效果。登录ACWeb图形界面，单击“全网监控”→“入网用户管理”，在界面勾选“sangfor”用户，单击“强制注销”。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”系统弹出提示消息，单击“是”按钮。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”在PC1打开浏览器，输入“”并按回车键访问公网Web服务器，界面自动跳转至AC用户认证界面，输入AD域已设置的用户“user123”和对应的密码，勾选“记住登录状态”与“我已阅读并同意免责声明条款”，然后单击“登录”按钮。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”界面跳转至Web服务器，通过密码认证后可正常访问。全网行为管理设备用户认证5．配置AC用户认证技术——“外部认证”重新登录ACWeb图形界面，单击“全网监控”→“入网用户管理”，界面显示PC1通过密码认证，以“user123”为登录名登录上线，所属组为AD域服务器所在组。全网行为管理设备用户认证THREE2-4实战全网行为管理设备终端行为安全/实战拓扑1．Web登录AC设备在PC1端，使用浏览器访问“”登录AC设备，以便进行后续配置全网行为管理设备终端行为安全全网行为管理设备终端行为安全2．配置AC部署模式为路由模式登录ACWeb图形界面，按照实战拓扑图，部署路由模式，具体过程可参照实战2-2。全网行为管理设备终端行为安全3．配置AC用户认证技术之“无认证”登录ACWeb图形界面，配置AC用户认证方式为“不需要认证”，认证范围为/，即内网PC的IP地址范围，具体过程可参照实战2-3。4．配置AC终端行为安全登录ACWeb图形界面，依次单击“终端行为安全”→“终端提醒策略”，在界面单击“新增”按钮，选择“终端提醒策略”。全网行为管理设备终端行为安全4．配置AC终端行为安全打开“终端提醒策略”对话框，设置“策略名称”为“终端提醒策略”，勾选“公告界面”，设置“提醒频率”为每隔2分钟。全网行为管理设备终端行为安全4．配置AC终端行为安全继续在当前对话框进行配置，在“适用对象”选项卡中，单击“源IP”，然后单击“新增”，在弹出的对话框中设置“IP组名称”为“PC1”，设置“IP地址”为“00”，即内网PC1的IP地址，然后单击对话框下方“提交”按钮。全网行为管理设备终端行为安全全网行为管理设备终端行为安全4．配置AC终端行为安全勾选“PC1”，单击对话框右下角“提交”按钮。配置完成后的终端提醒策略信息。全网行为管理设备终端行为安全4．配置AC终端行为安全5．在PC端检测配置效果登录PC1，打开浏览器，输入“”并按回车键访问Web服务器，界面会在2分钟后显示公告内容，说明AC的终端提醒策略已生效。全网行为管理设备终端行为安全Thankyouforlistening感谢聆听教师xxxVPNDeviceConfigurationandManagement教师xxxCybersecurityVPN设备配置与管理ONE教学目标TeachingObjectives知识目标01了解VPN概念及分类02掌握VPN的工作原理及关键技术。03熟悉VPN应用场景及部署方式教学目标能够运行SSLVPN技术解决内部员工远程访问内部资源问题能够运用SanforVPN搭建总部到分支VPN链路，构建虚拟内部局域网能够运用防火墙、行为管理系统构建VPN网络能力目标教学目标素质目标增强学生的法律意识和社会责任感，确保他们在专业实践中始终遵循相关法律法规，尊重用户隐私权，维护网络环境的安全稳定。鼓励学生保持对新兴技术和最新产品的关注，不断提升自己的专业知识和技术水平，适应快速变化的网络安全领域。培养学生的团队协作精神，能够有效地与其他IT专业人员交流，共同制定和执行网络安全策略。教学目标321TWO3.1VPN概述VPNOverviewVPN的定义VPN概述VPN是一种通过公共网络（如互联网）建立安全、加密的通信通道技术。它通过在两个或多个设备之间创建虚拟的点对点连接，使得数据能够在不够安全的公共网络中安全传输数据，仿佛这些设备直接连接在一个私有的局域网（LocalAreaNetwork，LAN）中。VPN的分类VPN概述业务类型Client-LANVPNLAN-LANVPN根据不同的划分标准，VPN

可以有多种分类方式。在该方式下远端用户不再是如传统的远程网络访问那样，通过长途电话拨号到公司远程接入端口，而是拨号接入用户本地的ISP，利用VPN系统在公用网络上建立一个从客户端到网关的安全传输通道。这种方式最适用于公司内部经常有流动人员远程办公的情况。Client-LANVPN（AccessVPN）VPN概述出差员工、居家办公人员或者异地办公人员拨号接入用户本地的ISP，就可以和公司的VPN网关建立私有的隧道连接。服务器可对员工进行验证和授权，保证连接的安全，同时负担的整体接入成本大大降低。在公司远程分支机构的LAN和公司总部LAN之间的VPN。通过Internet这一公共网络将公司在各地分支机构的LAN连到公司总部的LAN，以便公司内部的资源共享、文件传递等，可节省采用DDN等专线所带来的高额费用。LAN-LANVPN（IntranetVPN）VPN概述VPN的分类VPN概述网络层次SSLVPNL2TPVPNPPTP（点到点隧道协议）VPNIPSecVPNVPN概述SSLVPN是利用浏览器内建的安全套接字层（SSL）封包处理功能，通过SSLVPN网关连接到公司内部SSLVPN服务器。它采用标准的SSL对传输中的数据包进行加密，从而在应用层保护了数据的安全性。SSLVPN（SecureSocketLayerVirtualPrivateNetwork）是一种基于SSL/TLS协议实现的VPN技术，主要用于远程用户通过互联网安全访问企业内部网络资源。SSLVPN因其高易用性、高灵活性和高安全性，成为远程访问VPN的主流解决方案之一。SSLVPN广泛应用于远程办公室、酒店、传统交易大厅等场所，以及需要远程访问公司内部资源的场景。通过SSLVPN，远程用户可以安全地访问公司内部服务器数据，执行应用程序，提高工作效率。SSLVPNVPN概述SangforVPNSangforVPN是深信服科技（SangforTechnologies）推出的一款企业级VPN解决方案，旨在为企业提供安全、高效、易用的远程访问和站点到站点连接服务。SangforVPN结合了先进的加密技术、智能路由优化和集中管理功能，广泛应用于企业远程办公、分支机构互联、多云环境接入等场景。VPN概述IPSecVPNIPSecVPN是一种在网络层（OSI参考模型的第3层）实现加密和认证的VPN技术，通过在两个或多个设备之间建立安全的IPSec隧道，保护数据在公共网络中的传输。IPSecVPN（InternetProtocolSecurityVirtualPrivateNetwork）是一种基于IPSec实现的VPN技术，主要用于在公共网络（如互联网）上创建安全的通信通道。IPSecVPN因其高安全性、高可靠性和高兼容性，成为企业级站点到站点VPN和远程访问VPN的主流解决方案之一。IPSecVPN的应用场景主要包括站点到站点、远程访问、数据中心互联和物联网（IoT）安全。SSLVPN（SecureSocketLayerVirtualPrivateNetwork）是一种基于SSL/TLS协议实现的VPN技术，主要用于远程用户通过互联网安全访问企业内部网络资源。SSLVPN因其高易用性、高灵活性和高安全性，成为远程访问VPN的主流解决方案之一。L2TP（Layer2TunnelingProtocol）是用于实现VPN的第二层隧道协议。它们主要用于在公共网络（如互联网）上创建虚拟的点对点连接，使远程用户能够安全访问企业内部网络资源。L2FVPN是由Cisco公司提供的一种可以在多种介质（如ATM、帧中继、IP协议）上建立多协议的安全VPN的通信方式。它主要用于为远程拨号用户接入企业总部网络提供隧道协议支持。L2TPVPN是L2F（Layer2Forwarding）和PPTP（Point-to-PointTunnelingProtocol，点对点隧道协议）的继承者，它结合了这两种协议的优点，并实现了数据链路层的通信。L2TPVPN广泛用于远程访问、站点对站点VPN以及ISP间互联等场景。L2F和L2TPVPN都是重要的第二层隧道协议，它们在不同的应用场景下具有各自的优势。L2FVPN相对简单且易于配置，但主要由Cisco设备支持；而L2TPVPN则具有更高的灵活性、安全性和兼容性，适用于更广泛的网络环境和应用场景。VPN概述L2TPVPNVPN概述PPTPVPNPPTP是一种早期的VPN协议，由微软等公司联合开发，主要用于在公共网络（如互联网）上创建虚拟的点对点连接。PPTPVPN因其简单易用和高兼容性，在早期被广泛应用于远程访问和站点到站点VPN场景。然而，由于其安全性较低，逐渐被更安全的VPN协议（如IPSec、SSL/TLS）取代。VPN概述深信服SangforVPN介绍深信服SangforVPN是深信服科技推出的一款企业级VPN解决方案，旨在为企业提供安全、高效、易用的远程访问和站点到站点连接服务。SangforVPN结合了先进的加密技术、智能路由优化和集中管理功能，广泛应用于企业远程办公、分支机构互联、多云环境接入等场景。SangforVPN是深信服科技提供的基于SSL/IPSec的VPN解决方案，支持远程访问VPN和站点到站点VPN。其核心功能如下：（1）提供安全的远程访问和分支机构互联。（2）支持多种加密协议和认证方式。（3）集成智能路由优化和负载均衡。（4）提供集中化的管理和监控功能。VPN概述深信服SangforVPN有如下技术特点高安全性方案内置5200+Web应用防护识别库，采用漏斗式多层Web攻击检测引擎引入虚拟执行技术，能够有效应对变型Web攻击，保护对外业务安全（1）支持SSLVPN和IPSecVPN，提供端到端加密。（2）采用国密算法和国际标准加密算法（如AES、RSA）。（3）支持双因素认证、数字证书等强身份认证方式。（4）提供终端安全检查功能，确保接入设备的安全性。VPN概述深信服SangforVPN有如下技术特点高安全性1高性能2高易用性3（1）支持SSLVPN和IPSecVPN，提供端到端加密。（2）采用国密算法和国际标准加密算法（如AES、RSA）。（3）支持双因素认证、数字证书等强身份认证方式。（4）提供终端安全检查功能，确保接入设备的安全性。（1）集成智能路由优化技术，自动选择最优路径。（2）支持负载均衡和高可用性（HA），确保业务连续性。（3）提供带宽管理和流量优化功能，提升用户体验。（1）支持无客户端访问（WebVPN），用户通过浏览器即可接入。（2）提供全隧道和分隧道模式，灵活适应不同业务需求。（3）支持多平台客户端（Windows、macOS、iOS、Android）。VPN概述深信服SangforVPN有如下技术特点可集中管理4（1）提供统一的VPN管理平台，支持批量配置和策略下发。（2）支持实时监控和日志审计，便于故障排查和安全分析。（3）提供可视化报表，帮助管理员了解网络状态和用户行为。深信服SangforVPN具有高安全性、高性能、高易用性、可集中管理等优点的同时，也有成本较高和配置复杂性较高的缺点。随着技术的发展，SangforVPN正与零信任架构、云原生VPN、AI和量子安全等新兴技术融合，为用户提供更高效、更安全的网络连接解决方案。TWO3.2VPN的关键技术KeyTechnologiesofVPNVPN的关键技术隧道技术隧道技术的协议封装过程指使用一种协议封装另外一种协议报文（通常是IP报文），而封装后的报文也可以再次被其他封装协议所封装，如图所示。对用户来说，隧道是其所在网络的逻辑延伸，在使用效果上与实际物理链路相同。隧道协议存在多种可能的实现方式，按照工作的层次，可分为两类：一类是二层隧道协议，用于传输二层网络协议，它主要应用于构建远程接入VPN（AccessVPN）；另一类是三层隧道协议，用于传输三层网络协议，它主要应用于构建内部网VPN（IntranetVPN）和外联网VPN（ExtranetVPN）。VPN的关键技术身份认证技术身份认证技术，主要用于移动办公用户远程接入的情况。总部的VPN网关对用户的身份进行认证，确保接入内部网络的用户是合法用户，而非恶意用户。不同的VPN技术能提供不同的用户身份认证方法。GRE（通用路由封装）VPN：不支持针对用户的身份认证技术。L2TPVPN：依赖PPP提供的认证，对接入用户进行认证时，可以使用本地认证方式也可以使用第三方RADIUS服务器来认证，认证通过以后会给用户分配内部的IP地址，通过此IP地址对用户进行授权和管理。IPSecVPN：使用IKEv2时，支持对用户进行EAP认证，认证方式同L2TP一样，认证通过后分配IP地址，通过此IP地址可以对用户进行授权和管理。SSLVPN：对接入用户进行认证时，支持本地认证、证书认证和服务器认证，另外，接入用户也可以对SSLVPN服务器进行身份认证，确认SSLVPN服务器的合法性。VPN的关键技术加解密技术加密技术就是把明文加密成密文的过程，这样即便黑客截获了密文也无法知道其真实含义。加密对象有数据报文和协议报文之分，能够实现协议报文和数据报文都加密的协议安全系数更高。IPSecVPN和SSLVPN支持对数据报文和协议报文进行加密，而GREVPN和L2TPVPN本身不提供加密技术，通常结合IPSec一起使用，依赖IPSec的加密技术。加解密过程如图所示VPN的关键技术密钥管理技术密钥管理技术是指对密钥进行管理的行为，指从密钥的产生到密钥的销毁整个过程的管理，是实现VPN不可缺少的技术，主要表现于管理体制、管理协议和密钥的产生、分配、更换、保密等。在保证交换的完整性和机密性的前提下，密钥管理技术可以进一步提高网络安全的防护效果。密钥管理在网络安全中拥有非常重要的地位，并且在当前复杂多变的网络环境中尤为重要。随着IT的不断发展和应用场景的不断拓展，密钥管理技术也不断完善和发展。TWO3.3VPN的行业应用解决方案VPN的行业应用解决方案企业总部和分支安全通信场景随着企业规模的扩大及信息化时代的到来，越来越多的企业都在逐步依靠计算机网络、应用系统来开展业务，并采用互联网来开展更多的商务活动，由于种种原因，稍具规模的企业都不止一个办公场所，而是有总部、分公司、办事处、工厂、仓库等多个业务点，既然越来越多的企业应用了计算机和各类软件系统来处理业务，企业的应用系统[如ERP（企业资源计划）、财务、文件传输、内部实时邮件等]如何扩展到远程分支机构中去，成了众多企业发展时面临的问题。总部与分公司、工厂与写字楼、生产车间与仓库、生产厂与销售部、分厂与总厂之间距离虽说不是很远，有时也只有几十千米，甚至几百米，可是用局域网拉网线联网的方法已经是不可能了，同时用传统专线方式构建企业远程专网需要的成本高。VPN的行业应用解决方案企业总部和分支安全通信场景如图所示，因为总部、分部要用同一个ERP软件，有时可能还有一些共享文档需要通过VPN传输，所以可以在每个工厂装一个VPN安全网关，这样两个或多个局域网之间就可以互联互通，就完全像在同一个局域网内一样。VPN的行业应用解决方案高校移动访问情景随着互联网的迅速发展及高校信息化的深入进行，人们的学习、工作和生活模式几乎可以说发生了彻底改变，更加需要随时随地获取互联网资源。而对于校园网而言，信息量的增长巨大，应用范围的日益广泛，老师和学生对于校内网络资源以及其他数据库资源的访问需求已不仅局限在校内，而逐渐扩展到在任何具备互联网接入的地方，需要在校外也都可以访问学校的这些资源，如何远程接入校园网、如何方便快捷地访问校内信息资源就成了亟须解决的问题。校园网上有很多资源，比如图书馆内的图书资源、学术资源、各类数据库资源等。这些资源除了部分对教育网开放，其他只对内网用户开放，想要访问这些内部资源，就必须拥有校内网络的地址，否则就不能正常使用校内资源。解决这一问题的方法就是VPN接入，但是传统VPN不仅配置复杂、运行维护成本高，而且缺乏对客户端点的安全评估，难以保证端对端的安全性。而校园网内部信息对于安全性的要求是比较高的，外网访问内网的目的不仅要考虑高速高效地达成，还要考虑到用户接入前的身份认证和接入后的访问权限问题。THREE3-1实战IPSecVPN配置与应用/实战拓扑1.服务器区AF设备的配置新增“互联网区”IPSecVPN配置与应用1.服务器区AF设备的配置新增“服务器区”IPSecVPN配置与应用1.服务器区AF设备的配置新增“VPN”IPSecVPN配置与应用1.服务器区AF设备的配置配置接口IPSecVPN配置与应用1.服务器区AF设备的配置配置接口IPSecVPN配置与应用1.服务器区AF设备的配置新增静态路由IPSecVPN配置与应用1.服务器区AF设备的配置开启VPN服务IPSecVPN配置与应用1.服务器区AF设备的配置VPN线路配置IPSecVPN配置与应用1.服务器区AF设备的配置IPSecVPN配置IPSecVPN配置与应用1.服务器区AF设备的配置IPSecVPN配置IPSecVPN配置与应用1.服务器区AF设备的配置IPSecVPN配置IPSecVPN配置与应用1.服务器区AF设备的配置新增“分支内网”对象地址IPSecVPN配置与应用1.服务器区AF设备的配置新增“服务器”对象地址IPSecVPN配置与应用1.服务器区AF设备的配置新增应用控制策略IPSecVPN配置与应用2．内网区AF配置新增“互联网区”IPSecVPN配置与应用2．内网区AF配置新增“内网区”IPSecVPN配置与应用2．内网区AF配置新增“VPN”IPSecVPN配置与应用2．内网区AF配置配置接口IPSecVPN配置与应用2．内网区AF配置配置接口IPSecVPN配置与应用2．内网区AF配置配置静态路由IPSecVPN配置与应用2．内网区AF配置开启VPN服务并配置VPN线路IPSecVPN配置与应用2．内网区AF配置IPSecVPN配置IPSecVPN配置与应用2．内网区AF配置IPSecVPN配置IPSecVPN配置与应用2．内网区AF配置IPSecVPN配置IPSecVPN配置与应用2．内网区AF配置新增“分支内网”对象地址IPSecVPN配置与应用2．内网区AF配置新增“总部服务器”对象地址IPSecVPN配置与应用2．内网区AF配置新增应用控制策略IPSecVPN配置与应用2．内网区AF配置VPN运行状态IPSecVPN配置与应用3．结果测试IPSecVPN配置与应用登录PC控制台，进入PC系统界面，打开浏览器，输入网址“00”并按回车键，访问总部域控制器，可以看到能够正常访问Web服务。THREE3-2实战SSLVPN配置与应用/实战拓扑1．在AF上配置SSLVPN新增区域“互联网区”IPSecVPN配置与应用1．在AF上配置SSLVPN新增区域“内网区”IPSecVPN配置与应用1．在AF上配置SSLVPN配置接口IP地址IPSecVPN配置与应用1．在AF上配置SSLVPN配置接口IP地址IPSecVPN配置与应用1．在AF上配置SSLVPN新增静态路由IPSecVPN配置与应用1．在AF上配置SSLVPN配置部署模式，启动SSLVPN服务IPSecVPN配置与应用1．在AF上配置SSLVPN配置用户管理IPSecVPN配置与应用1．在AF上配置SSLVPN配置资源管理IPSecVPN配置与应用1．在AF上配置SSLVPN配置资源管理IPSecVPN配置与应用1．在AF上配置SSLVPN配置角色授权IPSecVPN配置与应用1．在AF上配置SSLVPN新增网络对象地址IPSecVPN配置与应用1．在AF上配置SSLVPN新增应用控制策略IPSecVPN配置与应用1．在AF上配置SSLVPN登录深信服SSLVPNIPSecVPN配置与应用2．结果测试IPSecVPN配置与应用下载客户端后，再次登录，输入用户名、密码，可看到该用户授权的相关资源直接打开EasyConnect客户端，输入网址后，再输入用户名、密码，也可看到该用户授权的相关资源2．结果测试单击“web”资源，弹出域控制服务器00上部署的IIS服务信息。IPSecVPN配置与应用2．结果测试使用ping命令，测试PC1与域控制服务器的连通性IPSecVPN配置与应用2．结果测试IPSecVPN配置与应用登录到

AF

设备上，单击“网络”→“SSLVPN”→“在线用户”，可看到目前已经连接的用户信息。Thankyouforlistening感谢聆听教师xxxUnifiedEndpointSecurityManagementSystemConfigurationandManagement教师xxxCybersecurity统一端点安全管理系统配置与管理ONE教学目标TeachingObjectives知识目标01掌握终端安全管理的基本概念及背景，了解终端面临的主要安全问题及应对策略。02了解aES的核心组成部分、功能模块、关键特性及其在实际应用中优势。03理解终端安全的关键技术，包括终端安全防护技术的实现原理、终端运维管理技术的具体实现方法，以及微隔离与联动技术的应用场景。教学目标04熟悉aES在教育、医疗、金融等重点行业中的典型应用案例与解决方案。教学目标能够独立完成aES的安装与环境部署，包括管理端、终端的全流程操作。1能力目标掌握终端安全防护策略的设计与优化，能够针对复杂网络环境制定灵活高效的安全策略。2提升终端安全事件的分析与响应能力，具备故障诊断、漏洞修复和应急处置的综合能力。3探索并运用微隔离与联动技术，提升系统的综合防护水平，保障终端与网络的协同安全性。4素质目标增强学生对网络安全重要性及行业法规合规性的理解，培养学生职业道德和责任感。培养学生在复杂网络环境下细致严谨的工作态度和高效解决问题能力。培养学生团队协作意识，通过参与实战任务，提高沟通与合作的能力。教学目标321培养学生创新思维，在终端安全管理中主动探索新技术、新方法，以应对不断变化的网络安全挑战。4FOUR4.1终端安全概述OverviewofTerminalSecurity终端安全问题背景终端安全概述近年来，勒索病毒、挖矿木马等安全事件频发，2017年勒索病毒Wannacry的爆发造成全球150多个国家和地区的用户受到影响，经济损失达80亿美元。从勒索病毒到数据窃取，从恶意软件感染到零日漏洞利用，终端设备面临的威胁日益复杂多样，终端遭受攻击后的损失正在加大。这不仅威胁到个人隐私和数据安全，更对企业的核心业务造成严重影响，例如系统停机、数据泄露甚至经济损失。比起个人终端，企业终端、数据服务器等资产价值更高，面临的安全挑战也更为严峻。终端安全问题是当前网络安全领域最严峻的挑战之一。随着企业数字化转型的深入和远程办公的普及，终端设备的多样性和分布广泛性使其成为网络攻击的首要目标。终端安全问题的主要表现终端安全概述恶意软件威胁1数据泄露2网络钓鱼3零信任环境缺失4深信服aES概述终端安全概述深信服aES是深信服公司提供的一套终端安全解决方案，该方案由轻量级端点安全软