版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)
文檔簡(jiǎn)介
1、SANGFOR AC 組織結(jié)構(gòu)與上網(wǎng)策略培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)SANGFOR AC 組織結(jié)構(gòu)介紹1. 掌握符合用戶管理的組織結(jié)構(gòu)的設(shè)計(jì)思路及設(shè)置方法SANGFOR AC 上網(wǎng)策略配置1.掌握上網(wǎng)策略的設(shè)置方法2.掌握如何將上網(wǎng)策略與用戶/組進(jìn)行關(guān)聯(lián)3.掌握用戶/組關(guān)聯(lián)多條上網(wǎng)策略時(shí)的匹配順序 組織結(jié)構(gòu)和上網(wǎng)策略功能介紹上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置深信服公司簡(jiǎn)介上網(wǎng)策略匹配規(guī)則練練手SANGFOR AC組織結(jié)構(gòu)和上網(wǎng)策略功能介紹組織結(jié)構(gòu)和上網(wǎng)策略功能介紹 組織結(jié)構(gòu) 組織結(jié)構(gòu)即為用戶和用戶組的所屬層級(jí)關(guān)系。SANGFOR AC 提供樹形的組織結(jié)構(gòu),通過樹形用戶結(jié)構(gòu)管理,符合企業(yè)的人員結(jié)構(gòu)劃分,同時(shí)又可以對(duì)
2、相同的上網(wǎng)策略進(jìn)行繼承。 上網(wǎng)策略介紹 上網(wǎng)策略是對(duì)用戶的上網(wǎng)行為進(jìn)行控制、提醒、審計(jì)??刂朴脩羰褂镁W(wǎng)絡(luò)資源的權(quán)限;對(duì)用戶使用網(wǎng)絡(luò)資源情況進(jìn)行提醒;對(duì)用戶訪問網(wǎng)絡(luò)的行為進(jìn)行審計(jì),從而構(gòu)建一個(gè)可管理、可視化的網(wǎng)絡(luò)環(huán)境。 簡(jiǎn)單而言,上網(wǎng)策略就是要實(shí)現(xiàn)讓網(wǎng)絡(luò)管理者能夠控制用戶能做什么,知道用戶正在做什么及用戶已經(jīng)做了什么的功能。上網(wǎng)策略分類 上網(wǎng)權(quán)限策略: 主要控制用戶能夠使用網(wǎng)絡(luò)資源的權(quán)限(能做什么),包括應(yīng) 用控制、WEB過濾、SSL管理和郵件過濾。 上網(wǎng)審計(jì)策略: 審計(jì)用戶上網(wǎng)行為(做了什么),包括應(yīng)用審計(jì)、外發(fā)文件告警、流量與上網(wǎng)時(shí)長(zhǎng)審計(jì)和網(wǎng)頁(yè)內(nèi)容審計(jì)。(注:是否開啟行為和內(nèi)容審計(jì)可通過序列
3、號(hào)控制) 上網(wǎng)安全策略: 防止用戶使用不安全的網(wǎng)絡(luò)資源,包括危險(xiǎn)行為識(shí)別、ActiveX插件過濾、惡意網(wǎng)頁(yè)過濾和安全桌面。AC將上網(wǎng)策略分為六大類,分別如下:上網(wǎng)策略分類 終端提醒策略: 當(dāng)用戶不恰當(dāng)?shù)氖褂镁W(wǎng)絡(luò)資源時(shí),對(duì)用戶進(jìn)行提醒,包括上網(wǎng)時(shí)長(zhǎng)提醒、上網(wǎng)流量提醒和公告頁(yè)面。 流量配額與時(shí)長(zhǎng)控制策略: 限制用戶能使用網(wǎng)絡(luò)資源的流量和時(shí)長(zhǎng),包括流量配額,、上網(wǎng)時(shí)長(zhǎng)控制和并發(fā)連接數(shù)控制。 準(zhǔn)入策略: 設(shè)置終端用戶需滿足特定的條件時(shí),才準(zhǔn)許使用網(wǎng)絡(luò)資源;審計(jì)加密的IM軟件的聊天內(nèi)容;組織外線路檢測(cè);應(yīng)用程序時(shí)長(zhǎng)統(tǒng)計(jì)。 組織結(jié)構(gòu)與上網(wǎng)策略的關(guān)聯(lián)策略與用戶/組的關(guān)聯(lián)的方法:方法一、在策略中勾選用戶/組。
4、當(dāng)一條策略需要關(guān)聯(lián)給多個(gè)用戶/組的時(shí)候,可在此設(shè)置。組織結(jié)構(gòu)與上網(wǎng)策略的關(guān)聯(lián)方法二、在用戶/組中選擇策略??蓪?shí)現(xiàn)不同類型策略的任意組合。上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置上網(wǎng)策略典型應(yīng)用場(chǎng)景上網(wǎng)策略配置上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置某公司網(wǎng)絡(luò)中充斥著各種流量,上班時(shí)間P2P下載導(dǎo)致辦公應(yīng)用很慢,員工上班時(shí)間炒股,QQ/MSN聊天,玩游戲使得辦公效率不高。公司決策層希望實(shí)現(xiàn)上班時(shí)間能封堵所有員工的P2P和迅雷等多線程下載,玩游戲和炒股,其余部門的人員不準(zhǔn)上班時(shí)間使用QQ和MSN,只有技術(shù)支持和銷售部門才能使用QQ和MSN聊天,但是要審計(jì)聊天內(nèi)容,下班時(shí)間所有的應(yīng)用都能允許使用,另外
5、所有人的上網(wǎng)行為需要被審計(jì),包括微博內(nèi)容,訪問網(wǎng)站,收發(fā)郵件等。上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置我們先來分析下客戶的需求:技術(shù)支持和銷售部門上班時(shí)間不允許使用P2P和迅雷等多線程下載工具,玩游戲和炒股,所有上網(wǎng)行為需要被審計(jì),包括QQ和MSN的聊天內(nèi)容。1.其他公司人員上班時(shí)間不允許使用P2P和迅雷等多線程下載工具,玩游戲、炒股及QQ/MSN聊天,所有上網(wǎng)行為需要被審計(jì)上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置配置思路:在AC的用戶組織結(jié)構(gòu)中建立兩個(gè)用戶組:技術(shù)支持和銷售部門組,默認(rèn)組。 (也可以按照公司部門結(jié)構(gòu)分別建立多個(gè)用戶組,根據(jù)策略的情況,最少要建立兩個(gè)用戶組。)用戶及用戶組的配置請(qǐng)參考基礎(chǔ)認(rèn)證技術(shù) 培訓(xùn)P
6、PT,這里不再贅述。新建兩條上網(wǎng)權(quán)限策略: 技術(shù)支持和銷售部門上網(wǎng)權(quán)限:上班時(shí)間封堵P2P和迅雷等多線程下 載工具,玩游戲和炒股。關(guān)聯(lián)技術(shù)支持和銷售部門組。 其他員工上網(wǎng)權(quán)限:上班時(shí)間封堵P2P和迅雷等多線程下載工具下載、玩游戲、 炒股、QQ/MSN。 關(guān)聯(lián)默認(rèn)組。上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置配置思路: 新建一條上網(wǎng)審計(jì)策略:開啟所有行為的應(yīng)用審計(jì)。關(guān)聯(lián)“技術(shù) 支持和 銷售部門組”和“默認(rèn)組”4. 新建一條準(zhǔn)入策略: 開啟IM監(jiān)控。 關(guān)聯(lián)“技術(shù)支持和銷售部門組”。上網(wǎng)權(quán)限策略配置1. 新建兩條上網(wǎng)權(quán)限策略-技術(shù)支持和銷售部門上網(wǎng)權(quán)限 定義規(guī)則名稱t需要封堵的應(yīng)用,完成后,點(diǎn)確定選擇規(guī)則生效的時(shí)間
7、配置完成,點(diǎn)擊提交上網(wǎng)權(quán)限策略配置 1. 新建兩條上網(wǎng)權(quán)限策略-其它員工上網(wǎng)權(quán)限需要限制的應(yīng)用選擇生效時(shí)間配置完成,點(diǎn)擊提交上網(wǎng)審計(jì)策略設(shè)置2、新建一條上網(wǎng)審計(jì)策略,開啟所有的應(yīng)用行為的應(yīng)用審計(jì),關(guān)聯(lián)技術(shù)支持和銷售部門組和默認(rèn)組。勾選需要審計(jì)的上網(wǎng)行為,全選代表審計(jì)所有的上網(wǎng)行為配置完成,點(diǎn)擊提交準(zhǔn)入策略設(shè)置 3、新建一條準(zhǔn)入策略,開啟IM監(jiān)控,關(guān)聯(lián)技術(shù)支持和銷售部門組。配置完成,點(diǎn)擊提交上網(wǎng)策略典型應(yīng)用場(chǎng)景及配置 配置完成后,在策略列表中將顯示上面配置 的三條上網(wǎng)策略及關(guān)聯(lián)的用戶/組等信息,如下圖: 動(dòng)動(dòng)腦 如果用戶/組關(guān)聯(lián)了多條上網(wǎng)策略,這些策略之間是怎么工作的呢?上網(wǎng)策略匹配規(guī)則1、不同
8、類型的策略匹配順序: 和控制臺(tái)界面的排列順序一致2、相同類型策略的匹配順序:按由上往下匹配的原則。說明:a. 如果一個(gè)組關(guān)聯(lián)了多條不同模塊的策略,只要有一個(gè)模塊拒絕,則拒絕。b. 如果一個(gè)組關(guān)聯(lián)了多條相同模塊的策略,則按從上往下匹配的原則,匹配第一條策略的動(dòng)作。上網(wǎng)權(quán)限策略匹配規(guī)則若用戶/組關(guān)聯(lián)多條上網(wǎng)權(quán)限策略,策略的匹配順序如下:策略匹配規(guī)則案例一 1. 某用戶關(guān)聯(lián)如下兩條上網(wǎng)策略,請(qǐng)問這個(gè)用戶是否能發(fā)送郵件到公網(wǎng)呢?按策略匹配原則,該用戶會(huì)匹配不同模塊中的兩條策略,只要有一條拒絕,則拒絕。本例中,第一條策略SMTP服務(wù)是拒絕的,所以不允許發(fā)送郵件。策略匹配規(guī)則案例二 2. 某用戶關(guān)聯(lián)如下兩
9、條上網(wǎng)策略,請(qǐng)問這個(gè)用戶的應(yīng)用使用情況會(huì)怎樣呢?此用戶不能訪問游戲和股票交易,其他應(yīng)用都允許使用(默認(rèn)動(dòng)作是允許)禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng)禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng) 如果內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng),則可以部分程度上繞過AC的管控,且不能真實(shí)記錄每個(gè)用戶的上網(wǎng)行為,那么該如何解決呢? AC設(shè)備有如下方式可以禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng): 1. 如果AC部署在代理客戶端和服務(wù)器之間,則可通過上網(wǎng)權(quán)限策略的代理控制功能,禁止內(nèi)網(wǎng)用戶通過HTTP代理和SOCKS代理上網(wǎng)。如下圖:禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng) 2. 通過準(zhǔn)入規(guī)則,拒絕代理客戶端的進(jìn)程運(yùn)行。對(duì)象設(shè)置中禁用代理軟件的規(guī)則在準(zhǔn)入
10、策略中選擇禁用代理軟件的規(guī)則并關(guān)聯(lián)給用戶/組。禁止內(nèi)網(wǎng)用戶通過代理服務(wù)器上網(wǎng) 3. 為了防止內(nèi)網(wǎng)用戶通過小路由器NAT代理上網(wǎng)的方式,也可以采取第二種準(zhǔn)入規(guī)則檢測(cè)的辦法,路由器上無法安裝準(zhǔn)入客戶端,將導(dǎo)致下面的電腦均無法上網(wǎng)。 如果內(nèi)網(wǎng)用戶通過雙網(wǎng)卡的電腦共享上網(wǎng)或者其他代理服務(wù)器在AC設(shè)備LAN口下的情況,則只能通過設(shè)備的防代理檢測(cè)功能來封堵,詳細(xì)介紹請(qǐng)查看PPT上網(wǎng)代理部分。組織外線路檢測(cè)組織外線路檢測(cè)功能 應(yīng)用場(chǎng)景:內(nèi)網(wǎng)用戶出于某些目的,不通過內(nèi)部統(tǒng)一指定的出口上網(wǎng),而私自接入其他外網(wǎng)線路,而這些上網(wǎng)行為是不受組織監(jiān)視和管控的,組織管理者希望能主動(dòng)發(fā)現(xiàn)這類行為,以便及時(shí)避免不可管控帶來的
11、泄密等風(fēng)險(xiǎn)。例:企業(yè)認(rèn)為網(wǎng)關(guān)才是合法網(wǎng)關(guān),通過其余的網(wǎng)關(guān)上網(wǎng)都是不允許的,當(dāng)PC通過網(wǎng)關(guān)上網(wǎng)后,管理者希望能夠發(fā)現(xiàn)這樣的私接外網(wǎng)線路上網(wǎng)行為。組織外線路檢測(cè) 一、配置思路: 1、配置 一條準(zhǔn)入策略,啟用組織外上網(wǎng)線路檢測(cè) 2、將該策略關(guān)聯(lián)給內(nèi)網(wǎng)用戶或組(省略配置)組織外線路檢測(cè)二、配置如圖:填入合法的網(wǎng)關(guān)地址若勾選,PC離線后走非的網(wǎng)關(guān)上網(wǎng),也做記錄組織外線路檢測(cè) 三、效果檢驗(yàn):將該策略關(guān)聯(lián)給PC 52,若這時(shí)PC將網(wǎng)關(guān)改為,管理員可通過數(shù)據(jù)中心的準(zhǔn)入系統(tǒng)查看PC私接外網(wǎng)線路上網(wǎng)
12、的行為,如圖:說明:本案例中,如果pc將網(wǎng)關(guān)指向,并去掉IP 52,只留下52,此時(shí)PC與AC失去連接,若這種情況也需要繼續(xù)檢測(cè),則需要勾選“與AC失去連接后繼續(xù)檢測(cè)”,準(zhǔn)入客戶端將會(huì)繼續(xù)檢測(cè)非法網(wǎng)關(guān)線路,當(dāng)下次PC和AC重新連接后上報(bào)給AC。組織外線路檢測(cè) 注意事項(xiàng):1. AC檢測(cè)到外網(wǎng)線路后只記錄、不拒絕,且準(zhǔn)入客戶端不會(huì)有提示信息,效果檢查可以到數(shù)據(jù)中心查看;只有第一次檢測(cè)出違規(guī)、或者上一次檢測(cè)出合法而本次檢測(cè)為非法,才會(huì)記錄日志。2. 若PC不安裝或卸載了準(zhǔn)入客戶端,則不受AC監(jiān)控,可通過其它網(wǎng)關(guān)直接上網(wǎng),且AC上也沒有相應(yīng)的日志。3. 組織外線路檢測(cè)只檢查網(wǎng)關(guān)是否合法,不檢查外網(wǎng)連接類型;卸載準(zhǔn)入客戶端不需要解控。練練手某公司購(gòu)買了SANGFOR AC來進(jìn)行上網(wǎng)行為的管理,希望能配置實(shí)現(xiàn)如下功能:所有員工上班時(shí)間不允許訪問色情和賭博類網(wǎng)站所有員工允許QQ和MSN聊天,但不允許通過QQ和MSN傳文件,對(duì)于持續(xù)使用QQ和MSN聊天超過一小時(shí)的員工,給予一個(gè)頁(yè)面進(jìn)行提醒。統(tǒng)計(jì)所有員工的上網(wǎng)時(shí)
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁(yè)內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫(kù)網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。
最新文檔
- 垂體危象與垂體卒中講課課件
- 21、《槐鄉(xiāng)五月》第二課時(shí)
- 初二年級(jí)期中考試家長(zhǎng)會(huì)教學(xué)案例
- 二零二五年網(wǎng)絡(luò)零售商合作協(xié)議樣本2篇
- 新教材高考地理一輪復(fù)習(xí)課時(shí)作業(yè)二十四城鎮(zhèn)化課件新人教版
- 水利工程合同管理制度
- 黃金投資入門教學(xué)教案
- 九年級(jí)物理全冊(cè)192家庭電路中電流過大的原因課件新版新人教版
- 《科幻小說賞析與寫作》 課件 -第四章 “生命奇跡”的重述與復(fù)魅-《弗蘭肯斯坦》
- 二零二五年礦產(chǎn)品資源整合開發(fā)合作協(xié)議書3篇
- 工程管理中心管理制度
- 下套管危害識(shí)別和風(fēng)險(xiǎn)評(píng)估
- 翼狀胬肉病人的護(hù)理
- GB/T 12914-2008紙和紙板抗張強(qiáng)度的測(cè)定
- GB/T 1185-2006光學(xué)零件表面疵病
- ps6000自動(dòng)化系統(tǒng)用戶操作及問題處理培訓(xùn)
- 家庭教養(yǎng)方式問卷(含評(píng)分標(biāo)準(zhǔn))
- 城市軌道交通安全管理課件(完整版)
- 線纜包覆擠塑模設(shè)計(jì)和原理
- TSG ZF001-2006 安全閥安全技術(shù)監(jiān)察規(guī)程
- 部編版二年級(jí)語(yǔ)文下冊(cè)《蜘蛛開店》
評(píng)論
0/150
提交評(píng)論