深信服上网优化网关操作手册

深信服上网优化网关

操作手册

(Ver3.3)

武汉汇通时代

一、产品说明

1.1产品外观

图1-1设备

1.控制口

2.ETH3（WAN2）

3.ETH1（DMZ）

4.ETH2（WAN1）

5.ETH0（LAN）

6.电源灯

7.告警灯

1.2配置与管理

在M6300 SG中一共有10个接口，其中有2个控制口，2个光口和6个以太网接口，默认情况下ETH0、ETH1、ETH2的IP地址已经配置好。控制口仅供开发和测试调试使用，最终用户需从网口通过控制台接入。用户如果需要对设备配置只需在浏览器中输入管理的IP的地址。在配置设备之前，您需要配备一台电脑，配置之前请确定该电脑的网页浏览器能正常使用（如Internet Explorer），然后把电脑与SANGFOR SG连接在同一个局域网内，通过网络对设备进行配置。设备出厂的默认IP见下表：

1.3设备接线方式

WAN口直接连接MODEM应使用直连线、连接路由器应使用交叉线；LAN口连接交换机应使用直通线、直接连接电脑网口应使用交叉线。当指示灯显示正常，但不能正常连接的时候，请检查连接线是否使用错误。

二、功能介绍

2.1用户登陆

在浏览器中输入https://192.168.10.244即可到达登陆页面，在“用户名”和“密码”中分别输入Admin就可以登陆到SG上了。

图2-1登陆

2.2部署方式

部署模式用于设置设备的工作模式，可把设备设定为路由模式、网桥模式或旁路模式。选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。

路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能；

旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。

选择【导航菜单】中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，会出现『路由模式』、『网桥模式』、『旁路模式』的选项，选择想要配置的网关模式。

图2-2部署模式选择

图2-3当前模式

2.3添加用户与组

在【组织结构】中选择需要添加子组的用户组，右边进入管理页面，在【成员管理】窗口中，点击新增按钮，然后选择新增类型[组]。

图2-4组

图2-5新增组和用户

图2-6添加组

默认情况下用户连接到网络后，网络用户会自动显示在default组中，如需要移动到其它的组需要以下操作：

图2-7移动用户

用户除了可以自动添加到默认组外，系统还可以手动添加用户到指定的组，手动添加用户可以绑定一个IP地址，当然也可以绑定一个网段如图：

图2-8导入用户

图2-9绑定IP

当然除了以上两种法式外，管理员还可以用CSV格式的文件导入、扫描IP导入和外部LDAP服务器导入。

图2-10导入用户

2.4上网策略

用户/用户组和上网策略在设备上都是独立的元素，需要将上网策略关联给相应的用户/用户组后，上网策略才会起作用。用户/用户组上网时将匹配与其关联的上网策略。

新建上网策略时，可以直接添加需要匹配此策略的用户/用户组。

第一步：在『上网策略』中点击新增策略

第二步：点击进入【适用组和用户】页面，在【组织结构】中选择需要匹配此策略的用户组或者在【当前组路径】中选择用户或子组。勾选[新增子组及用户]表示此用户组市场部门后面新增的子组和用户也会匹配到此策略，不勾选的情况下，后续新增的子组和用户不会匹配此策略。

图2-11制定上网权限策略

将上网权限策略应用到适用组和用户

图2-12策略用户

三、案例

3.1上网认证

所有计算机上网前，都必须经过用户认证，以识别上网计算机的身份。『认证策略』决定了某个IP/网段/MAC地址上计算机的认证方式。通过『认证策略』设置内网用户的认证方式，以及新用户添加的策略。

设备的认证方式有以下几种： 1、不需要认证；2、密码认证（包括本地密码认证和外部服务器认证）；3、单点登录；4、DKEY认证。

配置举例1：设置工程部192.168.10.0/255.255.255.0网段的电脑使用本地密码认证，新用户自动添加到“/员工”组，同时用户名要和IP绑定做双向绑定，即用户名要和IP一一对应。内网其他网段的用户不需要认证，以IP作为用户名，新用户自动添加到“/默认组”。（此例中以本地密码认证，其他类型的外部认证服务器设置步骤类似）

第一步：设置『用户认证』→『认证策略』，点击新增，弹出【认证策略】窗口。在[名称]中填写认证策略的名称，必填项。

图3-1认证策略

第二步：设置『认证策略』→『新用户选项』，设置对新用户的处理方式：

图3-2策略用户

第三步：设置『编辑用户』→『用户属性』，设置用户的本地密码：

图3-3本地密码

按照以上方法设置后，本地用户上网需要通过认证，否则无法上网。

图3-4上网认证系统

3.2上网权限策略

企业领导禁止员工在上班时间内看视频、听音乐、玩游戏做其它与工作无关的事，上网优化网关可以通过添加策略来限制用户的非法操作。

配置举例1：设置公司所有用户192.168.10.0/255.255.255.0网段的电脑在

上班时间内不允许看视频、听歌、玩游戏。可以通过上网权限策略来限制用户的上网行为。

第一步:点击新增，然后选择[上网权限策略]，进入新策略编辑界面。

图3-5上网策略

第二步:勾选上[启用该策略]，开启该策略。注意：此处如果不勾选启用，则设置的策略将不会生效。

图3-6策略设置

第三步:填写『策略名称』与『描述信息』。其中策略名称为策略的唯一标识，不能重复并且必须填写。描述信息是对策略的概要，非必须填写。

第四步:进入【策略设置】页面，根据需要设置相应的上网权限策略。

第五步:设置【适用组和用户】，此处选中的用户组和用户将全部匹配此上网策略设置的权限。在窗口【组织结构】里，选择需要操作的用户组，在右侧窗口【当前组路径】中勾选需要使用此条上网策略的用户或用户组。您可以同时添加多个组或用户，对于您已经选择的用户组和用户，会被显示在下方【已选列表】里面，便于您查看所有已选的对象。

图3-7策略用户

完成以上步骤后，如果员工上网看视频就会出来以下提示：

图3-8出错

3.3邮件过滤

收发邮件是企业员工必备的工作，然而为了保证公司重要信息的安全可靠和网络的流畅性，一般会过滤垃圾信息和延迟审计邮件内容，做为一款优化的上网优化网关而言这也是必备的功能。

第一步:点击新增，然后选择[上网权限策略]，进入新策略编辑界面。

图3-5上网策略

第二步:勾选上[启用该策略]，开启该策略。注意：此处如果不勾选启用，则设置的策略将不会生效。

图3-6策略设置

第三步:填写『策略名称』与『描述信息』。其中策略名称为策略的唯一标识，不能重复并且必须填写。描述信息是对策略的概要，非必须填写。

第四步:进入【策略设置】页面，根据需要设置相应的上网权限策略。

第六步:设置右侧窗口【邮件过滤】中【发送或接收邮件】“不允许发送邮件到如下的邮件地址或如下后缀的邮件地址”的邮件地址。

第六步:设置右侧窗口【邮件过滤】中【延迟审计规则】“发送到以下的邮件地址的邮件需要审计”，添加需要审计的邮件地址。

图3-7邮件审计

第七步： xux@https://www.sodocs.net/doc/4213002279.html,发送邮件到zhaojx@https://www.sodocs.net/doc/4213002279.html,,在【内置数据中心】查看【上网行为查询结果】

图3-8审计内容