StoneOS_WebUI_用户手册

Transcription

1 Hillstone Networks, Inc. StoneOS WebUI 用 户 手 册 Version 5.5R1

2 Copyright 2015 Hillstone Networks, Inc.. All rights reserved. Information in this document is subject to change without notice. The software described in this document is furnished under a license agreement or nondisclosure agreement. The software may be used or copied only in accordance with the terms of those agreements. No part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form or any means electronic or mechanical, including photocopying and recording for any purpose other than the purchaser's personal use without the written permission of Hillstone Networks, Inc.. Hillstone Networks, Inc. 联 系 信 息 公 司 总 部 ( 北 京 总 部 ): 地 址 : 北 京 市 海 淀 区 王 庄 路 一 号 清 华 同 方 科 技 广 场 D 座 6 层 邮 编 : 联 系 我 们 : 关 于 本 手 册 本 手 册 介 绍 Hillstone Networks, Inc. 公 司 的 防 火 墙 系 统 的 使 用 方 法 获 得 更 多 的 文 档 资 料, 请 访 问 : 针 对 本 文 档 的 反 馈, 请 发 送 邮 件 到 :hs-doc@hillstonenet.com Hillstone Networks, Inc. TWNO: TW-WUG-UNI-A-5.5R1-CN-V1.0-4/15/2015 发 布 日 期 : Wednesday, April 15, 2015

3 目 录 目 录 1 欢 迎 1 第 1 章 新 手 入 门 指 南 1 访 问 WebUI 界 面 2 初 始 配 置 3 安 装 许 可 证 3 创 建 系 统 管 理 员 3 创 建 可 信 主 机 4 升 级 StoneOS 版 本 4 特 征 库 升 级 5 如 何 连 通 网 络 6 在 路 由 模 式 下 连 通 网 路 6 通 过 3G 方 式 连 通 网 络 9 恢 复 出 厂 配 置 11 通 过 CLR 按 键 方 式 11 通 过 WebUI 方 式 11 第 2 章 部 署 您 的 设 备 12 防 火 墙 工 作 原 理 13 StoneOS 系 统 架 构 13 安 全 策 略 规 则 13 数 据 包 处 理 流 程 14 二 层 转 发 域 中 的 转 发 规 则 14 三 层 转 发 域 的 转 发 规 则 15 部 署 透 明 模 式 17 部 署 路 由 模 式 21 部 署 混 合 模 式 25 部 署 旁 路 (Tap) 模 式 26 第 3 章 首 页 29 个 性 化 配 置 29 网 络 风 险 指 数 30 威 胁 30 系 统 告 警 30 用 户 信 息 30 应 用 信 息 30 总 流 量 / 并 发 连 接 / 新 建 连 接 30 TOC - 1

4 接 口 列 表 30 系 统 信 息 30 统 计 周 期 31 第 4 章 icenter 32 风 险 主 机 32 威 胁 33 风 险 减 缓 措 施 37 第 5 章 网 络 连 接 38 安 全 域 39 配 置 安 全 域 39 接 口 40 配 置 接 口 41 新 建 PPPoE 接 口 41 新 建 隧 道 接 口 43 新 建 Virtual Forward 接 口 45 新 建 回 环 接 口 47 新 建 集 聚 接 口 49 新 建 冗 余 接 口 52 新 建 以 太 网 子 接 口 / 集 聚 子 接 口 / 冗 余 子 接 口 53 新 建 VSwitch 接 口 /VLAN 接 口 54 编 辑 以 太 接 口 55 MGT 接 口 59 配 置 MGT 接 口 59 VLAN 60 配 置 VLAN 60 DNS 61 配 置 DNS 服 务 器 61 配 置 DNS 代 理 61 解 析 配 置 61 DNS 缓 存 62 NBT 缓 存 62 DHCP 64 配 置 DHCP 服 务 器 64 配 置 DHCP 中 继 代 理 65 DDNS 67 配 置 DDNS 67 PPPoE 69 配 置 PPPoE 69 TOC - 2

5 Virtual Wire 71 配 置 Virtual Wire 71 虚 拟 路 由 器 72 新 建 虚 拟 路 由 器 72 全 局 配 置 72 虚 拟 交 换 机 74 新 建 虚 拟 交 换 机 74 目 的 镜 像 接 口 75 WLAN 76 新 建 无 线 网 络 76 无 线 网 络 高 级 配 置 77 连 接 3G 网 络 78 配 置 3G 连 接 78 数 据 卡 管 理 配 置 79 PIN 码 自 动 验 证 79 启 用 / 禁 用 PIN 码 保 护 功 能 79 PIN 码 修 改 79 PIN 码 认 证 79 PIN 码 解 锁 80 链 路 负 载 均 衡 81 配 置 出 站 负 载 均 衡 81 启 用 出 站 负 载 均 衡 81 配 置 就 近 探 测 路 由 81 配 置 出 站 负 载 均 衡 日 志 81 配 置 入 站 负 载 均 衡 82 新 建 SmartDNS 规 则 表 82 应 用 层 网 关 84 开 启 应 用 层 网 关 84 全 局 网 络 参 数 85 第 6 章 高 级 路 由 功 能 87 配 置 目 的 路 由 88 新 建 目 的 路 由 88 配 置 源 路 由 89 新 建 源 路 由 89 配 置 源 接 口 路 由 90 新 建 源 接 口 路 由 90 配 置 ISP 信 息 91 新 建 ISP 信 息 配 置 文 件 91 TOC - 3

6 上 传 ISP 信 息 配 置 文 件 91 保 存 ISP 信 息 配 置 文 件 92 配 置 ISP 路 由 93 新 建 ISP 路 由 93 配 置 策 略 路 由 94 新 建 策 略 路 由 94 新 建 策 略 路 由 规 则 94 配 置 策 略 路 由 规 则 优 先 级 96 应 用 策 略 路 由 97 DNS 重 定 向 98 WAP 智 能 分 流 98 启 用 WAP 智 能 分 流 99 配 置 DNS 服 务 器 99 配 置 域 名 条 目 99 配 置 策 略 路 由 规 则 99 查 看 WAP 智 能 分 流 统 计 数 据 99 视 频 引 流 99 就 近 探 测 路 由 100 配 置 RIP 101 新 建 RIP 101 第 7 章 用 户 认 证 104 用 户 认 证 流 程 104 Web 认 证 105 使 用 向 导 配 置 Web 认 证 105 配 置 Web 认 证 的 全 局 参 数 106 修 改 认 证 界 面 的 图 片 107 单 点 登 录 109 使 用 Security Agent 实 现 单 点 登 录 109 通 过 在 AD 服 务 器 上 安 装 脚 本 程 序 进 行 单 点 登 录 110 开 启 SSO-NTLM 单 点 登 录 x 认 证 114 配 置 802.1x 认 证 114 创 建 802.1x profile x 的 全 局 配 置 115 查 看 在 线 用 户 116 PKI 117 创 建 PKI 密 钥 117 创 建 信 任 域 118 TOC - 4

7 导 入 导 出 信 任 域 的 信 息 119 第 8 章 VPN 121 IPSec VPN 122 IPSec VPN 基 础 概 念 122 安 全 联 盟 122 封 装 方 式 122 协 商 方 式 122 引 用 IPSec VPN 122 配 置 IKE VPN 123 配 置 P1 提 议 123 配 置 P2 提 议 124 配 置 VPN 对 端 125 配 置 IKE VPN 127 配 置 手 工 密 钥 VPN 130 查 看 IPSec VPN 监 控 信 息 132 配 置 PnPVPN 133 PnPVPN 工 作 流 程 133 配 置 PnPVPN 133 配 置 IPSec-XAUTH 地 址 池 135 SSL VPN 137 配 置 SSL VPN 137 配 置 SSL VPN 地 址 池 141 配 置 SSL VPN 认 证 登 录 页 143 主 机 绑 定 144 配 置 主 机 绑 定 144 配 置 主 机 绑 定 与 解 除 绑 定 144 配 置 超 级 用 户 144 配 置 共 享 主 机 145 导 入 / 导 出 已 绑 定 主 机 列 表 146 主 机 检 测 147 基 于 角 色 的 访 问 控 制 和 主 机 检 测 流 程 147 配 置 主 机 检 测 规 则 147 SSL VPN 客 户 端 150 下 载 与 安 装 客 户 端 150 使 用 用 户 名 / 密 码 认 证 方 式 150 使 用 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式 151 使 用 数 字 证 书 认 证 方 式 153 启 动 客 户 端 153 TOC - 5

8 使 用 Web 方 式 启 动 客 户 端 154 使 用 用 户 名 / 密 码 认 证 方 式 154 使 用 用 户 名 / 密 码 + USB Key 证 书 方 式 认 证 155 使 用 用 户 名 / 密 码 + 软 证 书 方 式 认 证 157 使 用 USB Key 证 书 方 式 认 证 157 使 用 软 证 书 方 式 158 直 接 启 动 客 户 端 158 使 用 用 户 名 / 密 码 认 证 方 式 158 使 用 用 户 名 / 密 码 + USB Key 证 书 方 式 认 证 160 使 用 用 户 名 / 密 码 + 软 证 书 方 式 认 证 162 使 用 USB Key 证 书 方 式 认 证 163 使 用 软 证 书 方 式 164 查 看 客 户 端 图 形 用 户 界 面 165 统 计 信 息 165 接 口 信 息 166 路 由 信 息 166 查 看 客 户 端 菜 单 166 配 置 Hillstone Secure Connect 167 设 置 通 用 选 项 167 添 加 登 录 信 息 条 目 167 L2TP VPN 169 配 置 L2TP VPN 169 配 置 L2TP VPN 地 址 池 171 查 看 在 线 用 户 172 第 9 章 对 象 173 地 址 簿 174 新 建 地 址 簿 条 目 174 查 看 地 址 簿 条 目 详 情 175 域 名 薄 176 新 建 域 名 条 目 176 服 务 薄 177 预 定 义 服 务 及 预 定 义 服 务 组 177 自 定 义 服 务 177 自 定 义 服 务 组 177 配 置 服 务 薄 177 配 置 自 定 义 服 务 177 配 置 自 定 义 服 务 组 178 应 用 薄 180 TOC - 6

9 编 辑 预 定 义 应 用 180 新 建 自 定 义 应 用 组 180 新 建 应 用 过 滤 组 180 SLB 服 务 器 池 182 配 置 SLB 服 务 器 池 条 目 和 监 测 规 则 182 查 看 SLB 服 务 器 池 条 目 详 情 183 时 间 表 184 周 期 计 划 184 绝 对 计 划 184 创 建 时 间 表 184 AAA 服 务 器 186 配 置 本 地 AAA 服 务 器 186 配 置 Radius 服 务 器 186 配 置 Active Directory 服 务 器 188 配 置 LDAP 服 务 器 189 用 户 191 配 置 本 地 用 户 191 新 建 用 户 191 新 建 用 户 组 192 配 置 LDAP 用 户 193 配 置 LDAP 服 务 器 193 同 步 用 户 195 配 置 Active Directory 用 户 195 配 置 Active Directory 服 务 器 195 同 步 用 户 196 配 置 用 户 绑 定 196 添 加 用 户 绑 定 196 导 入 用 户 绑 定 列 表 197 导 出 用 户 绑 定 列 表 197 角 色 198 新 建 角 色 198 创 建 角 色 映 射 198 新 建 角 色 组 合 199 监 测 对 象 201 新 建 监 测 对 象 201 发 送 对 象 203 新 建 发 送 对 象 203 查 看 关 联 告 警 规 则 203 TOC - 7

10 第 10 章 策 略 204 安 全 策 略 205 配 置 策 略 规 则 205 启 用 / 禁 用 策 略 规 则 207 复 制 策 略 规 则 208 调 整 优 先 级 208 设 置 策 略 默 认 动 作 208 查 看 及 清 零 策 略 命 中 数 209 用 户 上 线 通 知 210 配 置 用 户 上 线 通 知 功 能 210 配 置 用 户 上 线 通 知 功 能 参 数 210 查 看 上 线 通 知 用 户 210 流 量 管 理 212 实 现 机 制 212 功 能 概 述 212 处 理 流 程 214 配 置 管 道 215 查 看 管 道 监 控 统 计 218 NAT 219 NAT 的 基 本 转 换 过 程 219 设 备 的 NAT 功 能 219 配 置 源 NAT 220 启 用 / 禁 用 NAT 规 则 221 调 整 优 先 级 222 导 出 NAT444 静 态 端 口 块 映 射 表 222 配 置 目 的 NAT 223 配 置 IP 映 射 类 型 的 目 的 NAT 223 配 置 端 口 映 射 类 型 的 目 的 NAT 223 配 置 NAT 规 则 的 高 级 配 置 224 启 用 / 禁 用 NAT 规 则 226 调 整 优 先 级 226 查 看 负 载 均 衡 服 务 器 及 地 址 池 状 态 228 查 看 服 务 器 状 态 228 查 看 SLB 服 务 器 地 址 池 状 态 228 会 话 限 制 229 配 置 会 话 限 制 规 则 229 清 除 统 计 信 息 230 ARP 防 护 231 TOC - 8

11 配 置 ARP 防 护 231 配 置 ARP 绑 定 231 配 置 静 态 绑 定 231 获 取 动 态 绑 定 信 息 232 强 制 绑 定 IP-MAC- 端 口 绑 定 信 息 233 导 入 / 导 出 绑 定 信 息 233 配 置 ARP 认 证 233 配 置 ARP 检 查 234 配 置 DHCP 监 控 235 查 看 DHCP 监 控 列 表 236 配 置 主 机 防 御 236 URL 过 滤 238 配 置 URL 过 滤 238 启 用 / 禁 用 规 则 240 调 整 优 先 级 241 查 看 URL 访 问 日 志 241 配 置 URL 过 滤 对 象 241 预 定 义 URL 库 241 更 改 预 定 义 URL 库 更 新 配 置 241 在 线 升 级 URL 库 242 本 地 升 级 URL 库 242 自 定 义 URL 库 242 配 置 自 定 义 URL 库 242 URL 查 询 243 查 询 URL 信 息 243 配 置 URL 查 询 服 务 器 244 关 键 字 类 别 244 配 置 关 键 字 类 别 245 页 面 提 示 245 配 置 用 户 被 阻 断 警 告 信 息 246 配 置 用 户 被 监 控 警 告 信 息 247 Bypass 域 名 247 免 监 控 用 户 247 SSL 代 理 249 实 现 SSL 代 理 与 检 查 SSL 协 商 249 配 置 SSL 代 理 相 关 参 数 249 指 定 设 备 证 书 的 PKI 信 任 域 249 获 取 网 站 证 书 的 CN 值 250 TOC - 9

12 配 置 可 信 SSL 证 书 列 表 250 导 入 设 备 证 书 到 客 户 端 Web 浏 览 器 250 配 置 SSL 代 理 Profile 251 绑 定 SSL 代 理 Profile 到 策 略 规 则 252 上 网 行 为 控 制 253 配 置 上 网 行 为 控 制 对 象 253 预 定 义 URL 库 253 更 改 预 定 义 URL 库 更 新 配 置 254 在 线 升 级 URL 库 254 本 地 升 级 URL 库 254 自 定 义 URL 库 254 配 置 自 定 义 URL 库 254 URL 查 询 255 查 询 URL 信 息 255 配 置 URL 查 询 服 务 器 256 关 键 字 类 别 256 配 置 关 键 字 类 别 257 页 面 提 示 258 配 置 用 户 被 阻 断 警 告 信 息 258 配 置 用 户 被 监 控 警 告 信 息 259 Bypass 域 名 259 免 监 控 用 户 260 网 页 关 键 字 260 配 置 网 页 关 键 字 261 启 用 / 禁 用 规 则 263 调 整 优 先 级 264 查 看 网 页 内 容 关 键 字 阻 断 统 计 264 查 看 网 页 内 容 关 键 字 日 志 264 Web 外 发 信 息 264 配 置 Web 外 发 信 息 264 启 用 / 禁 用 规 则 267 调 整 优 先 级 267 查 看 Web 外 发 信 息 关 键 字 阻 断 统 计 267 查 看 Web 外 发 信 息 关 键 字 日 志 267 邮 件 过 滤 268 配 置 邮 件 过 滤 268 启 用 / 禁 用 规 则 271 调 整 优 先 级 271 TOC - 10

13 查 看 邮 件 内 容 关 键 字 阻 断 统 计 271 查 看 邮 件 过 滤 关 键 字 日 志 271 网 络 聊 天 271 配 置 网 络 聊 天 规 则 271 启 用 / 禁 用 规 则 274 调 整 优 先 级 274 查 看 网 络 聊 天 日 志 274 应 用 行 为 控 制 274 配 置 应 用 行 为 控 制 规 则 275 启 用 / 禁 用 规 则 277 调 整 优 先 级 278 查 看 应 用 行 为 控 制 日 志 278 黑 名 单 279 配 置 IP 阻 断 279 配 置 服 务 阻 断 279 第 11 章 威 胁 防 护 281 威 胁 防 护 特 征 库 281 病 毒 过 滤 282 配 置 病 毒 过 滤 283 病 毒 过 滤 配 置 准 备 工 作 283 配 置 病 毒 过 滤 功 能 283 配 置 病 毒 过 滤 规 则 283 病 毒 过 滤 全 局 配 置 285 入 侵 防 御 286 特 征 介 绍 286 配 置 入 侵 防 御 287 入 侵 防 御 配 置 准 备 工 作 287 配 置 入 侵 防 御 功 能 287 配 置 入 侵 防 御 规 则 287 配 置 协 议 特 征 库 288 协 议 配 置 288 特 征 配 置 293 WebServer 防 护 配 置 294 入 侵 防 御 全 局 配 置 297 攻 击 防 护 298 ICMP Flood 和 UDP Flood 攻 击 298 ARP 欺 骗 攻 击 298 SYN Flood 攻 击 298 TOC - 11

14 WinNuke 攻 击 298 IP 地 址 欺 骗 (IP Spoofing) 攻 击 298 地 址 扫 描 与 端 口 扫 描 攻 击 298 Ping of Death 攻 击 298 Teardrop 攻 击 防 护 298 Smurf 攻 击 298 Fraggle 攻 击 298 Land 攻 击 299 配 置 攻 击 防 护 300 边 界 流 量 过 滤 305 启 用 边 界 流 量 过 滤 功 能 305 配 置 自 定 义 黑 白 名 单 305 配 置 第 三 方 黑 名 单 306 查 询 黑 白 名 单 306 异 常 行 为 检 测 308 配 置 异 常 行 为 检 测 308 Web Server 高 级 防 护 309 主 机 防 护 309 查 看 异 常 行 为 检 测 信 息 309 风 险 减 缓 措 施 311 自 动 风 险 减 缓 措 施 311 配 置 自 动 风 险 减 缓 规 则 311 开 启 自 动 风 险 减 缓 312 自 定 义 风 险 减 缓 措 施 312 查 看 已 触 发 的 风 险 减 缓 措 施 详 细 信 息 313 高 级 威 胁 检 测 315 配 置 高 级 威 胁 检 测 315 查 看 高 级 威 胁 检 测 信 息 315 威 胁 防 护 全 局 配 置 317 启 用 应 用 层 强 制 检 查 功 能 317 入 侵 防 御 全 局 配 置 317 病 毒 过 滤 全 局 配 置 317 威 胁 防 护 全 局 列 表 318 新 建 入 侵 防 御 特 征 规 则 318 第 12 章 监 控 321 监 控 322 用 户 监 控 323 概 览 323 TOC - 12

15 用 户 详 情 324 地 址 簿 详 情 325 用 户 组 详 情 325 配 置 监 控 地 址 326 监 控 地 址 簿 327 统 计 周 期 327 应 用 监 控 328 概 览 328 应 用 详 情 329 应 用 组 详 情 330 统 计 周 期 331 威 胁 监 控 332 概 览 332 详 情 332 统 计 周 期 332 管 道 监 控 333 管 道 详 细 信 息 页 面 333 趋 势 对 比 窗 口 335 服 务 网 络 监 控 336 查 看 服 务 网 络 监 控 信 息 337 设 备 监 控 339 概 览 339 整 机 流 量 340 接 口 流 量 340 新 建 / 并 发 连 接 341 源 NAT 341 安 全 域 342 硬 件 状 态 342 统 计 周 期 342 详 细 信 息 页 面 343 趋 势 对 比 窗 口 344 配 置 探 测 规 则 344 在 线 用 户 数 346 URL 访 问 347 概 览 347 用 户 /IP 347 URL 348 URL 类 别 348 TOC - 13

16 统 计 周 期 349 应 用 阻 断 350 概 览 350 应 用 350 用 户 /IP 351 统 计 周 期 351 关 键 字 阻 断 352 概 览 352 网 页 关 键 字 352 邮 件 内 容 353 Web 外 发 信 息 353 用 户 /IP 353 统 计 周 期 354 认 证 用 户 355 监 控 配 置 356 自 定 义 监 控 357 新 建 监 控 统 计 集 359 查 看 监 控 统 计 集 信 息 360 告 警 362 告 警 监 控 362 时 间 告 警 362 级 别 告 警 362 全 部 告 警 363 告 警 规 则 365 新 建 告 警 规 则 365 查 询 告 警 规 则 366 查 看 WAP 智 能 分 流 数 据 367 报 表 368 报 表 汇 总 369 自 定 义 任 务 370 新 建 自 定 义 任 务 370 生 成 报 表 文 件 372 快 捷 任 务 373 生 成 报 表 文 件 373 报 表 计 划 374 日 志 375 日 志 的 严 重 等 级 375 日 志 信 息 输 出 目 的 地 375 TOC - 14

17 日 志 信 息 格 式 376 我 的 日 志 377 设 备 系 统 日 志 378 威 胁 日 志 379 会 话 日 志 380 NAT 日 志 382 URL 日 志 383 NBC 日 志 384 日 志 管 理 385 配 置 日 志 信 息 385 日 志 配 置 选 项 说 明 385 日 志 服 务 器 配 置 388 新 建 日 志 服 务 器 388 Web 邮 件 配 置 389 设 备 名 称 配 置 390 第 13 章 分 析 诊 断 391 全 局 故 障 点 检 索 392 配 置 搜 索 条 件 392 查 看 搜 索 结 果 392 数 据 包 路 径 检 测 393 配 置 数 据 包 路 径 检 测 393 模 拟 检 测 393 在 线 检 测 394 导 入 检 测 395 已 有 检 测 源 396 在 线 抓 包 工 具 398 配 置 在 线 抓 包 工 具 398 测 试 工 具 400 DNS 查 询 400 Ping 400 Traceroute 400 第 14 章 高 可 靠 性 401 HA 基 础 概 念 401 HA 簇 401 HA 组 401 HA Node 401 HA 组 接 口 和 虚 拟 MAC 401 HA 选 举 401 TOC - 15

18 HA 同 步 401 配 置 HA 403 第 15 章 系 统 管 理 405 系 统 信 息 406 查 看 系 统 信 息 406 管 理 设 备 407 管 理 员 407 VSYS 管 理 员 407 新 建 管 理 员 408 可 信 主 机 409 新 建 可 信 主 机 409 管 理 接 口 410 系 统 时 间 410 设 置 系 统 时 间 410 设 置 NTP 411 NTP 密 钥 411 新 建 NTP 密 钥 412 设 置 及 操 作 412 重 启 系 统 413 管 理 配 置 文 件 414 备 份 / 恢 复 配 置 文 件 414 设 置 SNMP 416 配 置 SNMP 代 理 416 新 建 SNMP 主 机 417 Trap 主 机 417 V3 用 户 组 418 V3 用 户 419 升 级 管 理 421 升 级 版 本 421 升 级 特 征 库 421 安 装 许 可 证 423 申 请 许 可 证 423 安 装 许 可 证 424 配 置 邮 件 服 务 器 425 新 建 邮 件 服 务 器 425 短 信 发 送 参 数 426 短 信 Modem 设 备 状 态 426 认 证 短 信 发 送 参 数 426 TOC - 16

19 短 信 测 试 426 连 接 HSM 427 HSM 应 用 场 景 427 连 接 HSM 427 系 统 调 试 429 故 障 反 馈 429 系 统 调 试 信 息 429 测 试 工 具 430 DNS 查 询 430 Ping 430 Traceroute 430 统 一 智 能 431 配 置 统 一 智 能 431 虚 拟 系 统 432 VSYS 对 象 432 根 VSYS 和 非 根 VSYS 432 VRouter VSwitch 安 全 域 和 接 口 432 新 建 非 根 VSYS 433 配 置 非 根 VSYS 专 有 和 共 享 属 性 434 配 置 VSYS 资 源 配 额 435 TOC - 17

20 欢 迎 感 谢 您 选 择 山 石 网 科 产 品! 以 下 内 容 可 以 帮 助 您 了 解 如 何 操 作 山 石 网 科 的 产 品 : 新 手 入 门 指 南 新 手 入 门 指 南 (PDF 下 载 ) 典 型 案 例 StoneOS 5.5 Cookbook (PDF 下 载 ) 系 统 操 作 手 册 StoneOS WebUI 用 户 手 册 (PDF 下 载 ) StoneOS 命 令 行 用 户 手 册 (PDF 下 载 ) F 版 本 新 功 能 手 册 (PDF 下 载 ) StoneOS 日 志 参 考 指 南 (PDF 下 载 ) StoneOS SNMP 私 有 MIB 信 息 参 考 指 南 (PDF 下 载 ) 硬 件 安 装 手 册 各 系 列 硬 件 参 考 指 南 (PDF 下 载 ) 各 系 列 扩 展 模 块 参 考 指 南 (PDF 下 载 ) 其 他 支 持 : 官 方 网 站 : 技 术 支 持 : 欢 迎 1

21 第 1 章 新 手 入 门 指 南 本 新 手 入 门 指 南 帮 助 用 户 初 次 快 速 完 成 设 备 的 上 线 : 1. " 访 问 WebUI 界 面 " 在 第 2 页 2. " 初 始 配 置 " 在 第 3 页 安 装 许 可 证 创 建 系 统 管 理 员 配 置 可 信 主 机 升 级 特 征 库 3. " 如 何 连 通 网 络 " 在 第 6 页 在 路 由 模 式 下 连 通 网 络 在 3G 模 式 下 连 通 网 络 第 1 章 新 手 入 门 指 南 1

22 访 问 WebUI 界 面 设 备 的 ethernet0/0 接 口 配 有 默 认 IP 地 址 /24, 并 且 该 接 口 的 各 种 管 理 功 能 均 为 开 启 状 态 初 次 使 用 设 备 时, 用 户 可 以 通 过 该 接 口 访 问 设 备 的 WebUI 界 面 搭 建 WebUI 配 置 环 境, 请 按 照 以 下 步 骤 进 行 配 置 : 1. 将 PC 的 IP 地 址 设 置 为 与 /24 同 网 段 的 IP 地 址, 在 PC 的 本 地 连 接 属 性 中, 设 置 Internet 协 议 版 本 4(TCP/IPv4) 如 下 : 2. 用 网 线 将 PC 与 设 备 的 ethernet0/0 接 口 进 行 连 接 3. 在 PC 的 Web 浏 览 器 中 输 入 地 址 并 按 回 车 键, 打 开 登 录 页 面 4. 输 入 用 户 名 和 密 码 设 备 提 供 的 默 认 用 户 名 和 密 码 均 为 hillstone 5. 点 击 登 录 按 钮, 进 入 WebUI 的 主 页 面 2 第 1 章 新 手 入 门 指 南

23 初 始 配 置 安 装 许 可 证 在 获 得 许 可 证 字 符 串 或 者 许 可 证 文 件 后, 按 照 以 下 步 骤 安 装 许 可 证 : 1. 点 击 系 统 > 许 可 证 2. 在 < 许 可 证 申 请 > 处, 选 择 以 下 两 种 方 式 中 的 一 种 导 入 许 可 证 上 传 许 可 证 文 件 : 选 中 上 传 许 可 证 文 件 单 选 按 钮, 点 击 浏 览 按 钮, 并 且 选 中 许 可 证 文 件 ( 许 可 证 为 纯 文 本.txt 文 件 ) 手 动 输 入 : 选 中 手 动 输 入 单 选 按 钮, 然 后 将 许 可 证 字 符 串 内 容 输 入 到 对 应 的 文 本 框 3. 点 击 确 定 按 钮 4. 点 击 系 统 > 设 备 管 理, 在 < 设 置 及 操 作 > 标 签 页, 点 击 重 启 设 备 5. 设 备 重 启 之 后 完 成 许 可 证 的 安 装 创 建 系 统 管 理 员 系 统 管 理 员 拥 有 读 执 行 和 写 权 限, 可 以 在 任 何 模 式 下 对 设 备 所 有 功 能 模 块 进 行 配 置 查 看 当 前 或 者 历 史 配 置 信 息 创 建 系 统 管 理 员, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 设 备 管 理 2. 在 < 管 理 员 > 标 签 页, 点 击 新 建 按 钮 在 < 管 理 员 配 置 > 对 话 框 填 写 系 统 管 理 员 的 基 本 信 息 第 1 章 新 手 入 门 指 南 3

24 选 项 配 置 值 管 理 员 Admin 管 理 员 角 色 选 择 系 统 管 理 员 密 码 重 新 输 入 密 码 登 录 类 型 选 择 Telnet SSH HTTP 和 HTTPS 的 方 式 登 录 3. 点 击 确 定 按 钮 保 存 所 做 配 置 注 意 : 设 备 拥 有 一 个 默 认 系 统 管 理 员 hillstone, 用 户 可 以 对 系 统 管 理 员 hillstone 进 行 编 辑 ( 只 可 编 辑 密 码 和 访 问 方 式 ), 但 是 不 能 删 除 该 管 理 员 创 建 可 信 主 机 系 统 管 理 员 可 以 指 定 一 个 IP 地 址 范 围, 在 该 指 定 范 围 内 的 主 机 为 可 信 主 机 只 有 可 信 主 机 才 可 以 对 防 火 墙 进 行 管 理 创 建 可 信 主 机, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 设 备 管 理 2. 选 择 可 信 主 机 标 签 页, 点 击 新 建 按 钮 在 < 可 信 主 机 配 置 > 对 话 框 填 写 可 信 主 机 的 基 本 信 息 选 项 配 置 值 类 型 选 择 IP 地 址 和 掩 码 IP /24 登 录 类 型 选 择 可 信 主 机 的 登 录 类 型 :Telnet SSH HTTP 和 HTTPS 3. 点 击 确 定 按 钮 保 存 所 做 配 置 升 级 St oneos 版 本 注 意 : 在 升 级 StoneOS 版 本 之 前, 建 议 用 户 备 份 配 置 文 件 升 级 StoneOS 版 本, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 升 级 管 理 4 第 1 章 新 手 入 门 指 南

25 2. 在 < 版 本 升 级 > 标 签 页, 点 击 浏 览 按 钮, 然 后 在 本 地 PC 选 择 新 的 软 件 版 本 文 件 3. 勾 选 重 启 设 备 后 的 复 选 框, 然 后 点 击 应 用 按 钮 4. 设 备 将 自 动 重 启 并 且 升 级 到 新 的 StoneOSo 版 本 特 征 库 升 级 默 认 情 况 下, 系 统 会 每 日 自 动 更 新 特 征 库 注 意 : 所 有 特 征 库 升 级 受 许 可 证 控 制, 如 需 升 级 特 征 库, 请 先 为 确 保 已 购 买 并 安 装 完 成 对 应 的 许 可 证 升 级 特 征 库, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 升 级 管 理 2. 选 择 < 特 征 库 升 级 > 标 签 页, 找 到 需 要 升 级 的 特 征 库 部 分 3. 选 择 以 下 两 种 方 式 中 的 一 种 升 级 特 征 库 远 程 升 级 : 点 击 立 即 在 线 升 级 按 钮, 立 即 升 级 特 征 库 本 地 升 级 : 上 传 本 地 升 级 文 件 点 击 浏 览 按 钮, 选 中 本 地 特 征 库 特 征 文 件, 点 击 上 传 按 钮, 系 统 开 始 上 传 特 征 库 信 息 第 1 章 新 手 入 门 指 南 5

26 如 何 连 通 网 络 在 路 由 模 式 下 连 通 网 路 在 路 由 模 式 下, 通 常 使 用 设 备 作 为 安 全 网 关 连 接 内 网 和 互 联 网 本 节 中 的 示 例 将 基 于 以 下 拓 扑 图, 介 绍 如 何 联 通 内 网 和 外 部 网 络 步 骤 一 : 连 接 设 备 1. 将 设 备 的 接 口 ( 如 ethernet0/1) 连 接 到 运 营 商 网 络 中, 一 般 情 况 下, 外 网 接 口 选 择 属 于 untrust 安 全 域 将 设 备 另 一 个 接 口 ( 如 ethernet0/0) 连 接 到 内 网 中, 默 认 情 况 下,ethernet0/0 属 于 trust 安 全 域 2. 连 接 电 源 为 设 备 上 电 3. 通 过 内 网 接 口 访 问 系 统 WebUI 界 面, 请 参 阅 " 访 问 WebUI 界 面 " 在 第 2 页 步 骤 二 : 配 置 接 口 1. 点 击 网 络 > 接 口 2. 双 击 ethernet0/1 接 口 在 <ethernet 接 口 > 对 话 框 填 写 接 口 的 基 本 配 置 信 息 选 项 配 置 值 绑 定 安 全 域 安 全 域 类 型 三 层 安 全 域 untrust 静 态 IP 6 第 1 章 新 手 入 门 指 南

27 选 项 配 置 值 IP 地 址 网 络 掩 码 管 理 方 式 勾 选 相 应 协 议 复 选 框, 指 定 接 口 对 应 的 访 问 设 备 的 方 式 3. 点 击 确 定 按 钮 完 成 相 关 配 置 4. 默 认 情 况 下, 内 网 接 口 ethernet0/0 属 于 trust 安 全 域, 并 配 有 IP 地 址 /24, 无 需 再 配 置 步 骤 三 : 配 置 源 NAT 规 则, 将 内 网 IP 转 换 为 出 接 口 IP 1. 点 击 策 略 >NAT> 源 NAT 2. 点 击 新 建 按 钮 在 < 源 NAT 配 置 > 对 话 框 填 写 源 NAT 规 则 的 基 本 配 置 信 息 选 项 配 置 值 源 地 址 目 的 地 址 出 流 量 转 换 为 Sticky 地 址 条 目, Any 地 址 条 目, Any 出 接 口, ethernet0/1 出 接 口 IP 启 用 3. 点 击 确 定 按 钮 步 骤 四 : 配 置 策 略 规 则, 允 许 内 网 用 户 访 问 外 网 1. 点 击 策 略 > 安 全 策 略 2. 点 击 列 表 左 上 角 的 添 加 按 钮 第 1 章 新 手 入 门 指 南 7

28 在 < 策 略 配 置 > 对 话 框 填 写 策 略 规 则 的 基 本 配 置 信 息 选 项 配 置 值 源 信 息 安 全 域 trust 地 址 Any 目 的 信 息 安 全 域 untrust 地 址 Any 其 他 信 息 服 务 / 服 务 组 Any 应 用 / 应 用 组 行 为 允 许 3. 点 击 确 定 按 钮 步 骤 五 : 配 置 默 认 路 由 1. 点 击 网 络 > 路 由 > 目 的 路 由 2. 点 击 新 建 按 钮 在 < 目 的 路 由 配 置 > 对 话 框 填 写 目 的 路 由 的 基 本 配 置 信 息 选 项 配 置 值 目 的 地 第 1 章 新 手 入 门 指 南

29 选 项 配 置 值 子 网 掩 码 ( 表 示 匹 配 所 有 的 网 段 ) 网 关 点 击 确 定 按 钮 通 过 3 G 方 式 连 通 网 络 对 于 一 台 装 有 3G 数 据 卡 的 设 备, 当 设 备 工 作 在 路 由 模 式 下 时, 可 以 通 过 3G 拨 号 方 式 接 入 3G 网 络 注 意 : 请 先 向 运 营 商 索 取 3G 参 数 ( 接 入 点 用 户 名 密 码 拨 号 串 ) 本 节 中 的 示 例 将 基 于 以 下 拓 扑 图 : 步 骤 一 : 配 置 3G 基 本 参 数 1. 点 击 网 络 >3G 在 <3G 配 置 > 标 签 页 填 写 3G 的 基 本 配 置 信 息 选 项 配 置 值 3G 功 能 勾 选 启 用 复 选 框 第 1 章 新 手 入 门 指 南 9

30 选 项 配 置 值 接 入 点 CTNET(CDMA) UNINET(WCDMA) CMNET(TD- SCDMA) 用 户 名 (CDMA) 任 意 值 (WCDMA) 任 意 值 (TD-SCDMA) 密 码 vnet.mobi(cdma) 任 意 值 (WCDMA) 任 意 值 (TD-SCDMA) 拨 号 串 #777(CDMA) *99#(WCDMA) *99#(TD-SCDMA) 认 证 IP 地 址 在 线 方 式 安 全 域 步 骤 二 : 配 置 策 略 规 则 1. 点 击 策 略 > 安 全 策 略 选 中 任 意 单 选 按 钮 选 中 自 动 获 取 IP 地 址 单 选 按 钮 选 中 空 闲 自 动 断 线 单 选 按 钮 untrust 2. 点 击 列 表 左 上 角 的 新 建 按 钮 在 < 策 略 配 置 > 对 话 框 填 写 策 略 规 则 的 基 本 配 置 信 息 选 项 配 置 值 源 信 息 安 全 域 trust 地 址 Any 目 的 信 息 安 全 域 untrust 地 址 Any 其 他 信 息 服 务 / 服 务 组 Any 应 用 / 应 用 组 行 为 允 许 步 骤 三 : 配 置 用 户 PC 的 IP 地 址 网 关 和 DNS (IP 地 址 需 与 ethernet0/0 在 同 一 网 段,DNS 必 须 指 定 为 公 网 DNS) 10 第 1 章 新 手 入 门 指 南

31 恢 复 出 厂 配 置 注 意 : 该 操 作 将 使 设 备 恢 复 到 出 厂 配 置, 即 所 有 配 置 将 被 删 除, 包 括 已 备 份 的 系 统 配 置 文 件 请 谨 慎 操 作! 恢 复 设 备 的 出 厂 配 置 有 两 种 方 式, 分 别 是 : 通 过 CLR 按 键 方 式 : 使 用 设 备 的 CLR 按 键 进 行 恢 复 通 过 WebUI 方 式 : 通 过 WebUI 清 除 配 置 以 恢 复 出 厂 配 置 通 过 CL R 按 键 方 式 使 用 CLR 按 键 恢 复 出 厂 配 置, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 关 闭 设 备 的 电 源 2. 用 针 状 物 按 住 CLR 按 键 的 同 时 打 开 设 备 的 电 源 3. 保 持 按 住 状 态 直 到 指 示 灯 STA 和 ALM 均 变 为 红 色 常 亮, 释 放 CLR 按 键 此 时 系 统 开 始 恢 复 出 厂 配 置 4. 出 厂 配 置 恢 复 完 毕, 系 统 将 会 自 动 重 新 启 动 通 过 W ebui 方 式 通 过 WebUI 方 式 恢 复 出 厂 配 置, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 配 置 文 件 管 理 " 2. 点 击 备 份 恢 复 按 钮 3. 在 < 配 置 备 份 / 恢 复 > 对 话 框, 点 击 恢 复 按 钮 4. 在 < 恢 复 出 厂 配 置 > 对 话 框, 点 击 确 定 按 钮 5. 设 备 将 自 动 重 启, 重 启 后 完 成 恢 复 出 厂 配 置 第 1 章 新 手 入 门 指 南 11

32 第 2 章 部 署 您 的 设 备 在 开 始 使 用 防 火 墙 产 品 之 前, 首 先 请 了 解 防 火 墙 的 基 本 工 作 原 理 如 果 您 能 掌 握 防 火 墙 的 架 构 基 本 概 念 和 数 据 处 理 流 程, 您 可 以 更 合 理 地 构 建 您 的 网 络 布 局, 充 分 发 挥 防 火 墙 的 功 能 " 防 火 墙 工 作 原 理 " 在 第 13 页 防 火 墙 有 多 种 部 署 模 式, 每 个 部 署 模 式 适 用 于 不 同 的 应 用 场 景 主 要 的 应 用 场 景 分 为 以 下 几 种 : " 部 署 透 明 模 式 " 在 第 17 页 适 用 于 用 户 不 希 望 改 变 现 有 网 络 规 划 和 配 置 的 场 景 透 明 模 式 中, 防 火 墙 是 不 可 见 的, 不 需 配 置 新 的 IP 地 址, 只 利 用 防 火 墙 做 安 全 控 制 " 部 署 路 由 模 式 " 在 第 21 页 适 用 于 需 要 防 火 墙 提 供 路 由 和 NAT 功 能 的 场 景 路 由 模 式 中, 防 火 墙 连 接 不 同 网 段 的 网 络, 通 常 为 内 部 网 络 和 互 联 网, 且 防 火 抢 的 每 一 个 接 口 都 分 配 IP 地 址 " 部 署 混 合 模 式 " 在 第 25 页 如 果 防 火 墙 在 网 络 中 既 有 二 层 接 口, 又 有 三 层 接 口, 那 么 防 火 墙 处 于 混 合 模 式 " 部 署 旁 路 (Tap) 模 式 " 在 第 26 页 用 户 希 望 试 用 防 火 墙 的 监 控 统 计 入 侵 防 御 功 能, 暂 时 不 将 防 火 墙 直 连 在 网 络 里, 可 以 选 用 旁 路 模 式 第 2 章 部 署 您 的 设 备 12

33 防 火 墙 工 作 原 理 防 火 墙 作 为 一 种 网 络 安 全 产 品, 通 过 控 制 进 出 网 络 的 流 量, 保 护 网 络 的 安 全 防 火 墙 的 基 本 原 理 是 通 过 分 析 数 据 包, 根 据 已 有 的 策 略 规 则, 允 许 或 阻 断 数 据 流 量 除 此 之 外, 防 火 墙 也 具 有 连 通 网 络 的 功 能, 实 现 安 全 可 信 区 域 ( 内 部 网 络 ) 和 不 信 任 区 域 ( 外 部 网 络 ) 之 间 的 桥 接 St oneos 系 统 架 构 组 成 StoneOS 系 统 架 构 的 基 本 元 素 包 括 : 安 全 域 : 域 是 一 个 逻 辑 实 体, 将 网 络 划 分 为 不 同 部 分, 应 用 了 安 全 策 略 的 域 称 为 安 全 域 例 如,trust 安 全 域 通 常 为 内 网 等 可 信 任 网 络,untrust 安 全 域 通 常 为 互 联 网 等 存 在 安 全 威 胁 的 不 可 信 任 网 络 接 口 : 接 口 是 流 量 进 出 安 全 域 的 通 道, 接 口 必 须 绑 定 到 某 个 安 全 域 才 能 工 作 默 认 情 况 下, 接 口 都 不 能 互 相 访 问, 只 有 通 过 策 略 规 则, 才 能 允 许 流 量 在 接 口 之 间 传 输 虚 拟 交 换 机 (VSwitch): 具 有 交 换 机 功 能 VSwitch 工 作 在 二 层, 将 二 层 安 全 域 绑 定 到 VSwitch 上 后, 绑 定 到 安 全 域 的 接 口 也 被 绑 定 到 该 VSwitch 上 一 个 VSwitch 就 是 一 个 二 层 转 发 域, 每 个 VSwitch 都 有 自 己 独 立 的 MAC 地 址 表, 因 此 设 备 的 二 层 转 发 在 VSwitch 中 实 现 并 且, 流 量 可 以 通 过 VSwitch 接 口, 实 现 二 层 与 三 层 之 间 的 转 发 虚 拟 路 由 器 (VRouter): 简 称 为 VR VRouter 具 有 路 由 器 功 能, 不 同 VR 拥 有 各 自 独 立 的 路 由 表 系 统 中 有 一 个 默 认 VR, 名 为 trust-vr, 默 认 情 况 下, 所 有 三 层 安 全 域 都 将 会 自 动 绑 定 到 trust-vr 上 系 统 支 持 多 VR 功 能 且 不 同 硬 件 平 台 支 持 的 最 大 VR 数 不 同 多 VR 将 设 备 划 分 成 多 个 虚 拟 路 由 器, 每 个 虚 拟 路 由 器 使 用 和 维 护 各 自 完 全 独 立 的 路 由 表, 此 时 一 台 设 备 可 以 充 当 多 台 路 由 器 使 用 多 VR 使 设 备 能 够 实 现 不 同 路 由 域 的 地 址 隔 离 与 不 同 VR 间 的 地 址 重 叠, 同 时 能 够 在 一 定 程 度 上 避 免 路 由 泄 露, 增 加 网 络 的 路 由 安 全 策 略 : 策 略 是 网 络 安 全 设 备 的 基 本 功 能, 控 制 安 全 域 间 / 不 同 地 址 段 间 的 流 量 转 发 默 认 情 况 下, 安 全 设 备 会 拒 绝 设 备 上 所 有 安 全 域 / 接 口 / 地 址 段 之 间 的 信 息 传 输 策 略 规 则 (Policy Rule) 决 定 从 安 全 域 到 另 一 个 安 全 域, 或 从 一 个 地 址 段 到 另 一 个 地 址 段 的 哪 些 流 量 该 被 允 许, 哪 些 流 量 该 被 拒 绝 StoneOS 系 统 的 架 构 中, 安 全 域 接 口 虚 拟 路 由 器 和 虚 拟 交 换 机 之 间 具 有 从 属 关 系, 也 称 为 绑 定 关 系 各 个 元 素 之 间 的 关 系 为 : 接 口 绑 定 到 安 全 域, 安 全 域 绑 定 到 VSwitch 或 VRouter, 进 而, 接 口 也 就 绑 定 到 了 某 个 VSwitch 或 VRouter 一 个 接 口 只 能 绑 定 到 一 个 安 全 域 上, 一 个 安 全 域 可 以 绑 定 多 个 接 口 二 层 安 全 域 只 能 绑 定 到 VSwitch 上, 三 层 安 全 域 只 能 绑 定 到 VRouter 上 安 全 策 略 规 则 默 认 情 况 下, 所 有 的 接 口 之 间 的 流 量 都 是 拒 绝 的 不 同 的 安 全 域 之 间 相 同 的 安 全 域 之 内 的 接 口 流 量 均 不 能 互 访 要 实 现 接 口 的 互 访, 只 有 通 过 创 建 策 略 规 则, 才 能 将 流 量 放 行 注 意 : 如 果 既 有 从 源 到 目 的 的 访 问, 又 有 反 方 向 的 主 动 访 问, 那 么 就 要 创 建 两 条 策 略 规 则, 允 许 双 方 向 的 流 量 通 过 ; 如 果 只 有 单 方 向 的 主 动 访 问, 而 反 方 向 只 回 包 即 可, 那 么 只 需 要 创 建 源 到 目 的 的 一 条 单 方 向 的 策 略 13 第 2 章 部 署 您 的 设 备

34 根 据 接 口 所 属 的 安 全 域 VSwtich 或 VRouter 的 不 同, 要 创 建 不 同 的 策 略 才 能 允 许 接 口 互 访, 具 体 的 规 则 如 下 : 属 于 同 一 个 安 全 域 的 两 个 接 口 实 现 互 访 : 需 要 创 建 一 条 源 和 目 的 均 为 该 安 全 域 的 策 略 例 如, 要 实 现 上 图 中 的 eth0/0 与 eth0/1 的 互 访, 需 要 创 建 从 L3-zone1 到 L3-zone1 的 允 许 流 量 通 过 的 策 略 ; 或 者, 要 实 现 eth- 0/3 与 eth0/4 的 互 访, 要 创 建 源 和 目 的 均 为 L2-zone2 的 策 略 两 个 二 层 接 口 所 在 的 安 全 域 属 于 同 一 VSwitch, 实 现 接 口 互 访 : 需 要 创 建 两 条 策 略, 第 一 条 策 略 允 许 从 一 个 安 全 域 到 另 一 个 安 全 域 流 量 放 行, 第 二 条 策 略 允 许 反 方 向 的 流 量 通 过 例 如, 要 实 现 上 图 中 的 eth0/2 与 eth0/3 的 互 访, 需 要 创 建 从 L2-zone1 到 L2-zone2 的 策 略 和 L2-zone2 到 L2-zone1 这 两 条 策 略 两 个 二 层 接 口 所 在 的 安 全 域 属 于 不 同 的 VSwtich 的, 实 现 接 口 互 访 : 每 个 VSwtich 都 具 有 唯 一 的 一 个 VSwtich 接 口 (VSwitchIF), 该 VSwtichIF 与 某 个 三 层 安 全 域 绑 定 要 实 现 互 访, 需 要 创 建 放 行 策 略, 源 是 一 个 VswichIF 所 属 的 三 层 安 全 域, 目 的 是 另 一 个 VSwtichIF 所 属 的 三 层 安 全 域 同 时, 还 需 要 创 建 反 方 向 的 策 略 两 个 三 层 接 口 所 在 的 安 全 域 属 于 同 一 VRouter, 实 现 接 口 互 访 : 需 要 创 建 策 略 允 许 从 一 个 安 全 域 到 另 一 个 安 全 域 的 流 量 放 行 例 如, 要 实 现 eth0/0 和 eth0/5 的 互 访, 要 创 建 从 L3-zone1 到 L3- zone2 的 允 许 流 量 通 过 的 策 略, 然 后 再 创 建 反 方 向 的 策 略 两 个 三 层 接 口 所 在 的 安 全 域 从 属 于 不 同 的 VRouter 的, 实 现 接 口 互 访 : 若 要 实 现 接 口 互 访, 需 要 创 建 策 略 规 则, 允 许 从 一 个 VRouter 到 另 一 个 VRouter 之 间 的 流 量 放 行 同 一 VRouter 下 的 二 层 接 口 和 三 层 接 口, 实 现 互 访 : 创 建 允 许 流 量 通 过 的 策 略, 策 略 的 源 是 二 层 接 口 的 VSwtichIF 所 绑 定 的 三 层 安 全 域, 策 略 的 目 的 是 三 层 接 口 所 属 的 三 层 安 全 域 然 后, 再 创 建 反 向 策 略 例 如, 要 实 现 eth0/0 与 eth0/2 的 互 访, 需 要 创 建 从 L3-zone1 到 L2-zone1 的 策 略, 以 及 反 向 策 略 数 据 包 处 理 流 程 二 层 转 发 域 中 的 转 发 规 则 在 一 个 VSwitch, 即 一 个 二 层 转 发 域 中,StoneOS 通 过 源 地 址 学 习 建 立 MAC 地 址 转 发 表 每 个 VSwitch 都 有 自 己 的 MAC 地 址 转 发 表 StoneOS 根 据 数 据 包 的 类 型 (IP 数 据 包 ARP 包 和 非 IP 且 非 ARP 包 ), 分 别 进 行 不 同 的 处 理 对 于 IP 数 据 包,StoneOS 遵 循 以 下 转 发 规 则 : 1. 收 到 数 据 包 2. 学 习 源 地 址, 更 新 MAC 地 址 转 发 表 3. 如 果 目 的 MAC 地 址 是 单 播 地 址, 则 根 据 目 的 MAC 地 址 查 找 出 接 口 这 时 又 有 以 下 两 种 情 况 : 如 果 目 的 MAC 地 址 为 VSwitch 接 口 的 MAC 地 址, 并 且 VSwitch 接 口 有 IP 地 址, 则 按 照 路 由 转 发 规 则 进 行 转 发 ; 若 VSwitch 接 口 没 有 IP 地 址, 则 丢 弃 根 据 目 的 MAC 地 址 找 到 出 接 口 如 果 找 到 的 出 接 口 是 数 据 包 的 源 接 口, 则 丢 弃 该 数 据 报, 否 则 从 出 接 口 继 续 转 发 数 据 包 如 果 在 MAC 地 址 表 中 没 有 找 到 出 接 口 ( 未 知 单 播 ), 直 接 跳 到 第 6 步 4. 根 据 入 接 口 和 出 接 口 确 定 源 域 和 目 的 安 全 域 5. 查 找 策 略 规 则 如 果 策 略 规 则 允 许 则 转 发 数 据 包 ; 如 果 策 略 规 则 不 允 许, 则 丢 弃 数 据 包 6. 如 果 在 MAC 地 址 转 发 表 中 没 有 找 到 出 接 口 ( 未 知 单 播 ),StoneOS 则 尝 试 将 数 据 包 发 给 VSwitch 中 的 所 有 其 它 二 层 接 口, 此 时 的 操 作 流 程 为 : 把 其 它 的 每 一 个 二 层 接 口 做 为 出 接 口, 二 层 接 口 所 在 的 二 层 安 全 域 作 为 目 的 域, 查 询 策 略 规 则, 如 果 策 略 允 许, 则 在 该 二 层 接 口 转 发 数 据 包, 如 果 策 略 不 允 许, 则 丢 弃 数 据 包 概 括 地 说, 对 未 知 单 播 的 转 发 即 为 策 略 限 制 下 的 广 播 对 于 广 播 和 多 播 IP 包 的 处 理 类 似 于 对 未 知 单 播 的 处 理, 不 同 的 是 广 播 和 多 播 IP 包 会 被 同 时 拷 贝 一 份 进 行 三 层 处 理 对 于 ARP 包, 广 播 包 和 未 知 单 播 包 转 发 到 VSwitch 中 的 其 它 所 有 接 口, 同 时, 复 制 一 份 由 ARP 模 块 进 行 处 理 第 2 章 部 署 您 的 设 备 14

35 三 层 转 发 域 的 转 发 规 则 0. 识 别 数 据 包 的 逻 辑 入 接 口, 可 能 是 一 般 无 标 签 接 口, 也 可 能 是 子 接 口 从 而 确 定 数 据 包 的 源 安 全 域 1. StoneOS 对 数 据 包 进 行 合 法 性 检 查 如 果 源 安 全 域 配 置 了 攻 击 防 护 功 能, 系 统 会 在 这 一 步 同 时 进 行 攻 击 防 护 功 能 检 查 2. 会 话 查 询 如 果 该 数 据 包 属 于 某 个 已 建 立 会 话, 则 跳 过 4 到 10, 直 接 进 行 第 11 步 3. 目 的 NAT(DNAT) 操 作 如 果 能 够 查 找 到 相 匹 配 的 DNAT 规 则, 则 为 包 做 DNAT 标 记 因 为 路 由 查 询 需 要 DNAT 转 换 的 IP 地 址, 所 以 先 进 行 DNAT 操 作 4. 路 由 查 询 StoneOS 的 路 由 查 询 顺 序 从 前 到 后 依 次 为 : 策 略 路 由 (PBR)> 源 接 口 路 由 (SIBR)> 源 路 由 (SBR)> 目 的 路 由 (DBR)> ISP 路 由 此 时, 系 统 得 到 了 数 据 包 的 逻 辑 出 接 口 和 目 的 安 全 域 5. 源 NAT(SNAT) 操 作 如 果 能 够 查 找 到 相 匹 配 的 SNAT 规 则, 则 为 包 做 SNAT 标 记 15 第 2 章 部 署 您 的 设 备

36 6. 下 一 跳 VR 查 询 如 果 下 一 跳 为 VR, 则 继 续 查 看 指 定 的 下 一 跳 VR 是 否 超 出 最 大 VR 数 限 制 ( 当 前 版 本 系 统 仅 允 许 数 据 包 最 多 通 过 3 个 VR), 如 果 超 过 则 丢 弃 数 据 包, 如 果 未 超 过, 返 回 4; 如 果 下 一 跳 不 是 VR, 则 继 续 进 行 下 一 步 策 略 查 询 7. 策 略 查 询 系 统 根 据 数 据 包 的 源 安 全 域 目 的 安 全 域 源 IP 地 址 和 端 口 号 目 的 IP 地 址 和 端 口 号 以 及 协 议, 查 找 策 略 规 则 如 果 找 不 到 匹 配 的 策 略 规 则, 则 丢 弃 数 据 包 ; 如 果 找 到 匹 配 的 策 略 规 则, 则 根 据 规 则 指 定 的 行 为 进 行 处 理, 分 别 是 : 允 许 (Permit): 允 许 数 据 包 通 过 拒 绝 (Deny): 拒 绝 数 据 包 通 过 隧 道 (Tunnel): 将 数 据 包 转 发 到 指 定 的 隧 道 是 否 来 自 隧 道 (Fromtunnel): 检 查 数 据 包 是 否 来 自 指 定 的 隧 道, 如 果 是, 则 允 许 通 过, 如 果 不 是, 则 丢 弃 Web 认 证 (WebAuth): 对 符 合 条 件 的 流 量 进 行 Web 认 证 8. 第 一 次 应 用 类 型 识 别 系 统 根 据 策 略 规 则 中 配 置 的 端 口 号 和 服 务, 尝 试 识 别 应 用 类 型 9. 会 话 建 立 10. 如 果 需 要, 进 行 第 二 次 应 用 类 型 识 别 根 据 数 据 包 的 内 容 和 流 量 行 为 再 次 对 应 用 类 型 进 行 精 确 识 别 11. 应 用 层 行 为 (ALG) 控 制 为 特 定 的 复 杂 协 议 实 施 自 适 应 处 理 12. 根 据 会 话 中 记 录 的 信 息, 例 如 NAT 标 记 等, 执 行 相 应 的 处 理 操 作 13. 将 数 据 包 转 发 到 出 接 口 第 2 章 部 署 您 的 设 备 16

37 部 署 透 明 模 式 透 明 模 式 也 称 为 网 桥 模 式 透 明 桥 接 模 式 透 明 模 式 适 用 于 原 网 络 中 已 部 署 好 路 由 器 和 交 换 机, 用 户 不 希 望 更 改 原 有 的 网 络, 只 需 要 一 台 防 火 墙 进 行 安 全 防 护 的 场 景 透 明 模 式 有 以 下 优 点 : 无 需 修 改 受 保 护 网 络 的 IP 设 置 无 需 为 进 入 受 保 护 网 络 的 报 文 创 建 NAT 规 则 一 般 情 况 下, 透 明 模 式 的 防 火 墙 部 署 在 原 有 网 络 的 路 由 器 和 交 换 机 之 间, 或 者 部 署 在 互 联 网 和 路 由 器 之 间, 内 网 通 过 原 有 的 路 由 器 上 网, 防 火 墙 只 做 安 全 控 制 下 面 以 防 火 墙 部 署 在 路 由 器 和 交 换 机 之 间 为 例, 说 明 如 何 使 用 透 明 模 式 网 络 管 理 员 连 接 管 理 口 eth0/0 对 防 火 墙 进 行 配 置, 使 用 网 线 将 接 口 eth0/1 与 路 由 器 连 接, 将 接 口 eth0/2 与 交 换 机 连 接, 原 有 内 网 部 署 不 改 变 配 置 透 明 模 式 的 步 骤 如 下 : 步 骤 一 : 初 始 登 录 防 火 墙 1. 将 管 理 员 的 PC 的 IP 地 址 设 置 为 与 /24 同 网 段 的 IP 地 址, 并 且 用 网 线 将 管 理 PC 与 设 备 的 ethernet0/0 接 口 进 行 连 接 2. 在 PC 的 Web 浏 览 器 中 输 入 地 址 并 按 回 车 键, 打 开 登 录 页 面 3. 输 入 用 户 名 和 密 码 设 备 提 供 的 默 认 用 户 名 和 密 码 均 为 hillstone 17 第 2 章 部 署 您 的 设 备

38 4. 点 击 登 录 按 钮, 进 入 WebUI 的 主 页 面 步 骤 二 : 配 置 接 口 和 安 全 域 配 置 eth0/1 为 外 网 接 口 1. 选 择 网 络 > 接 口 2. 双 击 ethernet0/1, 弹 出 <Ethernet 接 口 > 对 话 框, 做 如 下 配 置 3. 点 击 确 定 配 置 eth0/2 为 内 网 接 口 1. 选 择 网 络 > 接 口 2. 双 击 ethernet0/2, 弹 出 <Ethernet 接 口 > 对 话 框, 做 如 下 配 置 3. 点 击 确 定 步 骤 三 : 配 置 策 略 允 许 内 网 访 问 互 联 网 的 策 略 1. 选 择 策 略 > 安 全 策 略 第 2 章 部 署 您 的 设 备 18

39 2. 点 击 新 建, 在 弹 出 < 策 略 配 置 > 对 话 框 做 如 下 配 置 3. 点 击 确 定 允 许 外 网 访 问 内 网 的 策 略 1. 选 择 策 略 > 安 全 策 略 2. 点 击 新 建, 在 弹 出 < 策 略 配 置 > 对 话 框 做 如 下 配 置 3. 点 击 确 定 其 他 策 略 : 以 上 两 条 策 略 保 证 了 透 明 模 式 下, 内 外 网 之 间 的 互 通 若 用 户 需 要 禁 止 某 些 流 量, 例 如 禁 止 P2P 下 载, 可 以 继 续 创 建 策 略, 并 将 策 略 的 位 置 放 置 于 以 上 两 个 策 略 之 前, 系 统 将 优 先 匹 配 位 置 靠 前 的 策 略 步 骤 四 ( 可 选 ): 配 置 Vswitch 接 口 为 管 理 接 口, 方 便 内 网 PC 访 问 防 火 墙 使 内 网 任 意 一 台 PC 均 可 登 录 防 火 墙 进 行 管 理, 可 以 将 一 个 VSwtich 接 口 设 置 为 管 理 接 口 1. 选 择 网 络 > 接 口 2. 双 击 VSwtichIF 接 口, 在 弹 出 的 <VSwtich 接 口 > 对 话 框 中 做 如 下 配 置 19 第 2 章 部 署 您 的 设 备

40 3. 点 击 确 认 4. 在 的 一 台 PC 上 打 开 浏 览 器, 输 入 上 述 VSwtich 接 口 的 IP 地 址, 即 可 登 录 StoneOS 系 统 的 管 理 界 面 第 2 章 部 署 您 的 设 备 20

41 部 署 路 由 模 式 路 由 模 式 常 配 合 NAT 功 能 使 用, 故 也 称 做 NAT 模 式 在 路 由 模 式 下, 每 个 接 口 都 有 IP 地 址, 属 于 三 层 安 全 域 在 这 种 配 置 应 用 下, 设 备 既 具 有 路 由 功 能, 又 具 有 安 全 策 略 功 能 并 且 在 路 由 应 用 模 式 下, 用 户 还 可 以 通 过 配 置 NAT 规 则 实 现 地 址 转 换 功 能 在 路 由 模 式 下, 通 常 使 用 设 备 作 为 安 全 网 关 连 接 内 网 和 互 联 网 本 节 中 的 示 例 将 基 于 以 下 拓 扑 图, 介 绍 如 何 联 通 内 网 和 外 部 网 络 步 骤 一 : 连 接 设 备 1. 将 设 备 的 接 口 ( 如 ethernet0/1) 连 接 到 运 营 商 网 络 中, 一 般 情 况 下, 外 网 接 口 选 择 属 于 untrust 安 全 域 将 设 备 另 一 个 接 口 ( 如 ethernet0/0) 连 接 到 内 网 中, 默 认 情 况 下,ethernet0/0 属 于 trust 安 全 域 2. 连 接 电 源 为 设 备 上 电 3. 通 过 内 网 接 口 访 问 系 统 WebUI 界 面, 请 参 阅 " 访 问 WebUI 界 面 " 在 第 2 页 步 骤 二 : 配 置 接 口 1. 点 击 网 络 > 接 口 2. 双 击 ethernet0/1 接 口 在 <ethernet 接 口 > 对 话 框 填 写 接 口 的 基 本 配 置 信 息 选 项 配 置 值 绑 定 安 全 域 安 全 域 三 层 安 全 域 untrust 21 第 2 章 部 署 您 的 设 备

42 选 项 配 置 值 类 型 静 态 IP IP 地 址 网 络 掩 码 管 理 方 式 勾 选 相 应 协 议 复 选 框, 指 定 接 口 对 应 的 访 问 设 备 的 方 式 3. 点 击 确 定 按 钮 完 成 相 关 配 置 4. 默 认 情 况 下, 内 网 接 口 ethernet0/0 属 于 trust 安 全 域, 并 配 有 IP 地 址 /24, 无 需 再 配 置 步 骤 三 : 配 置 源 NAT 规 则, 将 内 网 IP 转 换 为 出 接 口 IP 1. 点 击 策 略 >NAT> 源 NAT 2. 点 击 新 建 按 钮 在 < 源 NAT 配 置 > 对 话 框 填 写 源 NAT 规 则 的 基 本 配 置 信 息 选 项 配 置 值 源 地 址 目 的 地 址 出 流 量 转 换 为 Sticky 地 址 条 目, Any 地 址 条 目, Any 出 接 口, ethernet0/1 出 接 口 IP 启 用 3. 点 击 确 定 按 钮 步 骤 四 : 配 置 策 略 规 则, 允 许 内 网 用 户 访 问 外 网 第 2 章 部 署 您 的 设 备 22

43 1. 点 击 策 略 > 安 全 策 略 2. 点 击 列 表 左 上 角 的 添 加 按 钮 在 < 策 略 配 置 > 对 话 框 填 写 策 略 规 则 的 基 本 配 置 信 息 选 项 配 置 值 源 信 息 安 全 域 trust 地 址 Any 目 的 信 息 安 全 域 untrust 地 址 Any 其 他 信 息 服 务 / 服 务 组 Any 应 用 / 应 用 组 行 为 允 许 3. 点 击 确 定 按 钮 步 骤 五 : 配 置 默 认 路 由 1. 点 击 网 络 > 路 由 > 目 的 路 由 2. 点 击 新 建 按 钮 23 第 2 章 部 署 您 的 设 备

44 在 < 目 的 路 由 配 置 > 对 话 框 填 写 目 的 路 由 的 基 本 配 置 信 息 选 项 配 置 值 目 的 地 子 网 掩 码 ( 表 示 匹 配 所 有 的 网 段 ) 网 关 点 击 确 定 按 钮 第 2 章 部 署 您 的 设 备 24

45 部 署 混 合 模 式 如 果 用 户 的 网 络 中, 既 需 要 防 火 墙 配 置 二 层 接 口 ( 透 明 模 式 ), 又 需 要 三 层 接 口 ( 路 由 模 式 ), 那 么 该 防 火 墙 处 于 混 合 模 式 在 配 置 方 法 上, 用 户 需 要 结 合 路 由 模 式 和 透 明 模 式 两 种 部 署 方 式 对 网 络 进 行 管 理, 请 参 考 前 两 种 模 式 的 配 置 步 骤, 此 处 不 再 赘 述 25 第 2 章 部 署 您 的 设 备

46 部 署 旁 路 (Tap) 模 式 通 常 情 况 下, 设 备 在 网 络 部 署 上 会 串 联 到 网 络 中, 以 直 路 的 方 式 对 网 络 流 量 进 行 分 析 控 制 以 及 转 发 但 是, 如 果 仅 需 要 使 用 部 分 功 能, 例 如 IPS 防 病 毒 监 控 及 网 络 行 为 控 制 等, 既 可 以 使 防 火 墙 工 作 在 直 路 模 式 下, 也 可 以 工 作 在 旁 路 模 式 下 设 备 工 作 在 旁 路 模 式 下 时, 仅 对 流 量 进 行 统 计 扫 描 或 者 记 录, 并 不 对 流 量 进 行 转 发, 同 时, 网 络 流 量 也 不 会 受 到 设 备 本 身 故 障 的 影 响, 所 以, 对 于 仅 有 审 计 需 求 的 情 况, 使 用 旁 路 模 式 将 会 更 加 有 效 合 理 旁 路 模 式 将 物 理 接 口 绑 定 到 Tap 域 ( 旁 路 模 式 功 能 域 ) 的 方 式 实 现 绑 定 后, 该 物 理 接 口 就 成 为 旁 路 接 口, 此 时, 设 备 对 从 旁 路 接 口 收 到 的 流 量 进 行 统 计 扫 描 或 者 记 录, 即 可 实 现 旁 路 模 式 下 图 为 Hillstone 设 备 旁 路 模 式 工 作 原 理 示 意 图 使 用 网 线 将 交 换 机 的 e0 接 口 与 设 备 的 e1 接 口 连 接, 设 备 以 旁 路 模 式 部 署 在 网 络 中 e1 为 设 备 的 旁 路 接 口,e2 为 设 备 的 旁 路 控 制 接 口 ;e0 为 交 换 机 的 镜 像 接 口 注 意 : 在 本 设 备 上 配 置 旁 路 模 式 之 前, 需 要 在 主 干 网 络 的 交 换 机 上 配 置, 使 交 换 机 通 过 e0 接 口 将 网 络 流 量 镜 像 到 e1 上, 从 而 使 设 备 能 够 对 e1 接 收 到 的 流 量 进 行 统 计 扫 描 和 记 录 此 处 以 利 用 旁 路 模 式, 实 现 IPS 监 控 为 例, 介 绍 旁 边 路 模 式 的 操 作 步 骤 一 : 创 建 Tap 安 全 域, 绑 定 接 口 1. 选 择 网 络 > 安 全 域, 点 击 新 建 第 2 章 部 署 您 的 设 备 26

47 选 项 安 全 域 名 称 类 型 绑 定 接 口 配 置 值 输 入 名 称 tap-zone TAP 在 列 表 中 选 择 接 受 旁 路 流 量 的 接 口 ( 旁 路 接 口 只 能 为 物 理 接 口 聚 集 接 口 或 者 冗 余 接 口, 不 能 是 子 接 口 ) 2. 点 击 确 定 步 骤 二 : 创 建 IPS 规 则 1. 选 择 对 象 > IPS 2. 点 击 新 建, 在 弹 出 的 对 话 框 输 入 规 则 名 称, 并 选 择 协 议 类 型 3. 点 击 确 定, 返 回 IPS 规 则 列 表 4. 在 列 表 中, 找 到 刚 刚 创 建 的 IPS 策 略, 点 击 协 议 类 型 栏 的 协 议 名 称 5. 在 弹 出 的 对 话 框 中, 对 IPS 协 议 的 特 征 库 进 行 详 细 设 定 6. 点 击 保 存 按 钮, 完 成 IPS 规 则 配 置 步 骤 三 : 将 IPS 规 则 添 加 到 Tap 安 全 域 1. 选 择 网 络 > 安 全 域, 然 后 双 击 打 开 上 面 创 建 的 安 全 域 27 第 2 章 部 署 您 的 设 备

48 2. 在 < 威 胁 防 护 > 标 签 页, 启 用 IPS 功 能, 并 绑 定 刚 刚 创 建 的 IPS 规 则 3. 点 击 确 定 按 钮 ( 可 选 ) 步 骤 四 : 配 置 控 制 接 口 阻 断 流 量 控 制 接 口 用 于 发 送 控 制 报 文 ( 目 前 可 以 发 送 TCP RST 控 制 报 文 ) 在 旁 路 设 备 中 配 置 IPS 病 毒 过 滤 或 者 网 络 行 为 控 制 的 阻 断 功 能 后, 如 果 设 备 检 测 到 攻 击 病 毒 或 者 访 问 受 限 网 站 的 行 为, 就 会 通 过 旁 路 控 制 接 口 向 干 路 设 备 发 送 TCP RST 控 制 报 文, 重 置 TCP 连 接, 从 而 对 流 量 进 行 阻 断 默 认 情 况 下, 旁 路 控 制 接 口 为 旁 路 接 口 本 身 旁 路 控 制 接 口 只 能 在 命 令 行 界 面 中 配 置, 不 能 在 WebUI 界 面 配 置 在 旁 路 接 口 配 置 模 式 下 使 用 以 下 命 令 : tap control-interface interface-name interface-name 指 定 接 口 名 称 在 旁 路 接 口 配 置 模 式 下, 使 用 no tap control-interface 命 令 取 消 旁 路 控 制 接 口 的 指 定 第 2 章 部 署 您 的 设 备 28

49 第 3 章 首 页 该 功 能 在 不 同 平 台 上 的 呈 现 方 式 有 所 差 异, 请 以 实 际 页 面 为 准 首 页 显 示 系 统 的 主 要 信 息, 例 如 网 络 风 险 指 数 威 胁 信 息 系 统 告 警 应 用 用 户 总 流 量 信 息 并 发 连 接 新 建 连 接 流 量 信 息 接 口 列 表 信 息 以 及 系 统 信 息 首 页 窗 口 具 体 布 局, 请 参 考 下 图 : 个 性 化 配 置 用 户 可 以 根 据 需 要, 定 制 首 页 所 显 示 的 功 能 或 修 改 功 能 区 域 位 置 定 制 首 页 显 示 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 首 页 右 上 角 个 性 化 按 钮 2. 在 展 开 的 列 表 中, 勾 选 需 要 显 示 在 首 页 的 功 能 复 选 框 修 改 功 能 区 域 位 置, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 鼠 标 悬 停 在 功 能 区 标 题 部 分 2. 当 出 现 时, 鼠 标 按 住 功 能 区 域, 拖 动 到 需 要 显 示 的 区 域 位 置 即 可 第 3 章 首 页 29

50 网 络 风 险 指 数 显 示 系 统 实 时 根 据 检 测 数 据 所 计 算 出 的 设 备 所 在 网 络 的 风 险 指 数 评 分 分 为 五 个 等 级 : 低 (0-25) 中 (25-50) 高 (50-75) 严 重 (75-100) 威 胁 威 胁 信 息 部 分 以 柱 状 图 方 式 显 示 指 定 统 计 周 期 内 设 备 受 到 的 威 胁 攻 击 统 计 信 息 和 设 备 管 理 的 网 络 中 存 在 的 风 险 主 机 统 计 信 息 风 险 主 机 : 显 示 全 部 主 机 数 量, 并 且 以 柱 状 图 的 形 式 显 示 四 种 严 重 级 别 的 主 机 个 数 威 胁 : 显 示 四 种 严 重 级 别 的 威 胁 个 数 统 计 系 统 告 警 系 统 告 警 信 息 部 分 以 列 表 的 方 式 显 示 指 定 统 计 周 期 内 未 处 理 的 告 警 事 件 的 详 细 信 息 点 击 列 表 处 理 栏, 为 告 警 规 则 添 加 注 释 信 息 进 行 处 理 告 警 信 息 已 处 理 的 告 警 信 息 不 再 显 示 在 该 页 面, 如 需 查 看 请 点 击 监 控 > 告 警 > 全 部 告 警 用 户 信 息 显 示 前 10 的 用 户 流 量 用 户 可 以 在 此 区 域 执 行 以 下 操 作 : 下 拉 菜 单 用 于 指 定 显 示 的 用 户 排 序 类 型 : 应 用 流 量, 新 建 或 并 发 会 话 数 区 域 右 上 角 按 钮 用 于 将 统 计 图 在 列 表 和 图 形 之 间 切 换 鼠 标 悬 停 在 某 用 户 对 应 的 柱 状 图 上, 查 看 该 用 户 的 应 用 数 上 行 流 量 下 行 流 量 总 流 量 值 新 建 会 话 数 或 并 发 会 话 数 应 用 信 息 显 示 前 10 的 应 用 流 量 用 户 可 以 在 此 区 域 执 行 以 下 操 作 : 下 拉 菜 单 用 于 指 定 显 示 的 应 用 排 序 类 型 : 用 户 流 量, 新 建 或 并 发 会 话 数 区 域 右 上 角 按 钮 用 于 将 统 计 图 在 列 表 和 图 形 之 间 切 换 鼠 标 悬 停 在 某 应 用 对 应 的 柱 状 图 上, 查 看 该 应 用 的 用 户 数 总 流 量 值 新 建 会 话 数 或 并 发 会 话 数 总 流 量 / 并 发 连 接 / 新 建 连 接 显 示 设 备 指 定 统 计 周 期 的 整 机 总 流 量 / 新 建 连 接 数 / 并 发 连 接 数 接 口 列 表 显 示 设 备 所 有 接 口 的 统 计 信 息, 包 括 接 口 状 态 主 IP 上 行 下 行 流 量 以 及 总 流 系 统 信 息 显 示 系 统 的 主 要 信 息, 包 括 : 序 列 号 : 显 示 该 设 备 的 序 列 号 主 机 名 称 : 显 示 该 设 备 指 定 的 名 称 硬 件 平 台 : 显 示 设 备 的 硬 件 平 台 型 号 系 统 时 间 : 显 示 该 设 备 的 系 统 日 期 和 时 间 系 统 运 行 时 间 : 显 示 系 统 已 运 行 的 时 长 HA 状 态 : 显 示 设 备 的 高 可 用 性 工 作 状 态 包 括 以 下 六 种 状 态 : 30 第 3 章 首 页

51 Standalone: 非 HA 模 式, 表 示 设 备 没 有 开 启 HA 功 能 Init:HA 初 始 状 态 Hello:HA 协 商 状 态, 表 示 设 备 在 协 商 HA 的 主 备 关 系 Master:HA 主 状 态, 表 示 当 前 设 备 为 HA 组 的 主 设 备 Backup:HA 备 状 态, 表 示 当 前 设 备 为 HA 组 的 备 份 设 备 Failed: 故 障 状 态, 表 示 当 前 设 备 故 障 软 件 版 本 : 显 示 设 备 当 前 的 软 件 版 本, 以 及 上 次 更 新 时 间 病 毒 过 滤 特 征 库 : 显 示 设 备 防 病 毒 特 征 库 版 本 号, 以 及 上 次 更 新 时 间 入 侵 防 御 特 征 库 : 显 示 设 备 入 侵 防 御 特 征 库 版 本 号, 以 及 上 次 更 新 时 间 边 界 流 量 过 滤 特 征 库 : 显 示 设 备 边 界 流 量 过 滤 特 征 库 版 本 号, 以 及 上 次 更 新 时 间 风 险 减 缓 措 施 特 征 库 : 显 示 设 备 风 险 减 缓 措 施 特 征 库 版 本 号, 以 及 上 次 更 新 时 间 异 常 行 为 检 测 特 征 库 : 显 示 设 备 异 常 行 为 检 测 特 征 库 版 本 号, 以 及 上 次 更 新 时 间 高 级 威 胁 检 测 特 征 库 : 显 示 设 备 高 级 威 胁 检 测 特 征 库 版 本 号, 以 及 上 次 更 新 时 间 统 计 周 期 用 户 可 以 通 过 首 页 右 上 角 的 统 计 周 期 下 拉 菜 单 ( ) 指 定 统 计 周 期 : 实 时 : 显 示 当 前 的 统 计 信 息 系 统 每 5 秒 刷 新 一 次 数 据 最 近 1 小 时 : 显 示 最 近 1 小 时 的 统 计 信 息 系 统 每 30 秒 刷 新 一 次 数 据 最 近 1 天 : 显 示 最 近 1 天 的 统 计 信 息 系 统 每 10 分 钟 刷 新 一 次 数 据 最 近 1 周 : 显 示 最 近 1 周 的 统 计 信 息 最 近 1 月 : 显 示 最 近 1 月 的 统 计 信 息 系 统 每 天 刷 新 一 次 数 据 自 定 义 : 自 定 义 统 计 周 期 选 中 该 选 项, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 用 户 最 远 可 以 指 定 从 当 前 时 间 起 往 前 30 天 的 时 间 周 期 第 3 章 首 页 31

52 第 4 章 icenter 仅 有 部 分 平 台 支 持 该 功 能, 请 参 阅 您 产 品 的 功 能 列 表 icenter 即 智 能 风 险 监 控 中 心, 针 对 指 定 时 间 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 ) 设 备 管 理 的 全 网 范 围 内 的 风 险 主 机 以 及 受 到 的 所 有 威 胁 攻 击, 提 供 多 维 度 深 层 次 的 结 果 展 现 风 险 主 机 风 险 主 机 是 指 网 络 中 发 起 威 胁 攻 击 的 攻 击 主 机 和 受 到 威 胁 攻 击 的 受 害 主 机 系 统 根 据 威 胁 级 别,< 风 险 主 机 > 页 面 统 计 并 展 示 指 定 时 间 周 期 内 的 全 网 风 险 主 机 详 细 信 息 以 及 主 机 威 胁 详 细 信 息 点 击 icenter, 进 入 < 风 险 主 机 > 页 面 点 击 列 表 中 主 机 名 称 链 接, 查 看 该 风 险 主 机 的 详 细 信 息 以 及 相 关 的 威 胁 详 情 第 4 章 icenter 32

53 在 < 威 胁 > 对 话 框, 点 击 列 表 中 某 个 威 胁 名 称 链 接, 查 看 所 选 威 胁 的 详 细 信 息 减 缓 措 施 以 及 相 关 的 历 史 信 息 具 体 描 述, 请 参 阅 下 节 威 胁 介 绍 威 胁 < 威 胁 > 统 计 并 展 示 指 定 时 间 周 期 内 的 全 网 的 所 有 威 胁 详 细 信 息 点 击 icenter, 然 后 选 择 < 威 胁 > 标 签 页 点 击 列 表 中 威 胁 名 称 链 接, 查 看 所 选 威 胁 的 描 述 信 息 详 细 信 息 减 缓 措 施 以 及 相 关 的 历 史 信 息 33 第 4 章 icenter

54 描 述 信 息 : 针 对 入 侵 防 御 异 常 行 为 检 测 和 高 级 威 胁 检 测 的 威 胁, 显 示 指 定 威 胁 的 描 述 信 息 详 细 信 息 : 根 据 不 同 检 测 引 擎 检 测 的 威 胁 攻 击, 详 细 信 息 页 面 内 容 也 不 同 病 毒 过 滤 / 入 侵 防 御 : 显 示 指 定 威 胁 的 攻 击 主 机 受 害 主 机 威 胁 攻 击 的 时 间 等 其 他 详 细 信 息 以 及 查 看 或 下 载 证 据 报 文 关 于 病 毒 过 滤 / 入 侵 防 御 功 能, 请 参 阅 " 病 毒 过 滤 " 在 第 282 页 /" 入 侵 防 御 " 在 第 286 页 第 4 章 icenter 34

55 攻 击 防 护 / 边 界 流 量 过 滤 : 显 示 指 定 威 胁 的 攻 击 主 机 受 害 主 机 威 胁 攻 击 的 时 间 等 其 他 详 细 信 息 关 于 攻 击 防 护 / 边 界 流 量 过 滤 功 能, 请 参 阅 " 攻 击 防 护 " 在 第 298 页 /" 边 界 流 量 过 滤 " 在 第 305 页 异 常 行 为 检 测 : 显 示 产 生 异 常 行 为 的 威 胁 相 关 信 息 以 及 检 测 对 象 参 量 实 际 值 预 测 值 ( 或 实 际 值 基 线 值 上 下 限 值 ) 趋 势 图 关 于 异 常 行 为 检 测 功 能, 请 参 阅 " 异 常 行 为 检 测 " 在 第 308 页 35 第 4 章 icenter

56 高 级 威 胁 检 测 : 显 示 根 据 威 胁 信 息 对 恶 意 软 件 可 信 度 判 断 信 息 以 及 查 看 或 下 载 证 据 报 文 关 于 高 级 威 胁 检 测 功 能, 请 参 阅 " 高 级 威 胁 检 测 " 在 第 315 页 减 缓 措 施 : 显 示 威 胁 的 减 缓 措 施 行 为 关 于 风 险 减 缓 措 施 功 能, 请 参 阅 " 风 险 减 缓 措 施 " 在 第 311 页 第 4 章 icenter 36

57 历 史 信 息 : 显 示 全 网 内 产 生 所 选 威 胁 的 历 史 信 息 风 险 减 缓 措 施 关 于 风 险 减 缓 措 施 功 能, 请 参 阅 " 风 险 减 缓 措 施 " 在 第 311 页 37 第 4 章 icenter

58 第 5 章 网 络 连 接 本 章 介 绍 设 备 网 络 连 接 的 相 关 要 素 以 及 配 置 包 括 : 安 全 域 : 安 全 域 将 网 络 划 分 为 不 同 部 分, 例 如 trust( 通 常 为 内 网 等 可 信 任 部 分 ) untrust( 通 常 为 因 特 网 等 存 在 安 全 威 胁 的 不 可 信 任 部 分 ) 等 将 配 置 的 策 略 规 则 应 用 到 安 全 域 上 后, 系 统 就 能 够 对 出 入 安 全 域 的 流 量 进 行 管 理 和 控 制 接 口 : 接 口 允 许 流 量 进 出 安 全 域 因 此, 为 使 流 量 能 够 流 入 和 流 出 某 个 安 全 域, 必 须 将 接 口 绑 定 到 该 安 全 域, 并 且, 如 果 是 三 层 安 全 域, 还 需 要 为 接 口 配 置 IP 地 址 然 后, 必 须 配 置 相 应 的 策 略 规 则, 允 许 流 量 在 不 同 安 全 域 中 的 接 口 之 间 传 输 MGT 接 口 : 配 置 管 理 接 口, 满 足 管 理 流 量 同 数 据 流 量 隔 离 的 需 要 VLAN: 虚 拟 局 域 网 DNS: 域 名 系 统 DHCP: 动 态 主 机 配 置 协 议 DDNS: 动 态 域 名 服 务 PPPoE: 点 对 点 协 议 Virtual-Wire: 实 现 子 网 间 的 直 接 二 层 通 信 虚 拟 路 由 器 : 虚 拟 路 由 器 具 有 路 由 器 功 能, 不 同 虚 拟 路 由 器 拥 有 各 自 独 立 的 路 由 表 虚 拟 交 换 机 : 虚 拟 交 换 机 (VSwitch) 具 有 交 换 机 功 能 VSwitch 工 作 在 二 层, 将 二 层 安 全 域 绑 定 到 VSwitch 上 后, 绑 定 到 安 全 域 的 接 口 也 被 绑 定 到 该 VSwitch 上 流 量 可 以 通 过 VSwitch 接 口, 实 现 二 层 与 三 层 之 间 的 转 发 目 的 镜 像 接 口 : 系 统 的 以 太 网 口 具 有 接 口 镜 像 功 能 用 户 可 以 将 接 口 的 流 量 镜 像 到 其 它 接 口, 对 流 量 进 行 监 控 和 分 析 WLAN: 通 过 配 置 WLAN 功 能, 建 立 无 线 网 络, 使 用 户 能 够 通 过 无 线 方 式 接 入 局 域 网 3G: 通 过 配 置 3G 功 能, 使 用 户 能 够 通 过 无 线 方 式 接 入 Internet 链 路 负 载 均 衡 : 通 过 动 态 链 路 探 测 技 术 将 流 量 合 理 分 发 到 不 同 链 路, 从 而 达 到 充 分 利 用 各 条 链 路 资 源 的 目 的 应 用 层 网 关 :ALG 技 术 能 够 保 证 采 用 多 通 道 数 据 传 送 的 应 用 程 序 进 行 正 常 的 数 据 通 信, 且 保 证 NAT 地 址 转 换 后,VoIP 应 用 能 够 正 常 通 信 全 局 网 络 参 数 : 主 要 包 括 IP 包 数 据 处 理 选 项, 例 如 IP 分 片 TCP MSS 值 等 第 5 章 网 络 连 接 38

59 安 全 域 在 系 统 中, 域 是 一 个 逻 辑 的 实 体, 一 个 或 多 个 接 口 可 以 绑 定 到 域 被 应 用 了 策 略 规 则 的 域 即 为 安 全 域, 为 实 现 某 个 特 定 功 能 而 存 在 的 域 即 为 功 能 域 域 具 有 以 下 特 点 : 接 口 绑 定 到 域, 二 层 域 绑 定 到 VSwitch, 三 层 域 绑 定 到 VRouter 因 此, 二 层 域 所 在 的 VSwitch 决 定 了 该 域 中 接 口 的 VSwitch, 三 层 域 所 在 的 VRouter 决 定 了 该 域 中 接 口 的 VRouter 二 层 和 三 层 域 决 定 其 接 口 工 作 在 二 层 模 式 或 是 三 层 模 式 系 统 支 持 域 内 部 策 略 规 则, 比 如 从 trust 到 trust 的 策 略 规 则 系 统 中 为 用 户 预 定 义 了 8 个 安 全 域, 分 别 是 :trust untrust dmz L2-trust L2-untrust L2-dmz vpnhub(vpn 功 能 域 ) 以 及 ha(ha 功 能 域 ) 用 户 也 可 以 自 定 义 域 事 实 上, 预 定 义 域 与 用 户 自 定 义 域 在 功 能 上 没 有 任 何 差 别, 用 户 可 以 自 由 选 择 配 置 安 全 域 新 建 安 全 域, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 " 网 络 > 安 全 域 ", 进 入 安 全 域 配 置 页 面 2. 点 击 新 建 按 钮, 弹 出 < 安 全 域 配 置 > 对 话 框 3. 指 定 安 全 域 名 称 在 < 安 全 域 名 称 > 对 话 框 输 入 需 要 的 名 称 4. 指 定 安 全 域 类 型 如 选 择 二 层 安 全 域, 在 其 后 的 虚 拟 交 换 机 下 拉 菜 单 选 择 安 全 域 所 属 的 VSwitch; 如 选 择 三 层 安 全 域, 在 其 后 的 虚 拟 路 由 器 下 拉 菜 单 选 择 安 全 域 所 属 的 VRouter; 如 选 择 TAP, 既 指 定 所 创 建 的 域 为 Tap 域,Tap 域 为 旁 路 模 式 功 能 域 5. 绑 定 接 口 到 安 全 域 从 绑 定 接 口 下 拉 菜 单 选 择 需 要 添 加 到 安 全 域 的 接 口 6. 如 需 要, 选 中 应 用 识 别 复 选 框 开 启 安 全 域 的 应 用 识 别 功 能 7. 如 需 要, 选 中 WAN 安 全 域 复 选 框 将 安 全 域 设 置 为 WAN 安 全 域, 保 证 以 IP 为 数 据 组 织 方 式 的 统 计 集 的 统 计 数 据 的 准 确 性 8. 如 需 要, 选 中 NBT 缓 存 复 选 框 开 启 安 全 域 的 NetBIOS 主 机 名 查 询 功 能 9. 用 户 可 根 据 需 要, 在 < 威 胁 防 护 > 标 签 页 配 置 该 安 全 域 的 威 胁 防 护 功 能 详 细 说 明, 请 参 见 " 第 11 章 威 胁 防 护 " 在 第 281 页 10. 点 击 确 定, 完 成 安 全 域 的 配 置 注 意 : 预 定 义 安 全 域 不 可 以 被 删 除 改 变 域 所 属 的 VSwitch 时, 必 须 保 证 域 中 没 有 绑 定 的 接 口 39 第 5 章 网 络 连 接

60 接 口 接 口 允 许 流 量 进 出 安 全 域 因 此, 为 使 流 量 能 够 流 入 和 流 出 某 个 安 全 域, 必 须 将 接 口 绑 定 到 该 安 全 域, 并 且, 如 果 是 三 层 安 全 域, 还 需 要 为 接 口 配 置 IP 地 址 然 后, 必 须 配 置 相 应 的 策 略 规 则, 允 许 流 量 在 不 同 安 全 域 中 的 接 口 之 间 传 输 多 个 接 口 可 以 被 绑 定 到 一 个 安 全 域, 但 是 一 个 接 口 不 能 被 绑 定 到 多 个 安 全 域 安 全 网 关 设 备 具 有 多 种 类 型 接 口, 根 据 性 质 的 不 同, 分 为 物 理 接 口 和 逻 辑 接 口 物 理 接 口 : 安 全 设 备 上 的 每 一 个 以 太 网 接 口 都 表 示 一 个 物 理 接 口 物 理 接 口 的 名 称 是 预 先 定 义 的, 由 媒 体 类 型 插 槽 号 和 位 置 参 数 组 成, 例 如 ethernet2/1 或 ethernet0/2 逻 辑 接 口 : 系 统 中 的 逻 辑 接 口 包 括 子 接 口 VSwitch 接 口 VLAN 接 口 回 环 接 口 隧 道 接 口 集 聚 接 口 冗 余 接 口 PPPoE 接 口 以 及 Virtual Forward 接 口 根 据 接 口 所 处 安 全 域 的 不 同, 接 口 还 可 以 分 为 二 层 接 口 和 三 层 接 口 二 层 接 口 : 属 于 二 层 域 或 者 VLAN 的 接 口 均 为 二 层 接 口 三 层 接 口 : 属 于 三 层 域 的 接 口 为 三 层 接 口 只 有 三 层 接 口 可 以 在 NAT/ 路 由 模 式 下 工 作 不 同 类 型 的 接 口 在 安 全 网 关 中 具 有 不 同 的 功 能 下 表 列 出 各 种 逻 辑 接 口 的 描 述 : 逻 辑 接 口 类 型 说 明 子 接 口 VSwitch 接 口 VLAN 接 口 回 环 接 口 隧 道 接 口 集 聚 接 口 冗 余 接 口 子 接 口 的 名 称 是 它 来 源 的 接 口 名 字 的 扩 展, 例 如 ethernet0/2.1 系 统 支 持 以 下 类 型 子 接 口 : 以 太 网 子 接 口 集 聚 子 接 口 和 冗 余 子 接 口 接 口 和 它 的 子 接 口 可 以 被 绑 定 到 同 一 个 安 全 域 中, 也 可 以 被 绑 定 到 不 同 的 安 全 域 中 VSwitch 接 口 是 三 层 接 口 它 代 表 了 VSwitch 上 所 有 接 口 的 集 合 VSwtich 接 口 相 当 于 实 际 交 换 机 的 上 连 口, 能 够 实 现 数 据 包 在 二 层 与 三 层 之 间 的 转 发 VLAN 接 口 是 三 层 接 口 它 代 表 了 VLAN 内 所 有 以 太 网 接 口 的 集 合, 只 要 有 一 个 以 太 网 接 口 处 于 UP 状 态, 该 VLAN 接 口 就 处 于 UP 状 态 VLAN 接 口 是 VLAN 内 所 有 设 备 对 外 通 信 的 出 口, 通 常 情 况 下,VLAN 接 口 的 IP 地 址 为 VLAN 内 网 络 设 备 的 网 关 地 址 回 环 接 口 是 逻 辑 接 口, 并 且 只 要 回 环 接 口 所 在 的 安 全 设 备 处 于 工 作 状 态, 回 环 接 口 就 一 直 处 于 工 作 状 态 因 此, 回 环 接 口 具 有 稳 定 的 特 性 隧 道 接 口 充 当 VPN 通 道 的 入 口 流 量 通 过 隧 道 接 口 进 出 VPN 通 道 隧 道 接 口 只 能 是 三 层 接 口 集 聚 接 口 是 物 理 接 口 的 集 合, 一 个 集 聚 可 以 包 含 1 到 16 个 物 理 接 口 这 些 物 理 接 口 平 均 分 担 流 到 该 集 聚 接 口 IP 地 址 的 流 量 负 载 因 此 集 聚 接 口 可 以 提 高 单 个 IP 地 址 的 可 用 带 宽 如 果 集 聚 接 口 中 的 一 个 物 理 接 口 出 现 故 障, 不 能 工 作, 其 它 接 口 可 以 继 续 处 理 流 量, 只 是 可 使 用 的 带 宽 变 小 了 冗 余 接 口 能 够 实 现 两 个 物 理 接 口 的 备 份 一 个 物 理 接 口 为 主 接 口 处 理 流 向 该 冗 余 接 口 的 流 量 另 外 一 个 接 口 作 为 备 用 接 口 在 主 接 口 发 生 故 障 时 继 续 处 理 流 量 PPPoE 接 口 使 用 PPPoE 协 议 连 接 PPPoE 服 务 器 的 逻 辑 接 口, 基 于 以 太 网 口 创 建 Virtual Forward 接 口 在 HA 环 境 中,Virtual Forward 接 口 为 HA 组 的 接 口, 用 于 传 输 流 量 第 5 章 网 络 连 接 40

61 配 置 接 口 不 同 类 型 的 接 口 配 置 选 项 不 同, 具 体 配 置 方 法 参 见 以 下 说 明 新 建 PPPoE 接 口 新 建 PPPoE 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 接 口, 进 入 接 口 配 置 页 面 2. 点 击 新 建 下 拉 菜 单, 并 选 择 PPPoE 接 口, 弹 出 <PPPoE 接 口 > 对 话 框 在 < 基 本 配 置 > 标 签 页, 配 置 接 口 的 基 本 配 置 信 息 选 项 说 明 接 口 名 称 指 定 接 口 名 称 描 述 用 户 可 根 据 需 要 指 定 接 口 描 述 信 息, 范 围 是 0 到 63 个 字 符 绑 定 安 全 域 如 选 择 三 层 安 全 域 TAP, 则 继 续 从 安 全 域 下 拉 菜 单 选 择 安 全 域 的 名 称 如 选 择 无 绑 定, 该 接 口 将 不 绑 定 到 任 何 安 全 域 上 安 全 域 从 下 拉 菜 单 中 选 择 安 全 域 用 户 指 定 PPPoE 用 户 名 称 密 码 指 定 PPPoE 用 户 相 应 的 密 码 重 新 输 入 密 码 再 次 输 入 密 码 进 行 确 认 挂 断 前 空 闲 间 隔 重 拨 间 隔 PPPoE 服 务 器 提 供 的 网 管 信 息 设 置 为 默 认 网 关 路 由 当 PPPoE 接 口 的 空 闲 ( 无 流 量 ) 时 间 到 达 一 定 的 时 间, 即 指 定 的 空 闲 间 隔, 系 统 会 断 开 与 因 特 网 的 连 接 ; 当 产 生 上 网 需 求 时, 系 统 会 自 动 连 接 到 因 特 网 该 选 项 指 定 空 闲 间 隔 时 间, 单 位 为 分 钟 范 围 是 0 到 秒, 默 认 值 是 30 该 选 项 指 定 重 拨 间 隔 时 间 ( 系 统 在 断 开 连 接 后 自 动 重 拨 的 时 间 间 隔 ), 单 位 为 秒 范 围 是 0 到 秒 默 认 值 是 0, 表 示 不 进 行 自 动 重 拨 选 中 该 选 项 复 选 框, 系 统 会 将 PPPoE 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 高 级 选 项 弹 出 < 高 级 选 项 > 对 话 框, 用 户 可 对 PPPoE 相 关 的 高 级 选 项 进 行 配 置, 包 括 : 访 问 集 中 器 : 指 定 访 问 集 中 器 的 名 称 认 证 : 设 备 与 PPPoE 服 务 器 建 立 连 接 时, 需 要 通 过 PPPoE 认 证 设 备 支 持 的 验 证 方 式 有 CHAP PAP 和 任 意 ( 系 统 默 认 方 式, 表 示 CHAP 或 者 PAP 的 任 意 一 种 ) 选 中 需 要 的 认 证 方 式 的 单 选 按 钮 41 第 5 章 网 络 连 接

62 选 项 说 明 网 络 掩 码 : 为 PPPoE 方 式 获 得 的 IP 地 址 指 定 网 络 掩 码 静 态 IP: 用 户 可 以 指 定 一 个 静 态 的 IP 地 址, 并 协 商 使 用 该 静 态 IP 地 址 这 样 可 以 避 免 IP 地 址 变 化 该 选 项 指 定 静 态 IP 地 址 在 文 本 框 中 输 入 静 态 IP 地 址 路 由 距 离 : 指 定 路 由 距 离 范 围 是 1 到 255, 默 认 值 是 1 路 由 权 值 : 指 定 路 由 权 值 范 围 是 1 到 255, 默 认 值 是 1 服 务 : 指 定 允 许 的 服 务 此 处 指 定 的 服 务 必 须 与 PPPoE 服 务 器 端 提 供 的 服 务 相 同 如 果 不 指 定 服 务, 设 备 自 动 接 受 服 务 器 返 回 的 任 何 服 务 DDNS 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 管 理 方 式 选 中 该 接 口 需 要 的 管 理 方 式 的 复 选 框 逆 向 路 由 根 据 需 要 启 用 或 关 闭 逆 向 路 由 启 用 : 强 制 使 用 逆 向 路 由 如 果 找 不 到 逆 向 路 由, 则 丢 弃 数 据 包 默 认 情 况 下, 接 口 强 制 使 用 逆 向 路 由 关 闭 : 不 使 用 逆 向 路 由 反 向 数 据 流 到 达 接 口 后 不 进 行 逆 向 路 由 检 查, 原 路 返 回 ( 即 从 初 始 化 数 据 包 的 入 接 口 发 送 反 向 数 据 包 ) 自 动 : 优 先 使 用 逆 向 路 由 如 果 能 够 找 到 逆 向 路 由 就 使 用 逆 向 路 由 发 送 数 据 包 ; 如 果 找 不 到 逆 向 路 由 以 初 始 化 数 据 包 的 入 接 口 作 为 发 送 反 向 数 据 包 的 出 接 口 WAP 智 能 分 流 选 中 启 用 复 选 框, 并 对 如 下 选 项 进 行 配 置 目 的 IP 替 换 : 开 启 目 的 IP 替 换 功 能 并 设 置 需 要 记 录 的 日 志 信 息 记 录 所 有 日 志 表 示 对 所 有 流 量 记 录 日 志 ; 记 录 被 替 换 目 的 IP 的 日 志 表 示 对 IP 地 址 进 行 转 换 的 流 量 记 录 日 志 目 的 服 务 器 端 口 1/ 目 的 服 务 器 端 口 2: 指 定 WAP 网 关 用 于 HTTP 协 议 通 讯 的 端 口 号 一 般 为 80 或 8080 在 < 属 性 > 标 签 页, 配 置 接 口 的 属 性 信 息 选 项 MTU 说 明 指 定 接 口 的 最 大 传 输 单 元, 单 位 为 字 节 范 围 是 1280 到 1500/1800 字 节 之 间 ( 不 同 型 号 的 安 全 设 备 支 持 的 MTU 最 大 值 不 同 ), 默 认 值 是 1500 字 节 ARP 学 习 选 中 启 用 复 选 框 开 启 接 口 的 ARP 学 习 功 能 ARP 超 时 配 置 接 口 的 ARP 超 时 时 间, 单 位 为 秒 范 围 是 5 到 秒, 默 认 值 是 1200 秒 Keep-alive IP 指 定 接 收 接 口 的 Keep-alive 报 文 的 IP 地 址 MAC 克 隆 应 用 勾 选 复 选 框, 开 启 MAC 克 隆 功 能, 将 指 定 的 MAC 地 址 克 隆 到 以 太 网 子 接 口, 点 击 恢 复 缺 省 MAC 按 钮, 恢 复 以 太 网 子 接 口 缺 省 的 MAC 地 址 勾 选 复 选 框, 开 启 接 口 镜 像 功 能, 并 从 下 拉 菜 中 选 择 需 要 镜 像 的 流 量 类 型 开 启 接 口 镜 像 功 能 后, 用 户 需 配 置 " 目 的 镜 像 接 口 " 在 第 75 页 才 可 使 流 量 镜 像 到 其 它 接 口 在 < 高 级 > 标 签 页, 配 置 接 口 的 高 级 选 项, 包 括 接 口 关 闭 和 接 口 监 控 与 备 份 选 项 接 口 关 闭 说 明 系 统 支 持 接 口 关 闭 功 能, 用 户 不 仅 可 以 根 据 需 要 强 制 关 闭 特 定 接 口, 还 可 以 通 过 时 间 表 控 制 接 口 的 关 闭 时 间, 或 者 根 据 监 测 接 口 的 链 路 状 态 控 制 接 口 的 关 闭 第 5 章 网 络 连 接 42

63 选 项 说 明 配 置 方 法 如 下 : 接 口 监 控 与 备 份 配 置 方 法 如 下 : 1. 选 中 立 即 关 闭 复 选 框 开 启 接 口 关 闭 功 能 2. 如 果 需 要 通 过 时 间 表 或 者 监 控 对 象 控 制 接 口 的 关 闭, 选 中 时 间 表 或 者 当 监 控 对 象 复 选 框, 并 且 在 相 应 的 下 拉 菜 单 中 选 择 需 要 的 时 间 表 或 者 监 控 对 象 1. 选 中 时 间 表 或 者 监 控 对 象 相 应 的 复 选 框, 并 从 下 拉 菜 单 中 选 择 需 要 的 时 间 表 或 监 控 对 象 2. 选 择 控 制 方 式 : 监 控 接 口, 使 路 由 失 效 : 指 当 到 达 时 间 表 指 定 时 间 时 或 者 指 定 的 监 控 对 象 失 败 时, 接 口 关 闭, 接 口 的 相 关 路 由 失 效 ; 流 量 备 份 到 接 口 : 指 当 到 达 时 间 表 指 定 时 间 时 或 者 指 定 的 监 控 对 象 失 败 时, 将 接 口 上 的 流 量 转 移 到 备 份 接 口, 此 时 需 要 从 备 份 接 口 下 拉 菜 单 选 择 备 份 接 口 并 在 过 渡 时 间 文 本 框 输 入 过 渡 时 间 ( 指 主 接 口 切 换 到 备 份 接 口 之 前 将 流 量 转 移 到 备 份 接 口 的 过 渡 时 间, 单 位 为 分 钟 取 值 范 围 为 0 到 60 主 接 口 会 在 切 换 到 备 份 接 口 前 的 一 段 时 间, 即 此 处 指 定 的 过 渡 时 间, 将 流 量 从 主 接 口 平 滑 转 移 到 备 份 接 口 默 认 情 况 下 无 平 滑 过 渡 时 间, 所 有 的 流 量 会 立 刻 从 主 接 口 转 移 到 备 份 接 口 ) 在 <RIP> 标 签 页, 配 置 接 口 的 RIP 功 能 选 项 认 证 方 式 说 明 指 定 接 口 的 报 文 认 证 方 式, 有 明 文 ( 系 统 默 认 方 式 ) 和 MD5 两 种 明 文 认 证 不 能 提 供 安 全 保 障 未 加 密 的 认 证 字 随 RIP 报 文 一 同 传 送, 所 以 明 文 认 证 不 能 用 于 安 全 性 要 求 较 高 的 情 况 认 证 码 指 定 接 口 的 RIP 认 证 码 发 送 版 本 接 收 版 本 水 平 分 割 3. 点 击 确 定, 完 成 配 置 新 建 隧 道 接 口 新 建 隧 道 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 接 口, 进 入 接 口 配 置 页 面 指 定 接 口 发 送 RIP 信 息 的 版 本 号 默 认 情 况 下, 缺 省 值 为 接 口 发 送 V1&V2 RIP 信 息 指 定 接 口 接 收 RIP 信 息 的 版 本 号 默 认 情 况 下, 缺 省 值 为 接 口 接 收 V1&V2 RIP 信 息 指 定 是 否 开 启 接 口 的 水 平 分 割 功 能 水 平 分 割 是 指 不 从 本 接 口 发 送 从 该 接 口 学 到 的 路 由 它 可 以 在 一 定 程 度 上 避 免 产 生 路 由 环, 保 证 路 由 的 正 确 传 播 2. 点 击 新 建 下 拉 菜 单, 并 选 择 隧 道 接 口, 弹 出 < 隧 道 接 口 > 对 话 框 43 第 5 章 网 络 连 接

64 在 < 基 本 配 置 > 标 签 页, 配 置 接 口 的 基 本 配 置 信 息 选 项 说 明 接 口 名 称 指 定 接 口 名 称 描 述 用 户 可 根 据 需 要 指 定 接 口 描 述 信 息, 范 围 是 0 到 63 个 字 符 绑 定 安 全 域 如 选 择 三 层 安 全 域 或 者 TAP, 则 继 续 从 安 全 域 下 拉 菜 单 选 择 安 全 域 的 名 称 如 选 择 无 绑 定, 该 接 口 将 不 绑 定 到 任 何 安 全 域 上 安 全 域 从 下 拉 菜 单 中 选 择 安 全 域 IP 配 置 : 根 据 IP 类 型 不 同 进 行 如 下 的 配 置, 包 括 静 态 IP 和 自 动 获 取 静 态 IP IP 地 址 : 为 接 口 指 定 IP 地 址 网 络 掩 码 : 为 接 口 指 定 网 络 掩 码 启 用 DNS 代 理 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 代 理 功 能 使 用 DNS 普 通 代 理 时, 客 户 端 收 到 的 DNS 应 答 来 自 其 配 置 的 DNS 服 务 器, 只 有 客 户 端 的 DNS 服 务 器 地 址 为 设 备 的 接 口 地 址 时, 设 备 才 承 担 DNS 服 务 器 功 能 ; 使 用 DNS 透 明 代 理 时, 不 管 客 户 端 的 DNS 服 务 器 地 址 是 否 为 设 备 接 口 地 址, 其 收 到 的 DNS 应 答 均 来 自 设 备 在 DNS 透 明 代 理 模 式 下, 用 户 无 需 逐 个 修 改 客 户 端 的 DNS 参 数, 只 要 通 过 设 备 的 DNS 配 置 即 可 控 制 所 管 理 网 络 上 的 DNS 服 务 启 用 DNS 透 传 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 透 传 功 能 高 级 选 项 : 管 理 IP: 为 接 口 指 定 管 理 IP 在 文 本 框 中 输 入 IP 地 址 二 级 IP: 为 接 口 指 定 二 级 IP 最 多 可 以 指 定 6 个 二 级 IP 地 址 DHCP: 弹 出 <DHCP 配 置 > 对 话 框 为 接 口 进 行 DHCP 配 置 具 体 说 明 参 加 "DHCP" 在 第 64 页 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 自 动 获 取 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 : 选 中 该 选 项 复 选 框, 系 统 会 将 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 高 级 选 项 : 路 由 距 离 : 指 定 路 由 距 离 范 围 是 1 到 255, 默 认 值 是 1 第 5 章 网 络 连 接 44

65 选 项 说 明 路 由 权 值 : 指 定 路 由 权 值 范 围 是 1 到 255, 默 认 值 是 1 管 理 优 先 级 : 指 定 DNS 服 务 器 的 优 先 级 除 了 静 态 配 置 的 DNS 服 务 器, 系 统 还 可 以 通 过 DHCP 或 者 PPPoE 方 式 动 态 学 到 DNS 服 务 器, 因 此, 需 要 配 置 这 些 DNS 服 务 器 的 优 先 级, 当 系 统 做 DNS 解 析 时, 会 按 照 优 先 级 从 高 到 底 的 顺 序 使 用 DNS 服 务 器 优 先 级 用 1 到 255 的 数 字 表 示, 数 字 越 大, 优 先 级 越 高 静 态 配 置 的 DNS 服 务 器 的 优 先 级 是 20 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 管 理 方 式 选 中 该 接 口 需 要 的 管 理 方 式 的 复 选 框 逆 向 路 由 根 据 需 要 启 用 或 关 闭 逆 向 路 由 启 用 : 强 制 使 用 逆 向 路 由 如 果 找 不 到 逆 向 路 由, 则 丢 弃 数 据 包 默 认 情 况 下, 接 口 强 制 使 用 逆 向 路 由 关 闭 : 不 使 用 逆 向 路 由 反 向 数 据 流 到 达 接 口 后 不 进 行 逆 向 路 由 检 查, 原 路 返 回 ( 即 从 初 始 化 数 据 包 的 入 接 口 发 送 反 向 数 据 包 ) 自 动 : 优 先 使 用 逆 向 路 由 如 果 能 够 找 到 逆 向 路 由 就 使 用 逆 向 路 由 发 送 数 据 包 ; 如 果 找 不 到 逆 向 路 由 以 初 始 化 数 据 包 的 入 接 口 作 为 发 送 反 向 数 据 包 的 出 接 口 隧 道 绑 定 配 置 绑 定 隧 道 接 口 到 VPN 隧 道 一 个 隧 道 接 口 可 以 绑 定 多 个 IPsec VPN 隧 道, 但 仅 可 以 绑 定 一 个 SCVPN 隧 道 3. " 在 < 属 性 > 标 签 页, 配 置 接 口 的 属 性 信 息 " 在 第 42 页 IPsec VPN 单 选 按 钮 : 指 定 绑 定 到 隧 道 接 口 的 IPsec VPN 隧 道 的 名 称 然 后 在 网 关 选 项 处 点 击 添 加 按 钮 添 加 隧 道 的 下 一 跳 IP 地 址, 可 以 为 对 端 隧 道 接 口 的 IP 地 址 或 者 对 端 出 接 口 的 IP 地 址 当 需 要 为 隧 道 接 口 绑 定 多 个 IPsec VPN 隧 道 时, 此 配 置 参 数 有 效 系 统 默 认 值 为 SCVPN 单 选 按 钮 : 指 定 绑 定 到 接 口 的 SSL VPN 隧 道 的 名 称 4. " 在 < 高 级 > 标 签 页, 配 置 接 口 的 高 级 选 项, 包 括 接 口 关 闭 和 接 口 监 控 与 备 份 " 在 第 42 页 5. " 在 <RIP> 标 签 页, 配 置 接 口 的 RIP 功 能 " 在 第 43 页 6. 点 击 确 定, 完 成 配 置 新 建 Virtual Forw ard 接 口 新 建 Virtual Forward 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 接 口, 进 入 接 口 配 置 页 面 2. 点 击 新 建 下 拉 菜 单, 并 选 择 Virtual Forward 接 口, 弹 出 <Virtual Forward 接 口 > 对 话 框 45 第 5 章 网 络 连 接

66 在 < 基 本 配 置 > 标 签 页, 配 置 接 口 的 基 本 配 置 信 息 选 项 说 明 接 口 名 称 指 定 接 口 名 称 描 述 用 户 可 根 据 需 要 指 定 接 口 描 述 信 息, 范 围 是 0 到 63 个 字 符 绑 定 安 全 域 如 选 择 三 层 安 全 域 或 者 TAP, 则 继 续 从 安 全 域 下 拉 菜 单 选 择 安 全 域 的 名 称 如 选 择 无 绑 定, 该 接 口 将 不 绑 定 到 任 何 安 全 域 上 安 全 域 从 下 拉 菜 单 中 选 择 安 全 域 IP 配 置 : 根 据 IP 类 型 不 同 进 行 如 下 的 配 置, 包 括 静 态 IP 和 自 动 获 取 静 态 IP IP 地 址 : 为 接 口 指 定 IP 地 址 网 络 掩 码 : 为 接 口 指 定 网 络 掩 码 启 用 DNS 代 理 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 代 理 功 能 使 用 DNS 普 通 代 理 时, 客 户 端 收 到 的 DNS 应 答 来 自 其 配 置 的 DNS 服 务 器, 只 有 客 户 端 的 DNS 服 务 器 地 址 为 设 备 的 接 口 地 址 时, 设 备 才 承 担 DNS 服 务 器 功 能 ; 使 用 DNS 透 明 代 理 时, 不 管 客 户 端 的 DNS 服 务 器 地 址 是 否 为 设 备 接 口 地 址, 其 收 到 的 DNS 应 答 均 来 自 设 备 在 DNS 透 明 代 理 模 式 下, 用 户 无 需 逐 个 修 改 客 户 端 的 DNS 参 数, 只 要 通 过 设 备 的 DNS 配 置 即 可 控 制 所 管 理 网 络 上 的 DNS 服 务 启 用 DNS 透 传 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 透 传 功 能 高 级 选 项 : 管 理 IP: 为 接 口 指 定 管 理 IP 在 文 本 框 中 输 入 IP 地 址 二 级 IP: 为 接 口 指 定 二 级 IP 最 多 可 以 指 定 6 个 二 级 IP 地 址 DHCP: 弹 出 <DHCP 配 置 > 对 话 框 为 接 口 进 行 DHCP 配 置 具 体 说 明 参 见 "DHCP" 在 第 64 页 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 自 动 获 取 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 : 选 中 该 选 项 复 选 框, 系 统 会 将 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 高 级 选 项 : 路 由 距 离 : 指 定 路 由 距 离 范 围 是 1 到 255, 默 认 值 是 1 第 5 章 网 络 连 接 46

67 选 项 说 明 路 由 权 值 : 指 定 路 由 权 值 范 围 是 1 到 255, 默 认 值 是 1 管 理 优 先 级 : 指 定 DNS 服 务 器 的 优 先 级 除 了 静 态 配 置 的 DNS 服 务 器, 系 统 还 可 以 通 过 DHCP 或 者 PPPoE 方 式 动 态 学 到 DNS 服 务 器, 因 此, 需 要 配 置 这 些 DNS 服 务 器 的 优 先 级, 当 系 统 做 DNS 解 析 时, 会 按 照 优 先 级 从 高 到 底 的 顺 序 使 用 DNS 服 务 器 优 先 级 用 1 到 255 的 数 字 表 示, 数 字 越 大, 优 先 级 越 高 静 态 配 置 的 DNS 服 务 器 的 优 先 级 是 20 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 管 理 方 式 选 中 该 接 口 需 要 的 管 理 方 式 的 复 选 框 逆 向 路 由 根 据 需 要 启 用 或 关 闭 逆 向 路 由 启 用 : 强 制 使 用 逆 向 路 由 如 果 找 不 到 逆 向 路 由, 则 丢 弃 数 据 包 默 认 情 况 下, 接 口 强 制 使 用 逆 向 路 由 关 闭 : 不 使 用 逆 向 路 由 反 向 数 据 流 到 达 接 口 后 不 进 行 逆 向 路 由 检 查, 原 路 返 回 ( 即 从 初 始 化 数 据 包 的 入 接 口 发 送 反 向 数 据 包 ) 自 动 : 优 先 使 用 逆 向 路 由 如 果 能 够 找 到 逆 向 路 由 就 使 用 逆 向 路 由 发 送 数 据 包 ; 如 果 找 不 到 逆 向 路 由 以 初 始 化 数 据 包 的 入 接 口 作 为 发 送 反 向 数 据 包 的 出 接 口 WAP 智 能 分 流 选 中 启 用 复 选 框, 并 对 如 下 选 项 进 行 配 置 3. " 在 < 属 性 > 标 签 页, 配 置 接 口 的 属 性 信 息 " 在 第 42 页 目 的 IP 替 换 : 开 启 目 的 IP 替 换 功 能 并 设 置 需 要 记 录 的 日 志 信 息 记 录 所 有 日 志 表 示 对 所 有 流 量 记 录 日 志 ; 记 录 被 替 换 目 的 IP 的 日 志 表 示 对 IP 地 址 进 行 转 换 的 流 量 记 录 日 志 目 的 服 务 器 端 口 1/ 目 的 服 务 器 端 口 2: 指 定 WAP 网 关 用 于 HTTP 协 议 通 讯 的 端 口 号 一 般 为 80 或 " 在 < 高 级 > 标 签 页, 配 置 接 口 的 高 级 选 项, 包 括 接 口 关 闭 和 接 口 监 控 与 备 份 " 在 第 42 页 5. " 在 <RIP> 标 签 页, 配 置 接 口 的 RIP 功 能 " 在 第 43 页 6. 点 击 确 定, 完 成 配 置 新 建 回 环 接 口 新 建 回 环 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 接 口, 进 入 接 口 配 置 页 面 2. 点 击 新 建 下 拉 菜 单, 并 选 择 回 环 接 口, 弹 出 < 回 环 接 口 > 对 话 框 47 第 5 章 网 络 连 接

68 在 < 基 本 配 置 > 标 签 页, 配 置 接 口 的 基 本 配 置 信 息 选 项 说 明 接 口 名 称 指 定 接 口 名 称 描 述 用 户 可 根 据 需 要 指 定 接 口 描 述 信 息, 范 围 是 0 到 63 个 字 符 绑 定 安 全 域 如 选 择 三 层 安 全 域 或 者 TAP, 则 继 续 从 安 全 域 下 拉 菜 单 选 择 安 全 域 的 名 称 如 选 择 无 绑 定, 该 接 口 将 不 绑 定 到 任 何 安 全 域 上 安 全 域 从 下 拉 菜 单 中 选 择 安 全 域 IP 配 置 : 根 据 IP 类 型 不 同 进 行 如 下 的 配 置, 包 括 静 态 IP 和 自 动 获 取 静 态 IP IP 地 址 : 为 接 口 指 定 IP 地 址 网 络 掩 码 : 为 接 口 指 定 网 络 掩 码 启 用 DNS 代 理 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 代 理 功 能 使 用 DNS 普 通 代 理 时, 客 户 端 收 到 的 DNS 应 答 来 自 其 配 置 的 DNS 服 务 器, 只 有 客 户 端 的 DNS 服 务 器 地 址 为 设 备 的 接 口 地 址 时, 设 备 才 承 担 DNS 服 务 器 功 能 ; 使 用 DNS 透 明 代 理 时, 不 管 客 户 端 的 DNS 服 务 器 地 址 是 否 为 设 备 接 口 地 址, 其 收 到 的 DNS 应 答 均 来 自 设 备 在 DNS 透 明 代 理 模 式 下, 用 户 无 需 逐 个 修 改 客 户 端 的 DNS 参 数, 只 要 通 过 设 备 的 DNS 配 置 即 可 控 制 所 管 理 网 络 上 的 DNS 服 务 启 用 DNS 透 传 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 透 传 功 能 高 级 选 项 : 管 理 IP: 为 接 口 指 定 管 理 IP 在 文 本 框 中 输 入 IP 地 址 二 级 IP: 为 接 口 指 定 二 级 IP 最 多 可 以 指 定 6 个 二 级 IP 地 址 DHCP: 弹 出 <DHCP 配 置 > 对 话 框 为 接 口 进 行 DHCP 配 置 具 体 说 明 参 见 "DHCP" 在 第 64 页 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 自 动 获 取 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 : 选 中 该 选 项 复 选 框, 系 统 会 将 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 高 级 选 项 : 路 由 距 离 : 指 定 路 由 距 离 范 围 是 1 到 255, 默 认 值 是 1 第 5 章 网 络 连 接 48

69 选 项 说 明 路 由 权 值 : 指 定 路 由 权 值 范 围 是 1 到 255, 默 认 值 是 1 管 理 优 先 级 : 指 定 DNS 服 务 器 的 优 先 级 除 了 静 态 配 置 的 DNS 服 务 器, 系 统 还 可 以 通 过 DHCP 或 者 PPPoE 方 式 动 态 学 到 DNS 服 务 器, 因 此, 需 要 配 置 这 些 DNS 服 务 器 的 优 先 级, 当 系 统 做 DNS 解 析 时, 会 按 照 优 先 级 从 高 到 底 的 顺 序 使 用 DNS 服 务 器 优 先 级 用 1 到 255 的 数 字 表 示, 数 字 越 大, 优 先 级 越 高 静 态 配 置 的 DNS 服 务 器 的 优 先 级 是 20 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 管 理 方 式 选 中 该 接 口 需 要 的 管 理 方 式 的 复 选 框 逆 向 路 由 根 据 需 要 启 用 或 关 闭 逆 向 路 由 启 用 : 强 制 使 用 逆 向 路 由 如 果 找 不 到 逆 向 路 由, 则 丢 弃 数 据 包 默 认 情 况 下, 接 口 强 制 使 用 逆 向 路 由 关 闭 : 不 使 用 逆 向 路 由 反 向 数 据 流 到 达 接 口 后 不 进 行 逆 向 路 由 检 查, 原 路 返 回 ( 即 从 初 始 化 数 据 包 的 入 接 口 发 送 反 向 数 据 包 ) 自 动 : 优 先 使 用 逆 向 路 由 如 果 能 够 找 到 逆 向 路 由 就 使 用 逆 向 路 由 发 送 数 据 包 ; 如 果 找 不 到 逆 向 路 由 以 初 始 化 数 据 包 的 入 接 口 作 为 发 送 反 向 数 据 包 的 出 接 口 WAP 智 能 分 流 选 中 启 用 复 选 框, 并 对 如 下 选 项 进 行 配 置 : 目 的 IP 替 换 : 开 启 目 的 IP 替 换 功 能 并 设 置 需 要 记 录 的 日 志 信 息 记 录 所 有 日 志 表 示 对 所 有 流 量 记 录 日 志 ; 记 录 被 替 换 目 的 IP 的 日 志 表 示 对 IP 地 址 进 行 转 换 的 流 量 记 录 日 志 目 的 服 务 器 端 口 1/ 目 的 服 务 器 端 口 2: 指 定 WAP 网 关 用 于 HTTP 协 议 通 讯 的 端 口 号 一 般 为 80 或 " 在 < 属 性 > 标 签 页, 配 置 接 口 的 属 性 信 息 " 在 第 42 页 4. " 在 < 高 级 > 标 签 页, 配 置 接 口 的 高 级 选 项, 包 括 接 口 关 闭 和 接 口 监 控 与 备 份 " 在 第 42 页 5. " 在 <RIP> 标 签 页, 配 置 接 口 的 RIP 功 能 " 在 第 43 页 6. 点 击 确 定, 完 成 配 置 新 建 集 聚 接 口 新 建 集 聚 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 接 口, 进 入 接 口 配 置 页 面 2. 点 击 新 建 下 拉 菜 单, 并 选 择 集 聚 接 口, 弹 出 < 集 聚 接 口 > 对 话 框 49 第 5 章 网 络 连 接

70 3. 在 < 基 本 配 置 > 标 签 页, 配 置 接 口 的 基 本 配 置 信 息 选 项 说 明 接 口 名 称 指 定 接 口 名 称 描 述 用 户 可 根 据 需 要 指 定 接 口 描 述 信 息, 范 围 是 0 到 63 个 字 符 绑 定 安 全 域 指 定 安 全 域 类 型 如 选 择 三 层 安 全 域 二 层 安 全 域 或 者 "TAP, 则 继 续 从 安 全 域 下 拉 菜 单 选 择 安 全 域 的 名 称 如 选 择 无 绑 定, 可 继 续 为 接 口 选 择 所 属 的 VLAN 集 聚 接 口 或 者 冗 余 接 口 : 属 于 说 明 VLAN Acess 方 式 : 只 属 于 一 个 VLAN 集 聚 接 口 冗 余 接 口 Trunk 方 式 : 属 于 多 个 VLAN 指 定 接 口 为 Acess 类 型 接 口, 该 类 型 接 口 用 于 终 端 用 户, 只 能 允 许 一 个 VLAN 的 报 文 通 过 选 中 该 选 项 后, 继 续 从 所 属 VLAN 下 拉 菜 单 中 选 择 接 口 所 属 的 VLAN 指 定 接 口 为 Trunk 类 型 接 口, 该 类 型 的 接 口 通 常 用 于 设 备 间 的 互 联, 可 设 置 允 许 多 个 VLAN 的 报 文 通 过 选 择 该 选 项 后, 继 续 从 Natvie VLAN 下 拉 菜 单 中 选 择 接 口 的 Native VLAN; 之 后 从 所 属 VLAN 部 分 选 择 接 口 允 许 通 过 的 VLAN, 操 作 方 法 为 从 可 绑 定 VLAN 选 择 需 要 的 VLAN, 然 后 点 击 右 箭 头 将 其 添 加 到 < 已 绑 定 VLAN> 选 择 框 中 指 定 接 口 属 于 某 集 聚 接 口 从 接 口 组 下 拉 菜 单 中 选 择 接 口 所 属 的 集 聚 接 口 指 定 接 口 属 于 某 冗 余 接 口 从 接 口 组 下 拉 菜 单 中 选 择 接 口 所 属 的 冗 余 接 口 无 指 定 接 口 不 属 于 任 何 对 象 安 全 域 从 下 拉 菜 单 中 选 择 安 全 域 聚 合 方 式 选 择 接 口 的 聚 合 方 式 : 强 制 模 式 : 将 多 个 物 理 接 口 聚 合 为 一 个 集 聚 接 口, 这 些 物 理 接 口 平 均 分 担 通 过 该 集 聚 接 口 的 流 量 在 接 口 上 启 用 LACP 协 议, 动 态 协 商 聚 合 链 路 用 户 可 配 置 以 下 LACP 相 关 选 项 : 系 统 优 先 级 : 指 定 LACP 系 统 的 优 先 级 取 值 范 围 为 1 到 32768, 默 认 值 为 LACP 系 统 优 先 级 用 于 区 分 两 端 设 备 优 先 级 的 高 低, 以 确 第 5 章 网 络 连 接 50

71 选 项 说 明 保 两 端 设 备 选 中 的 接 口 一 致 协 议 会 以 LACP 系 统 优 先 级 高 的 一 端 为 标 准 选 择 接 口 数 值 越 小, 优 先 级 越 高 当 两 端 的 LACP 系 统 优 先 级 一 致 时, 比 较 两 端 设 备 的 MAC 地 址,MAC 地 址 小 的 一 端 优 先 级 高 最 大 链 路 数 : 指 定 最 大 活 动 链 路 数, 即 最 大 Active 接 口 数 取 值 范 围 为 1 到 16, 默 认 值 为 16 当 Active 接 口 数 达 到 最 大 值 时, 其 它 合 法 接 口 将 变 为 Standby 状 态 最 小 链 路 数 : 指 定 最 小 活 动 链 路 数, 即 最 小 Active 接 口 数 量 取 值 范 围 为 1 到 8, 默 认 值 为 1 当 聚 合 组 中 的 Active 接 口 数 量 小 于 该 最 小 值 时, 系 统 会 自 动 将 聚 合 组 中 的 所 有 合 法 接 口 都 设 置 为 Standby 状 态, 不 可 参 与 流 量 转 发 HA 同 步 选 中 该 选 项 复 选 框 开 启 HA 同 步, 主 设 备 和 备 用 设 备 信 息 同 步 端 口 选 择 为 集 聚 接 口 指 定 物 理 端 口 从 下 拉 菜 单 中 选 择 需 要 的 端 口, 该 端 口 需 不 属 于 任 何 其 它 接 口 也 不 属 于 任 何 安 全 域 IP 配 置 : 根 据 IP 类 型 不 同 进 行 如 下 的 配 置, 包 括 静 态 IP 和 自 动 获 取 静 态 IP IP 地 址 : 为 接 口 指 定 IP 地 址 网 络 掩 码 : 为 接 口 指 定 网 络 掩 码 启 用 DNS 代 理 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 代 理 功 能 使 用 DNS 普 通 代 理 时, 客 户 端 收 到 的 DNS 应 答 来 自 其 配 置 的 DNS 服 务 器, 只 有 客 户 端 的 DNS 服 务 器 地 址 为 设 备 的 接 口 地 址 时, 设 备 才 承 担 DNS 服 务 器 功 能 ; 使 用 DNS 透 明 代 理 时, 不 管 客 户 端 的 DNS 服 务 器 地 址 是 否 为 设 备 接 口 地 址, 其 收 到 的 DNS 应 答 均 来 自 设 备 在 DNS 透 明 代 理 模 式 下, 用 户 无 需 逐 个 修 改 客 户 端 的 DNS 参 数, 只 要 通 过 设 备 的 DNS 配 置 即 可 控 制 所 管 理 网 络 上 的 DNS 服 务 启 用 DNS 透 传 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 透 传 功 能 高 级 选 项 : 管 理 IP: 为 接 口 指 定 管 理 IP 在 文 本 框 中 输 入 IP 地 址 二 级 IP: 为 接 口 指 定 二 级 IP 最 多 可 以 指 定 6 个 二 级 IP 地 址 DHCP: 弹 出 <DHCP 配 置 > 对 话 框 为 接 口 进 行 DHCP 配 置 具 体 说 明 参 加 "DHCP" 在 第 64 页 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 自 动 获 取 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 : 选 中 该 选 项 复 选 框, 系 统 会 将 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 高 级 选 项 : 路 由 距 离 : 指 定 路 由 距 离 范 围 是 1 到 255, 默 认 值 是 1 路 由 权 值 : 指 定 路 由 权 值 范 围 是 1 到 255, 默 认 值 是 1 管 理 优 先 级 : 指 定 DNS 服 务 器 的 优 先 级 除 了 静 态 配 置 的 DNS 服 务 器, 系 统 还 可 以 通 过 DHCP 或 者 PPPoE 方 式 动 态 学 到 DNS 服 务 器, 因 此, 需 要 配 置 这 些 DNS 服 务 器 的 优 先 级, 当 系 统 做 DNS 解 析 时, 会 按 照 优 先 级 从 高 到 底 的 顺 序 使 用 DNS 服 务 器 优 先 级 用 1 到 255 的 数 字 表 示, 数 字 越 大, 优 先 级 越 高 静 态 配 置 的 DNS 服 务 器 的 优 先 级 是 20 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 51 第 5 章 网 络 连 接

72 选 项 说 明 管 理 方 式 选 中 该 接 口 需 要 的 管 理 方 式 的 复 选 框 逆 向 路 由 根 据 需 要 启 用 或 关 闭 逆 向 路 由 启 用 : 强 制 使 用 逆 向 路 由 如 果 找 不 到 逆 向 路 由, 则 丢 弃 数 据 包 默 认 情 况 下, 接 口 强 制 使 用 逆 向 路 由 关 闭 : 不 使 用 逆 向 路 由 反 向 数 据 流 到 达 接 口 后 不 进 行 逆 向 路 由 检 查, 原 路 返 回 ( 即 从 初 始 化 数 据 包 的 入 接 口 发 送 反 向 数 据 包 ) 自 动 : 优 先 使 用 逆 向 路 由 如 果 能 够 找 到 逆 向 路 由 就 使 用 逆 向 路 由 发 送 数 据 包 ; 如 果 找 不 到 逆 向 路 由 以 初 始 化 数 据 包 的 入 接 口 作 为 发 送 反 向 数 据 包 的 出 接 口 WAP 智 能 分 流 选 中 启 用 复 选 框, 并 对 如 下 选 项 进 行 配 置 : 目 的 IP 替 换 : 开 启 目 的 IP 替 换 功 能 并 设 置 需 要 记 录 的 日 志 信 息 记 录 所 有 日 志 表 示 对 所 有 流 量 记 录 日 志 ; 记 录 被 替 换 目 的 IP 的 日 志 表 示 对 IP 地 址 进 行 转 换 的 流 量 记 录 日 志 目 的 服 务 器 端 口 1/ 目 的 服 务 器 端 口 2: 指 定 WAP 网 关 用 于 HTTP 协 议 通 讯 的 端 口 号 一 般 为 80 或 8080 端 口 选 择 为 集 聚 接 口 指 定 物 理 端 口 从 下 拉 菜 单 中 选 择 需 要 的 端 口, 该 端 口 需 不 属 于 任 何 其 它 接 口 也 不 属 于 任 何 安 全 域 4. " 在 < 属 性 > 标 签 页, 配 置 接 口 的 属 性 信 息 " 在 第 42 页 5. " 在 < 高 级 > 标 签 页, 配 置 接 口 的 高 级 选 项, 包 括 接 口 关 闭 和 接 口 监 控 与 备 份 " 在 第 42 页 6. " 在 <RIP> 标 签 页, 配 置 接 口 的 RIP 功 能 " 在 第 43 页 7. 在 < 负 载 均 衡 > 标 签 页, 配 置 集 聚 接 口 的 负 载 均 衡 方 式 基 于 流 表 示 从 数 据 流 中 自 动 获 取 均 衡 方 式 该 方 式 为 系 统 默 认 方 式 组 合 方 式 表 示 系 统 按 照 报 文 的 源 IP 源 MAC 源 端 口 目 的 IP 目 的 MAC 目 的 端 口 或 者 协 议 类 型 进 行 均 衡 转 发, 或 按 照 以 上 方 式 的 组 合 进 行 均 衡 转 发 8. 点 击 确 定, 完 成 配 置 新 建 冗 余 接 口 新 建 冗 余 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 接 口, 进 入 接 口 配 置 页 面 2. 点 击 新 建 下 拉 菜 单, 并 选 择 冗 余 接 口, 弹 出 < 冗 余 接 口 > 对 话 框 第 5 章 网 络 连 接 52

73 3. " 在 < 基 本 配 置 > 标 签 页, 配 置 接 口 的 基 本 配 置 信 息 " 在 第 50 页 4. " 在 < 属 性 > 标 签 页, 配 置 接 口 的 属 性 信 息 " 在 第 42 页 5. " 在 < 高 级 > 标 签 页, 配 置 接 口 的 高 级 选 项, 包 括 接 口 关 闭 和 接 口 监 控 与 备 份 " 在 第 42 页 6. " 在 <RIP> 标 签 页, 配 置 接 口 的 RIP 功 能 " 在 第 43 页 7. 点 击 确 定, 完 成 配 置 新 建 以 太 网 子 接 口 / 集 聚 子 接 口 / 冗 余 子 接 口 新 建 太 网 子 接 口 / 集 聚 子 接 口 / 冗 余 子 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 接 口, 进 入 接 口 配 置 页 面 2. 点 击 新 建 下 拉 菜 单, 并 选 择 以 太 网 子 接 口 / 集 聚 子 接 口 / 冗 余 子 接 口, 弹 出 相 应 接 口 对 话 框 3. 在 < 基 本 配 置 > 标 签 页, 配 置 接 口 的 基 本 配 置 信 息 选 项 说 明 接 口 名 称 指 定 接 口 名 称 描 述 用 户 可 根 据 需 要 指 定 接 口 描 述 信 息, 范 围 是 0 到 63 个 字 符 绑 定 安 全 域 指 定 安 全 域 类 型 如 果 选 择 三 层 安 全 域 二 层 安 全 域 或 者 TAP, 则 继 续 从 安 全 域 下 拉 菜 单 选 择 安 全 域 的 名 称 如 选 择 无 绑 定, 该 接 口 将 不 绑 定 到 任 何 安 全 域 上 安 全 域 从 下 拉 菜 单 中 选 择 安 全 域 IP 配 置 : 根 据 IP 类 型 不 同 进 行 如 下 的 配 置, 包 括 静 态 IP 和 自 动 获 取 静 态 IP IP 地 址 : 为 接 口 指 定 IP 地 址 网 络 掩 码 : 为 接 口 指 定 网 络 掩 码 启 用 DNS 代 理 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 代 理 功 能 使 用 DNS 普 通 代 理 时, 客 户 端 收 到 的 DNS 应 答 来 自 其 配 置 的 DNS 服 务 器, 只 有 客 户 端 的 DNS 服 务 器 地 址 为 设 备 的 接 口 地 址 时, 设 备 才 承 担 DNS 服 务 器 功 能 ; 使 用 DNS 透 明 代 理 时, 不 管 客 户 端 的 DNS 服 务 器 地 址 是 否 为 设 备 接 口 地 址, 其 收 到 的 DNS 应 答 均 来 自 设 备 在 DNS 透 明 代 理 模 式 下, 用 户 无 需 逐 个 修 改 客 户 端 的 DNS 参 数, 只 要 通 过 设 备 的 DNS 配 置 即 可 控 制 所 管 理 网 络 上 的 DNS 服 务 启 用 DNS 透 传 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 透 传 功 能 高 级 选 项 : 管 理 IP: 为 接 口 指 定 管 理 IP 在 文 本 框 中 输 入 IP 地 址 二 级 IP: 为 接 口 指 定 二 级 IP 最 多 可 以 指 定 6 个 二 级 IP 地 址 DHCP: 弹 出 <DHCP 配 置 > 对 话 框 为 接 口 进 行 DHCP 配 置 具 体 说 明 参 见 "DHCP" 在 第 64 页 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 自 动 获 取 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 : 选 中 该 选 项 复 选 框, 系 统 会 将 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 高 级 选 项 : 路 由 距 离 : 指 定 路 由 距 离 范 围 是 1 到 255, 默 认 值 是 1 路 由 权 值 : 指 定 路 由 权 值 范 围 是 1 到 255, 默 认 值 是 1 53 第 5 章 网 络 连 接

74 选 项 说 明 管 理 优 先 级 : 指 定 DNS 服 务 器 的 优 先 级 除 了 静 态 配 置 的 DNS 服 务 器, 系 统 还 可 以 通 过 DHCP 或 者 PPPoE 方 式 动 态 学 到 DNS 服 务 器, 因 此, 需 要 配 置 这 些 DNS 服 务 器 的 优 先 级, 当 系 统 做 DNS 解 析 时, 会 按 照 优 先 级 从 高 到 底 的 顺 序 使 用 DNS 服 务 器 优 先 级 用 1 到 255 的 数 字 表 示, 数 字 越 大, 优 先 级 越 高 静 态 配 置 的 DNS 服 务 器 的 优 先 级 是 20 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 管 理 方 式 选 中 该 接 口 需 要 的 管 理 方 式 的 复 选 框 逆 向 路 由 根 据 需 要 启 用 或 关 闭 逆 向 路 由 启 用 : 强 制 使 用 逆 向 路 由 如 果 找 不 到 逆 向 路 由, 则 丢 弃 数 据 包 默 认 情 况 下, 接 口 强 制 使 用 逆 向 路 由 关 闭 : 不 使 用 逆 向 路 由 反 向 数 据 流 到 达 接 口 后 不 进 行 逆 向 路 由 检 查, 原 路 返 回 ( 即 从 初 始 化 数 据 包 的 入 接 口 发 送 反 向 数 据 包 ) 自 动 : 优 先 使 用 逆 向 路 由 如 果 能 够 找 到 逆 向 路 由 就 使 用 逆 向 路 由 发 送 数 据 包 ; 如 果 找 不 到 逆 向 路 由 以 初 始 化 数 据 包 的 入 接 口 作 为 发 送 反 向 数 据 包 的 出 接 口 WAP 智 能 分 流 选 中 启 用 复 选 框, 并 对 如 下 选 项 进 行 配 置 : 4. " 在 < 属 性 > 标 签 页, 配 置 接 口 的 属 性 信 息 " 在 第 42 页 目 的 IP 替 换 : 开 启 目 的 IP 替 换 功 能 并 设 置 需 要 记 录 的 日 志 信 息 记 录 所 有 日 志 表 示 对 所 有 流 量 记 录 日 志 ; 记 录 被 替 换 目 的 IP 的 日 志 表 示 对 IP 地 址 进 行 转 换 的 流 量 记 录 日 志 目 的 服 务 器 端 口 1/ 目 的 服 务 器 端 口 2: 指 定 WAP 网 关 用 于 HTTP 协 议 通 讯 的 端 口 号 一 般 为 80 或 " 在 < 高 级 > 标 签 页, 配 置 接 口 的 高 级 选 项, 包 括 接 口 关 闭 和 接 口 监 控 与 备 份 " 在 第 42 页 6. " 在 <RIP> 标 签 页, 配 置 接 口 的 RIP 功 能 " 在 第 43 页 7. 点 击 确 定, 完 成 配 置 新 建 VS w itch 接 口 /VLA N 接 口 新 建 VSwitch 接 口 /VLAN 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 接 口, 进 入 接 口 配 置 页 面 2. 点 击 新 建 下 拉 菜 单, 并 选 择 VSwitch 接 口 /VLAN 接 口, 弹 出 <VSwitch 接 口 /VLAN 接 口 > 对 话 框 第 5 章 网 络 连 接 54

75 3. " 在 < 基 本 配 置 > 标 签 页, 配 置 接 口 的 基 本 配 置 信 息 " 在 第 46 页 4. " 在 < 属 性 > 标 签 页, 配 置 接 口 的 属 性 信 息 " 在 第 42 页 5. " 在 < 高 级 > 标 签 页, 配 置 接 口 的 高 级 选 项, 包 括 接 口 关 闭 和 接 口 监 控 与 备 份 " 在 第 42 页 6. " 在 <RIP> 标 签 页, 配 置 接 口 的 RIP 功 能 " 在 第 43 页 7. 点 击 确 定, 完 成 配 置 编 辑 以 太 接 口 编 辑 以 太 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 接 口, 进 入 接 口 配 置 页 面 2. 从 接 口 列 表 中 选 中 需 要 编 辑 的 以 太 接 口, 然 后 点 击 列 表 右 上 方 的 编 辑 按 钮, 弹 出 <Ethernet 配 置 > 对 话 框 3. 在 < 基 本 配 置 > 标 签 页, 配 置 接 口 的 基 本 配 置 信 息 选 项 说 明 接 口 名 称 指 定 接 口 名 称 描 述 用 户 可 根 据 需 要 指 定 接 口 描 述 信 息, 范 围 是 0 到 63 个 字 符 绑 定 安 全 域 指 定 安 全 域 类 型 如 选 择 三 层 安 全 域 二 层 安 全 域 或 者 TAP, 则 继 续 从 安 全 域 下 拉 菜 单 选 择 安 全 域 的 名 称 如 选 择 无 绑 定, 可 继 续 为 接 口 选 择 所 属 的 VLAN 集 聚 接 口 或 者 冗 余 接 口 : 属 于 说 明 VLAN Acess 方 式 : 只 属 于 一 个 VLAN Trunk 方 式 : 属 于 多 个 VLAN 指 定 接 口 为 Acess 类 型 接 口, 该 类 型 接 口 用 于 终 端 用 户, 只 能 允 许 一 个 VLAN 的 报 文 通 过 选 中 该 选 项 后, 继 续 从 所 属 VLAN 下 拉 菜 单 中 选 择 接 口 所 属 的 VLAN 指 定 接 口 为 Trunk 类 型 接 口, 该 类 型 的 接 口 通 常 用 于 设 备 间 的 互 联, 可 设 置 允 许 多 个 VLAN 的 报 文 通 过 选 择 该 选 项 后, 继 续 从 Natvie VLAN 下 拉 菜 单 中 选 择 接 口 的 Native VLAN; 之 后 从 所 属 VLAN 部 分 选 择 接 口 允 许 通 过 的 VLAN, 操 作 方 法 为 从 可 绑 定 VLAN 选 择 需 要 的 VLAN, 然 后 点 击 右 箭 头 将 55 第 5 章 网 络 连 接

76 选 项 说 明 集 聚 接 口 冗 余 接 口 其 添 加 到 < 已 绑 定 VLAN> 选 择 框 中 指 定 接 口 属 于 某 集 聚 接 口 从 接 口 组 下 拉 菜 单 中 选 择 接 口 所 属 的 集 聚 接 口 指 定 接 口 属 于 某 冗 余 接 口 从 接 口 组 下 拉 菜 单 中 选 择 接 口 所 属 的 冗 余 接 口 无 指 定 接 口 不 属 于 任 何 对 象 安 全 域 从 下 拉 菜 单 中 选 择 安 全 域 IP 配 置 : 根 据 IP 类 型 不 同 进 行 如 下 的 配 置, 包 括 静 态 IP 自 动 获 取 和 PPPoE 静 态 IP IP 地 址 : 为 接 口 指 定 IP 地 址 网 络 掩 码 : 为 接 口 指 定 网 络 掩 码 启 用 DNS 代 理 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 代 理 功 能 使 用 DNS 普 通 代 理 时, 客 户 端 收 到 的 DNS 应 答 来 自 其 配 置 的 DNS 服 务 器, 只 有 客 户 端 的 DNS 服 务 器 地 址 为 设 备 的 接 口 地 址 时, 设 备 才 承 担 DNS 服 务 器 功 能 ; 使 用 DNS 透 明 代 理 时, 不 管 客 户 端 的 DNS 服 务 器 地 址 是 否 为 设 备 接 口 地 址, 其 收 到 的 DNS 应 答 均 来 自 设 备 在 DNS 透 明 代 理 模 式 下, 用 户 无 需 逐 个 修 改 客 户 端 的 DNS 参 数, 只 要 通 过 设 备 的 DNS 配 置 即 可 控 制 所 管 理 网 络 上 的 DNS 服 务 启 用 DNS 透 传 : 选 中 该 选 项 复 选 框 开 启 接 口 的 DNS 透 传 功 能 高 级 选 项 : 管 理 IP: 为 接 口 指 定 管 理 IP 在 文 本 框 中 输 入 IP 地 址 二 级 IP: 为 接 口 指 定 二 级 IP 最 多 可 以 指 定 6 个 二 级 IP 地 址 DHCP: 弹 出 <DHCP 配 置 > 对 话 框 为 接 口 进 行 DHCP 配 置 具 体 说 明 参 见 "DHCP" 在 第 64 页 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 自 动 获 取 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 : 选 中 该 选 项 复 选 框, 系 统 会 将 DHCP 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 高 级 选 项 : 路 由 距 离 : 指 定 路 由 距 离 范 围 是 1 到 255, 默 认 值 是 1 路 由 权 值 : 指 定 路 由 权 值 范 围 是 1 到 255, 默 认 值 是 1 管 理 优 先 级 : 指 定 DNS 服 务 器 的 优 先 级 除 了 静 态 配 置 的 DNS 服 务 器, 系 统 还 可 以 通 过 DHCP 或 者 PPPoE 方 式 动 态 学 到 DNS 服 务 器, 因 此, 需 要 配 置 这 些 DNS 服 务 器 的 优 先 级, 当 系 统 做 DNS 解 析 时, 会 按 照 优 先 级 从 高 到 底 的 顺 序 使 用 DNS 服 务 器 优 先 级 用 1 到 255 的 数 字 表 示, 数 字 越 大, 优 先 级 越 高 静 态 配 置 的 DNS 服 务 器 的 优 先 级 是 20 DDNS: 弹 出 <DDNS 配 置 > 对 话 框 为 接 口 进 行 DDNS 配 置 具 体 说 明 参 见 "DDNS" 在 第 67 页 PPPoE 用 户 名 : 指 定 PPPoE 用 户 名 称 密 码 : 指 定 PPPoE 用 户 相 应 的 密 码 重 新 输 入 密 码 : 再 次 输 入 密 码 进 行 确 认 挂 断 前 空 闲 间 隔 : 当 PPPoE 接 口 的 空 闲 ( 无 流 量 ) 时 间 到 达 一 定 的 时 间, 即 指 定 的 空 闲 间 隔, 系 统 会 断 开 与 因 特 网 的 连 接 ; 当 产 生 上 网 需 求 时, 系 统 会 自 动 连 接 到 因 特 网 该 选 项 指 定 空 闲 间 隔 时 间, 单 位 为 分 钟 范 围 是 0 到 秒, 第 5 章 网 络 连 接 56

77 选 项 说 明 默 认 值 是 30 重 拨 间 隔 : 该 选 项 指 定 重 拨 间 隔 时 间 ( 系 统 在 断 开 连 接 后 自 动 重 拨 的 时 间 间 隔 ), 单 位 为 秒 范 围 是 0 到 秒 默 认 值 是 0, 表 示 不 进 行 自 动 重 拨 PPPoE 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 : 选 中 该 选 项 复 选 框, 系 统 会 将 PPPoE 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 高 级 选 项 访 问 集 中 器 : 指 定 访 问 集 中 器 的 名 称 认 证 : 安 全 网 关 与 PPPoE 服 务 器 建 立 连 接 时, 需 要 通 过 PPPoE 认 证 安 全 网 关 支 持 的 验 证 方 式 有 CHAP PAP 和 任 意 ( 系 统 默 认 方 式, 表 示 CHAP 或 者 PAP 的 任 意 一 种 ) 选 中 需 要 的 认 证 方 式 的 单 选 按 钮 网 络 掩 码 : 为 PPPoE 方 式 获 得 的 IP 地 址 指 定 网 络 掩 码 静 态 IP: 用 户 可 以 指 定 一 个 静 态 的 IP 地 址, 并 协 商 使 用 该 静 态 IP 地 址 这 样 可 以 避 免 IP 地 址 变 化 该 选 项 指 定 静 态 IP 地 址 在 文 本 框 中 输 入 静 态 IP 地 址 服 务 : 指 定 允 许 的 服 务 此 处 指 定 的 服 务 必 须 与 PPPoE 服 务 器 端 提 供 的 服 务 相 同 如 果 不 指 定 服 务, 安 全 网 关 自 动 接 受 服 务 器 返 回 的 任 何 服 务 路 由 距 离 : 指 定 路 由 距 离 范 围 是 1 到 255, 默 认 值 是 1 路 由 权 值 : 指 定 路 由 权 值 范 围 是 1 到 255, 默 认 值 是 1 PPPoE 服 务 器 提 供 的 网 管 信 息 设 置 为 默 认 网 关 路 由 : 选 中 该 选 项 复 选 框, 系 统 会 将 PPPoE 服 务 器 提 供 的 网 关 信 息 设 置 为 默 认 网 关 路 由 管 理 方 式 选 中 该 接 口 需 要 的 管 理 方 式 的 复 选 框 逆 向 路 由 根 据 需 要 启 用 或 关 闭 逆 向 路 由 启 用 : 强 制 使 用 逆 向 路 由 如 果 找 不 到 逆 向 路 由, 则 丢 弃 数 据 包 默 认 情 况 下, 接 口 强 制 使 用 逆 向 路 由 关 闭 : 不 使 用 逆 向 路 由 反 向 数 据 流 到 达 接 口 后 不 进 行 逆 向 路 由 检 查, 原 路 返 回 ( 即 从 初 始 化 数 据 包 的 入 接 口 发 送 反 向 数 据 包 ) 自 动 : 优 先 使 用 逆 向 路 由 如 果 能 够 找 到 逆 向 路 由 就 使 用 逆 向 路 由 发 送 数 据 包 ; 如 果 找 不 到 逆 向 路 由 以 初 始 化 数 据 包 的 入 接 口 作 为 发 送 反 向 数 据 包 的 出 接 口 WAP 智 能 分 流 选 中 启 用 复 选 框, 并 对 如 下 选 项 进 行 配 置 : 目 的 IP 替 换 : 开 启 目 的 IP 替 换 功 能 并 设 置 需 要 记 录 的 日 志 信 息 记 录 所 有 日 志 表 示 对 所 有 流 量 记 录 日 志 ; 记 录 被 替 换 目 的 IP 的 日 志 表 示 对 IP 地 址 进 行 转 换 的 流 量 记 录 日 志 目 的 服 务 器 端 口 1/ 目 的 服 务 器 端 口 2: 指 定 WAP 网 关 用 于 HTTP 协 议 通 讯 的 端 口 号 一 般 为 80 或 在 < 属 性 > 标 签 页, 配 置 接 口 的 属 性 信 息 选 项 说 明 双 工 速 率 Combo 类 型 为 接 口 指 定 双 工 工 作 方 式, 可 以 是 自 动 全 双 工 或 者 半 双 工 自 动 是 系 统 默 认 工 作 方 式, 即 系 统 自 动 选 择 最 佳 的 双 工 模 式 系 统 不 支 持 千 兆 半 双 工 工 作 模 式 为 接 口 指 定 工 作 速 率, 可 以 是 自 动 10M 100M 或 者 1000M 自 动 是 系 统 默 认 工 作 方 式, 即 系 统 自 动 测 定 并 使 用 接 口 的 最 佳 工 作 速 率 系 统 不 支 持 千 兆 半 双 工 工 作 模 式 该 选 项 适 用 于 光 口 + 电 口 的 Combo 口 默 认 情 况 下, 如 果 光 口 与 电 口 均 有 线 缆 连 接, 设 备 会 优 先 使 用 光 口 ; 如 果 设 备 最 初 使 用 的 是 电 口, 连 接 好 光 口 电 缆, 重 启 设 备 后, 设 备 会 使 用 光 口 进 行 数 据 传 输 该 选 项 用 于 指 定 光 口 与 电 口 的 使 57 第 5 章 网 络 连 接

78 选 项 说 明 用, 选 项 说 明 如 下 : MTU 自 动 : 上 述 默 认 状 况 电 强 制 : 强 制 使 用 电 口 电 优 先 : 优 先 使 用 电 口 光 强 制 : 强 制 使 用 光 口 光 优 先 : 优 先 使 用 光 口 配 置 了 该 选 项 后, 设 备 会 将 电 口 的 流 量 自 动 切 换 到 光 口, 无 需 重 启 设 备 指 定 接 口 的 最 大 传 输 单 元, 单 位 为 字 节 范 围 是 1280 到 1500/1800 字 节 之 间 ( 不 同 型 号 的 安 全 网 关 支 持 的 MTU 最 大 值 不 同 ), 默 认 值 是 1500 字 节 ARP 学 习 选 中 启 用 复 选 框 开 启 接 口 的 ARP 学 习 功 能 ARP 超 时 配 置 接 口 的 ARP 超 时 时 间, 单 位 为 秒 范 围 是 5 到 秒, 默 认 值 是 1200 秒 Keep-alive IP 指 定 接 收 接 口 的 Keep-alive 报 文 的 IP 地 址 MAC 克 隆 勾 选 复 选 框, 开 启 MAC 克 隆 功 能, 将 指 定 的 MAC 地 址 克 隆 到 以 太 网 子 接 口, 点 击 恢 复 缺 省 MAC 按 钮, 恢 复 以 太 网 子 接 口 的 缺 省 MAC 地 址 5. " 在 < 高 级 > 标 签 页, 配 置 接 口 的 高 级 选 项, 包 括 接 口 关 闭 和 接 口 监 控 与 备 份 " 在 第 42 页 6. " 在 <RIP> 标 签 页, 配 置 接 口 的 RIP 功 能 " 在 第 43 页 7. 点 击 确 定, 完 成 配 置 注 意 : 删 除 集 聚 / 冗 余 接 口 之 前, 必 须 取 消 其 它 接 口 与 集 聚 / 冗 余 接 口 的 绑 定 集 聚 / 冗 余 子 接 口 的 配 置 接 口 的 IP 地 址 配 置 以 及 接 口 与 安 全 域 的 绑 定 以 太 网 接 口 只 可 以 编 辑, 不 可 以 删 除 删 除 VSwitch 接 口 的 同 时, 相 应 的 VSwitch 也 会 一 并 被 删 除 第 5 章 网 络 连 接 58

79 MGT 接 口 仅 有 部 分 平 台 支 持 该 功 能, 请 参 阅 您 产 品 的 功 能 列 表 为 方 便 用 户 对 设 备 进 行 管 理, 满 足 管 理 流 量 同 数 据 流 量 隔 离 的 需 要, 设 备 将 MGT 接 口 与 其 他 接 口 区 分 开 MGT 接 口 ( 即 管 理 口 ) 默 认 加 入 到 trust 域 和 trust-vr 虚 拟 路 由 器 如 果 需 要 将 MGT 接 口 的 流 量 和 其 他 接 口 的 流 量 完 全 隔 离, 可 将 MGT 接 口 加 入 到 mgt 域 mgt 域 默 认 属 于 mgt-vr 虚 拟 路 由 器, 该 虚 拟 路 由 器 中 的 路 由 ARP 表 项 等 信 息 都 完 全 独 立 配 置 MGT 接 口 配 置 MGT 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > MGT 接 口 2. 在 MGT 接 口 页 面, 接 口 名 称 后 的 状 态 灯 显 示 管 理 接 口 的 状 态 3. 在 安 全 域 下 拉 菜 单 中 选 择 MGT 接 口 所 属 的 安 全 域 MGT 接 口 只 能 绑 定 到 三 层 域 4. 在 类 型 处 指 定 MGT 接 口 获 取 IP 地 址 的 方 式, 分 别 为 : 静 态 IP 和 自 动 获 取 IP 选 择 静 态 IP 单 选 按 钮, 系 统 为 接 口 指 定 静 态 IP 地 址 和 网 络 掩 码 点 击 高 级 配 置 指 定 二 级 IP, 最 多 可 以 指 定 6 个 二 级 IP 地 址 选 择 自 动 获 取 IP 单 选 按 钮, 接 口 将 通 过 DHCP 方 式 自 动 获 取 IP 地 址 5. 在 管 理 方 式 处 指 定 接 口 的 管 理 方 式 选 中 需 要 的 管 理 方 式 的 复 选 框 6. 在 工 作 模 式 处 指 定 管 理 接 口 的 工 作 模 式 和 速 率 当 接 口 的 工 作 模 式 为 自 动 时, 接 口 的 速 率 也 必 须 是 自 动 7. 在 接 口 关 闭 处 选 中 立 即 关 闭 复 选 框 强 制 关 闭 MGT 接 口 8. 点 击 确 定 59 第 5 章 网 络 连 接

80 VLAN 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 VLAN 是 虚 拟 局 域 网 (Virtual Local Area Network) 的 简 称, 由 IEEE 802.1Q 标 准 定 义 VLAN 有 以 下 特 点 : 一 个 物 理 局 域 网 可 以 划 分 成 多 个 VLAN, 一 个 VLAN 也 可 能 包 含 多 个 物 理 网 络 的 设 备 一 个 VLAN 就 是 一 个 广 播 域,VLAN 之 间 的 二 层 报 文 是 相 互 隔 离 的 如 果 要 实 现 VLAN 间 的 通 信 只 能 通 过 三 层 路 由 技 术 ( 可 以 由 路 由 器 或 三 层 交 换 机 等 三 层 网 络 设 备 实 现 ) VLAN 之 间 通 过 VLAN 编 号 进 行 区 分,VLAN 编 号 的 取 值 范 围 为 1 到 4094 StoneOS 为 BGroup 保 留 32 个 VLAN 编 号, 范 围 是 从 224 到 255, 但 是 在 此 范 围 中 未 被 BGroup 使 用 的 编 号 仍 可 被 VLAN 使 用 配 置 VL AN 新 建 VLAN, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > VLAN, 进 入 VLAN 配 置 页 面 2. 点 击 新 建 按 钮, 弹 出 <VLAN 配 置 > 对 话 框 3. 在 该 对 话 框 的 VLAN ID 文 本 框 输 入 VLAN 的 编 号, 范 围 点 击 确 定 按 钮, 完 成 配 置 第 5 章 网 络 连 接 60

81 DN S DNS 为 域 名 系 统 (Domain Name System) 的 缩 写 DNS 是 一 种 组 织 成 域 层 次 结 构 的 计 算 机 和 网 络 服 务 命 名 系 统, 用 于 TCP/IP 网 络, 主 要 用 来 寻 找 Internet 域 名 ( 如 并 转 化 为 IP 地 址 ( 如 ) 以 定 位 相 应 的 计 算 机 和 相 应 服 务 系 统 的 DNS 功 能 如 下 : 服 务 器 : 为 设 备 配 置 DNS 服 务 器 代 理 : 设 备 作 为 DNS 代 理 服 务 器, 为 与 其 连 接 的 PC 等 ( 客 户 端 ) 提 供 DNS 代 理 功 能 同 时, 设 备 可 以 根 据 域 名 选 择 不 同 的 域 名 服 务 器 解 析 : 为 设 备 的 DNS 功 能 设 置 重 试 次 数 和 响 应 超 时 时 间, 以 及 为 设 备 的 DNS 代 理 功 能 设 置 响 应 报 文 的 TTL 缓 存 : 将 DNS 映 射 项 储 存 在 缓 存 中, 用 以 提 高 查 找 速 度 DNS 映 射 项 可 新 建 编 辑 以 及 删 除 NBT 缓 存 : 显 示 NBT 缓 存 信 息 配 置 DN S 服 务 器 配 置 DNS 服 务 器, 即 配 置 为 安 全 设 备 进 行 DNS 解 析 时 使 用 的 服 务 器 指 定 DNS 服 务 器, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > DNS, 进 入 DNS 配 置 页 面 2. 在 < 服 务 器 与 代 理 > 标 签 页, 点 击 <DNS 服 务 器 > 部 分 的 新 建 按 钮, 弹 出 <DNS 服 务 器 配 置 > 对 话 框 3. 在 服 务 器 IP 文 本 框 输 入 DNS 服 务 器 的 IP 地 址 4. 在 虚 拟 路 由 器 下 拉 菜 单 选 择 VR, 默 认 为 缺 省 VR, 即 trust-vr 5. 在 出 接 口 下 拉 菜 单 选 择 接 口 名 称 该 参 数 主 要 用 于 多 出 口 DNS 代 理 如 果 仅 用 于 设 备 进 行 DNS 解 析, 可 不 选 择 出 接 口, 保 持 默 认 点 击 确 定 按 钮 配 置 DN S 代 理 实 现 设 备 的 DNS 代 理 功 能, 需 按 以 下 方 式 进 行 配 置 : 1. 配 置 包 含 域 名 和 相 应 DNS 服 务 器 条 目 的 选 择 列 表 2. 开 启 安 全 设 备 某 个 接 口 的 DNS 代 理 功 能 具 体 说 明, 参 考 " 配 置 接 口 " 在 第 41 页 3. 将 客 户 端 与 安 全 设 备 上 开 启 了 DNS 代 理 功 能 的 接 口 相 连 新 建 DNS 代 理, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > DNS, 进 入 DNS 配 置 页 面 2. 在 < 服 务 器 与 代 理 > 标 签 页, 点 击 <DNS 代 理 > 部 分 的 新 建 按 钮, 弹 出 <DNS 代 理 配 置 > 对 话 框 3. 在 域 名 类 型 部 分 指 定 域 名 后 缀 选 中 任 意 域 单 选 按 钮, 表 示 可 选 择 任 意 域 名 后 缀 选 中 自 定 义 单 选 按 钮, 指 定 域 名 后 缀, 并 在 其 后 的 文 本 框 中 输 入 域 名 4. 在 域 服 务 器 部 分 指 定 DNS 服 务 器 选 中 使 用 系 统 配 置, 设 备 将 使 用 系 统 的 DNS 服 务 器 选 中 自 定 义 可 指 定 服 务 器 的 IP 地 址, 用 户 需 在 其 后 的 虚 拟 路 由 器 下 拉 菜 单 选 择 VR, 然 后 文 本 框 中 输 入 DNS 服 务 器 IP 地 址 最 多 可 指 定 6 个 5. 配 置 完 成 点 击 确 定 按 钮 解 析 配 置 配 置 DNS 请 求 重 试 次 数 和 DNS 请 求 响 应 时 间, 请 按 照 以 下 步 骤 进 行 操 作 : 61 第 5 章 网 络 连 接

82 1. 选 择 网 络 > DNS, 进 入 DNS 配 置 页 面 2. 选 择 < 解 析 配 置 > 标 签, 在 重 试 处 指 定 DNS 请 求 重 试 次 数 当 安 全 设 备 发 送 DNS 请 求 时, 如 果 在 超 时 时 间 内 得 不 到 对 方 的 DNS 响 应, 设 备 会 再 次 发 出 DNS 请 求 如 果 在 指 定 的 重 试 次 数 内 ( 即 为 DNS 请 求 重 试 次 数 ) 仍 得 不 到 响 应, 设 备 会 向 下 一 个 DNS 服 务 器 发 送 DNS 请 求 3. 在 超 时 处 指 定 DNS 请 求 响 应 超 时 时 间 设 备 向 DNS 服 务 器 发 送 DNS 请 求 后, 会 等 待 DNS 服 务 器 的 DNS 响 应, 如 果 一 定 时 间 内, 仍 没 有 响 应, 设 备 会 再 次 发 送 请 求 这 一 等 待 时 间 即 为 DNS 请 求 响 应 超 时 时 间 4. 在 TTL 文 本 框 指 定 设 备 作 代 理 时 DNS 响 应 报 文 的 生 存 时 间, 取 值 范 围 为 30 秒 至 600 秒 5. 配 置 完 成 点 击 应 用 按 钮 将 配 置 应 用 到 系 统 中 DN S 缓 存 在 使 用 DNS 功 能 过 程 中, 系 统 可 以 将 DNS 映 射 条 目 储 存 到 缓 存 中 以 提 高 查 找 速 度 系 统 有 以 下 三 种 获 得 DNS 映 射 条 目 的 方 法 : 动 态 获 得 : 来 自 DNS 响 应 静 态 获 得 : 手 动 添 加 DNS 映 射 条 目 到 缓 存 注 册 获 得 : 安 全 设 备 的 一 些 功 能 模 块, 例 如 NTP AAA 和 地 址 簿 等, 定 义 的 DNS 主 机 用 户 可 以 通 过 命 令 添 加 静 态 DNS 映 射 条 目 到 缓 存 查 看 系 统 的 DNS 映 射 条 目 以 及 清 除 DNS 动 态 映 射 条 目 添 加 静 态 DNS 映 射 条 目 到 缓 存, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > DNS, 进 入 DNS 配 置 页 面 2. 选 中 < 缓 存 > 标 签, 点 击 新 建 按 钮, 弹 出 <DNS 缓 存 配 置 > 对 话 框 选 项 说 明 主 机 名 称 指 定 主 机 名 称 虚 拟 路 由 器 在 下 拉 菜 单 选 择 主 机 所 属 的 虚 拟 路 由 器 主 IP 地 址 指 定 主 机 的 IP 地 址 用 户 最 多 可 为 主 机 指 定 8 个 IP 地 址, 如 果 有 需 要, 分 别 将 IP 地 址 输 入 到 下 边 的 第 二 / 三 / 四 / 五 / 六 / 七 / 八 IP 地 址 文 本 框 中 3. 点 击 确 定 按 钮, 完 成 配 置 N BT 缓 存 系 统 支 持 NetBIOS 名 字 解 析 功 能 开 启 该 功 能 后, 系 统 将 自 动 获 取 设 备 所 管 理 网 络 的 所 有 主 机 注 册 的 NetBIOS 主 机 名, 并 将 其 记 录 在 设 备 缓 存 中, 用 于 为 设 备 其 它 功 能 模 块 提 供 IP 地 址 到 NetBIOS 主 机 名 的 查 询 服 务 第 5 章 网 络 连 接 62

83 开 启 NetBIOS 名 字 解 析 功 能 是 NAT 日 志 中 主 机 名 称 显 示 的 前 提 条 件 如 何 使 NAT 日 志 中 显 示 主 机 名 称, 请 参 阅 " 日 志 管 理 " 在 第 385 页 开 启 安 全 域 的 NetBIOS 功 能, 新 建 或 者 编 辑 安 全 域 时, 选 中 NBT 缓 存 复 选 框 具 体 说 明 请 参 阅 " 安 全 域 " 在 第 39 页 开 启 NetBIOS 功 能 的 安 全 域 不 能 为 连 接 WAN 网 的 安 全 域 开 启 该 功 能 后,NetBIOS 查 询 过 程 可 能 会 持 续 一 段 时 间, 查 询 结 果 将 添 加 到 NetBIOS 缓 存 表 中 系 统 每 隔 一 段 时 间 会 重 新 进 行 一 次 查 询 并 更 新 查 询 结 果 注 意 : 只 有 开 启 了 NetBIOS 设 置 的 PC 才 可 以 被 查 询 到 其 主 机 名 称 请 参 阅 PC 操 作 系 统 的 详 细 说 明 来 获 得 开 启 NetBIOS 功 能 的 方 法 清 除 NBT 缓 存, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > DNS, 进 入 DNS 配 置 页 面 2. 选 中 NBT 缓 存 标 签, 然 后 在 虚 拟 路 由 器 下 拉 菜 单 选 择 VR, 系 统 显 示 该 VR 中 的 NBT 缓 存 信 息 3. 选 中 需 要 清 除 的 NBT 缓 存 表 项, 然 后 点 击 列 表 左 上 方 的 删 除 按 钮 63 第 5 章 网 络 连 接

84 DHCP DHCP 为 动 态 主 机 配 置 协 议 (Dynamic Host Configuration Protocol) 的 缩 写 DHCP 能 够 自 动 为 子 网 分 配 适 当 的 IP 地 址 以 及 相 关 网 络 参 数, 从 而 减 少 网 络 管 理 需 求 同 时,DHCP 能 够 保 证 不 会 出 现 地 址 冲 突, 能 够 重 新 分 配 闲 置 资 源 系 统 支 持 DHCP 客 户 端 功 能 DHCP 服 务 器 功 能 和 DHCP 中 继 代 理 功 能 DHCP 客 户 端 : 设 备 的 接 口 可 以 设 置 成 DHCP 客 户 端, 从 DHCP 服 务 器 动 态 获 得 IP 地 址 及 网 络 参 数 配 置 DHCP 客 户 端 配 置 参 见 " 配 置 接 口 " 在 第 41 页 DHCP 服 务 器 : 设 备 的 接 口 可 以 设 置 成 DHCP 服 务 器, 通 过 配 置 的 地 址 池, 向 与 该 接 口 相 连 的 主 机 分 配 IP 地 址 及 网 络 参 数 DHCP 中 继 代 理 : 设 备 的 接 口 可 以 设 置 成 DHCP 中 继 代 理, 中 继 代 理 从 DHCP 服 务 器 获 得 DHCP 信 息, 然 后 将 获 得 信 息 传 递 到 与 接 口 相 连 的 主 机 虽 然 安 全 设 备 同 时 具 有 以 上 三 种 DHCP 功 能, 但 是 在 为 安 全 设 备 配 置 DHCP 功 能 时, 一 个 接 口 只 能 配 置 一 种 功 能 配 置 DHCP 服 务 器 DHCP 服 务 器 功 能 即 设 备 作 为 DHCP 服 务 器 为 子 网 中 DHCP 客 户 端 设 备 分 配 IP 地 址 及 网 络 参 数 配 置 DHCP 服 务 器 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > DHCP, 进 入 DHCP 配 置 页 面 2. 点 击 新 建 下 拉 菜 单, 并 选 择 DHCP 服 务 器, 弹 出 <DHCP 配 置 > 对 话 框 3. 在 < 基 本 配 置 > 标 签 页 对 DHCP 的 基 本 属 性 进 行 配 置 选 项 说 明 接 口 配 置 开 启 DHCP 服 务 器 功 能 的 接 口 网 关 为 客 户 端 配 置 网 关 IP 网 络 掩 码 为 客 户 端 配 置 网 络 掩 码 DNS1 为 客 户 端 配 置 主 DNS 服 务 器 在 文 本 框 中 输 入 服 务 器 的 IP 地 址 DNS2 为 客 户 端 配 置 备 DNS 服 务 器 在 文 本 框 中 输 入 服 务 器 的 IP 地 址 地 址 池 地 址 配 置 地 址 池 IP 范 围 用 于 对 外 分 配 IP 地 址 配 置 方 法 如 下 : 1. 分 别 在 起 始 IP 和 终 止 IP 文 本 框 中 输 入 IP 范 围 的 起 始 IP 和 终 止 IP 2. 点 击 添 加 按 钮, 将 IP 范 围 添 加 进 系 统 并 显 示 在 下 方 的 列 表 中 第 5 章 网 络 连 接 64

85 选 项 说 明 3. 重 复 以 上 步 骤 添 加 更 多 IP 范 围 如 果 需 要 删 除 IP 范 围, 从 列 表 中 选 中 需 要 删 除 的 IP 范 围 的 复 选 框, 然 后 点 击 删 除 按 钮 4. 在 < 保 留 地 址 > 标 签 页, 配 置 保 留 地 址 池 ( 保 留 地 址 池 中 的 IP 地 址 为 地 址 池 中 的 部 分 IP 地 址, 作 为 DHCP 服 务 器 保 留 使 用, 不 进 行 分 配 ) 5. 在 < 地 址 绑 定 > 标 签 页, 配 置 地 址 绑 定 手 动 将 IP 与 MAC 地 址 绑 定 后, 绑 定 的 IP 地 址 只 能 分 配 给 指 定 的 MAC 地 址 6. 在 < 选 项 > 标 签 页, 配 置 选 项 49 通 过 配 置 选 项 49,DHCP 客 户 端 可 以 获 取 到 运 行 X window System Display Manager 的 系 统 的 IP 地 址 列 表 在 选 项 下 拉 菜 单 中, 系 统 默 认 选 中 49 在 IP 地 址 文 本 框 中 输 入 运 行 X window System Display Manager 的 系 统 的 IP 地 址, 然 后 点 击 添 加 按 钮 重 复 以 上 步 骤 添 加 多 条 IP 地 址 如 果 需 要 删 除 IP 地 址, 从 列 表 中 选 中 需 要 删 除 的 IP 地 址, 然 后 点 击 删 除 按 钮 7. 在 < 高 级 配 置 > 标 签 页, 对 DHCP 服 务 器 高 级 选 项 进 行 配 置 选 项 说 明 域 名 为 DHCP 客 户 端 配 置 域 名 租 约 自 动 配 置 指 定 租 约 时 间, 单 位 为 秒, 范 围 是 300 到 秒 默 认 是 3600 秒 租 约 为 客 户 端 从 获 得 IP 地 址 开 始, 能 够 使 用 该 IP 地 址 的 时 间, 租 约 到 期 后, 客 户 端 需 要 重 新 向 DHCP 服 务 器 申 请 IP 地 址 客 户 端 会 在 租 约 到 达 50% 时 向 原 DHCP 服 务 器 发 送 续 租 请 求 ; 客 户 端 会 在 租 约 到 达 87.5% 时 进 行 广 播 尝 试 重 新 申 请 IP 地 址 配 置 自 动 配 置 功 能 从 下 拉 菜 单 中 选 择 同 一 设 备 上 开 启 了 DHCP 客 户 端 功 能 的 接 口 名 称 ---- 表 示 不 使 用 自 动 配 置 功 能 自 动 配 置 功 能 在 以 下 条 件 下 能 够 起 效 : 配 置 了 DHCP 服 务 器 功 能 的 设 备 上 有 另 外 一 个 接 口 启 用 了 DHCP 客 户 端 功 能 此 时, 配 置 了 自 动 配 置 功 能 后,DHCP 服 务 器 ( 设 备 ) 如 果 没 有 配 置 DNS WINS 和 域 名,DHCP 客 户 端 ( 设 备 ) 会 把 从 与 自 己 相 连 的 DHCP 服 务 器 上 获 取 的 DNS WINS 和 域 名 信 息 下 发 给 通 过 DHCP 服 务 器 ( 设 备 ) 获 得 信 息 的 主 机 但 是, 手 工 配 置 的 DNS WINS 和 域 名 具 有 高 优 先 级 WINS1 为 客 户 端 配 主 WINS 服 务 器 在 文 本 框 中 输 入 服 务 器 的 IP 地 址 WINS2 为 客 户 端 配 备 WINS 服 务 器 在 文 本 框 中 输 入 服 务 器 的 IP 地 址 SMTP 服 务 器 为 客 户 端 配 置 SMTP 服 务 器 在 文 本 框 中 输 入 服 务 器 的 IP 地 址 POP3 服 务 器 为 客 户 端 配 置 POP3 服 务 器 在 文 本 框 中 输 入 服 务 器 的 IP 地 址 新 闻 服 务 器 为 客 户 端 配 置 新 闻 服 务 器 在 文 本 框 中 输 入 服 务 器 的 IP 地 址 中 继 器 代 理 8. 点 击 确 定 按 钮, 完 成 配 置 配 置 DHCP 中 继 代 理 当 配 有 DHCP 服 务 器 功 能 的 设 备 ( 设 备 1) 与 另 一 台 配 有 DHCP 中 继 代 理 功 能 的 设 备 ( 设 备 2) 相 连, 且 PC 需 要 通 过 设 备 2 获 得 设 备 1 的 DHCP 信 息 时, 用 户 必 须 在 设 备 1 上 配 置 中 继 代 理 IP 地 址 和 掩 码, 才 能 够 成 功 传 输 DHCP 信 息 到 PC 配 置 中 继 代 理 功 能, 在 文 本 框 中 输 入 中 继 代 理 的 IP 地 址 和 掩 码, 即 设 备 2 上 启 用 中 继 代 理 功 能 的 接 口 的 IP 地 址 和 掩 码 设 备 可 以 作 为 DHCP 中 继 代 理, 接 受 DHCP 客 户 端 请 求, 并 且 将 请 求 发 送 到 DHCP 服 务 器, 然 后 将 从 DHCP 服 务 器 获 得 DHCP 信 息 再 返 回 给 DHCP 客 户 端 配 置 DHCP 中 继 代 理 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > DHCP, 进 入 DHCP 配 置 页 面 2. 点 击 新 建 下 拉 菜 单, 并 选 择 DHCP 中 继 代 理, 弹 出 <DHCP 中 继 代 理 > 对 话 框 3. 从 接 口 下 拉 菜 单 选 择 应 用 DHCP 中 继 代 理 功 能 的 接 口 65 第 5 章 网 络 连 接

86 4. 在 服 务 器 1/ 服 务 器 2/ 服 务 器 3 文 本 框 中 输 入 DHCP 服 务 器 的 IP 地 址 5. 配 置 完 成, 点 击 确 定 按 钮 关 闭 对 话 框 并 返 回 DHCP 列 表 第 5 章 网 络 连 接 66

87 DDN S DDNS 是 动 态 域 名 服 务 (Dynamic Domain Name Server) 的 缩 写, 可 以 实 现 固 定 域 名 到 动 态 IP 地 址 之 间 的 解 析 通 常 情 况 下, 用 户 每 次 连 接 因 特 网 时 都 会 从 ISP 得 到 一 个 动 态 IP 地 址, 即 用 户 每 次 连 接 因 特 网 得 到 的 IP 地 址 都 不 同 动 态 域 名 解 析 功 能 可 以 将 域 名 绑 定 到 用 户 的 动 态 IP 地 址, 每 次 当 用 户 连 接 到 因 特 网 时, 它 都 会 自 动 更 新 自 己 的 动 态 IP 与 域 名 的 绑 定 在 使 用 DDNS 功 能 之 前, 用 户 需 要 在 DDNS 服 务 的 提 供 商 那 里 进 行 注 册, 以 获 取 动 态 域 名 设 备 支 持 以 下 三 个 动 态 域 名 服 务 提 供 商 : 3322.org: Huagai.net: ZoneEdit.com: 请 访 问 相 应 的 主 页 进 行 注 册 配 置 DDN S 配 置 DDNS 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > DDNS, 进 入 DDNS 配 置 页 面 2. 点 击 新 建 按 钮, 弹 出 <DDNS 配 置 > 对 话 框 3. 在 该 对 话 框, 配 置 DDNS 选 项 选 项 说 明 DDNS 名 称 指 定 所 需 创 建 的 DDNS 服 务 名 称 接 口 指 定 设 备 应 用 DDNS 服 务 的 接 口 主 机 名 称 指 定 在 相 应 DDNS 提 供 商 处 申 请 得 到 的 域 名 服 务 商 指 定 DDNS 服 务 器 的 提 供 商 从 下 拉 菜 单 中 选 择 需 要 的 提 供 者 服 务 器 名 称 指 定 所 配 置 DDNS 服 务 器 相 应 的 服 务 器 名 称 服 务 器 端 口 指 定 所 配 置 DDNS 服 务 器 相 应 的 服 务 器 端 口 号 范 围 是 1 到 65535, 默 认 值 为 80 用 户 名 指 定 在 DDNS 服 务 提 供 商 处 注 册 的 用 户 名 称 密 码 指 定 与 用 户 名 称 相 对 应 的 密 码 重 新 输 入 密 码 再 次 输 入 密 码 进 行 确 认 67 第 5 章 网 络 连 接

88 选 项 最 小 更 新 时 间 间 隔 最 大 更 新 时 间 间 隔 说 明 启 用 DDNS 功 能 的 接 口 的 IP 地 址 发 生 变 化 后, 设 备 需 要 向 DDNS 服 务 器 发 送 更 新 请 求 如 果 发 送 的 请 求 没 有 响 应, 设 备 会 根 据 此 处 配 置 的 最 小 更 新 间 隔 再 次 发 送 请 求 例 如, 设 置 最 小 更 新 间 隔 为 5 分 钟, 当 第 一 次 失 败 后, 设 备 会 在 5 分 钟 后 发 出 第 二 次 请 求, 如 果 再 次 失 败, 将 会 在 10(5x2) 分 钟 后 再 次 发 出 请 求, 再 次 失 败, 则 在 20(10x2) 分 钟 后 发 出 请 求, 以 此 类 推, 直 到 时 间 为 120 分 钟 后, 不 再 增 加 时 间, 即 以 固 定 的 每 隔 120 分 钟 发 出 一 次 请 求 在 文 本 框 中 输 入 最 小 更 新 间 隔 时 间, 单 位 为 分 钟 默 认 值 为 5 分 钟 取 值 范 围 为 1 到 120 分 钟 最 大 更 新 间 隔 为 在 无 IP 地 址 变 化 的 情 况 下, 设 备 在 多 长 时 间 后 向 DDNS 服 务 器 发 出 一 次 更 新 请 求 在 文 本 框 中 输 入 最 大 更 新 间 隔 时 间, 单 位 为 小 时 默 认 值 为 24 小 时 取 值 范 围 为 24 到 8760 小 时 4. 点 击 确 定 按 钮, 完 成 配 置 注 意 : 配 置 选 项 中 的 的 服 务 器 名 称 和 服 务 器 端 口 必 须 为 DDNS 服 务 器 相 对 应 的 名 称 和 端 口 号 如 果 不 知 道 确 切 信 息, 请 勿 配 置 与 DDNS 服 务 器 连 接 成 功 后, 服 务 器 会 自 动 将 服 务 器 名 称 和 端 口 号 信 息 一 并 返 回 第 5 章 网 络 连 接 68

89 P P P oe PPPoE 是 以 太 网 上 点 对 点 协 议 (Point-to-Point Protocol over Ethernet) 的 缩 写 PPPoE 结 合 PPP 协 议 和 以 太 网, 在 分 配 IP 地 址 的 同 时, 可 以 对 客 户 端 进 行 接 入 控 制 验 证 以 及 计 费 等 PPPoE 协 议 的 实 现 包 括 两 个 阶 段 : 发 现 阶 段 和 PPP 会 话 阶 段 发 现 阶 段 : 在 发 现 阶 段, 客 户 端 确 定 一 个 PPPoE 访 问 集 中 器 (Access Concentrator), 获 得 其 以 太 网 MAC 地 址 并 建 立 起 一 个 PPPoE 会 话 标 识 符 Session ID PPP 会 话 阶 段 : 客 户 端 与 在 发 现 阶 段 确 定 的 访 问 集 中 器 进 行 PPP 协 商 这 个 协 商 过 程 与 标 准 的 PPP 协 商 相 同 设 备 的 接 口 可 以 配 置 成 PPPoE 客 户 端, 进 行 PPPoE 连 接 配 置 PPPoE 新 建 PPPoE 实 例, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > PPPoE, 进 入 PPPoE 配 置 页 面 2. 点 击 新 建 按 钮, 弹 出 <PPPoE 配 置 > 对 话 框 3. 根 据 需 要, 配 置 PPPoE 选 项 选 项 说 明 PPPoE 名 称 指 定 PPPoE 实 例 的 名 称 接 口 从 下 拉 菜 单 选 择 以 太 网 接 口 用 户 名 指 定 PPPoE 用 户 名 称 密 码 指 定 PPPoE 用 户 相 应 的 密 码 重 新 输 入 密 码 再 次 输 入 密 码 进 行 确 认 挂 断 前 空 闲 间 隔 即 自 动 连 接 方 式, 使 用 该 方 式, 当 PPPoE 接 口 的 空 闲 ( 无 流 量 ) 时 间 到 达 一 定 的 时 间, 即 指 定 的 空 闲 间 隔, 系 统 会 断 开 与 因 特 网 的 连 接 ; 当 产 生 上 网 需 求 时, 系 统 会 自 动 连 接 到 因 特 网 该 选 项 指 定 空 闲 间 隔 时 间, 单 位 为 分 钟 范 围 是 0 到 分 钟, 默 认 值 是 第 5 章 网 络 连 接

90 选 项 说 明 重 拨 间 隔 使 用 该 方 式, 当 PPPoE 连 接 由 于 某 些 原 因 断 开, 且 断 开 时 间 到 达 一 定 的 时 间, 即 为 用 户 指 定 的 自 动 连 接 时 间, 系 统 会 自 动 重 拨 该 选 项 指 定 自 动 连 接 的 时 间, 单 位 为 秒 范 围 是 0 到 秒 默 认 值 是 0, 表 示 关 闭 自 动 连 接 功 能 访 问 集 中 器 指 定 访 问 集 中 器 的 名 称 认 证 设 备 与 PPPoE 服 务 器 建 立 连 接 时, 需 要 通 过 PPPoE 认 证 设 备 支 持 的 验 证 方 式 有 CHAP PAP 和 任 意 ( 系 统 默 认 方 式, 表 示 CHAP 或 者 PAP 的 任 意 一 种 ) 该 选 项 指 定 PPPoE 认 证 方 式 选 中 需 要 的 认 证 方 式 的 单 选 按 钮 此 处 配 置 的 认 证 方 式 必 须 与 PPPoE 服 务 器 端 的 认 证 方 式 相 同 网 络 掩 码 为 PPPoE 方 式 获 得 的 IP 地 址 指 定 网 络 掩 码 路 由 距 离 指 定 路 由 距 离 范 围 是 1 到 255, 默 认 值 是 1 路 由 权 值 指 定 路 由 权 值 范 围 是 1 到 255, 默 认 值 是 1 服 务 静 态 IP 4. 点 击 确 定, 完 成 配 置 指 定 允 许 的 服 务 此 处 指 定 的 服 务 必 须 与 PPPoE 服 务 器 端 提 供 的 服 务 相 同 如 果 不 指 定 服 务, 设 备 自 动 接 受 服 务 器 返 回 的 任 何 服 务 用 户 可 以 指 定 一 个 静 态 的 IP 地 址, 并 协 商 使 用 该 静 态 IP 地 址 这 样 可 以 避 免 IP 地 址 变 化 该 选 项 指 定 静 态 IP 地 址 在 文 本 框 中 输 入 静 态 IP 地 址 第 5 章 网 络 连 接 70

91 Virtual Wire 设 备 支 持 基 于 VSwitch 的 Virtual Wire 功 能 开 启 该 功 能 并 配 置 Virtual Wire 接 口 对 后, 两 个 Virtual Wire 接 口 对 形 成 一 条 虚 拟 线 路, 将 连 接 到 设 备 Virtual Wire 接 口 对 的 两 个 子 网 连 接 到 一 起, 被 连 接 的 两 个 子 网 可 以 直 接 进 行 二 层 通 信, 不 需 要 进 行 MAC 地 址 学 习, 也 不 需 要 通 过 其 它 子 网 的 转 发 并 且, 使 用 Virtual Wire 功 能 的 同 时, 还 可 以 使 用 策 略 规 则 等 功 能 进 行 控 制 Virtual Wire 功 能 有 两 种 模 式, 分 别 是 Strict 和 Non-Strict, 具 体 描 述 如 下 : Strict Virtual Wire 模 式 : 在 该 模 式 下, 数 据 包 只 可 以 在 Virtual Wire 接 口 对 之 间 传 输, 并 且 VSwitch 不 可 以 工 作 在 混 合 模 式 下 连 接 到 Virtual Wire 接 口 的 PC 不 可 以 通 过 该 接 口 管 理 设 备 也 不 可 以 通 过 该 接 口 访 问 Internet Non-Strict Virtual Wire 模 式 : 在 该 模 式 下, 数 据 包 除 可 以 在 Virtual Wire 接 口 对 之 间 传 输 外,VSwtich 还 支 持 混 合 模 式 的 数 据 转 发, 即 该 模 式 仅 将 二 层 数 据 包 限 制 在 Virtual Wire 接 口 对 之 间 传 输, 并 不 影 响 三 层 数 据 包 的 转 发 下 表 列 出 Strict Virtual Wire 模 式 与 Non-Strict Virtual Wire 模 式 下 数 据 包 的 传 输 情 况 用 户 可 以 根 据 需 要 配 置 不 同 的 Virtual Wire 模 式 数 据 包 Strict Non-strict 出 接 口 和 入 接 口 分 别 为 同 一 个 Vritual Wire 接 口 对 的 接 口 允 许 允 许 入 接 口 不 是 Virtual Wire 接 口 拒 绝 拒 绝 出 接 口 和 入 接 口 分 别 为 不 同 Virtual Wire 接 口 对 的 接 口 拒 绝 拒 绝 到 设 备 本 身 的 数 据 包 的 入 接 口 为 Virtual Wire 接 口 拒 绝 允 许 入 接 口 为 Virtual Wire 接 口, 出 接 口 为 三 层 接 口 拒 绝 允 许 配 置 Virtual W ire 新 建 Virtual Wire 配 置, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > Virtual Wire, 进 入 Virtual Wire 配 置 页 面 2. 点 击 新 建 按 钮, 弹 出 <Virtual Wire 配 置 > 对 话 框 3. 在 虚 拟 交 换 机 下 拉 菜 单 指 定 配 置 Virtual Wire 的 虚 拟 交 换 机 名 称 4. 指 定 Virtual Wire 模 式 严 格 : 在 该 模 式 下, 数 据 包 只 可 以 在 Virtual Wire 接 口 对 之 间 传 输, 并 且 VSwitch 不 可 以 工 作 在 混 合 模 式 下 连 接 到 Virtual Wire 接 口 的 PC 不 可 以 通 过 该 接 口 管 理 设 备 也 不 可 以 通 过 该 接 口 访 问 Internet 不 严 格 : 在 该 模 式 下, 数 据 包 除 可 以 在 Virtual Wire 接 口 对 之 间 传 输 外,VSwtich 还 支 持 混 合 模 式 的 数 据 转 发, 即 该 模 式 仅 将 二 层 数 据 包 限 制 在 Virtual Wire 接 口 对 之 间 传 输, 并 不 影 响 三 层 数 据 包 的 转 发 未 启 用 : 不 开 启 Virtual Wire 功 能 5. 在 接 口 1 下 拉 菜 单 指 定 Virtual Wire 接 口 对 的 一 个 接 口 同 一 个 Virtual Wire 接 口 对 中 的 两 个 接 口 不 可 以 相 同, 同 一 个 接 口 不 可 以 同 时 属 于 两 个 Virtual Wire 接 口 对 6. 在 接 口 2 下 拉 菜 单 指 定 Virtual Wire 接 口 对 的 一 个 接 口 同 一 个 Virtual Wire 接 口 对 中 的 两 个 接 口 不 可 以 相 同, 同 一 个 接 口 不 可 以 同 时 属 于 两 个 Virtual Wire 接 口 对 7. 点 击 确 定 按 钮, 完 成 配 置 71 第 5 章 网 络 连 接

92 虚 拟 路 由 器 虚 拟 路 由 器 即 Virtual Router(VRouter), 在 系 统 中 简 称 为 VR VR 具 有 路 由 器 功 能, 不 同 VR 拥 有 各 自 独 立 的 路 由 表 系 统 中 有 一 个 默 认 VR, 名 为 trust-vr, 默 认 情 况 下, 所 有 三 层 安 全 域 都 将 会 自 动 绑 定 到 trust-vr 上 系 统 支 持 多 VR 功 能 且 不 同 硬 件 平 台 支 持 的 最 大 VR 数 不 同 多 VR 将 设 备 划 分 成 多 个 虚 拟 路 由 器, 每 个 虚 拟 路 由 器 使 用 和 维 护 各 自 完 全 独 立 的 路 由 表, 此 时 一 台 设 备 可 以 充 当 多 台 路 由 器 使 用 多 VR 使 设 备 能 够 实 现 不 同 路 由 域 的 地 址 隔 离 与 不 同 VR 间 的 地 址 重 叠, 同 时 能 够 在 一 定 程 度 上 避 免 路 由 泄 露, 增 加 网 络 的 路 由 安 全 下 图 描 述 了 接 口 安 全 域 VSwitch 和 VRouter 之 间 的 关 系 : 如 上 图 所 示, 接 口 安 全 域 VSwitch 和 VRouter 之 间 的 绑 定 关 系 如 下 : 接 口 绑 定 到 安 全 域 绑 定 到 二 层 安 全 域 的 接 口 为 二 层 接 口, 绑 定 到 三 层 安 全 域 的 接 口 为 三 层 接 口 一 个 接 口 只 能 绑 定 到 一 个 安 全 域 主 接 口 与 子 接 口 可 以 分 别 属 于 不 同 的 安 全 域 安 全 域 绑 定 到 VSwitch 或 者 VRouter 二 层 安 全 域 绑 定 到 VSwitch( 预 定 义 二 层 安 全 域 默 认 绑 定 到 系 统 缺 省 VSwitch VSwitch1), 三 层 安 全 域 绑 定 到 VRouter( 预 定 义 三 层 安 全 域 默 认 绑 定 到 系 统 缺 省 VR trust-vr) 由 此, 也 实 现 了 接 口 与 VSwitch 或 者 VR 的 绑 定 一 个 安 全 域 只 能 绑 定 到 一 个 VSwtich 或 者 VR 新 建 虚 拟 路 由 器 新 建 虚 拟 路 由 器, 请 按 照 以 下 步 骤 操 作 : 1. 选 择 网 络 > 虚 拟 路 由 器, 进 入 虚 拟 路 由 器 配 置 页 面 2. 在 < 虚 拟 路 由 > 标 签 页, 点 击 新 建 按 钮, 弹 出 < 虚 拟 路 由 器 配 置 > 对 话 框 3. 在 " 虚 拟 路 由 " 文 本 框 输 入 虚 拟 路 由 器 的 名 称 4. 选 中 Vsys 共 享 的 启 用 复 选 框, 在 不 同 Vsys 中 共 享 该 虚 拟 路 由 器 5. 点 击 确 定 按 钮, 完 成 配 置 全 局 配 置 虚 拟 路 由 器 的 全 局 配 置 指 系 统 的 多 虚 拟 路 由 器 配 置 配 置 多 虚 拟 路 由 器 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 虚 拟 路 由 器, 进 入 虚 拟 路 由 器 配 置 页 面 2. 在 < 全 局 配 置 > 标 签 页, 然 后 选 中 多 虚 拟 路 由 器 模 式 复 选 框 3. 点 击 应 用 按 钮 提 交 配 置 第 5 章 网 络 连 接 72

93 注 意 : 开 启 或 者 关 闭 多 虚 拟 路 由 器 功 能 配 置 需 要 重 启 设 备 后 才 能 生 效 设 备 重 启 后, 系 统 的 最 大 并 发 连 接 数 会 根 据 多 虚 拟 路 由 器 功 能 的 开 启 或 者 关 闭 状 态 减 少 15% 或 者 恢 复 正 常 如 果 在 开 启 多 虚 拟 路 由 器 功 能 的 同 时 开 启 防 病 毒 功 能 ( 开 启 防 病 毒 功 能 后, 最 大 并 发 连 接 数 将 会 减 半 ), 最 大 并 发 连 接 数 会 在 已 经 减 少 的 基 础 上 再 减 少 50% 计 算 公 式 为 实 际 最 大 并 发 连 接 数 = 原 始 最 大 并 发 连 接 数 *(1-0.15) *(1-0.5) 配 置 多 虚 拟 路 由 器 后, 流 量 的 传 输 最 多 可 跨 越 3 个 虚 拟 路 由 器, 多 于 3 个 虚 拟 路 由 器 的 流 量 将 会 被 丢 弃 73 第 5 章 网 络 连 接

94 虚 拟 交 换 机 由 于 实 际 应 用 的 需 要, 安 全 设 备 会 让 部 分 接 口 之 间 的 数 据 包 在 二 层 转 发 域 中 做 二 层 转 发 ( 称 作 透 明 应 用 模 式 ), 部 分 接 口 之 间 的 数 据 包 做 三 层 转 发 ( 称 作 路 由 应 用 模 式 ) 为 了 使 用 户 能 够 灵 活 地 配 置 这 种 二 三 层 混 合 应 用 模 式, 系 统 引 入 了 虚 拟 交 换 机 即 Virtual Switch(VSwitch) 的 概 念 默 认 情 况 下, 系 统 有 一 个 VSwitch, 称 作 VSwitch1 用 户 每 新 建 一 个 VSwitch, 系 统 都 会 为 VSwitch 自 动 生 成 一 个 VSwitch 接 口 (VSwitchIF) 通 过 把 接 口 绑 定 到 安 全 域, 再 把 安 全 域 绑 定 到 VSwitch, 用 户 可 以 把 接 口 绑 定 到 VSwitch 一 个 VSwitch 就 是 一 个 二 层 转 发 域, 每 个 VSwitch 都 有 自 己 独 立 的 MAC 地 址 表, 因 此 VSwitch 中 的 接 口 之 间 的 数 据 包 会 被 按 照 二 层 转 发 规 则 进 行 转 发 在 VSwtich 中, 用 户 可 以 方 便 地 配 置 策 略 规 则 VSwitch 接 口 相 当 于 实 际 交 换 机 的 上 连 口, 通 过 VSwitch 接 口, 数 据 包 可 以 实 现 二 层 与 三 层 之 间 的 转 发 新 建 虚 拟 交 换 机 新 建 虚 拟 交 换 机, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 虚 拟 交 换 机, 进 入 虚 拟 交 换 机 配 置 页 面 2. 点 击 新 建 按 钮, 弹 出 < 虚 拟 交 换 机 配 置 > 对 话 框 选 项 说 明 如 下 : 选 项 说 明 虚 拟 交 换 机 名 称 指 定 虚 拟 交 换 机 名 称 Vsys 共 享 选 中 启 用 复 选 框 在 不 同 Vsys 中 共 享 该 虚 拟 交 换 机 Virtual-Wire 模 式 为 虚 拟 交 换 机 指 定 Virtual-Wire 模 式, 包 括 以 下 几 种 : 严 格 : 在 该 模 式 下, 数 据 包 只 可 以 在 Virtual Wire 接 口 对 之 间 传 输, 并 且 VSwitch 不 可 以 工 作 在 混 合 模 式 下 连 接 到 Virtual Wire 接 口 的 PC 不 可 以 通 过 该 接 口 管 理 设 备 也 不 可 以 通 过 该 接 口 访 问 Internet 不 严 格 : 在 该 模 式 下, 数 据 包 除 可 以 在 Virtual Wire 接 口 对 之 间 传 输 外, VSwtich 还 支 持 混 合 模 式 的 数 据 转 发, 即 该 模 式 仅 将 二 层 数 据 包 限 制 在 Virtual Wire 接 口 对 之 间 传 输, 并 不 影 响 三 层 数 据 包 的 转 发 未 启 用 : 不 开 启 Virtual-Wire 功 能 IGMP snooping 开 启 虚 拟 交 换 机 的 IGMP snooping 功 能 转 发 标 记 包 转 发 双 标 记 包 开 启 VLAN 透 传 功 能 使 设 备 能 够 透 传 VLAN 标 记 数 据 包, 即 带 有 VLAN ID 的 数 据 包 在 通 过 设 备 后 仍 保 留 原 有 ID 开 启 VLAN 透 传 功 能 使 设 备 能 够 透 传 VLAN 双 标 记 数 据 包, 即 带 有 VLAN ID 的 数 据 包 在 通 过 设 备 后 仍 保 留 原 有 ID 丢 弃 未 知 多 播 包 丢 弃 发 往 未 知 组 播 组 的 报 文, 从 而 节 省 带 宽 3. 点 击 确 定 按 钮, 完 成 配 置 第 5 章 网 络 连 接 74

95 目 的 镜 像 接 口 系 统 的 以 太 网 口 具 有 接 口 镜 像 功 能 用 户 可 以 将 接 口 的 流 量 镜 像 到 其 它 接 口, 对 流 量 进 行 监 控 和 分 析 配 置 接 口 镜 像 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 在 以 太 网 接 口 上 启 用 接 口 镜 像 功 能, 并 选 择 需 要 镜 像 的 流 量 类 型 2. 配 置 目 的 镜 像 接 口 配 置 目 的 镜 像 接 口, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 目 的 镜 像 接 口, 进 入 镜 像 接 口 页 面 2. 从 配 置 目 的 镜 像 接 口 下 拉 菜 单 选 择 目 的 镜 像 接 口, 并 点 击 确 定 按 钮 镜 像 接 口 表 会 显 示 系 统 中 所 有 的 源 和 目 的 镜 像 接 口 75 第 5 章 网 络 连 接

96 WLAN 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 WLAN(Wireless Local Area Network) 无 线 局 域 网, 是 指 以 无 线 信 道 作 为 传 输 媒 介 的 计 算 机 局 域 网, 是 有 线 联 网 方 式 的 重 要 补 充 和 延 伸, 广 泛 适 用 于 需 要 可 移 动 数 据 处 理 或 无 法 进 行 物 理 传 输 介 质 布 线 的 领 域, 并 逐 渐 成 为 计 算 机 网 络 中 一 个 至 关 重 要 的 组 成 部 分 通 过 配 置 WLAN 功 能, 建 立 无 线 网 络, 使 用 户 能 够 通 过 无 线 方 式 接 入 局 域 网 新 建 无 线 网 络 新 建 无 线 网 络, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > WLAN, 进 入 WLAN 页 面 2. 点 击 列 表 左 上 角 的 新 建 按 钮, 弹 出 < 无 线 服 务 配 置 > 对 话 框 配 置 无 线 服 务 的 基 本 配 置 选 项 说 明 SSID 指 定 无 线 网 络 的 名 称 WLAN 接 口 指 定 无 线 网 络 绑 定 到 的 WLAN 接 口 SSID 广 播 勾 选 启 用 复 选 框 开 启 SSID 广 播 功 能 开 启 SSID 广 播 后, 任 何 无 线 用 户 都 可 以 搜 索 到 该 无 线 网 络 的 存 在 安 全 模 式 从 下 拉 菜 单 选 择 无 线 服 务 的 安 全 模 式, 包 括 : 不 加 密 : 指 定 安 全 模 式 为 不 加 密 方 式 MAC-PSK: 指 定 安 全 模 式 为 MAC 认 证 与 WPA-WPA2-PSK 结 合 模 式 WEP: 指 定 安 全 模 式 为 有 线 等 效 加 密, 是 一 种 基 本 的 安 全 模 式 WPA WPA2: 指 定 安 全 模 式 为 Wi-FI 保 护 访 问 并 使 用 802.1X 认 证, 是 一 种 比 WEP 性 能 更 强 的 安 全 模 式,WPA2 拥 有 比 WPA 更 加 可 靠 的 安 全 性 WPA-WPA2: 指 定 安 全 模 式 兼 容 WPA 和 WPA2 WPA-PSK WPA2-PSK: 指 定 安 全 模 式 为 Wi-FI 保 护 访 问 并 使 用 预 共 享 密 钥 认 证 WPA-WPA2-PSK: 指 定 安 全 模 式 兼 容 WPA-PSK 和 WPA2-PSK 链 路 层 认 证 模 式 当 安 全 模 式 指 定 为 WEP 时, 需 指 定 无 线 服 务 的 认 证 模 式, 包 括 : 数 据 加 密 开 放 系 统 认 证 : 默 认 的 认 证 模 式, 是 一 种 最 简 单 的 认 证 算 法, 即 不 认 证 共 享 密 钥 认 证 : 使 用 相 同 的 共 享 密 钥 进 行 认 证 当 安 全 模 式 指 定 为 除 了 WEP 之 外 的 其 他 模 式 时, 需 指 定 无 线 服 务 的 数 据 加 密 方 式, 包 括 TKIP CCMP 和 TKIP-CCMP 密 钥 当 安 全 模 式 指 定 为 WEP 时, 需 指 定 无 线 服 务 的 密 钥, 包 括 以 下 几 种 格 式 : 5 位 或 13 位 字 符 串 10 位 或 26 位 十 六 进 制 数 (0-9) 和 (A-F) 预 共 享 密 钥 当 安 全 模 式 指 定 为 MAC-PSK WPA-PSK WPA2-PSK WPA-WPA2-PSK 时, 需 指 定 无 线 服 务 的 预 共 享 密 钥, 包 括 以 下 2 种 格 式 : 8-63 位 字 符 串 64 位 十 六 进 制 数 最 大 用 户 数 指 定 同 一 无 线 网 络 下 允 许 接 入 的 最 大 用 户 数, 范 围 是 1 至 128, 默 认 值 是 64 第 5 章 网 络 连 接 76

97 选 项 用 户 隔 离 认 证 服 务 器 说 明 勾 选 启 用 复 选 框 开 启 用 户 隔 离 功 能, 使 同 一 个 无 线 网 络 下 的 用 户 之 间 不 能 相 互 访 问 当 安 全 模 式 指 定 为 WPA WPA2 WPA-WAP2 或 MAC-PSK 时, 必 须 将 配 置 好 的 AAA 服 务 器 指 定 为 认 证 服 务 器 对 用 户 进 行 身 份 认 证 从 AAA 服 务 器 下 拉 菜 单 中 选 择 已 创 建 的 AAA 服 务 器 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 无 线 网 络 高 级 配 置 无 线 网 络 的 高 级 配 置, 即 配 置 无 线 网 络 的 全 局 参 数, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > WLAN, 进 入 WLAN 页 面 2. 点 击 高 级 配 置 按 钮, 弹 出 < 高 级 配 置 > 对 话 框 在 该 对 话 框 进 行 配 置 选 项 国 家 和 地 区 说 明 不 同 国 家 或 地 区 对 射 频 使 用 有 不 同 的 管 制 要 求, 国 家 码 决 定 了 可 以 使 用 的 工 作 频 段 信 道 以 及 合 法 的 发 射 功 率 级 别 等 从 下 拉 菜 单 选 择 国 家 地 区 码 默 认 值 是 美 国 工 作 模 式 指 定 无 线 电 工 作 模 式, 包 括 : b: 表 示 无 线 射 频 类 型 为 b g: 表 示 无 线 射 频 类 型 为 g an: 表 示 无 线 接 口 工 作 在 5GHz 的 n 模 式 bgn: 表 示 无 线 接 口 工 作 在 2.4GHz 的 n 模 式 信 道 最 大 传 输 功 率 信 道 号 取 值 范 围 会 随 着 国 家 地 区 码 射 频 类 型 的 不 同 而 不 同 从 下 拉 菜 单 选 择 信 道 号 默 认 值 是 auto 模 式 当 国 家 和 地 区 码 或 工 作 模 式 改 变 时, 信 道 自 动 变 更 为 auto 模 式 指 定 无 线 服 务 的 最 大 传 输 功 率, 范 围 值 会 随 着 国 家 地 区 码 射 频 类 型 的 不 同 而 不 同 从 下 拉 菜 单 选 择 级 别, 包 括 : 100%: 指 定 最 大 传 输 功 率 为 最 大 范 围 值 的 100% 50%: 指 定 最 大 传 输 功 率 为 最 大 范 围 值 的 50% 25%: 指 定 最 大 传 输 功 率 为 最 大 范 围 值 的 25% 12.5%: 最 大 传 输 功 率 为 最 大 范 围 值 的 12.5% 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 77 第 5 章 网 络 连 接

98 连 接 3G 网 络 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 3G(3rd-Generation) 即 第 三 代 移 动 通 信 技 术, 是 指 支 持 高 速 数 据 传 输 的 蜂 窝 移 动 通 讯 技 术 目 前 3G 存 在 3 种 标 准 :CDMA2000 WCDMA TD-SCDMA 通 过 配 置 3G 功 能, 使 用 户 能 够 通 过 无 线 方 式 接 入 Internet 3G 功 能 需 要 运 营 商 的 支 持, 在 配 置 3G 功 能 之 前, 需 要 向 运 营 商 购 买 SIM 卡 开 通 数 据 连 接 服 务 向 运 营 商 获 取 以 下 3G 参 数 : 接 入 点 用 户 名 密 码 拨 号 串 并 正 确 将 SIM 卡 安 装 至 设 备 运 营 商 典 型 3G 参 数 如 下 : 运 营 商 接 入 点 用 户 名 密 码 拨 号 串 中 国 电 信 (CDMA) CTNET ctnet@mycdma.cn vnet.mobi #777 中 国 联 通 (WCDMA) UNINET 任 意 值 任 意 值 *99# 中 国 移 动 (TD- SCDMA) CMNET 任 意 值 任 意 值 *99# 配 置 3 G 连 接 配 置 3G 连 接, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 3G, 进 入 3G 配 置 页 面 2. 点 击 <3G 配 置 > 标 签 页, 在 当 前 状 态 后 查 看 3G 连 接 状 态 信 息 点 击 连 接 按 钮 进 行 3G 连 接 3. 勾 选 3G 功 能 后 的 启 用 复 选 框, 开 启 3G 功 能 默 认 情 况 下,3G 功 能 为 开 启 状 态 4. 配 置 接 入 点 名 称 在 接 入 点 文 本 框 中 输 入 接 入 点 名 称, 范 围 是 1 到 31 个 字 符 5. 指 定 3G 用 户 信 息 在 用 户 名 文 本 框 输 入 3G 用 户 名 称 范 围 是 1 到 31 字 符 在 密 码 文 本 框 输 入 用 户 名 称 相 对 应 的 密 码, 在 再 次 输 入 密 码 文 本 框 确 认 密 码 6. 配 置 拨 号 串 具 体 取 值 需 要 向 运 营 商 获 取 对 于 中 国 移 动 (TD-SCDMA) 和 中 国 联 通 (WCDMA) 的 3G 数 据 卡, 默 认 值 为 *99#; 对 于 中 国 电 信 (CDMA2000) 的 3G 数 据 卡, 默 认 值 为 # 指 定 认 证 方 式 3G 拨 号 在 建 立 连 接 时, 需 要 通 过 PPP 协 议 验 证 设 备 支 持 的 验 证 方 式 有 CHAP PAP 和 Any 三 种 该 选 项 指 定 3G 认 证 方 式 选 中 需 要 的 认 证 方 式 的 单 选 按 钮 8. 在 IP 地 址 部 分 为 3G 接 口 配 置 IP 地 址 相 关 信 息 选 择 自 动 获 取 IP 地 址 单 选 按 钮, 指 定 3G 接 口 自 动 获 取 IP 地 址 ; 选 择 使 用 下 面 的 IP 地 址 单 选 按 钮, 指 定 3G 接 口 使 用 静 态 IP 地 址, 并 在 IP 文 本 框 中 输 入 IP 地 址, 在 掩 码 文 本 框 输 入 网 络 掩 码 9. 指 定 3G 在 线 方 式 3G 拨 号 有 两 种 在 线 方 式, 分 别 是 : 自 动 重 拨 方 式 : 选 择 重 拨 间 隔 单 选 按 钮, 指 定 使 用 自 动 重 拨 方 式, 当 3G 连 接 由 于 某 些 原 因 断 开, 且 断 开 时 间 到 达 一 定 的 时 间, 即 为 用 户 指 定 的 重 拨 间 隔 时 间, 系 统 会 自 动 重 拨 该 选 项 指 定 重 拨 间 隔 时 间, 单 位 为 秒 范 围 是 0 到 秒 默 认 值 是 0, 表 示 关 闭 自 动 重 拨 功 能 空 闲 自 动 断 线 方 式 : 选 择 空 闲 自 动 断 线 单 选 按 钮, 指 定 使 用 空 闲 自 动 断 线 方 式, 当 3G 接 口 的 空 闲 ( 无 流 量 ) 时 间 到 达 一 定 的 时 间, 即 用 户 指 定 的 空 闲 时 间, 系 统 会 断 开 与 3G 网 络 的 连 接 该 选 项 指 定 空 闲 自 动 断 线 时 间, 单 位 为 秒 范 围 是 0 到 分 钟 默 认 值 是 0 分 钟, 表 示 关 闭 空 闲 自 动 断 线 功 能 注 意 : 以 上 两 种 方 式 是 互 斥 的, 系 统 默 认 选 用 空 闲 自 动 断 线 方 式, 空 闲 自 动 断 线 时 间 为 0 分 钟 第 5 章 网 络 连 接 78

99 10. 指 定 3G 接 口 安 全 域 从 安 全 域 下 拉 菜 单 选 择 安 全 域 的 名 称 11. 点 击 确 定, 完 成 配 置 数 据 卡 管 理 配 置 PIN(Personal Identification Number) 码 即 用 户 个 人 资 料 识 别 码, 用 来 识 别 SIM 卡 使 用 者 的 身 份, 防 止 SIM 卡 被 非 法 使 用 用 户 如 对 3G 网 络 的 安 全 性 要 求 较 高, 可 选 择 在 数 据 卡 管 理 配 置 页 面 开 启 PIN 码 保 护 功 能, 以 更 好 的 保 护 网 络 开 启 PIN 码 保 护 功 能 后, 只 有 知 道 正 确 验 证 此 PIN 码 才 可 使 用 SIM 卡 PIN 码 自 动 验 证 当 用 户 开 启 PIN 码 保 护 功 能 之 后, 可 以 将 PIN 码 保 存, 使 系 统 重 启 后 自 动 进 行 PIN 码 验 证 配 置 PIN 码 自 动 验 证, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 3G, 进 入 3G 页 面 2. 点 击 < 数 据 卡 管 理 > 标 签, 进 入 数 据 卡 管 理 配 置 页 面 3. 在 <PIN 码 自 动 验 证 配 置 > 部 分 "PIN 码 " 文 本 框 中 输 入 PIN 码, 范 围 是 4 到 8 个 数 字 4. 输 入 完 成 后, 点 击 " 应 用 " 按 钮 注 意 : 请 使 用 正 确 的 PIN 码 当 PIN 码 连 续 三 次 输 入 错 误 时,SIM 卡 将 被 锁 定 启 用 / 禁 用 PIN 码 保 护 功 能 启 用 / 禁 用 PIN 码 保 护 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 3G, 进 入 3G 页 面 2. 点 击 < 数 据 卡 管 理 > 标 签, 进 入 数 据 卡 管 理 配 置 页 面 3. 在 <PIN 码 管 理 > 部 分, 点 击 启 用 PIN 码 保 护 按 钮 或 禁 用 PIN 码 保 护 按 钮 4. 在 PIN 码 文 本 框 中 输 入 PIN 码, 范 围 是 4 到 8 个 数 字 5. 输 入 完 成 后, 点 击 应 用 按 钮 PIN 码 修 改 修 改 PIN 码, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 3G, 进 入 3G 页 面 2. 点 击 < 数 据 卡 管 理 > 标 签, 进 入 数 据 卡 管 理 配 置 页 面 3. 在 <PIN 码 管 理 > 部 分, 点 击 PIN 码 修 改 按 钮 4. 在 当 前 PIN 码 文 本 框 中 输 入 当 前 的 PIN 码, 范 围 是 4 到 8 个 数 字 5. 在 新 PIN 码 文 本 框 中 输 入 新 PIN 码, 范 围 是 4 到 8 个 数 字 6. 在 新 PIN 码 确 认 文 本 框 中 再 次 输 入 新 PIN 码, 范 围 是 4 到 8 个 数 字 7. 输 入 完 成 后, 点 击 应 用 按 钮 完 成 PIN 码 的 修 改 PIN 码 认 证 配 置 PIN 码 认 证, 请 按 照 以 下 步 骤 进 行 操 作 : 79 第 5 章 网 络 连 接

100 1. 选 择 网 络 > 3G, 进 入 3G 页 面 2. 点 击 < 数 据 卡 管 理 > 标 签, 进 入 数 据 卡 管 理 配 置 页 面 3. 在 <PIN 码 管 理 > 部 分, 点 击 PIN 码 认 证 按 钮 4. 在 PIN 码 文 本 框 中 输 入 PIN 码, 范 围 是 4 到 8 个 数 字 5. 输 入 完 成 后, 点 击 应 用 按 钮 PIN 码 解 锁 当 SIM 卡 被 锁 定 后, 用 户 需 要 向 运 营 商 获 取 PUK 码 进 行 解 锁, 并 且 设 置 新 的 PIN 码 配 置 PIN 码 解 锁, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 3G, 进 入 3G 页 面 2. 点 击 < 数 据 卡 管 理 > 标 签, 进 入 数 据 卡 管 理 配 置 页 面 3. 在 <PIN 码 管 理 > 部 分, 点 击 PIN 码 解 锁 按 钮 4. 在 PUK 码 文 本 框 中 输 入 PUK 码 5. 在 新 PIN 码 文 本 框 中 输 入 新 PIN 码, 范 围 是 4 到 8 个 数 字 6. 在 新 PIN 码 确 认 文 本 框 中 再 次 输 入 新 PIN 码, 范 围 是 4 到 8 个 数 字 7. 输 入 完 成 后, 点 击 应 用 按 钮 完 成 对 PIN 码 的 解 锁 第 5 章 网 络 连 接 80

101 链 路 负 载 均 衡 对 于 多 ISP 链 路 用 户, 链 路 负 载 均 衡 功 能 可 以 通 过 动 态 链 路 探 测 技 术 将 流 量 合 理 分 发 到 不 同 链 路, 从 而 达 到 充 分 利 用 各 条 链 路 资 源 的 目 的 用 户 可 以 在 出 站 方 向 和 入 站 方 向 分 别 启 用 链 路 负 载 均 衡 功 能 出 站 和 入 站 方 向 使 用 两 种 不 同 的 动 态 链 路 探 测 技 术, 分 别 是 出 站 就 近 探 测 技 术 和 SmartDNS 技 术 配 置 出 站 负 载 均 衡 对 出 站 流 量 启 用 负 载 均 衡 功 能 后, 当 系 统 无 法 从 用 户 配 置 的 策 略 路 由 源 接 口 路 由 源 路 由 目 的 路 由 ( 默 认 路 由 /0 除 外 ) 和 ISP 路 由 中 找 到 流 量 出 口 时, 会 继 续 通 过 出 站 就 近 探 测 技 术 动 态 探 测 最 优 链 路 启 用 出 站 负 载 均 衡 启 用 出 站 负 载 均 衡 功 能, 用 户 需 要 在 指 定 接 口 上 启 用 出 站 就 近 探 测 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 链 路 负 载 均 衡, 进 入 链 路 负 载 均 衡 配 置 页 面 2. 在 < 出 站 负 载 均 衡 > 标 签, 点 击 选 择 就 近 探 测 接 口 3. 选 择 需 要 启 用 出 站 就 近 探 测 的 接 口 ( 即 启 用 出 站 负 载 均 衡 功 能 的 接 口 ) 4. 点 击 确 定 按 钮 注 意 : 为 了 确 保 出 站 负 载 均 衡 生 效, 用 户 需 至 少 在 2 个 接 口 上 开 启 该 功 能, 并 确 保 启 用 该 功 能 的 接 口 上 配 置 了 默 认 路 由 配 置 就 近 探 测 路 由 系 统 通 过 出 站 就 近 探 测 技 术 成 功 探 测 到 链 路 后 会 根 据 探 测 结 果 生 成 静 态 路 由 ( 就 近 探 测 路 由 ) 并 添 加 到 路 由 表 中 用 户 可 以 对 就 近 探 测 路 由 进 行 自 定 义 配 置 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 链 路 负 载 均 衡, 进 入 链 路 负 载 均 衡 配 置 页 面 2. 在 < 出 站 负 载 均 衡 > 标 签, 在 下 一 跳 接 口 下 拉 菜 单 选 择 路 由 的 下 一 跳 接 口, 在 虚 拟 路 由 器 下 拉 菜 单 选 择 所 属 的 VR, 下 方 的 路 由 列 表 显 示 符 合 过 滤 条 件 的 路 由 3. 点 击 就 近 探 测 路 由 设 置, 弹 出 < 就 近 探 测 路 由 设 置 > 对 话 框 4. 在 老 化 时 间 文 本 框 指 定 就 近 探 测 路 由 的 老 化 时 间, 单 位 为 分 钟 取 值 范 围 是 1 到 1440 分 钟, 默 认 值 为 10 分 钟 如 果 在 老 化 时 间 结 束 后 仍 没 有 流 量 匹 配 该 路 由, 系 统 认 为 该 路 由 已 经 老 化 失 效, 并 从 路 由 表 中 删 除 5. 在 子 网 掩 码 文 本 框 指 定 就 近 探 测 路 由 的 掩 码 安 全 设 备 支 持 两 种 格 式 :A.B.C.D 和 num A.B.C.D 的 取 值 范 围 是 到 , 默 认 值 为 ;num 的 取 值 范 围 是 8 到 32, 默 认 值 为 点 击 确 定 按 钮 配 置 出 站 负 载 均 衡 日 志 对 出 站 流 量 启 用 出 站 负 载 均 衡 日 志 功 能 后, 系 统 可 以 将 链 路 延 时 数 据 进 行 记 录, 并 且 生 成 出 站 链 路 延 时 日 志, 用 户 可 以 根 据 需 要 将 日 志 输 出 到 指 定 目 的 地 配 置 出 站 负 载 均 衡 日 志, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 链 路 负 载 均 衡, 进 入 链 路 负 载 均 衡 配 置 页 面 2. 点 击 出 站 负 载 均 衡 日 志 配 置, 弹 出 < 出 站 负 载 均 衡 日 志 配 置 > 对 话 框 3. 选 中 启 用 复 选 框 启 用 记 录 出 站 负 载 均 衡 日 志 功 能 默 认 为 禁 用 状 态 4. 指 定 记 录 出 站 负 载 均 衡 日 志 的 时 间 间 隔 单 位 为 分 钟, 范 围 是 1 到 第 5 章 网 络 连 接

102 5. 指 定 记 录 出 站 负 载 均 衡 日 志 的 持 续 时 间 单 位 为 秒, 范 围 是 1 到 指 定 时 间 表 名 称 在 < 时 间 表 > 下 拉 菜 单 中 选 择 时 间 表 名 称, 如 果 指 定 该 参 数, 系 统 会 在 时 间 表 指 定 的 时 间 范 围 记 录 出 站 负 载 均 衡 日 志 7. 点 击 确 定 按 钮 配 置 入 站 负 载 均 衡 对 入 站 流 量 启 用 负 载 均 衡 功 能 后, 系 统 可 以 根 据 DNS 请 求 的 来 源 将 域 名 解 析 成 不 同 的 IP 地 址, 并 将 不 同 的 ISP 所 对 应 的 IP 地 址 返 回 给 相 应 的 请 求 用 户, 从 而 达 到 减 少 跨 ISP 访 问 的 目 的 这 种 解 析 方 式 被 称 为 智 能 域 名 解 析 (SmartDNS) 用 户 可 通 过 以 下 步 骤 启 用 入 站 负 载 均 衡 功 能 : 1. 启 用 SmartDNS 启 用 该 功 能 是 实 现 入 站 负 载 均 衡 的 前 提 条 件 默 认 情 况 下,SmartDNS 功 能 为 启 用 状 态 2. 启 用 ISP 动 态 探 测 功 能 该 功 能 允 许 系 统 根 据 动 态 探 测 结 果 生 成 就 近 地 址 簿 SmartDNS 功 能 可 以 引 用 指 定 接 口 上 的 就 近 地 址 簿 判 断 DNS 请 求 的 来 源 3. 配 置 SmartDNS 规 则 表 系 统 根 据 SmartDNS 规 则 表 的 匹 配 规 则 对 源 自 不 同 链 路 的 DNS 请 求 返 回 不 同 的 IP 地 址 新 建 S m artdn S 规 则 表 新 建 SmartDNS 规 则 表, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 链 路 负 载 均 衡, 进 入 链 路 负 载 均 衡 配 置 页 面 2. 点 击 入 站 负 载 均 衡 标 签, 进 入 入 站 负 载 均 衡 页 面 3. 在 页 面 左 上 角 点 击 新 建 > 域 名 表, 系 统 弹 出 < 新 建 域 名 解 析 > 对 话 框 4. 在 域 名 配 置 文 本 框 中 指 定 需 要 被 智 能 解 析 的 域 名, 使 用 逗 号 分 隔 多 个 域 名 每 个 规 则 表 最 多 支 持 64 个 不 同 的 域 名 ( 不 区 分 大 小 写 ) 5. 点 击 确 定 按 钮, 完 成 域 名 的 创 建 6. 在 页 面 左 上 角 点 击 新 建 > SmartDNS 规 则, 系 统 弹 出 < 新 建 SmartDNS 规 则 > 对 话 框 第 5 章 网 络 连 接 82

103 在 该 对 话 框 中 进 行 配 置 选 项 说 明 用 户 所 属 ISP 指 定 请 求 源 地 址 需 要 匹 配 的 ISP 名 称, 选 项 包 括 : ISP 静 态 地 址 簿 - 从 下 拉 框 选 择 系 统 中 预 定 义 或 用 户 自 定 义 的 ISP 名 称 当 请 求 源 地 址 匹 配 该 ISP 中 的 地 址 条 目, 系 统 返 回 指 定 的 IP 地 址 ISP 动 态 探 测 - 显 示 是 否 启 用 了 ISP 动 态 探 测 返 回 地 址 对 不 同 请 求 来 源 返 回 不 同 的 IP 地 址, 选 项 包 括 : IP - 指 定 返 回 的 IP 地 址 用 户 可 以 为 一 个 域 名 最 多 配 置 64 个 IP 地 址 权 重 - 指 定 返 回 IP 地 址 的 权 重 取 值 范 围 是 1 到 100, 默 认 值 为 1 SmartDNS 规 则 表 中 一 个 域 名 可 能 对 应 多 个 IP 地 址, 系 统 会 根 据 权 重 值 对 IP 地 址 进 行 排 序 后 返 回 给 用 户 ISP 链 路 指 定 请 求 源 地 址 需 要 匹 配 的 接 口 就 近 地 址 簿 当 请 求 源 地 址 匹 配 该 就 近 地 址 簿 中 的 地 址 条 目, 系 统 返 回 指 定 的 IP 地 址 选 项 包 括 : 入 站 接 口 - 从 下 拉 框 选 择 请 求 源 地 址 需 要 匹 配 的 接 口 就 近 地 址 簿 监 测 对 象 - 从 下 拉 框 选 择 系 统 中 已 添 加 的 接 口 类 型 监 测 对 象, 或 新 建 接 口 类 型 监 测 对 象 如 果 监 测 对 象 状 态 为 失 败, 则 该 接 口 上 的 就 近 地 址 簿 失 效 7. 点 击 确 定 按 钮 将 SmartDNS 规 则 添 加 到 规 则 列 表 注 意 : 就 近 地 址 簿 的 优 先 级 低 于 ISP 静 态 地 址 簿 的 优 先 级, 系 统 只 有 在 ISP 静 态 地 址 簿 匹 配 失 败 的 情 况 下 才 会 匹 配 就 近 地 址 簿 用 户 无 法 删 除 正 在 被 SmartDNS 规 则 表 引 用 的 ISP 路 由 SmartDNS 规 则 表 状 态 可 能 为 活 跃 或 非 活 跃, 由 接 口 及 接 口 上 的 监 测 对 象 决 定 : 如 果 只 配 置 了 引 用 的 ISP 路 由 但 没 有 配 置 入 站 接 口, 规 则 状 态 始 终 为 活 跃 ; 如 果 配 置 了 入 站 接 口 但 接 口 上 没 有 配 置 监 测 对 象, 接 口 的 协 议 状 态 为 可 用 (UP) 时 规 则 状 态 为 活 跃, 协 议 状 态 为 不 可 用 (DOWN) 时 规 则 状 态 为 非 活 跃 ; 如 果 配 置 了 入 站 接 口 且 接 口 上 配 置 了 监 测 对 象, 监 测 成 功 时 规 则 状 态 为 活 跃, 监 测 失 败 时 规 则 状 态 为 非 活 跃 83 第 5 章 网 络 连 接

104 应 用 层 网 关 一 些 应 用 程 序 采 用 多 通 道 数 据 传 送, 如 常 见 的 FTP, 其 控 制 通 道 和 数 据 通 道 是 分 开 的 在 严 格 安 全 策 略 控 制 条 件 下 的 设 备, 就 有 可 能 对 每 种 数 据 通 道 进 行 严 格 限 制, 例 如 只 允 许 从 内 网 到 外 网 的 FTP 数 据 在 知 名 的 TCP 21 号 端 口 上 进 行 传 输, 一 旦 FTP 主 动 模 式 下, 在 公 网 上 的 FTP 服 务 器 试 图 主 动 连 接 内 网 主 机 的 随 机 端 口, 设 备 就 会 进 行 拦 截, 此 时 FTP 无 法 正 常 工 作 这 就 要 求 设 备 足 够 智 能 以 正 确 处 理 严 格 安 全 策 略 下 合 法 应 用 的 随 机 性 在 FTP 的 实 例 中, 设 备 通 过 分 析 FTP 控 制 通 道 上 传 送 的 信 息, 得 知 服 务 器 与 客 户 端 达 成 一 致, 服 务 器 将 主 动 连 接 客 户 端 的 某 端 口, 设 备 就 能 临 时 的 打 开 一 条 通 道, 使 FTP 正 常 工 作 系 统 采 用 最 严 格 的 NAT 模 式 一 些 VoIP 应 用 在 进 行 NAT 穿 越 时, 由 于 IP 地 址 和 端 口 号 的 改 变 可 能 导 致 VoIP 无 法 正 常 工 作,ALG 技 术 在 此 时 将 保 证 NAT 地 址 转 换 后,VoIP 应 用 能 够 正 常 通 信 因 此, 应 用 层 网 关 提 供 以 下 功 能 : 在 严 格 的 安 全 策 略 规 则 下, 利 用 应 用 层 网 关 ALG 技 术, 保 证 多 通 道 应 用 程 序 正 常 的 通 信 保 证 VoIP 应 用, 在 NAT 模 式 下 的 正 常 工 作, 并 能 够 根 据 安 全 策 略 要 求, 进 行 监 控 和 过 滤 开 启 应 用 层 网 关 系 统 可 根 据 每 种 应 用 分 别 开 启 ALG( 应 用 层 网 关 ) 控 制 功 能 设 备 可 配 置 以 下 应 用 的 ALG 控 制 功 能 : FTP HTTP MSRPC PPTP Q.931 RAS RSH RTSP SIP SQLNetV2 SUNRPC TFTP DNS 和 Auto 用 户 可 以 开 启 或 者 关 闭 应 用 的 ALG 功 能, 也 可 以 指 定 H323 协 议 的 超 时 时 间 开 启 应 用 的 ALG 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > 应 用 层 网 关, 进 入 相 关 页 面 2. 选 中 需 要 开 启 ALG 功 能 的 应 用 所 对 应 的 复 选 框 3. 如 果 需 要 修 改 H323 的 超 时 时 间, 在 H.323 会 话 超 时 文 本 框 中 输 入 新 的 超 时 时 间 4. 点 击 确 定 完 成 配 置 第 5 章 网 络 连 接 84

105 全 局 网 络 参 数 全 局 网 络 参 数 是 对 整 个 StoneOS 系 统 的 数 据 流 的 设 定, 所 有 流 经 StoneOS 系 统 的 数 据 包 (TCP 和 IP 报 文 ) 都 遵 守 全 局 网 络 参 数 的 限 制 配 置 全 局 网 络 参 数 : 1. 点 击 网 络 > 全 局 网 络 参 数, 进 入 全 局 网 络 参 数 的 主 窗 口 2. 在 主 窗 口 设 置 参 数 IP 分 片 最 大 分 片 数 超 时 长 效 会 话 TCP TCP MSS 指 定 系 统 允 许 的 每 个 IP 包 的 最 大 分 片 数 ( 超 过 该 分 片 数 值 的 IP 数 据 包 将 会 被 丢 弃 ), 默 认 值 为 48 取 值 范 围 是 1 到 1024 指 定 分 片 重 组 超 时 时 间 ( 如 果 在 指 定 的 超 时 时 间 结 束 时 设 备 仍 未 收 到 所 有 的 分 片 包, 数 据 包 将 会 被 丢 弃 ), 默 认 值 为 2 秒 取 值 范 围 是 1 到 30 秒 指 定 是 否 启 用 长 效 会 话 功 能 如 果 开 启 该 功 能, 在 < 长 效 会 话 百 分 比 > 文 本 框 中 指 定 长 效 会 话 百 分 比, 即 长 效 会 话 占 设 备 设 备 总 会 话 数 的 百 分 比 默 认 值 是 10% 为 所 有 TCP SYN/ACK 包 指 定 每 次 传 输 时 的 最 大 数 据 分 段 值 (MSS, Maximum Segment Size) MSS 最 大 值 设 定 TCP 包 的 最 大 数 据 分 段 值, 范 围 是 64 到 65535, 默 认 MSS 值 为 1448 TCP MSS VPN 为 IPsec VPN 的 TCP SYN 包 指 定 最 大 数 据 分 段 值 MSS 最 大 值 设 定 IPSEC VPN 的 TCP 包 的 最 大 数 据 分 段 值, 范 围 是 64 到 65535, 默 认 MSS 值 为 1380 TCP 包 序 列 号 检 查 开 启 检 查 功 能 后, 如 果 TCP 序 列 号 超 出 TCP 窗 口, 该 TCP 包 将 会 被 丢 弃 TCP 三 次 握 手 TCP SYN 包 检 查 配 置 是 否 检 查 TCP 三 次 握 手 超 时 时 间 选 中 该 选 项 的 < 启 用 > 复 选 框 开 启 该 功 能, 并 在 其 后 的 < 超 时 > 文 本 框 中 指 定 三 次 握 手 的 超 时 时 间 ( 如 果 在 超 时 时 间 内, 未 完 成 三 次 握 手, 则 断 掉 该 连 接 ), 单 位 为 秒 范 围 是 1 到 1800 秒, 默 认 值 是 20. 配 置 TCP SYN 包 的 检 查 功 能 选 中 该 选 项 的 < 启 用 > 复 选 框 开 启 该 功 能, 此 时 只 85 第 5 章 网 络 连 接

106 IP 分 片 有 检 查 收 到 的 包 为 TCP SYN 包 后, 才 建 立 连 接 其 他 非 IP 包 且 非 ARP 包 指 定 系 统 对 非 IP 非 ARP 包 的 处 理 方 式, 可 选 择 丢 弃 或 转 发 该 数 据 包 3. 点 击 确 定 4. 点 击 主 窗 口 的 < 防 护 模 式 > 标 签 页, 选 择 系 统 中 所 有 流 量 的 统 一 处 理 模 式 记 录 日 志 & 重 置 是 默 认 模 式, 该 模 式 下, 防 火 墙 的 所 有 功 能 正 常 工 作 ; 只 记 录 日 志 模 式 下, 防 火 墙 主 要 用 于 监 控 和 统 计, 不 阻 断 任 何 流 量 注 意 : 通 常 情 况 下, 请 务 必 选 择 记 录 日 志 & 重 置 模 式, 在 该 模 式 下, 防 火 墙 的 安 全 功 能 正 常 生 效 ; 若 选 择 只 记 录 日 志 模 式, 系 统 只 记 录 日 志, 对 所 有 流 量 均 作 放 行, 系 统 中 的 任 何 阻 断 流 量 的 功 能 全 部 失 效, 包 括 安 全 策 略 IPS AV QoS 等 第 5 章 网 络 连 接 86

107 第 6 章 高 级 路 由 功 能 路 由 是 将 数 据 包 从 一 个 网 络 转 发 到 另 一 个 网 络 中 的 目 的 地 址 的 过 程 路 由 器 是 处 在 两 个 网 络 之 间 转 发 数 据 包 的 设 备 路 由 器 根 据 路 由 表 中 储 存 的 各 种 传 输 路 径 传 输 数 据 包, 每 一 个 传 输 路 径 即 为 一 个 路 由 条 目 设 备 具 有 三 层 路 由 功 能, 通 过 VRouter, 进 行 路 由 配 置, 对 不 同 的 数 据 包 进 行 转 发 系 统 有 一 个 默 认 VRouter, 即 trust-vr, 同 时 系 统 支 持 多 VRouter( 多 VR) 功 能 设 备 支 持 目 的 路 由 ISP 路 由 源 路 由 (Source-Based Routing, 简 称 SBR) 源 接 口 路 由 (Source-Interface-Based Routing, 简 称 SIBR) 策 略 路 由 (Policy-Based Routing, 简 称 PBR) 就 近 探 测 路 由 (Proximity Routing) 动 态 路 由 ( 包 括 RIP OSPF 和 BGP) 和 等 价 多 径 路 由 (Equal Cost MultiPath Routing, 简 称 ECMP) " 配 置 目 的 路 由 " 在 第 88 页 : 手 工 定 义 的 路 由 条 目, 根 据 目 的 地 址 指 定 下 一 跳 " 配 置 源 路 由 " 在 第 89 页 : 根 据 数 据 包 的 源 IP 地 址, 选 择 路 由, 进 行 转 发 " 配 置 源 接 口 路 由 " 在 第 90 页 (SIBR): 根 据 数 据 包 的 源 IP 地 址 和 入 接 口, 选 择 路 由, 进 行 转 发 " 配 置 ISP 信 息 " 在 第 91 页 : 添 加 ISP 相 关 信 息 " 配 置 ISP 路 由 " 在 第 93 页 : 根 据 不 同 的 ISP 确 定 下 一 跳 " 配 置 策 略 路 由 " 在 第 94 页 (PBR): 根 据 数 据 包 的 源 IP 地 址 目 的 IP 地 址 以 及 服 务 类 型, 选 择 路 由, 进 行 转 发 " 就 近 探 测 路 由 " 在 第 100 页 : 根 据 出 站 就 近 探 测 的 结 果 选 择 路 由, 进 行 转 发 动 态 路 由 : 设 备 按 照 动 态 路 由 协 议 (" 配 置 RIP" 在 第 101 页 OSPF 或 者 BGP) 自 动 生 成 的 动 态 路 由 表 项 对 数 据 包 进 行 路 由 选 择 并 转 发 等 价 多 径 路 由 (ECMP): 到 达 相 同 目 的 IP 地 址 或 网 段 的 数 据 流 量 在 多 条 相 同 管 理 距 离 的 路 径 上 进 行 负 载 均 衡 当 设 备 对 进 入 的 数 据 包 进 行 转 发 时, 按 照 这 样 的 顺 序 选 路 : 策 略 路 由 > 源 接 口 路 由 > 源 路 由 > 目 的 路 由 /ISP 路 由 / 就 近 探 测 路 由 / 动 态 路 由 第 6 章 高 级 路 由 功 能 87

108 配 置 目 的 路 由 目 的 路 由 是 手 工 定 义 的 路 由 条 目, 根 据 目 的 地 址 指 定 下 一 跳 对 外 连 接 较 少 或 者 内 网 连 接 相 对 比 较 稳 定 的 网 络 通 常 使 用 目 的 路 由 用 户 可 以 根 据 需 要 确 定 是 否 添 加 默 认 路 由 条 目 新 建 目 的 路 由 新 建 目 的 路 由, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > 目 的 路 由 2. 点 击 新 建 按 钮, 弹 出 < 目 的 路 由 配 置 > 对 话 框 选 项 说 明 所 属 虚 拟 路 由 器 从 下 拉 菜 单 选 择 一 个 虚 拟 路 由 器, 新 建 的 路 由 将 属 于 该 虚 拟 路 由 器, 默 认 为 trust-vr 目 的 地 在 文 本 框 中 输 入 路 由 条 目 的 IP 地 址 子 网 掩 码 在 文 本 框 中 输 入 路 由 条 目 的 目 的 IP 地 址 对 应 的 子 网 掩 码 下 一 跳 优 先 权 路 由 权 值 指 定 下 一 跳 类 型, 选 择 网 关 当 前 系 统 虚 拟 路 由 器 接 口 或 其 他 系 统 虚 拟 路 由 器 单 选 按 钮 网 关 : 在 网 关 文 本 框 中 输 入 网 关 IP 地 址 当 前 系 统 虚 拟 路 由 器 : 在 虚 拟 路 由 器 下 拉 菜 单 选 择 虚 拟 路 由 器 名 称 接 口 : 需 要 在 接 口 下 拉 菜 单 中 选 择 接 口 名 称 在 网 关 文 本 框 中 输 入 网 关 IP 地 址 如 果 选 中 Tunnel 接 口 时, 需 要 在 可 选 栏 输 入 Tunnel 对 端 的 网 关 地 址 其 他 系 统 虚 拟 路 由 器 : 在 虚 拟 系 统 下 拉 菜 单 选 择 虚 拟 系 统 名 称 在 虚 拟 路 由 器 下 拉 菜 单 选 择 虚 拟 路 由 器 名 称 在 文 本 框 中 指 定 目 的 路 由 的 优 先 级 该 参 数 取 值 越 小, 优 先 级 越 高, 而 在 多 条 路 由 选 择 的 时 候, 优 先 级 高 的 路 由 会 被 优 先 使 用 取 值 范 围 是 1 到 255, 默 认 值 为 1 当 优 先 级 为 255 时, 该 路 由 无 效 在 文 本 框 中 指 定 目 的 路 由 的 路 由 权 值 路 由 权 值 决 定 负 载 均 衡 中 流 量 转 发 的 比 重 范 围 是 1 到 255, 默 认 值 是 1 描 述 输 入 所 需 的 目 的 路 由 描 述 信 息 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 路 由 条 目 将 会 显 示 在 目 的 路 由 列 表 中 88 第 6 章 高 级 路 由 功 能

109 配 置 源 路 由 源 路 由 根 据 数 据 包 的 源 IP 地 址, 选 择 路 由, 进 行 转 发 新 建 源 路 由 新 建 源 路 由, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > 源 路 由 2. 点 击 新 建 按 钮, 弹 出 < 源 路 由 配 置 > 对 话 框 选 项 说 明 所 属 虚 拟 路 由 器 从 下 拉 菜 单 选 择 一 个 虚 拟 路 由 器, 新 建 的 路 由 将 属 于 该 虚 拟 路 由 器, 默 认 为 trust-vr 源 IP 在 文 本 框 中 输 入 路 由 条 源 IP 地 址 子 网 掩 码 在 文 本 框 中 输 入 路 由 条 目 的 源 IP 地 址 对 应 的 子 网 掩 码 下 一 跳 优 先 权 路 由 权 值 指 定 下 一 跳 类 型, 选 择 网 关 当 前 系 统 虚 拟 路 由 器 接 口 或 其 他 系 统 虚 拟 路 由 器 单 选 按 钮 网 关 : 在 网 关 文 本 框 中 输 入 网 关 IP 地 址 当 前 系 统 虚 拟 路 由 器 : 在 虚 拟 路 由 器 下 拉 菜 单 选 择 虚 拟 路 由 器 名 称 接 口 : 需 要 在 接 口 下 拉 菜 单 中 选 择 接 口 名 称 在 网 关 文 本 框 中 输 入 网 关 IP 地 址 如 果 选 中 Tunnel 接 口 时, 需 要 在 可 选 栏 输 入 Tunnel 对 端 的 网 关 地 址 其 他 系 统 虚 拟 路 由 器 : 在 虚 拟 系 统 下 拉 菜 单 选 择 虚 拟 系 统 名 称 在 虚 拟 路 由 器 下 拉 菜 单 选 择 虚 拟 路 由 器 名 称 在 文 本 框 中 指 定 目 的 路 由 的 优 先 级 该 参 数 取 值 越 小, 优 先 级 越 高, 而 在 多 条 路 由 选 择 的 时 候, 优 先 级 高 的 路 由 会 被 优 先 使 用 取 值 范 围 是 1 到 255, 默 认 值 为 1 当 优 先 级 为 255 时, 该 路 由 无 效 在 文 本 框 中 指 定 目 的 路 由 的 路 由 权 值 路 由 权 值 决 定 负 载 均 衡 中 流 量 转 发 的 比 重 范 围 是 1 到 255, 默 认 值 是 1 描 述 输 入 所 需 的 源 路 由 描 述 信 息 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 路 由 条 目 将 会 显 示 在 源 路 由 列 表 中 第 6 章 高 级 路 由 功 能 89

110 配 置 源 接 口 路 由 源 接 口 路 由 根 据 数 据 包 的 源 IP 地 址 和 入 接 口, 选 择 路 由, 进 行 转 发 新 建 源 接 口 路 由 新 建 源 接 口 路 由, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > 源 接 口 路 由 2. 点 击 新 建 按 钮, 弹 出 < 源 接 口 路 由 配 置 > 对 话 框 选 项 说 明 所 属 虚 拟 路 由 器 从 下 拉 菜 单 选 择 一 个 虚 拟 路 由 器, 新 建 的 路 由 将 属 于 该 虚 拟 路 由 器, 默 认 为 trust-vr 入 接 口 从 下 拉 菜 单 中 选 择 源 接 口 路 由 条 目 的 入 接 口 源 IP 在 文 本 框 中 输 入 源 接 口 路 由 条 目 的 源 IP 地 址 子 网 掩 码 在 文 本 框 中 输 入 源 接 口 路 由 条 目 的 源 IP 对 应 的 子 网 掩 码 下 一 跳 优 先 权 路 由 权 值 指 定 下 一 跳 类 型, 选 择 网 关 当 前 系 统 虚 拟 路 由 器 接 口 或 其 他 系 统 虚 拟 路 由 器 单 选 按 钮 网 关 : 在 网 关 文 本 框 中 输 入 网 关 IP 地 址 当 前 系 统 虚 拟 路 由 器 : 在 虚 拟 路 由 器 下 拉 菜 单 选 择 虚 拟 路 由 器 名 称 接 口 : 需 要 在 接 口 下 拉 菜 单 中 选 择 接 口 名 称 在 网 关 文 本 框 中 输 入 网 关 IP 地 址 如 果 选 中 Tunnel 接 口 时, 需 要 在 可 选 栏 输 入 Tunnel 对 端 的 网 关 地 址 其 他 系 统 虚 拟 路 由 器 : 在 虚 拟 系 统 下 拉 菜 单 选 择 虚 拟 系 统 名 称 在 虚 拟 路 由 器 下 拉 菜 单 选 择 虚 拟 路 由 器 名 称 在 文 本 框 中 指 定 目 的 路 由 的 优 先 级 该 参 数 取 值 越 小, 优 先 级 越 高, 而 在 多 条 路 由 选 择 的 时 候, 优 先 级 高 的 路 由 会 被 优 先 使 用 取 值 范 围 是 1 到 255, 默 认 值 为 1 当 优 先 级 为 255 时, 该 路 由 无 效 在 文 本 框 中 指 定 目 的 路 由 的 路 由 权 值 路 由 权 值 决 定 负 载 均 衡 中 流 量 转 发 的 比 重 范 围 是 1 到 255, 默 认 值 是 1 描 述 输 入 所 需 的 源 接 口 路 由 描 述 信 息 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 路 由 条 目 将 会 显 示 在 源 接 口 路 由 列 表 中 90 第 6 章 高 级 路 由 功 能

111 配 置 ISP 信 息 配 置 ISP 路 由, 用 户 首 先 需 要 将 子 网 条 目 添 加 到 一 个 ISP, 然 后 才 可 以 配 置 以 ISP 名 称 为 目 的 地 的 ISP 路 由 用 户 可 以 自 定 义 ISP 信 息, 也 可 以 上 传 ISP 包 含 不 同 ISP 信 息 的 配 置 文 件 同 时 系 统 提 供 一 个 预 定 义 ISP 配 置 文 件, 包 含 两 个 ISP, 分 别 是 中 国 电 信 (Chinatelecom) 和 中 国 网 通 (China-netcom) 新 建 I SP 信 息 配 置 文 件 新 建 ISP 信 息 配 置 文 件, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > ISP 信 息 2. 点 击 新 建 按 钮, 弹 出 <ISP 配 置 > 对 话 框 选 项 说 明 ISP 名 称 在 文 本 框 中 输 入 新 建 的 ISP 信 息 配 置 文 件 的 名 称 子 网 前 缀 在 文 本 框 中 输 入 子 网 的 IP 地 址 子 网 掩 码 在 文 本 框 中 输 入 子 网 掩 码 添 加 添 加 该 子 网 条 目 到 ISP 配 置 文 件, 并 且 显 示 在 页 面 下 方 的 ISP 子 网 列 表 中 重 复 以 上 步 骤 添 加 更 多 ISP 子 网 删 除 如 果 需 要 删 除 ISP 子 网, 从 列 表 中 选 中 需 要 删 除 的 ISP 子 网, 然 后 点 击 右 侧 的 删 除 按 钮 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 ISP 将 会 显 示 在 ISP 列 表 中 上 传 I SP 信 息 配 置 文 件 上 传 ISP 信 息 配 置 文 件, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > ISP 信 息 2. 点 击 上 传 按 钮, 弹 出 < 上 传 ISP 配 置 文 件 > 对 话 框 第 6 章 高 级 路 由 功 能 91

112 选 项 上 传 预 定 义 的 ISP 配 置 文 件 说 明 当 用 户 需 要 更 新 预 定 义 ISP 配 置 文 件 时, 请 按 照 以 下 步 骤 操 作 : 1. 选 中 上 传 预 定 义 的 ISP 配 置 文 件 单 选 按 钮 2. 点 击 浏 览 按 钮, 弹 出 < 打 开 > 对 话 框, 用 户 在 < 打 开 > 对 话 框 中 找 到 本 地 保 存 的 ISP 配 置 文 件 上 传 自 定 义 的 ISP 配 置 文 件 当 用 户 需 要 更 新 自 定 义 ISP 配 置 文 件 时, 请 按 照 以 下 步 骤 操 作 : 1. 选 中 上 传 自 定 义 的 ISP 配 置 文 件 单 选 按 钮 2. 点 击 浏 览 按 钮, 弹 出 < 打 开 > 对 话 框, 用 户 在 < 打 开 > 对 话 框 中 找 到 本 地 保 存 的 ISP 配 置 文 件 3. 点 击 上 传 按 钮 上 传 所 选 择 的 ISP 配 置 文 件 至 设 备 保 存 I SP 信 息 配 置 文 件 保 存 用 户 自 定 义 的 ISP 信 息 配 置 文 件 到 本 地, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > ISP 信 息 2. 点 击 保 存 按 钮, 弹 出 < 保 存 ISP 配 置 文 件 > 对 话 框 3. 在 ISP 名 称 下 拉 菜 单 中 选 择 需 要 保 存 的 ISP 的 名 称 4. 点 击 保 存 按 钮, 保 存 相 应 的 ISP 配 置 文 件 到 电 脑 的 指 定 位 置 92 第 6 章 高 级 路 由 功 能

113 配 置 ISP 路 由 很 多 用 户 通 常 会 申 请 多 条 线 路 进 行 流 量 负 载 均 衡 然 而, 一 般 的 均 衡 是 不 会 根 据 流 量 的 流 向 做 均 衡 的, 如 果 网 通 的 服 务 器 通 过 电 信 访 问, 网 速 就 会 很 慢 安 全 网 关 针 对 该 问 题, 提 供 ISP 路 由 功 能, 使 不 同 ISP 流 量 走 专 有 路 由, 从 而 提 高 网 络 访 问 速 度 配 置 ISP 路 由, 用 户 首 先 需 要 将 子 网 条 目 添 加 到 一 个 ISP, 然 后 才 可 以 配 置 以 ISP 名 称 为 目 的 地 的 ISP 路 由 用 户 可 以 自 定 义 ISP 信 息, 也 可 以 上 传 ISP 包 含 不 同 ISP 信 息 的 配 置 文 件 同 时 系 统 提 供 一 个 预 定 义 ISP 配 置 文 件, 包 含 两 个 ISP, 分 别 是 中 国 电 信 (Chinatelecom) 和 中 国 网 通 (China-netcom) 新 建 I SP 路 由 新 建 ISP 路 由, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > ISP 路 由 2. 点 击 新 建 按 钮, 弹 出 <ISP 路 由 配 置 > 对 话 框 选 项 说 明 ISP 名 称 从 下 拉 菜 单 中 选 择 已 创 建 的 ISP 信 息 配 置 文 件 的 名 称 所 属 虚 拟 路 由 器 下 一 跳 从 下 拉 菜 单 选 择 一 个 虚 拟 路 由 器, 新 建 的 策 略 路 由 将 属 于 该 虚 拟 路 由 器, 默 认 为 trust-vr 指 定 下 一 跳 类 型, 选 择 网 关 当 前 系 统 虚 拟 路 由 器 接 口 或 其 他 系 统 虚 拟 路 由 器 单 选 按 钮 优 先 权 路 由 权 值 网 关 : 在 网 关 文 本 框 中 输 入 网 关 IP 地 址 当 前 系 统 虚 拟 路 由 器 : 在 虚 拟 路 由 器 下 拉 菜 单 选 择 虚 拟 路 由 器 名 称 接 口 : 需 要 在 接 口 下 拉 菜 单 中 选 择 接 口 名 称 在 网 关 文 本 框 中 输 入 网 关 IP 地 址 如 果 选 中 Tunnel 接 口 时, 需 要 在 可 选 栏 输 入 Tunnel 对 端 的 网 关 地 址 其 他 系 统 虚 拟 路 由 器 : 在 虚 拟 系 统 下 拉 菜 单 选 择 虚 拟 系 统 名 称 在 虚 拟 路 由 器 下 拉 菜 单 选 择 虚 拟 路 由 器 名 称 在 文 本 框 中 指 定 ISP 路 由 的 优 先 级 该 参 数 取 值 越 小, 优 先 级 越 高, 而 在 多 条 路 由 选 择 的 时 候, 优 先 级 高 的 路 由 会 被 优 先 使 用 取 值 范 围 是 1 到 255, 默 认 值 为 10 当 优 先 级 为 255 时, 该 路 由 无 效 在 文 本 框 中 指 定 ISP 路 由 的 路 由 权 值 路 由 权 值 决 定 负 载 均 衡 中 流 量 转 发 的 比 重 范 围 是 1 到 255, 默 认 值 是 1 描 述 输 入 所 需 的 ISP 路 由 描 述 信 息 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 路 由 条 目 将 会 显 示 在 ISP 路 由 列 表 中 第 6 章 高 级 路 由 功 能 93

114 配 置 策 略 路 由 用 户 可 以 配 置 策 略 路 由 (PBR), 根 据 数 据 包 的 源 地 址 源 用 户 目 的 地 址 和 服 务 选 择 路 由 并 进 行 转 发 新 建 策 略 路 由 新 建 策 略 路 由, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > 策 略 路 由 2. 点 击 新 建 按 钮, 在 下 拉 菜 单 选 择 策 略 路 由 并 点 击, 弹 出 < 策 略 路 由 绑 定 > 对 话 框 选 项 说 明 策 略 路 由 名 称 在 文 本 框 中 输 入 策 略 路 由 的 名 称 所 属 虚 拟 路 由 器 类 型 从 下 拉 菜 单 选 择 一 个 虚 拟 路 由 器, 新 建 的 策 略 路 由 将 属 于 该 虚 拟 路 由 器, 默 认 为 trust-vr 指 定 绑 定 该 策 略 路 由 的 类 型, 选 择 安 全 域 虚 拟 路 由 器 接 口 或 者 无 绑 定 单 选 按 钮 安 全 域 : 在 绑 定 到 下 拉 菜 单 选 择 需 要 绑 定 该 策 略 路 由 的 安 全 域 名 称 虚 拟 路 由 器 : 选 中 虚 拟 路 由 器 单 选 按 钮, 在 绑 定 到 右 侧 显 示 绑 定 该 策 略 路 由 的 虚 拟 路 由 器 名 称, 即 为 该 策 略 路 由 所 属 的 虚 拟 路 由 器 接 口 : 在 绑 定 到 下 拉 菜 单 选 择 需 要 绑 定 该 策 略 路 由 的 接 口 名 称 无 绑 定 : 该 策 略 路 由 没 有 被 绑 定 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 路 由 条 目 将 会 显 示 在 策 略 路 由 列 表 中 新 建 策 略 路 由 规 则 新 建 策 略 路 由 规 则, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > 策 略 路 由 2. 点 击 新 建 按 钮, 在 下 拉 菜 单 选 择 规 则 并 点 击, 弹 出 < 策 略 路 由 配 置 > 对 话 框 在 < 匹 配 条 件 > 标 签 页, 进 行 策 略 路 由 规 则 的 基 本 配 置 94 第 6 章 高 级 路 由 功 能

115 选 项 说 明 策 略 路 由 名 称 指 定 策 略 路 由 规 则 名 称 描 述 ( 可 选 ) 指 定 策 略 路 由 规 则 的 描 述 信 息 源 信 息 地 址 指 定 策 略 路 由 规 则 的 源 地 址 类 型, 选 择 IP/ 掩 码 主 机 名 称 IP 范 围 或 者 地 址 簿 单 选 按 钮 IP/ 掩 码 : 选 中 单 选 按 钮 指 定 IP 地 址 类 型 的 源 地 址, 并 在 IP 文 本 框 中 输 入 IP 地 址, 在 网 络 掩 码 文 本 框 输 入 网 络 掩 码 主 机 名 称 : 选 中 单 选 按 钮 指 定 主 机 名 称 类 型 的 源 地 址, 并 在 主 机 名 称 文 本 框 中 输 入 主 机 名 称 IP 范 围 : 选 中 单 选 按 钮 指 定 IP 范 围 类 型 的 源 地 址, 并 在 起 始 IP 地 址 文 本 框 中 输 入 指 定 范 围 的 起 始 IP 地 址, 在 终 止 IP 地 址 文 本 框 输 入 指 定 范 围 的 终 止 IP 地 址 地 址 簿 : 选 中 单 选 按 钮 指 定 地 址 簿 类 型 的 源 地 址, 并 在 地 址 条 目 下 拉 菜 单 选 中 需 要 的 地 址 条 目 添 加 : 点 击 添 加 按 钮 将 配 置 的 源 地 址 条 目 添 加 到 系 统 已 添 加 的 源 地 址 条 目 会 显 示 在 下 方 的 列 表 中 删 除 : 选 中 列 表 中 需 要 删 除 的 源 地 址 条 目 对 应 的 复 选 框, 点 击 删 除 按 钮 删 除 相 应 的 源 地 址 条 目 用 户 / 用 户 组 指 定 策 略 路 由 规 则 的 源 地 址 类 型, 选 择 用 户 用 户 组 或 角 色 单 选 按 钮 用 户 : 选 中 单 选 按 钮 指 定 用 户 类 型 的 源 用 户, 并 分 别 在 AAA 服 务 器 和 用 户 名 下 拉 菜 单 选 中 需 要 的 AAA 服 务 器 和 用 户 用 户 组 : 选 中 单 选 按 钮 指 定 用 户 组 类 型 的 源 用 户, 并 分 别 在 AAA 服 务 器 和 用 户 组 名 下 拉 菜 单 选 中 需 要 的 AAA 服 务 器 和 用 户 组 角 色 : 选 中 单 选 按 钮 指 定 用 户 类 型 的 源 用 户, 在 角 色 下 拉 菜 单 选 中 需 要 的 角 色 添 加 : 点 击 添 加 按 钮 将 配 置 的 源 用 户 条 目 添 加 到 系 统 已 添 加 的 源 用 户 条 目 会 显 示 在 下 方 的 列 表 中 删 除 : 选 中 列 表 中 需 要 删 除 的 源 用 户 条 目 对 应 的 复 选 框, 点 击 删 除 按 钮 删 除 相 应 的 源 用 户 条 目 目 的 信 息 地 址 指 定 策 略 路 由 规 则 的 目 的 地 址 类 型, 选 择 IP/ 掩 码 主 机 名 称 IP 范 围 或 者 地 址 簿 单 选 按 钮 IP/ 掩 码 : 选 中 单 选 按 钮 指 定 IP 地 址 类 型 的 目 的 地 址, 并 在 IP 文 本 框 中 输 入 IP 地 址, 在 网 络 掩 码 文 本 框 输 入 网 络 掩 码 主 机 名 称 : 选 中 单 选 按 钮 指 定 主 机 名 称 类 型 的 目 的 地 址, 并 在 主 机 名 称 文 本 框 中 输 入 主 机 名 称 IP 范 围 : 选 中 单 选 按 钮 指 定 IP 范 围 类 型 的 目 的 地 址, 并 在 起 始 IP 地 址 文 本 框 中 输 入 指 定 范 围 的 起 始 IP 地 址, 在 终 止 IP 地 址 文 本 框 输 入 指 定 范 围 的 终 止 IP 地 址 地 址 簿 : 选 中 单 选 按 钮 指 定 地 址 簿 类 型 的 目 的 地 址, 并 在 地 址 条 目 下 拉 菜 单 选 中 需 要 的 地 址 条 目 添 加 : 点 击 添 加 按 钮 将 配 置 的 目 的 地 址 条 目 添 加 到 系 统 已 添 加 的 目 的 地 址 条 目 会 显 示 在 下 方 的 列 表 中 第 6 章 高 级 路 由 功 能 95

116 选 项 其 他 信 息 说 明 删 除 : 选 中 列 表 中 需 要 删 除 的 目 的 地 址 条 目 对 应 的 复 选 框, 点 击 删 除 按 钮 删 除 相 应 的 目 的 地 址 条 目 域 名 簿 指 定 策 略 路 由 规 则 的 域 名, 从 域 名 簿 下 拉 菜 单 选 中 需 要 的 域 名 服 务 / 服 务 组 在 弹 出 的 对 话 框 的 列 表 选 择 需 要 的 服 务 或 服 务 组 添 加 : 在 左 侧 列 表 选 中 需 要 的 服 务 或 服 务 组, 点 击 移 入 按 钮, 将 服 务 或 服 务 组 添 加 到 右 侧 列 表 删 除 : 在 右 侧 列 表 中 选 中 需 要 删 除 的 服 务 或 服 务 组, 点 击 移 出 按 钮, 将 服 务 或 服 务 组 从 左 侧 列 表 中 删 除 新 建 : 若 需 要 新 建 的 服 务 或 服 务 组, 通 过 新 建 服 务 或 者 新 建 服 务 组 进 行 配 置 详 情 请 参 见 " 配 置 服 务 薄 " 在 第 177 页 应 用 / 应 用 组 在 弹 出 对 话 框 的 列 表 中 选 择 需 要 的 应 用 应 用 组 或 应 用 过 滤 组 添 加 : 在 左 侧 列 表 选 中 需 要 的 应 用 应 用 组 或 应 用 过 滤 组, 点 击 移 入 按 钮, 将 应 用 应 用 组 或 应 用 过 滤 组 添 加 到 右 侧 列 表 删 除 : 在 右 侧 列 表 中 选 中 需 要 删 除 的 应 用 应 用 组 或 应 用 过 滤 组, 点 击 移 出 按 钮, 将 应 用 应 用 组 或 应 用 过 滤 组 从 左 侧 列 表 中 删 除 新 建 : 若 需 要 新 建 的 应 用 组, 通 过 新 建 应 用 组 进 行 配 置 详 情 请 参 见 " 应 用 薄 " 在 第 180 页 时 间 表 指 定 策 略 路 由 规 则 的 时 间 表 策 略 路 由 规 则 会 在 指 定 的 时 间 表 内 生 效 在 < 下 一 跳 > 标 签 页, 进 行 策 略 路 由 规 则 的 下 一 跳 配 置 选 项 设 置 下 一 跳 说 明 指 定 下 一 跳 类 型, 选 择 IP 地 址 当 前 系 统 虚 拟 路 由 器 接 口 或 其 他 系 统 虚 拟 路 由 器 单 选 按 钮 IP 地 址 : 选 中 单 选 按 钮 指 定 IP 地 址 类 型 的 下 一 跳, 并 在 IP 地 址 文 本 框 中 输 入 IP 地 址 当 前 系 统 虚 拟 路 由 器 : 选 中 单 选 按 钮 指 定 当 前 系 统 虚 拟 路 由 器 类 型 的 下 一 跳, 并 在 虚 拟 路 由 器 下 拉 菜 单 中 选 择 虚 拟 路 由 器 接 口 : 选 中 单 选 按 钮 指 定 接 口 类 型 的 下 一 跳, 并 在 接 口 下 拉 菜 单 中 选 择 出 接 口 其 他 系 统 虚 拟 路 由 器 : 选 中 单 选 按 钮 指 定 其 他 系 统 虚 拟 路 由 器 类 型 的 下 一 跳, 在 虚 拟 系 统 下 拉 菜 单 中 选 择 虚 拟 系 统, 在 虚 拟 路 由 器 下 拉 菜 单 中 选 择 虚 拟 路 由 器 监 测 对 象 从 下 拉 框 中 指 定 监 控 对 象 详 情 请 参 见 " 配 置 服 务 薄 " 在 第 177 页 路 由 权 值 添 加 删 除 在 文 本 框 中 输 入 下 一 跳 的 权 重 如 果 一 条 策 略 路 由 匹 配 多 个 下 一 跳, 系 统 会 按 照 权 重 值 比 例 分 配 流 量 点 击 该 按 钮 将 配 置 的 下 一 跳 地 址 条 目 添 加 到 系 统 已 添 加 的 下 一 跳 地 址 条 目 会 显 示 在 下 方 的 列 表 中 选 中 列 表 中 需 要 删 除 的 下 一 跳 地 址 条 目 对 应 的 复 选 框, 点 击 该 按 钮 删 除 相 应 的 下 一 跳 地 址 条 目 配 置 策 略 路 由 规 则 优 先 级 配 置 策 略 路 由 规 则 优 先 级, 请 按 照 以 下 步 骤 进 行 操 作 : 96 第 6 章 高 级 路 由 功 能

117 1. 选 择 网 络 > 路 由 > 策 略 路 由 2. 在 策 略 路 由 规 则 列 表 部 分, 选 中 需 要 配 置 优 先 级 的 路 由 规 则 对 应 的 复 选 框, 点 击 优 先 级 按 钮, 弹 出 < 调 整 优 先 级 > 对 话 框 选 项 说 明 移 到 首 位 选 中 该 单 选 按 钮, 将 策 略 路 由 规 则 移 动 到 所 有 规 则 的 顶 部 移 到 末 尾 选 中 该 单 选 按 钮, 将 策 略 路 由 规 则 移 动 到 所 有 规 则 的 底 部 该 ID 之 前 选 中 该 单 选 按 钮, 并 在 其 后 的 文 本 框 中 输 入 ID, 将 策 略 路 由 规 则 移 动 到 该 ID 规 则 之 前 该 ID 之 后 选 中 该 单 选 按 钮, 并 在 其 后 的 文 本 框 中 输 入 ID, 将 策 略 路 由 规 则 移 动 到 该 ID 规 则 之 后 注 意 : PBR 策 略 中 的 规 则 通 过 ID 进 行 唯 一 标 识 流 量 进 入 设 备 时, 设 备 对 PBR 策 略 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 进 行 处 理 但 是,PBR 策 略 规 则 ID 的 大 小 顺 序 并 不 是 规 则 查 找 时 的 匹 配 顺 序 用 户 可 根 据 需 要, 移 动 策 略 路 由 规 则 的 位 置 进 而 调 整 规 则 的 匹 配 顺 序, 使 其 处 在 首 位 或 者 处 在 末 位, 也 可 以 位 于 某 个 ID 之 前 或 之 后 应 用 策 略 路 由 可 以 通 过 绑 定 PBR 策 略 到 接 口 虚 拟 路 由 器 或 者 安 全 域 来 实 现 PBR 策 略 的 应 用 应 用 策 略 路 由, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > 策 略 路 由 2. 从 所 属 虚 拟 路 由 器 下 拉 菜 单 选 择 需 要 的 路 由 所 属 的 VR 3. 点 击 策 略 绑 定 按 钮, 弹 出 < 策 略 路 由 绑 定 > 对 话 框 第 6 章 高 级 路 由 功 能 97

118 选 项 说 明 策 略 路 由 名 称 从 下 拉 菜 单 中 选 择 需 要 绑 定 的 策 略 路 由 条 目 名 称 所 属 虚 拟 路 由 器 指 定 该 策 略 路 由 所 属 的 虚 拟 路 由 器 类 型 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 DN S 重 定 向 指 定 绑 定 该 策 略 路 由 的 类 型, 选 择 安 全 域 虚 拟 路 由 器 接 口 或 者 无 绑 定 单 选 按 钮 安 全 域 : 在 绑 定 到 下 拉 菜 单 选 择 需 要 绑 定 该 策 略 路 由 的 安 全 域 名 称 虚 拟 路 由 器 : 选 中 虚 拟 路 由 器 单 选 按 钮, 在 绑 定 到 右 侧 显 示 绑 定 该 策 略 路 由 的 虚 拟 路 由 器 名 称, 即 为 该 策 略 路 由 所 属 的 虚 拟 路 由 器 接 口 : 在 绑 定 到 下 拉 菜 单 选 择 需 要 绑 定 该 策 略 路 由 的 接 口 名 称 无 绑 定 : 该 策 略 路 由 没 有 被 绑 定 在 用 户 向 DNS 服 务 器 发 出 域 名 请 求 时, 系 统 将 DNS 请 求 重 定 向 到 指 定 的 DNS 服 务 器 地 址 如 何 指 定 DNS 服 务 器 的 IP 地 址, 请 参 阅 设 置 DNS 域 名 服 务 器 一 节 目 前,DNS 重 定 向 主 要 应 用 于 视 频 引 流 通 过 和 PBR 策 略 结 合, 系 统 可 将 Web 视 频 网 站 的 流 量 引 流 到 指 定 的 链 路 上, 进 而 提 升 用 户 访 问 视 频 的 体 验 开 启 DNS 重 定 向, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > 策 略 路 由 2. 点 击 启 用 DNS 重 定 向 按 钮, 开 启 该 功 能 W AP 智 能 分 流 WAP 智 能 分 流 功 能 对 流 向 WAP 网 关 的 HTTP 流 量 进 行 分 流, 从 而 达 到 缓 解 WAP 网 关 业 务 量 的 目 的 如 上 图 所 示, 开 启 WAP 智 能 分 流 功 能 的 设 备 工 作 在 WAP 服 务 器 前 端 当 HTTP 流 量 流 向 设 备 时, 系 统 对 流 量 进 行 分 析, 并 根 据 配 置 将 流 量 分 流 到 WAP 网 关 或 者 外 网 用 户 可 选 择 将 自 营 业 务 和 SP 业 务 分 流 到 WAP 网 关 进 行 处 理, 并 把 其 他 业 务 ( 浏 览 以 及 下 载 类 业 务 ) 分 流 到 外 网 WAP 智 能 分 流 功 能 主 要 基 于 策 略 路 由 规 则 实 现 分 流 当 流 经 接 口 的 HTTP 流 量 匹 配 策 略 路 由 规 则 时, 系 统 会 根 据 策 略 路 由 规 则 设 置, 将 流 量 分 流 到 指 定 的 下 一 跳 地 址 对 于 分 流 到 外 网 的 流 量, 由 于 流 量 在 分 流 之 前 的 原 始 目 的 地 为 WAP 网 关 地 址, 为 保 证 正 常 访 问, 用 户 还 需 要 开 启 IP 替 换 功 能, 该 功 能 能 够 将 流 量 的 原 始 目 的 地 址 (WAP 网 关 地 址 ) 替 换 为 真 实 目 的 地 址 WAP 智 能 分 流 功 能 的 配 置 包 括 : 启 用 WAP 智 能 分 流 配 置 DNS 服 务 器 配 置 域 名 条 目 98 第 6 章 高 级 路 由 功 能

119 配 置 策 略 路 由 规 则 查 看 WAP 智 能 分 流 统 计 数 据 启 用 W A P 智 能 分 流 在 指 定 接 口 上 开 启 WAP 智 能 分 流 功 能, 并 配 置 相 关 参 数 在 接 口 配 置 页 面 中 < 基 本 配 置 > 标 签 页, 开 启 WAP 智 能 分 流 有 关 接 口 的 详 细 配 置, 请 参 阅 " 配 置 接 口 " 在 第 41 页 配 置 DN S 服 务 器 DNS 服 务 器 用 来 解 析 流 量 的 真 实 目 的 地 址 配 置 DNS 服 务 器, 请 参 阅 "DNS" 在 第 61 页 由 于 一 个 域 名 可 能 对 应 多 个 IP 地 址, 系 统 只 支 持 保 存 解 析 后 的 第 一 个 IP 地 址 配 置 域 名 条 目 在 使 用 WAP 智 能 分 流 功 能 时, 需 配 置 域 名 条 目 并 将 其 应 用 到 策 略 路 由 规 则 中 根 据 流 量 是 否 匹 配 接 口 的 策 略 路 由 规 则 设 置 以 及 是 否 命 中 域 名 条 目, 将 流 量 分 流 到 WAP 网 关 或 者 外 网 关 于 域 名 簿 的 更 多 信 息, 请 参 阅 " 域 名 薄 " 在 第 176 页 配 置 策 略 路 由 规 则 在 策 略 路 由 规 则 中 引 用 域 名 条 目, 并 将 此 策 略 路 由 规 则 绑 定 到 开 启 WAP 智 能 分 流 功 能 的 接 口 关 于 策 略 路 由 的 更 多 信 息, 请 参 阅 " 配 置 策 略 路 由 " 在 第 94 页 查 看 W A P 智 能 分 流 统 计 数 据 查 看 WAP 智 能 分 流 统 计 数 据, 请 参 阅 " 查 看 WAP 智 能 分 流 数 据 " 在 第 367 页 视 频 引 流 通 过 视 频 引 流 功 能, 系 统 可 将 通 过 接 口 的 HTTP 视 频 流 量 引 流 到 指 定 的 链 路 上, 进 而 提 升 用 户 访 问 视 频 的 体 验 使 用 视 频 引 流 功 能, 需 要 调 整 WAP 智 能 分 流 的 参 数 并 结 合 应 用 识 别 功 能 视 频 引 流 功 能 的 配 置 包 括 : 1. 配 置 应 用 识 别 : 根 据 数 据 流 的 应 用 类 型 对 数 据 流 进 行 相 应 的 处 理 2. 开 启 视 频 引 流 : 开 启 WAP 智 能 分 流 功 能 并 指 定 视 频 网 站 用 于 HTTP 协 议 通 讯 的 端 口 号 使 用 视 频 引 流 功 能 不 需 要 配 置 目 的 IP 替 换 功 能 3. 配 置 策 略 路 由 规 则 : 配 置 策 略 路 由 规 则 并 指 定 需 要 引 流 的 应 用 / 服 务, 并 将 该 策 略 路 由 规 则 绑 定 到 开 启 视 频 引 流 功 能 的 接 口 第 6 章 高 级 路 由 功 能 99

120 就 近 探 测 路 由 多 ISP 链 路 用 户 可 以 使 用 链 路 负 载 均 衡 功 能 将 流 量 合 理 分 发 到 不 同 链 路, 从 而 达 到 充 分 利 用 各 条 链 路 资 源 的 目 的 对 于 出 站 流 量, 系 统 通 过 出 站 就 近 探 测 技 术 自 动 探 测 最 优 链 路, 探 测 成 功 后 会 根 据 结 果 生 成 静 态 路 由 ( 就 近 探 测 路 由 ) 并 添 加 到 路 由 表 中 用 户 可 以 对 就 近 探 测 路 由 进 行 自 定 义 配 置 有 关 就 近 探 测 路 由 配 置 的 更 多 信 息, 请 参 考 " 链 路 负 载 均 衡 " 在 第 81 页 100 第 6 章 高 级 路 由 功 能

121 配 置 RIP RIP(Routing Information Protocol) 是 路 由 信 息 协 议 它 是 一 种 在 路 由 器 之 间 交 换 路 由 信 息 的 内 部 网 关 路 由 协 议 设 备 支 持 RIP-1 和 RIP-2 两 个 版 本 对 RIP 协 议 的 配 置 包 括 基 本 配 置 引 入 路 由 被 动 接 口 邻 居 网 络 和 距 离 另 外,RIP 参 数 配 置 完 成 后, 用 户 还 需 要 在 不 同 的 接 口 上 配 置 RIP 参 数, 包 括 指 定 接 口 接 收 和 发 送 更 新 的 RIP 版 本 号 水 平 分 割 以 及 接 口 的 RIP 认 证 新 建 R I P 新 建 RIP, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 网 络 > 路 由 > RIP 2. 从 虚 拟 路 由 器 下 拉 菜 单 选 择 一 个 VR, 新 建 的 路 由 将 属 于 该 VR 3. 点 击 新 建 按 钮, 弹 出 <RIP 配 置 > 对 话 框 在 < 基 本 > 标 签 页, 对 RIP 进 行 基 本 配 置 选 项 版 本 缺 省 度 量 说 明 指 定 RIP 版 本 号 设 备 支 持 RIP-1 和 RIP-2 两 个 版 本,RIP-1 以 广 播 方 式 传 输 报 文, 而 RIP-2 使 用 组 播 方 式 从 下 拉 菜 单 中 选 择 合 适 的 版 本 号 默 认 为 RIP-2 指 定 缺 省 度 量 范 围 是 1 到 15, 默 认 值 是 1 RIP 协 议 使 用 跳 数 来 衡 量 到 达 目 的 网 络 的 距 离, 称 为 度 量 路 由 器 到 与 它 直 接 相 连 网 络 的 度 量 为 1, 通 过 一 个 路 由 器 可 达 的 网 络 的 度 量 为 2, 依 此 类 推, 度 量 的 最 大 值 可 以 到 15, 度 量 大 于 15 的 网 络 为 不 可 达 网 络 缺 省 度 量 在 引 入 路 由 时 生 效 缺 省 距 离 指 定 缺 省 距 离 范 围 是 1 到 255, 默 认 值 是 120 缺 省 信 息 发 布 更 新 时 间 指 定 是 否 将 默 认 路 由 发 布 到 其 它 使 用 RIP 协 议 的 路 由 器 默 认 情 况 下,RIP 协 议 不 发 送 默 认 路 由 选 中 该 复 选 框, 发 送 默 认 路 由 指 定 每 次 向 所 有 邻 居 发 送 全 部 RIP 路 由 所 间 隔 的 时 间 该 选 项 用 来 指 定 更 新 时 间 间 隔 值, 单 位 为 秒 默 认 是 30 秒 范 围 是 0 到 秒 无 效 时 间 如 果 一 条 路 由 在 失 效 时 间 内 一 直 没 有 被 更 新, 该 路 由 的 度 量 就 会 被 标 记 为 16, 表 示 为 不 可 达 路 由 该 选 项 用 来 指 定 失 效 时 间 值, 单 位 为 秒 默 认 的 失 效 时 间 是 180 秒 范 围 是 1 到 秒 阻 止 时 间 清 除 时 间 如 果 一 条 更 新 后 的 路 由 的 度 量 变 大, 例 如, 从 2 更 新 到 4, 该 路 由 会 被 赋 予 一 个 阻 止 时 间, 路 由 在 阻 止 时 间 内, 不 接 受 任 何 更 新 该 选 项 用 来 指 定 阻 止 时 间 值, 单 位 为 秒 默 认 的 阻 止 时 间 是 180 秒 范 围 是 1 到 秒 度 量 被 标 记 为 16 的 不 可 达 路 由 会 一 直 被 发 布 到 其 它 RIP 协 议 路 由, 直 到 清 除 时 间 结 束 ; 如 果 该 路 由 仍 没 有 被 更 新, 清 除 时 间 结 束 后, 将 会 被 从 RIP 路 由 信 息 数 据 库 中 删 除 该 选 项 用 来 指 定 清 除 时 间 值, 单 位 为 秒 默 认 的 清 除 时 间 是 240 秒 范 围 是 1 到 秒 在 < 引 入 路 由 > 标 签 页, 对 RIP 进 行 引 入 路 由 配 置 第 6 章 高 级 路 由 功 能 101

122 选 项 协 议 度 量 添 加 删 除 说 明 从 下 拉 菜 单 中 选 择 被 引 入 路 由 的 协 议 类 型, 可 以 是 直 连 静 态 OSPF 或 BGP 在 文 本 框 中 输 入 引 入 路 由 的 度 量 值 如 果 不 指 定 该 数 值, 系 统 会 使 用 RIP 实 例 基 本 配 置 中 指 定 的 缺 省 度 量 点 击 添 加 按 钮, 添 加 已 配 置 的 引 入 路 由 条 目, 被 添 加 的 引 入 路 由 条 目 将 显 示 在 下 方 的 再 发 布 路 由 列 表 中 重 复 以 上 步 骤 添 加 更 多 引 入 路 由 条 目 如 果 需 要 删 除 引 入 路 由 条 目, 从 列 表 中 选 中 需 要 删 除 的 引 入 路 由 条 目, 然 后 点 击 右 侧 的 删 除 按 钮 在 < 被 动 接 口 > 标 签 页, 对 RIP 进 行 被 动 接 口 配 置 选 项 说 明 接 口 从 下 拉 菜 单 中 选 择 需 要 的 被 动 接 口 添 加 删 除 点 击 添 加 按 钮, 添 加 已 配 置 的 被 动 接 口, 被 添 加 的 被 动 接 口 将 显 示 在 下 方 的 列 表 中 重 复 以 上 步 骤 添 加 更 多 被 动 接 口 如 果 需 要 删 除 被 动 接 口, 从 列 表 中 选 中 需 要 删 除 的 被 动 接 口, 然 后 点 击 右 侧 的 删 除 按 钮 在 < 邻 居 > 标 签 页, 对 RIP 进 行 邻 居 配 置 选 项 说 明 邻 居 IP 在 文 本 框 中 输 入 邻 居 的 IP 地 址 添 加 删 除 点 击 添 加 按 钮, 添 加 已 配 置 的 邻 居 IP, 被 添 加 的 邻 居 IP 将 显 示 在 下 方 的 列 表 中 重 复 以 上 步 骤 添 加 更 多 邻 居 如 果 需 要 删 除 邻 居 IP, 从 列 表 中 选 中 需 要 删 除 的 邻 居 IP, 然 后 点 击 右 侧 的 删 除 按 钮 在 < 网 络 > 标 签 页, 对 RIP 进 行 网 络 配 置 选 项 说 明 网 络 (IP/ 掩 码 ) 在 文 本 框 中 输 入 网 络 的 IP 地 址 和 掩 码 添 加 删 除 点 击 添 加 按 钮, 添 加 已 配 置 的 网 络, 被 添 加 的 网 络 将 显 示 在 下 方 的 列 表 中 重 复 以 上 步 骤 添 加 更 多 网 络 如 果 需 要 删 除 网 络, 从 列 表 中 选 中 需 要 删 除 的 网 络, 然 后 点 击 右 侧 的 删 除 按 钮 在 < 距 离 > 标 签 页, 对 RIP 进 行 距 离 配 置 选 项 距 离 说 明 指 定 网 络 距 离, 范 围 是 1 到 255 该 处 指 定 的 距 离 优 先 级 高 于 RIP 实 例 基 本 配 置 中 的 缺 省 距 离 网 络 (IP/ 掩 码 ) 在 文 本 框 中 输 入 网 络 的 IP 地 址 和 掩 码 添 加 删 除 点 击 添 加 按 钮, 添 加 已 配 置 的 网 络 距 离, 被 添 加 的 网 络 距 离 将 显 示 在 下 方 的 列 表 中 重 复 以 上 步 骤 添 加 更 多 网 络 距 离 如 果 需 要 删 除 网 络 距 离, 从 列 表 中 选 中 需 要 删 除 的 网 络 距 离, 然 后 点 击 右 侧 的 删 除 按 钮 在 < 数 据 库 > 标 签 页, 查 看 RIP 路 由 数 据 库 该 数 据 库 中 储 存 了 所 有 可 达 目 的 网 络 的 路 由 条 目 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 RIP 路 由 条 目 将 会 显 示 在 RIP 路 由 列 表 中 102 第 6 章 高 级 路 由 功 能

123 注 意 : RIP 功 能 在 设 备 接 口 上 的 配 置 包 括 : 认 证 方 式 发 送 和 接 收 的 RIP 版 本 号 以 及 水 平 分 割 功 能 配 置 接 口 的 RIP 功 能, 请 参 阅 " 配 置 接 口 " 在 第 41 页 第 6 章 高 级 路 由 功 能 103

124 第 7 章 用 户 认 证 对 用 户 和 主 机 进 行 识 别, 即 为 认 证, 认 证 是 安 全 产 品 的 一 个 重 要 功 能 开 启 了 认 证 功 能 的 网 络 能 够 允 许 或 拒 绝 用 户 和 主 机 对 网 络 进 行 访 问 从 用 户 的 角 度 出 发, 认 证 可 以 分 为 : 位 于 企 业 内 网 的 用 户 通 过 认 证 访 问 互 联 网 该 方 式 下 的 认 证 支 持 以 下 几 种 : "Web 认 证 " 在 第 105 页 " 单 点 登 录 " 在 第 109 页 "802.1x 认 证 " 在 第 114 页 "PKI" 在 第 117 页 位 于 互 联 网 的 用 户 访 问 内 网 的 资 源 ( 通 常 使 用 VPN) "SSL VPN" 在 第 137 页 "IPSec VPN" 在 第 122 页 (IPSec VPN (radius 服 务 器 )+Xauth) "L2TP VPN" 在 第 169 页 (L2TP over IPsec VPN) 用 户 认 证 流 程 用 户 通 过 终 端 与 防 火 墙 建 立 连 接, 防 火 墙 基 于 存 储 在 AAA 服 务 器 上 的 用 户 信 息 来 认 证 用 户 认 证 用 户 : 认 证 请 求 者 用 户 发 起 认 证 给 认 证 系 统, 并 输 入 用 户 名 和 口 令 认 证 系 统 ( 防 火 墙 ): 接 收 用 户 名 和 密 码, 并 向 认 证 服 务 器 发 送 认 证 请 求 认 证 系 统 在 认 证 用 户 和 认 证 服 务 器 之 间 充 当 代 理 角 色 "AAA 服 务 器 " 在 第 186 页 : 认 证 服 务 器 该 服 务 器 可 以 存 储 用 户 的 相 关 信 息, 如 用 户 名 称 用 户 口 令 等 它 收 到 合 法 请 求 后, 判 断 用 户 是 否 有 权 使 用 网 络 资 源, 并 向 认 证 系 统 返 回 认 证 结 果 有 关 认 证 服 务 器 的 信 息, 请 参 考 "AAA 服 务 器 " 在 第 186 页 认 证 服 务 器 分 为 以 下 四 种 : 本 地 服 务 器 (Local) Radius 服 务 器 LDAP 服 务 器 AD 服 务 器 第 7 章 用 户 认 证 104

125 Web 认 证 Web 认 证 功 能 用 来 对 通 过 设 备 访 问 Internet 的 用 户 进 行 身 份 认 证 配 置 Web 认 证 功 能 后, 打 开 浏 览 器 访 问 互 联 网 页 面 会 被 重 定 向 到 Web 认 证 登 录 页 面, 用 户 需 要 在 该 页 面 提 供 正 确 的 用 户 名 和 密 码 ;Web 认 证 成 功 后, 系 统 会 按 照 策 略 配 置 给 IP 地 址 分 配 角 色, 从 而 实 现 设 备 对 不 同 用 户 的 访 问 控 制 普 通 Web 认 证 : 普 通 Web 认 证 是 指 通 过 打 开 认 证 界 面 进 行 认 证 的 方 式 " 单 点 登 录 " 在 第 109 页 : 单 点 登 录 (Single Sign On) 认 证 方 式 是 简 化 的 Web 认 证 流 程, 用 户 只 要 通 过 AAA 服 务 器 的 认 证, 不 需 要 打 开 认 证 界 面, 即 可 以 通 过 Web 认 证 SSO 认 证 需 要 进 行 Web 认 证 的 用 户 所 在 的 服 务 器 为 Active Directory 认 证 服 务 器 单 点 登 录 有 三 种 实 现 方 式, 这 三 种 方 式 互 相 独 立, 均 可 实 现 不 输 入 用 户 名 密 码 的 认 证 Security Agent 方 式 AD 服 务 器 上 安 装 登 录 脚 本 方 式 基 于 AD 服 务 器 的 SSO-NTLM 方 式 使 用 向 导 配 置 W eb 认 证 Web 认 证 向 导 可 以 帮 助 用 户 方 便 快 捷 的 配 置 Web 认 证 功 能 如 果 您 是 初 级 用 户, 可 参 考 使 用 向 导 的 完 成 Web 认 证 的 配 置 使 用 向 导 的 前 提 是 系 统 中 已 经 配 置 好 AAA 服 务 器, 且 AAA 服 务 器 中 已 有 需 要 被 认 证 的 用 户 信 息 ( 参 见 AAA 服 务 器 ) 1. 点 击 网 络 > 认 证 管 理, 进 入 认 证 管 理 主 窗 口 2. 点 击 主 窗 口 右 上 角 的 Web 认 证 向 导 3. 弹 出 <Web 认 证 配 置 向 导 > 对 话 框 在 该 对 话 框 内 跟 随 向 导 按 步 骤 填 写, 即 可 完 成 配 置 参 数 配 置 认 证 模 式 指 定 Web 认 证 模 式, 分 为 普 通 认 证 (HTTP/HTTPS) 和 单 点 登 录 认 证 (SSO- NTLM) 若 选 择 普 通 认 证, 第 一 次 访 问 互 联 网 时 需 要 在 弹 出 的 认 证 界 面 输 入 用 户 名 105 第 7 章 用 户 认 证

126 参 数 配 置 和 密 码, 其 中, HTTP 模 式 和 HTTPS 模 式 分 别 代 表 认 证 界 面 与 安 全 设 备 之 间 的 通 信 协 议,HTTPS 为 加 密 协 议, 可 以 防 止 用 户 信 息 被 窃 取 ; 若 选 择 SSO-NTLM, 用 户 不 会 看 到 认 证 界 面, 认 证 过 程 为 AAA 服 务 器 自 动 获 取 用 户 本 地 PC 端 的 登 录 用 户 信 息, 验 证 用 户 身 份 认 证 用 户 AAA 服 务 器 策 略 配 置 指 定 认 证 用 户 所 属 的 AAA 服 务 器 该 步 骤 的 前 提 是 防 火 墙 中 已 经 存 在 了 有 用 户 信 息 的 认 证 服 务 器, 具 体 可 参 见 AAA 认 证 服 务 器 源 安 全 域 指 定 使 用 Web 认 证 功 能 进 行 访 问 的 源 安 全 域 目 的 安 全 域 指 定 使 用 Web 认 证 功 能 进 行 访 问 的 目 的 安 全 域 DNS 安 全 域 指 定 策 略 的 DNS 安 全 域 4. 点 击 完 成 注 意 : 系 统 将 为 Web 认 证 生 成 默 认 的 三 条 策 略 规 则, 若 要 修 改 这 些 策 略, 例 如 设 定 只 能 在 某 个 时 间 段 开 启 web 认 证, 在 " 策 略 > 安 全 策 略 查 看 和 修 改 生 成 的 策 略 规 则 配 置 Web 认 证 后, 符 合 认 证 策 略 规 则 的 用 户 若 想 访 问 网 络, 需 要 提 供 正 确 的 用 户 名 和 密 码 ( 该 用 户 应 是 AAA 服 务 器 中 已 有 的 用 户 ) 通 过 认 证 后, 方 可 访 问 网 络 资 源 配 置 W eb 认 证 的 全 局 参 数 Web 认 证 的 全 局 参 数 是 对 所 有 使 用 Web 认 证 的 策 略 生 效 的 通 用 参 数 : 1. 点 击 网 络 > 认 证 管 理, 进 入 认 证 管 理 主 窗 口 2. 在 <Web 认 证 > 标 签 页 对 Web 认 证 功 能 进 行 详 细 设 定 认 证 模 式 认 证 模 式 认 证 模 式 分 为 普 通 认 证 (HTTP/HTTPS) 和 单 点 登 录 认 证 (SSO-NTLM) 若 选 择 普 通 认 证, 第 一 次 访 问 互 联 网 时 需 要 在 弹 出 的 认 证 界 面 输 入 用 户 名 和 密 码, 其 中, HTTP 模 式 和 HTTPS 模 式 分 别 代 表 认 证 界 面 与 安 全 设 备 之 间 的 通 信 协 议,HTTPS 为 加 密 协 议, 可 以 防 止 用 户 信 息 被 窃 取 ; 若 选 择 SSO-NTLM, 用 户 不 会 看 到 认 证 界 面, 认 证 过 程 为 安 全 设 备 自 动 获 取 用 户 本 地 PC 端 的 登 录 用 户 信 息, 验 证 用 户 身 份 具 体 请 参 见 " 单 点 登 录 " 在 第 109 页 若 选 择 无,Web 认 证 功 能 关 闭 第 7 章 用 户 认 证 106

127 认 证 模 式 用 户 登 录 同 一 用 户 设 定 是 否 允 许 同 一 用 户 帐 户 在 多 个 客 户 端 同 时 登 录 更 多 配 置 空 闲 超 时 时 间 客 户 端 心 跳 超 时 如 果 不 允 许 多 客 户 端 同 时 登 录, 可 选 择 强 迫 已 经 登 录 的 用 户 登 出, 或 者 禁 止 再 次 登 录 如 果 允 许 多 客 户 端 同 时 登 录, 那 么 可 以 限 制 同 时 登 录 的 客 户 端 个 数 是 指 认 证 成 功 页 面 在 无 流 量 状 态 下 能 够 保 持 连 接 状 态 的 最 长 时 间, 超 出 空 闲 超 时 时 间 后, 将 会 断 开 连 接 指 定 客 户 端 超 时 时 间 认 证 成 功 后, 系 统 会 在 超 时 时 间 结 束 前 对 认 证 成 功 页 面 进 行 自 动 刷 新, 确 认 登 录 信 息 重 认 证 时 间 间 隔 用 户 再 一 次 输 入 认 证 信 息 的 时 间 间 隔 强 制 重 登 录 间 隔 系 统 可 强 制 用 户 在 登 录 超 过 设 定 时 间 后, 必 须 重 新 登 录 重 定 向 URL 重 定 向 URL 是 指 当 客 户 端 发 送 HTTP 网 页 访 问 请 求 后, 系 统 自 动 将 该 请 求 重 新 定 向 到 指 定 的 页 面 URL 地 址 格 式 为 或 abc.com 注 意 : 系 统 可 以 通 过 在 URL 地 址 中 指 定 用 户 名 和 密 码, 当 用 户 指 定 的 重 定 向 URL 页 面 为 内 网 中 需 认 证 的 应 用 系 统 页 面 时, 无 需 再 次 认 证 便 可 以 正 常 访 问 应 用 系 统 对 应 的 关 键 字 为 $USER,$PWD 或 $HASHPWD 参 数 ( 通 常 $PWD 和 $HASHPWD 参 数 二 选 一 即 可 ) 例 如 : example.- com/oa/login.do?username=$user&password=$hashpwd 3. 点 击 应 用 使 配 置 生 效 修 改 认 证 界 面 的 图 片 认 证 界 面 是 PC 端 打 开 网 页 时 被 重 定 向 的 界 面, 在 该 页 面 中 要 求 用 户 只 输 入 用 户 名 和 密 码 系 统 有 默 认 的 认 证 界 面 图 片, 也 支 持 用 户 自 定 义 该 图 片 1. 点 击 网 络 > 认 证 管 理, 然 后 在 右 上 角 点 击 Web 认 证 登 录 页 面 2. 在 弹 出 的 对 话 框 中, 点 击 浏 览 按 钮, 然 后 选 择 用 于 界 面 的 图 片 3. 点 击 上 传 按 钮, 将 图 片 导 入 到 系 统 107 第 7 章 用 户 认 证

128 注 意 : 认 证 界 面 的 图 片 要 符 合 以 下 规 定 : 文 件 名 必 须 为 login_page_bg_en.gif ( 用 于 英 文 登 录 页 面 ) 或 login_page_bg_cn.gif ( 用 于 中 文 登 录 页 面 ), 所 有 图 片 的 分 辨 率 应 为 624px * 376px( 不 符 合 该 分 辨 率 的 图 片 将 被 压 缩 或 拉 伸 ), 并 且 只 有 将 图 片 压 缩 到 zip 包 后 才 能 上 载 ( 可 将 两 种 界 面 的 图 片 压 缩 到 同 一 个 zip 文 件 中, 也 可 以 分 别 压 缩 和 上 传 ) 第 7 章 用 户 认 证 108

129 单 点 登 录 单 点 登 录 (SSO,Single Sign-On) 是 Web 认 证 的 一 种, 与 普 通 Web 认 证 需 要 触 发 浏 览 器 进 行 认 证 的 方 式 不 同, 单 点 登 录 认 证 能 够 直 接 验 证 PC 端 的 开 机 用 户 信 息, 如 果 用 户 信 息 与 AAA 服 务 器 所 存 信 息 相 符, 则 通 过 该 用 户 认 证, 用 户 即 可 以 实 现 免 认 证 上 网 StoneOS 系 统 的 单 点 认 证 所 使 用 的 AAA 服 务 器 只 能 是 AD 服 务 器 单 点 登 录 有 三 种 实 现 方 式, 这 三 种 方 式 互 相 独 立, 均 可 实 现 免 输 入 认 证 安 装 Security Agent 方 式 : 在 AD 服 务 器 或 其 他 PC 上 安 装 Agent 软 件, 通 过 软 件 将 用 户 信 息 发 送 给 StoneOS 系 统, 实 现 用 户 的 免 登 录 适 用 于 网 络 管 理 员 不 希 望 修 改 AD 服 务 器 的 场 景 AD 服 务 器 上 安 装 登 录 脚 本 方 式 : 在 AD 服 务 器 上 安 装 脚 本 文 件, 通 过 脚 本 文 件 将 上 线 用 户 发 送 给 StoneOS 系 统 适 用 于 对 统 计 监 控 的 准 确 度 要 求 较 高 且 不 介 意 修 改 AD 服 务 器 的 网 络 管 理 员 基 于 AD 服 务 器 的 SSO-NTLM 方 式 : 依 旧 需 要 触 发 浏 览 器, 但 浏 览 器 可 以 将 用 户 信 息 自 动 发 送 给 认 证 服 务 器 该 认 证 方 式 可 以 与 Web 认 证 相 结 合, 在 SSO 认 证 失 败 时, 要 求 用 户 手 动 输 入 用 户 名 和 密 码, 进 行 二 次 认 证 使 用 Securit y Agent 实 现 单 点 登 录 安 装 并 成 功 运 行 Security Agent 后, 当 域 用 户 从 Active-Directory 服 务 器 登 录 时,Security Agent 会 记 录 该 用 户 的 用 户 名 IP 地 址 上 线 时 间 等 信 息 发 送 到 OS 用 户 请 联 系 技 术 支 持 人 员 获 得 下 载 Security Agent 安 装 程 序 的 链 接 地 址 1. 下 载 Security Agent 安 装 程 序 后, 拷 贝 到 内 网 的 一 台 PC 机 或 服 务 器 上, 双 击 打 开 Setup.exe 2. 按 照 安 装 向 导 提 示 逐 步 安 装 直 至 完 成 3. 使 用 以 下 两 种 方 法 启 动 Security Agent 软 件 : 双 击 桌 面 的 Security Agent Configuration Tool 快 捷 方 式, 系 统 弹 出 <Security Agent Configuration Tool> 对 话 框 点 击 开 始 菜 单 中 的 所 有 程 序 Security Agent > Security Agent Configuration Tool, 系 统 弹 出 <Security Agent Configuration Tool> 对 话 框 4. ( 可 选 配 置 ) 点 击 <General> 标 签 页, 在 Agent Port 文 本 框 输 入 监 听 端 口 号, 防 火 墙 通 过 该 端 口 与 Security Agent 建 立 通 信 连 接 取 值 范 围 为 1025 到 系 统 默 认 为 6666 此 处 指 定 的 端 口 号 必 须 和 防 火 墙 中 指 定 的 Security Agent 监 听 端 口 号 一 致 5. ( 可 选 配 置 ) 点 击 <Exception User List> <Exception IP List> 或 <Exception Host List> 标 签 页, 设 置 不 需 要 进 行 监 控 的 对 109 第 7 章 用 户 认 证

130 象, 包 括 例 外 用 户 例 外 IP 和 例 外 主 机 通 过 在 AD 服 务 器 上 安 装 脚 本 程 序 进 行 单 点 登 录 通 过 在 AD 域 服 务 器 上 安 装 一 个 脚 本 程 序, 能 够 实 时 传 送 用 户 信 息 给 StoneOS 系 统 当 用 户 上 下 线 时, 登 录 和 注 销 的 行 为 会 触 发 该 脚 本 程 序, 脚 本 程 序 发 送 信 息 给 StoneOS 系 统, 完 成 免 输 入 认 证, 且 记 录 该 用 户 的 上 下 线 行 为 在 AD 服 务 器 上 配 置 脚 本 程 序 方 法 如 下 : 1. 用 户 从 技 术 支 持 人 员 处 获 得 脚 本 程 序 ( 名 称 为 Logonscript.exe ), 然 后 将 该 脚 本 存 放 在 域 成 员 均 有 权 限 访 问 的 路 径 下 2. 在 AD 服 务 器 上, 进 入 开 始 菜 单, 选 择 管 理 工 具 > Active Directory 用 户 与 计 算 机, 弹 出 <Active Directory 用 户 与 计 算 机 > 对 话 框 3. 右 键 点 击 要 应 用 单 点 登 录 的 域, 选 择 属 性, 然 后 点 击 < 组 策 略 > 标 签 页 第 7 章 用 户 认 证 110

131 4. 在 策 略 列 表 中, 双 击 要 应 用 单 点 登 录 的 组 策 略, 然 后 在 弹 出 的 < 组 策 略 编 辑 器 > 窗 口 中, 点 击 用 户 配 置 > Windows 设 置 > 脚 本 ( 登 录 / 注 销 ). 5. 双 击 右 侧 窗 口 的 登 录, 在 弹 出 的 < 登 录 属 性 > 对 话 框 中, 点 击 添 加 6. 在 弹 出 的 < 添 加 脚 本 > 对 话 框 中, 点 击 浏 览 选 择 脚 本 程 序 (logonscript.exe), 然 后 在 脚 本 参 数 处 输 入 StoneOS 系 统 的 认 证 接 口 地 址 IP 和 Logon 字 样 ( 以 空 格 隔 开 ) 7. 点 击 确 定 111 第 7 章 用 户 认 证

132 8. 同 样 的, 设 置 注 销 时 启 动 的 脚 本 程 序 方 法 同 步 骤 5-7, 注 意 输 入 脚 本 参 数 时, 命 令 为 Logoff 注 意 : 存 储 脚 本 程 序 的 目 录 必 须 保 证 所 有 域 用 户 均 具 有 访 问 权 限, 否 则 脚 本 程 序 不 能 被 触 发 开 启 SSO-N T L M 单 点 登 录 SSO-NTLM 单 点 登 录 仍 需 要 终 端 的 用 户 打 开 浏 览 器, 通 过 浏 览 器 去 触 发 认 证, 浏 览 器 将 用 户 PC 的 登 录 信 息 作 为 认 证 信 息 发 给 AD 服 务 器, 实 现 认 证 若 要 通 过 认 证 配 置 向 导 进 行 配 置, 那 么 SSO-NTLM 配 置 与 Web 认 证 相 同, 可 以 参 考 "Web 认 证 " 在 第 105 页 使 用 向 导 配 置 之 外,SSO-NTLM 功 能 还 需 要 配 置 以 下 两 个 步 骤 步 骤 一 : 在 StoneOS 系 统 上 进 行 配 置 1. 点 击 网 络 > 认 证 管 理, 进 入 认 证 管 理 主 窗 口 2. 选 择 SSO-NTLM 认 证 模 式 认 证 模 式 认 证 失 败 时 选 择 使 用 HTTP 认 证, 如 果 SSO-NTLM 认 证 失 败,, 用 户 仍 可 以 在 浏 览 器 页 面 中 手 动 输 入 用 户 名 和 密 码, 进 行 二 次 认 证 用 户 登 录 同 一 用 户 : 只 允 许 在 同 一 客 户 端 登 录 不 允 许 同 一 用 户 在 多 个 客 户 端 同 时 登 录 若 开 启 踢 出 已 登 录 用 户, 系 统 仅 允 许 一 个 用 户 登 录, 后 登 录 的 用 户 会 将 已 登 录 的 用 户 踢 出, 强 迫 已 登 录 用 户 下 线 ; 若 选 择 禁 止 同 名 用 户 再 次 登 录, 系 统 将 禁 止 同 一 用 户 再 次 登 录 同 一 用 户 : 允 许 多 个 客 户 端 同 时 登 录 若 选 择 不 限 制, 不 对 登 录 次 数 进 行 限 制 ; 若 选 择 允 许 登 录 数, 则 规 定 同 一 用 户 同 时 登 录 的 最 多 次 数 更 多 配 置 空 闲 超 时 时 间 是 指 认 证 成 功 页 面 在 无 流 量 状 态 下 能 够 保 持 连 接 状 态 的 最 长 时 间, 超 出 空 闲 超 时 时 间 后, 将 会 断 开 连 接 强 制 重 登 录 间 隔 系 统 可 强 制 用 户 在 一 段 时 间 后 重 新 登 录 3. 点 击 应 用 确 认 步 骤 二 : 在 用 户 PC 上 进 行 设 置 第 7 章 用 户 认 证 112

133 1. 在 用 户 的 PC 端, 打 开 浏 览 器 ( 以 IE 为 例 ) 2. 在 菜 单 栏, 点 击 工 具 > Internet 选 项 3. 在 弹 出 的 对 话 框 点 击 安 全 标 签 页, 然 后 点 击 自 定 义 级 别. 4. 在 弹 出 的 对 话 框 找 到 用 户 身 份 验 证, 然 后 选 择 自 动 使 用 当 前 用 户 名 和 密 码 登 录 5. 点 击 确 定 113 第 7 章 用 户 认 证

134 802. 1x 认 证 仅 有 部 分 平 台 支 持 该 功 能, 请 参 阅 您 产 品 的 功 能 列 表 802.1X 是 IEEE 为 解 决 基 于 端 口 的 接 入 控 制 (Port-Based Network Access Control) 而 定 义 的 一 个 标 准 它 采 用 基 于 二 层 的 认 证 方 式, 对 局 域 网 用 户 的 接 入 的 合 法 性 进 行 认 证 认 证 所 使 用 的 协 议 是 EAPOL(Extensible Authentication Protocol over LAN), 该 协 议 不 基 于 网 络 层, 而 是 基 于 二 层 的 认 证 方 式, 也 就 是 说, 防 火 墙 可 以 对 基 于 二 层 安 全 域 或 VLAN 端 口 启 用 802.1x 认 证, 只 要 指 定 的 MAC 地 址 或 端 口 通 过 认 证, 通 过 该 接 口 的 所 有 数 据 均 可 以 通 过 支 持 802.1x 的 认 证 服 务 器 是 本 地 认 证 服 务 器 (Local) 和 Radius 认 证 服 务 器, 其 他 认 证 服 务 器 (AD 或 LDAP) 不 支 持 802.1x 的 认 证 流 程 与 其 他 认 证 相 同, 请 参 考 " 第 7 章 用 户 认 证 " 在 第 104 页 配 置 x 认 证 完 整 的 配 置 802.1x 认 证 功 能 的 前 提 和 步 骤 要 点 如 下 : 前 期 准 备 : 开 始 配 置 802.1x 认 证 之 前, 防 火 墙 已 经 添 加 了 有 用 户 信 息 的 认 证 服 务 器 ( 本 地 或 Radius 认 证 服 务 器 ), 并 且, 用 于 认 证 的 二 层 或 VLAN 接 口 已 经 绑 定 了 安 全 域 配 置 步 骤 要 点 : 1. 创 建 802.1x profile 2. 配 置 允 许 访 问 的 策 略 规 则 修 改 PC 端 网 卡 的 属 性 : 通 过 802.1x 端 口 上 网 的 PC 需 要 在 本 地 的 网 卡 上 开 启 认 证 ( 右 键 点 击 LAN 网 口, 选 择 属 性, 在 认 证 标 签 页 选 择 MD5-Challenge, 确 定 后, 状 态 栏 弹 出 提 醒 气 泡, 输 入 用 户 名 和 密 码 即 可 通 过 认 证, 实 现 上 网 ) 注 意 : 配 置 PC 端 的 网 卡 时, 早 期 的 Windows 系 统 默 认 支 持 802.1x 认 证 方 式 但 Windows 7 和 Windows 8 系 统 并 非 缺 省 支 持, 请 PC 用 户 搜 寻 解 决 方 案, 修 改 网 卡 配 置 创 建 x p rofile 1. 点 击 网 络 > 802.1x 2. 在 主 窗 口 点 击 新 建, 弹 出 <802.1x 配 置 > 对 话 框 第 7 章 用 户 认 证 114

135 3. 在 < 基 本 配 置 > 标 签 页 填 写 基 本 信 息 基 本 信 息 802.1x 名 称 指 定 802.1x profile 的 名 称 接 口 指 定 802.1X 认 证 的 接 入 接 口, 接 口 应 是 二 层 接 口 或 者 是 VLAN AAA 服 务 器 指 定 802.1X 认 证 服 务 器, 支 持 本 地 认 证 服 务 器 和 RADIUS 认 证 服 务 器 接 入 模 式 指 定 802.1X 认 证 接 口 的 接 入 模 式 选 择 MAC 模 式 时,802.1X 认 证 的 接 入 接 口 下 连 接 的 所 有 客 户 端 都 必 须 通 过 认 证, 才 能 访 问 网 络 资 源 选 择 端 口 模 式 时,802.1X 认 证 的 接 入 接 口 下 连 接 的 所 有 客 户 端, 只 要 有 一 个 客 户 端 通 过 认 证, 即 可 访 问 网 络 资 源 4. 在 < 高 级 配 置 > 标 签 页 填 写 高 级 信 息 高 级 配 置 端 口 授 权 状 态 若 选 择 自 动, 认 证 系 统 将 依 据 802.1X 协 议 认 证 的 结 果 决 定 客 户 端 是 否 可 以 接 入 网 络 ; 若 选 择 强 制 不 授 权, 系 统 认 为 接 口 始 终 为 未 授 权 模 式, 任 何 客 户 端 都 无 法 与 之 建 立 连 接 重 认 证 周 期 静 默 周 期 重 传 次 数 服 务 器 超 时 客 户 端 超 时 输 入 认 证 系 统 进 行 重 认 证 的 时 间 间 隔 客 户 端 认 证 成 功 并 接 入 网 络 后, 认 证 系 统 在 该 时 间 后 对 客 户 端 进 行 重 认 证 取 值 范 围 为 0 至 秒, 默 认 值 为 3600 秒 如 果 取 值 为 0, 则 关 闭 重 认 证 功 能 输 入 认 证 系 统 处 于 静 默 状 态 的 秒 数 如 果 认 证 失 败, 认 证 系 统 需 要 静 默 该 时 间 段 后 再 重 新 处 理 同 一 客 户 端 的 请 求 取 值 范 围 为 0 至 秒, 默 认 值 为 60 秒 如 果 取 值 为 0, 认 证 系 统 将 一 直 处 理 同 一 客 户 端 的 请 求 指 定 重 传 次 数 如 果 认 证 系 统 初 次 向 客 户 端 发 送 认 证 请 求 帧 后, 在 规 定 的 时 间 内 没 有 收 到 客 户 端 的 响 应, 则 认 证 系 统 将 再 次 向 客 户 端 发 送 请 求 如 果 超 过 指 定 次 数, 则 放 弃 尝 试 取 值 范 围 为 1 至 10 次, 默 认 值 为 2 次 认 证 系 统 将 客 户 端 响 应 后 送 上 来 的 数 据 传 送 给 认 证 服 务 器, 如 果 在 服 务 器 超 时 时 间 结 束 时, 认 证 系 统 仍 未 收 到 认 证 服 务 器 的 应 答, 则 会 重 新 发 送 此 数 据 包 到 认 证 服 务 器 取 值 范 围 为 1 至 秒, 默 认 值 为 30 秒 当 认 证 系 统 向 客 户 端 发 送 请 求 报 文, 请 求 客 户 端 上 传 用 户 名 后, 客 户 端 需 要 在 指 定 时 间 内 向 认 证 系 统 发 送 应 答 报 文 如 果 未 在 指 定 的 客 户 端 超 时 时 间 内 完 成 发 送, 则 认 证 系 统 将 重 发 认 证 请 求 报 文 到 客 户 端 取 值 范 围 为 1 至 秒, 默 认 值 为 30 秒 5. 点 击 " 确 认 " x 的 全 局 配 置 全 局 参 数 对 所 有 的 802.1x profile 生 效 1. 点 击 网 络 > 802.1x, 然 后 在 主 窗 口 右 上 角, 点 击 全 局 配 置 115 第 7 章 用 户 认 证

136 2. 弹 出 的 < 全 局 配 置 > 对 话 框 在 弹 出 的 < 全 局 配 置 > 对 话 框 中, 设 定 所 有 802.1x profile 都 遵 守 的 参 数 选 项 说 明 最 大 用 户 数 系 统 端 口 允 许 同 时 接 入 客 户 端 数 量 最 大 值 同 一 账 户 同 时 登 录 根 据 是 否 允 许 同 一 账 户 从 不 同 的 远 端 登 录, 分 为 以 下 两 种 设 置 : 仅 允 许 一 台 PC 登 录 : 系 统 将 禁 止 同 一 用 户 在 多 个 客 户 端 登 录 同 时, 若 选 择 踢 出 已 登 录 用 户 单 选 按 钮, 同 一 用 户 再 次 登 录 时, 系 统 自 动 断 开 已 登 录 的 连 接 若 选 择 拒 绝 再 次 登 录 单 选 按 钮, 系 统 将 禁 止 已 登 录 用 户 的 再 次 登 录 允 许 多 台 PC 登 录 : 系 统 将 允 许 同 一 用 户 在 多 个 客 户 端 同 时 登 录 同 时, 若 选 择 无 限 制 单 选 按 钮, 系 统 将 不 对 同 一 用 户 名 的 登 录 次 数 做 限 制 若 选 择 允 许 登 录 数 并 赋 值, 系 统 将 限 制 最 大 同 时 登 录 客 户 端 数 量 重 新 认 证 时 间 配 置 已 通 过 802.1X 认 证 的 客 户 端 的 认 证 超 时 时 间 若 客 户 端 在 此 时 间 内 没 有 回 应 认 证 系 统, 则 需 要 再 次 申 请 认 证 取 值 范 围 为 180 至 86400, 默 认 值 为 300, 单 位 为 秒 3. 点 击 确 定 查 看 在 线 用 户 1. 点 击 网 络 > 802.1x, 在 主 窗 口 点 击 < 在 线 用 户 > 标 签 页 2. 主 窗 口 即 显 示 在 线 用 户 ; 设 置 过 滤 条 件 后, 点 击 搜 索 即 可 显 示 满 足 条 件 的 用 户 第 7 章 用 户 认 证 116

137 P KI PKI(Public Key Infrastructure) 即 公 钥 基 础 设 施, 是 提 供 公 钥 加 密 和 数 字 签 名 服 务 的 系 统, 目 的 是 为 了 自 动 管 理 密 钥 和 证 书, 保 证 网 上 数 据 信 息 传 输 的 机 密 性 真 实 性 完 整 性 和 不 可 否 认 性 PKI 采 用 证 书 进 行 公 钥 管 理, 通 过 第 三 方 的 可 信 任 机 构, 把 用 户 的 公 钥 和 用 户 的 其 它 标 识 信 息 捆 绑 在 一 起, 从 而 在 网 上 验 证 用 户 的 身 份 一 个 PKI 系 统 由 公 钥 密 码 技 术 (Public Key Cryptography) 证 书 认 证 机 构 (CA) 注 册 机 构 (RA) 数 字 证 书 (Digital Certificate) 和 相 应 的 PKI 存 储 库 组 成 以 下 介 绍 几 个 PKI 相 关 的 术 语 : 公 钥 密 码 技 术 : 用 户 使 用 公 钥 密 码 技 术 产 生 密 钥 对, 分 别 为 公 钥 (public key) 和 私 钥 (private key), 公 钥 向 外 界 公 开, 私 钥 则 自 己 保 留 公 钥 与 私 钥 互 为 补 充, 被 一 个 密 钥 加 密 的 数 据, 只 可 以 用 相 匹 配 的 另 外 一 个 密 钥 解 密 认 证 机 构 (CA): 是 一 个 向 个 人 计 算 机 或 任 何 其 它 实 体 颁 发 证 书 的 可 信 实 体 CA 受 理 证 书 服 务 申 请, 根 据 证 书 管 理 策 略 验 证 申 请 方 的 信 息, 然 后 用 其 私 钥 对 证 书 进 行 签 名, 并 颁 发 该 证 书 给 申 请 方 注 册 机 构 (RA):RA 是 CA 的 延 伸,RA 向 CA 转 发 证 书 服 务 申 请, 也 向 目 录 服 务 器 转 发 CA 颁 发 的 数 字 证 书 和 证 书 撤 消 列 表, 以 提 供 目 录 浏 览 和 查 询 服 务 证 书 撤 销 列 表 (CRL): 证 书 具 有 一 定 的 使 用 期 限, 但 是 由 于 密 钥 被 泄 露 业 务 终 止 等 原 因,CA 可 通 过 撤 销 证 书 缩 短 证 书 的 使 用 期 限 一 个 证 书 一 旦 被 撤 消, 证 书 中 心 就 要 公 布 CRL 来 声 明 该 证 书 是 无 效 的, 并 列 出 不 能 再 使 用 的 证 书 的 序 列 号 StoneOS 系 统 在 以 下 功 能 模 块 中 可 以 使 用 PKI 认 证 方 式 : IKE VPN: 建 立 IKE VPN 时, 支 持 PKI 认 证 HTTPS/SSH: 使 用 HTTPS 或 者 SSH 方 式 访 问 Hillstone 设 备 时, 支 持 PKI 认 证 创 建 PK I 密 钥 1. 点 击 系 统 > PKI 2. 点 击 新 建 按 钮, 弹 出 <PKI 密 钥 配 置 > 对 话 框 在 该 对 话 框 中 配 置 参 数 选 项 说 明 标 签 密 钥 对 的 名 称, 该 名 称 在 系 统 中 应 该 是 唯 一 的 类 型 模 长 密 钥 对 的 类 型, 可 以 是 RSA 或 者 DSA 密 钥 对 的 模 长, 单 位 为 比 特 可 选 项 有 1024( 系 统 默 认 值 ) 和 点 击 确 定 117 第 7 章 用 户 认 证

138 创 建 信 任 域 1. 点 击 系 统 > PKI, 然 后 点 击 信 任 域 标 签 页 2. 点 击 新 建, 弹 出 < 新 建 信 任 域 > 对 话 框 在 < 基 本 配 置 > 标 签 页 填 写 信 任 域 的 基 本 参 数 基 本 信 任 域 输 入 信 任 域 的 名 称 证 书 获 取 方 式 即 CA 中 心 的 证 书 信 息, 根 据 CA 中 心 的 不 同, 可 选 择 以 下 两 种 方 式 之 一 : 密 钥 对 为 信 任 域 指 定 密 钥 对 主 题 若 选 择 外 部 的 CA 认 证 中 心, 选 择 手 动 输 入 然 后 点 击 浏 览 按 钮, 在 打 开 的 对 话 框 中 找 到 CA 证 书 所 在 路 径, 点 击 导 入 将 CA 证 书 导 入 到 系 统 中 ; 若 使 用 当 前 防 火 墙 作 为 CA 认 证 中 心, 选 择 自 签 名 证 书 名 称 指 定 被 认 证 的 单 位 名 称 可 选 配 置 国 家 ( 地 区 ) 指 定 国 家 ( 地 区 ) 名 称 国 家 名 称 只 能 包 含 两 个 字 符, 如 CN 可 选 配 置 位 置 指 定 所 在 位 置 可 选 配 置 州 / 省 指 定 州 或 者 省 的 名 称 可 选 配 置 机 构 指 定 机 构 名 称 可 选 配 置 机 构 单 元 指 定 机 构 单 元 名 称 可 选 配 置 3. 点 击 申 请 证 书 链 接, 系 统 将 生 成 一 串 代 码 第 7 章 用 户 认 证 118

139 4. 复 制 这 串 代 码, 发 送 给 CA 认 证 中 心 5. 取 回 CA 认 证 中 心 发 回 的 证 书, 点 击 < 本 地 证 书 > 处 的 浏 览 按 钮 找 到 将 该 证 书 的 路 径, 然 后 点 击 导 入 按 钮 将 该 证 书 导 入 6. ( 可 选 ) 在 < 证 书 吊 销 列 表 > 标 签 页 配 置 与 CRL 有 关 的 参 数 证 书 吊 销 列 表 (CRL) 检 查 不 检 查 - 安 全 设 备 不 检 查 CRL 该 选 项 为 默 认 选 项 可 选 - 即 使 CRL 不 可 用, 安 全 网 关 仍 然 可 以 接 受 对 端 的 认 证 强 制 - 只 有 CRL 可 用 时, 才 可 以 接 收 对 端 认 证 URL 1-3 指 定 获 得 CRL 信 息 的 URL 系 统 最 多 支 持 3 个 URL, 最 先 使 用 URL1, 依 次 为 URL2 URL3 自 动 更 新 CRL 列 表 的 自 动 刷 新 频 率 选 择 指 定 通 过 HTTP 方 式 获 得 CRL 信 息 ; 选 择 ldap://, 指 定 通 过 LDAP 方 式 获 得 CRL 信 息 如 果 通 过 LDAP 方 式 获 得 CRL 信 息, 请 输 入 LDAP 服 务 器 的 登 录 DN ( 通 常 为 LDAP 服 务 器 预 设 的 具 有 查 询 权 限 的 用 户 账 号 ) 和 登 录 DN 的 密 码 若 不 配 置 该 选 项, 默 认 通 过 匿 名 方 式 获 得 CRL 手 动 更 新 通 过 手 动 点 击 获 取 CRL 的 方 式 更 新 CRL 列 表 7. 点 击 确 定 按 钮 导 入 导 出 信 任 域 的 信 息 为 简 化 配 置, 用 户 可 以 将 PKI 信 任 域 的 证 书 (CA 证 书 和 本 地 证 书 ) 以 及 本 地 证 书 对 应 的 私 钥 信 息 以 PKSC12 格 式 从 一 台 设 备 上 导 出, 然 后 再 导 入 到 另 外 一 台 设 备 导 出 PKI 信 任 域 信 息, 按 照 以 下 步 骤 进 行 : 1. 选 择 系 统 > PKI, 然 后 点 击 < 管 理 > 标 签 页 2. 从 信 任 域 下 拉 菜 单 选 择 要 导 出 的 信 任 域 119 第 7 章 用 户 认 证

140 3. 选 择 要 导 出 的 对 象, 然 后 选 择 导 出 单 选 按 钮 若 导 出 的 对 象 是 加 密 标 准, 需 要 设 定 密 码 4. 点 击 确 定 按 钮 后, 下 载 对 话 框 将 出 现, 选 择 保 存 路 径 即 可 下 载 相 应 信 息 将 导 出 的 信 任 域 信 息 导 入 到 另 一 台 设 备 中, 按 照 以 下 步 骤 操 作 : 1. 选 择 系 统 > PKI, 然 后 点 击 < 管 理 > 标 签 页 2. 从 信 任 域 下 拉 菜 单 选 择 要 被 导 入 的 信 任 域 3. 选 择 要 导 入 的 对 象 类 型, 然 后 选 择 导 入 单 选 按 钮 若 导 入 的 对 象 是 加 密 标 准, 需 要 输 入 导 出 时 为 文 件 设 定 的 密 码 4. 点 击 浏 览 按 钮 后, 找 到 文 件 路 径, 选 中 要 导 入 的 文 件 5. 点 击 确 定 按 钮 完 成 导 入 第 7 章 用 户 认 证 120

141 第 8 章 VPN 系 统 支 持 如 下 VPN 功 能 : "IPSec VPN" 在 第 122 页 :IPSec 是 IETF 制 定 的 三 层 隧 道 加 密 协 议, 它 为 互 联 网 上 传 输 的 数 据 提 供 了 高 质 量 的 基 于 密 码 学 的 安 全 保 证, 是 一 种 传 统 的 实 现 三 层 VPN 的 安 全 技 术 IPSec 通 过 在 特 定 通 信 方 之 间 ( 例 如 两 个 安 全 设 备 之 间 ) 建 立 通 道, 来 保 护 通 信 方 之 间 传 输 的 用 户 数 据, 该 通 道 通 常 称 为 IPSec 隧 道 "SSL VPN" 在 第 137 页 :SSL VPN 是 以 HTTPS 为 基 础 的 VPN 技 术, 充 分 利 用 了 SSL 协 议 提 供 的 基 于 证 书 的 身 份 认 证 数 据 加 密 和 消 息 完 整 性 验 证 机 制, 可 以 为 通 信 建 立 安 全 连 接 "L2TP VPN" 在 第 169 页 :L2TP 是 VPDN(Virtual Private Dial-up Network, 虚 拟 私 有 拨 号 网 ) 隧 道 协 议 的 一 种 VPDN 是 指 利 用 公 共 网 络 的 拨 号 功 能 接 入 公 共 网 络, 实 现 虚 拟 专 用 网, 从 而 为 企 业 小 型 ISP 移 动 办 公 人 员 等 提 供 接 入 服 务 即, VPDN 为 远 端 用 户 与 私 有 企 业 网 之 间 提 供 了 一 种 经 济 而 有 效 的 点 到 点 连 接 方 式 第 8 章 VPN 121

142 IP Sec VP N IPSec 是 为 实 现 VPN 功 能 而 使 用 的 协 议 IPSec 给 出 了 应 用 于 IP 层 上 网 络 数 据 安 全 的 一 整 套 体 系 结 构 该 体 系 结 构 包 括 认 证 头 协 议 (Authentication Header, 简 称 为 AH) 封 装 安 全 负 载 协 议 (Encapsulating Security Payload, 简 称 为 ESP) 密 钥 管 理 协 议 (Internet Key Exchange, 简 称 为 IKE) 和 用 于 网 络 认 证 及 加 密 的 一 些 算 法 等 IPSec 规 定 了 如 何 在 对 等 体 之 间 选 择 安 全 协 议 确 定 安 全 算 法 和 密 钥 交 换, 向 上 提 供 了 访 问 控 制 数 据 源 认 证 数 据 加 密 等 网 络 安 全 服 务 I PSec VPN 基 础 概 念 安 全 联 盟 IPSec 在 两 个 端 点 之 间 提 供 安 全 通 信, 两 个 端 点 被 称 为 IPSec ISAKMP 网 关 安 全 联 盟 (Security Association, 简 称 为 SA) 是 IPSec 的 基 础, 也 是 IPSec 的 本 质 SA 是 通 信 对 等 体 间 对 某 些 要 素 的 约 定, 例 如 使 用 哪 种 协 议 协 议 的 操 作 模 式 加 密 算 法 (DES 3DES AES-128 AES-192 和 AES-256) 特 定 流 中 保 护 数 据 的 共 享 密 钥 以 及 SA 的 生 存 周 期 等 安 全 联 盟 是 单 向 的, 在 两 个 对 等 体 之 间 的 双 向 通 信, 最 少 需 要 两 个 安 全 联 盟 来 分 别 对 两 个 方 向 的 数 据 流 进 行 安 全 保 护 建 立 安 全 联 盟 的 方 式 有 两 种, 一 种 是 手 工 方 式 (Manual), 一 种 是 IKE 自 动 协 商 (ISAKMP) 方 式 封 装 方 式 IPSec 有 如 下 两 种 工 作 模 式 : 隧 道 (tunnel) 模 式 : 用 户 的 整 个 IP 数 据 包 被 用 来 计 算 AH 或 ESP 头,AH 或 ESP 头 以 及 ESP 加 密 的 用 户 数 据 被 封 装 在 一 个 新 的 IP 数 据 包 中 通 常, 隧 道 模 式 应 用 在 两 台 设 备 之 间 的 通 讯 传 输 (transport) 模 式 : 只 是 传 输 层 数 据 被 用 来 计 算 AH 或 ESP 头,AH 或 ESP 头 以 及 ESP 加 密 的 用 户 数 据 被 放 置 在 原 IP 包 头 后 面 通 常, 传 输 模 式 应 用 在 两 台 主 机 之 间 的 通 讯, 或 一 台 主 机 和 一 台 设 备 之 间 的 通 讯 协 商 方 式 手 工 方 式 配 置 比 较 复 杂, 创 建 安 全 联 盟 所 需 的 全 部 信 息 都 必 须 手 工 配 置, 而 且 IPSec 的 一 些 高 级 特 性 ( 例 如 定 时 更 新 密 钥 ) 不 能 被 支 持, 但 优 点 是 可 以 不 依 赖 IKE 而 单 独 实 现 IPSec 功 能 该 方 式 适 用 于 当 与 之 进 行 通 信 的 对 等 体 设 备 数 量 较 少 的 情 况, 或 是 IP 地 址 相 对 固 定 的 环 境 中 IKE 自 动 协 商 方 式 相 对 比 较 简 单, 只 需 要 配 置 好 IKE 协 商 安 全 策 略 的 信 息, 由 IKE 自 动 协 商 来 创 建 和 维 护 安 全 联 盟 该 方 式 适 用 于 中 大 型 的 动 态 网 络 环 境 中 该 方 式 建 立 SA 的 过 程 分 两 个 阶 段 第 一 阶 段, 协 商 创 建 一 个 通 信 信 道 (ISAKMP SA), 并 对 该 信 道 进 行 认 证, 为 双 方 进 一 步 的 IKE 通 信 提 供 机 密 性 数 据 完 整 性 以 及 数 据 源 认 证 服 务 ; 第 二 阶 段, 使 用 已 建 立 的 ISAKMP SA 建 立 IPSec SA 分 两 个 阶 段 来 完 成 这 些 服 务 有 助 于 提 高 密 钥 交 换 的 速 度 引 用 IPS ec VPN 设 备 通 过 基 于 策 略 的 VPN 和 基 于 路 由 的 VPN 两 种 方 式 把 配 置 好 的 VPN 隧 道 调 用 到 设 备 上, 实 现 流 量 的 加 密 解 密 安 全 传 输 基 于 策 略 的 VPN: 将 配 置 成 功 的 VPN 隧 道 名 称 引 用 到 策 略 规 则 中, 使 符 合 条 件 的 流 量 通 过 指 定 的 VPN 隧 道 进 行 传 输 基 于 路 由 的 VPN: 将 配 置 成 功 的 VPN 隧 道 与 隧 道 接 口 绑 定 ; 配 置 静 态 路 由 时, 将 隧 道 接 口 指 定 为 下 一 跳 路 由 122 第 8 章 VPN

143 配 置 I K E VPN IKE 自 动 协 商 方 式 相 对 比 较 简 单, 只 需 要 配 置 好 IKE 协 商 安 全 策 略 的 信 息, 由 IKE 自 动 协 商 来 创 建 和 维 护 安 全 联 盟 该 方 式 适 用 于 中 大 型 的 动 态 网 络 环 境 中 该 方 式 建 立 SA 的 过 程 分 两 个 阶 段 第 一 阶 段, 协 商 创 建 一 个 通 信 信 道 (ISAKMP SA), 并 对 该 信 道 进 行 认 证, 为 双 方 进 一 步 的 IKE 通 信 提 供 机 密 性 数 据 完 整 性 以 及 数 据 源 认 证 服 务 ; 第 二 阶 段, 使 用 已 建 立 的 ISAKMP SA 建 立 IPSec SA 分 两 个 阶 段 来 完 成 这 些 服 务 有 助 于 提 高 密 钥 交 换 的 速 度 配 置 IKE VPN, 需 要 确 认 第 一 阶 段 提 议, 第 二 阶 段 提 议, 以 及 VPN 对 端 信 息 确 认 这 三 部 分 内 容 后, 可 继 续 完 成 IKE VPN 的 配 置 配 置 P1 提 议 P1 提 议 用 来 协 商 IKE SA 配 置 P1 协 议, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > IPSec VPN, 进 入 IPSec VPN 页 面 2. 在 <IKE VPN 配 置 > 部 分, 点 击 左 上 方 的 <P1 提 议 > 标 签 页 3. 点 击 <P1 提 议 > 左 上 方 的 新 建 按 钮, 弹 出 < 阶 段 1 提 议 配 置 > 对 话 框 在 < 阶 段 1 提 议 配 置 > 对 话 框, 填 写 相 关 配 置 信 息 选 项 说 明 提 议 名 称 指 定 P1 提 议 的 名 称 认 证 指 定 IKE 身 份 认 证 的 方 式 身 份 认 证 用 来 确 认 通 信 双 方 的 身 份 方 式 有 三 种 : 预 共 享 密 钥 认 证 (Pre-Shared key) RSA Signature 和 DSA Signature, 系 统 默 认 为 预 共 享 密 钥 认 证 对 于 预 共 享 密 钥 认 证 方 式, 认 证 字 用 来 作 为 一 个 输 入 产 生 密 钥, 认 证 字 不 同 是 不 可 能 在 双 方 产 生 相 同 的 密 钥 的 验 证 算 法 为 P1 提 议 指 定 验 证 算 法 选 中 所 需 验 证 算 法 的 单 选 按 钮 加 密 算 法 P1 提 议 指 定 加 密 算 法 MD5 指 定 使 用 MD5 验 证 算 法 摘 要 为 128 比 特 SHA 指 定 使 用 SHA 验 证 算 法 摘 要 为 160 比 特 该 算 法 为 系 统 的 默 认 算 法 SHA-256 指 定 使 用 SHA-256 验 证 算 法 摘 要 为 256 比 特 SHA-384 指 定 使 用 SHA-384 验 证 算 法 摘 要 为 384 比 特 SHA-512 指 定 使 用 SHA-512 验 证 算 法 摘 要 为 512 比 特 3DES - 指 定 使 用 3DES 加 密 方 法 密 钥 长 度 为 192 比 特 该 方 法 为 系 统 默 认 方 法 DES 指 定 使 用 DES 加 密 方 法 密 钥 长 度 为 64 比 特 AES 指 定 使 用 AES 加 密 方 法 密 钥 长 度 为 128 比 特 AES-192 指 定 使 用 192bit AES 加 密 方 法 密 钥 长 度 为 192 比 特 AES-256 指 定 使 用 256bit AES 加 密 方 法 密 钥 长 度 为 256 比 特 第 8 章 VPN 123

144 选 项 说 明 DH 组 P1 提 议 选 择 DH 组 Group1 选 择 DH 组 1 密 钥 的 长 度 为 768 比 特 Group2 选 择 DH 组 2 密 钥 的 长 度 为 1024 比 特 2 为 系 统 默 认 值 Group5 选 择 DH 组 5 密 钥 的 长 度 为 1536 比 特 生 存 时 间 指 定 SA 第 一 阶 段 的 生 命 周 期 长 度, 单 位 为 秒 默 认 秒 范 围 是 300 到 秒 在 文 本 框 中 输 入 生 命 周 期 的 时 间 值 如 果 SA 生 命 期 时 间 到, 要 向 对 方 发 送 第 一 阶 段 SA 删 除 消 息, 通 知 对 方 第 一 阶 段 SA 已 经 过 期 之 后 需 要 重 新 进 行 SA 协 商 4. 点 击 确 定 完 成 配 置 配 置 P2 提 议 P2 提 议 用 来 协 商 IPSec SA 配 置 P2 协 议, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > IPSec VPN, 进 入 IPSec VPN 页 面 2. 在 <IKE VPN 配 置 > 部 分, 点 击 左 上 方 的 <P2 提 议 > 标 签 页 3. 点 击 <P2 提 议 > 列 表 左 上 方 的 新 建 按 钮, 弹 出 < 阶 段 2 提 议 配 置 > 对 话 框 在 < 阶 段 2 提 议 配 置 > 对 话 框, 填 写 相 关 配 置 信 息 选 项 说 明 提 议 名 称 指 定 或 者 显 示 P2 提 议 的 名 称 协 议 为 P2 提 议 指 定 协 议 类 型 可 以 为 ESP 或 者 AH, 系 统 默 认 为 ESP 验 证 算 法 为 P2 提 议 指 定 第 一 验 证 算 法 用 户 最 多 可 以 为 P2 提 议 指 定 3 种 验 证 算 法 MD5 指 定 使 用 MD5 验 证 算 法 摘 要 为 128 比 特 SHA 指 定 使 用 SHA 验 证 算 法 摘 要 为 160 比 特 该 算 法 为 系 统 的 默 认 算 法 SHA-256 指 定 使 用 SHA-256 验 证 算 法 摘 要 为 256 比 特 SHA-384 指 定 使 用 SHA-384 验 证 算 法 摘 要 为 384 比 特 SHA-512 指 定 使 用 SHA-512 验 证 算 法 摘 要 为 512 比 特 NULL - 不 使 用 验 证 功 能 加 密 算 法 为 P2 提 议 指 定 第 一 加 密 算 法 用 户 最 多 可 以 为 P2 提 议 指 定 4 种 加 密 算 法 3DES - 指 定 使 用 3DES 加 密 方 法 密 钥 长 度 为 192 比 特 该 方 法 为 系 统 默 认 方 法 DES 指 定 使 用 DES 加 密 方 法 密 钥 长 度 为 64 比 特 124 第 8 章 VPN

145 选 项 说 明 AES 指 定 使 用 AES 加 密 方 法 密 钥 长 度 为 128 比 特 AES-192 指 定 使 用 192bit AES 加 密 方 法 密 钥 长 度 为 192 比 特 AES-256 指 定 使 用 256bit AES 加 密 方 法 密 钥 长 度 为 256 比 特 NULL - 不 使 用 加 密 功 能 压 缩 为 P2 提 议 指 定 压 缩 算 法 默 认 情 况 下, 无 任 何 压 缩 算 法 PFS 组 为 P2 提 议 配 置 PFS 功 能 PFS 功 能 是 由 DH 算 法 做 保 障 的 Group1 选 择 DH 组 1 密 钥 的 长 度 为 768 比 特 Group2 选 择 DH 组 2 密 钥 的 长 度 为 1024 比 特 Group5 选 择 DH 组 5 密 钥 的 长 度 为 1536 比 特 No PFS - 不 使 用 PFS 功 能 该 值 为 系 统 的 默 认 值 生 存 时 间 启 用 生 存 大 小 设 备 有 两 种 衡 量 生 命 周 期 的 方 法, 分 别 是 按 时 间 和 按 流 量 该 选 项 指 定 P2 提 议 时 间 类 型 生 命 周 期 的 时 间 长 度, 单 位 为 秒 默 认 秒 范 围 是 180 到 秒 点 击 < 开 启 > 复 选 框 开 启 P2 提 议 流 量 类 型 生 命 周 期 默 认 情 况 下, 该 功 能 是 关 闭 的 生 存 大 小 - 指 定 流 量 类 型 生 命 周 期 的 流 量 值, 单 位 为 KB, 默 认 1800KB 范 围 是 1800 到 KB 在 文 本 框 中 输 入 周 期 流 量 值 4. 点 击 确 定 完 成 配 置 配 置 VPN 对 端 配 置 VPN 对 端 参 数, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > IPSec VPN, 进 入 IPSec VPN 页 面 2. 在 <IKE VPN 配 置 > 部 分, 点 击 左 上 方 的 <VPN 对 端 列 表 > 标 签 页 3. 点 击 <VPN 对 端 列 表 > 左 上 方 的 新 建 按 钮, 弹 出 <VPN 对 端 配 置 > 对 话 框 在 <VPN 对 端 配 置 > 对 话 框, 填 写 相 关 配 置 信 息 基 本 配 置 名 称 指 定 ISAKMP 网 关 的 名 称 接 口 指 定 ISAKMP 网 关 的 绑 定 接 口 认 证 模 式 指 定 IKE 协 商 模 式 IKE 的 协 商 模 式 有 两 种 : 主 模 式 和 野 蛮 模 式 主 模 式 为 系 统 的 默 认 模 式 IKE 野 蛮 模 式 不 提 供 身 份 保 护, 以 下 情 况 只 能 用 野 蛮 模 式 : 中 心 设 第 8 章 VPN 125

146 基 本 配 置 备 的 IP 地 址 为 固 定 分 配 的 地 址, 而 客 户 端 设 备 的 IP 地 址 为 动 态 获 取 的 地 址 类 型 指 定 对 端 IP 地 址 的 类 型 本 地 ID 对 端 ID 如 果 对 端 IP 地 址 类 型 为 静 态, 选 择 静 态 IP 按 钮, 并 在 之 后 的 < 对 端 IP 地 址 > 本 框 中 输 入 对 端 的 IP 地 址 ; 如 果 对 端 IP 地 址 类 型 为 用 户 组, 选 择 用 户 组 按 钮, 并 从 之 后 的 < 选 择 AAA 服 务 器 > 下 拉 菜 单 中 选 中 需 要 的 认 证 服 务 器 名 称 如 果 对 端 IP 地 址 为 动 态 IP 地 址, 选 择 动 态 IP 按 钮 指 定 本 地 ID 系 统 支 持 FQDN U-FQDN ASD1-DN( 仅 用 于 使 用 证 书 的 情 况 ) KEY-ID 和 IP 类 型 的 ID 选 中 所 需 ID 类 型 的 单 选 按 钮, 然 后 在 其 后 的 < 本 地 ID 值 > 或 < 本 地 IP> 文 本 框 中 输 入 ID 或 IP 的 具 体 内 容 指 定 对 端 ID 系 统 支 持 FQDN U-FQDN ASD1-DN( 仅 用 于 使 用 证 书 的 情 况 ) KEY-ID 和 IP 类 型 的 ID 选 中 所 需 ID 类 型 的 单 选 按 钮, 然 后 在 其 后 的 < 对 端 ID 值 > 或 < 本 地 IP> 文 本 框 中 输 入 ID 或 IP 的 具 体 内 容, 如 果 使 用 Radius 服 务 器 进 行 认 证, 则 需 要 选 中 < 通 配 符 > 复 选 框 提 议 1 为 ISAKMP 网 关 指 定 P1 提 议 用 户 最 多 可 指 定 4 个 提 议 提 议 2 为 ISAKMP 网 关 指 定 P1 提 议 用 户 最 多 可 指 定 4 个 提 议 提 议 3 为 ISAKMP 网 关 指 定 P1 提 议 用 户 最 多 可 指 定 4 个 提 议 提 议 4 为 ISAKMP 网 关 指 定 P1 提 议 用 户 最 多 可 指 定 4 个 提 议 预 共 享 密 钥 如 果 使 用 预 共 享 密 钥 认 证 方 式, 通 过 该 选 项 指 定 预 共 享 密 钥 信 任 域 如 果 使 用 DSA Signature 或 RSA Signature 方 式, 通 过 该 选 项 指 定 信 任 域 高 级 配 置 连 接 类 型 指 定 ISAKMP 网 关 的 连 接 类 型 选 中 合 适 类 型 的 单 选 按 钮 NAT 穿 越 双 向 指 定 该 ISAKMP 网 关 既 是 发 起 端 也 是 响 应 端 该 选 项 为 系 统 的 默 认 选 项 发 起 者 指 定 该 ISAKMP 网 关 仅 是 发 起 端 响 应 者 指 定 该 ISAKMP 网 关 仅 是 响 应 端 在 IPSec 或 者 IKE 组 建 的 VPN 隧 道 中, 若 存 在 NAT 网 关 设 备, 且 NAT 网 关 设 备 对 VPN 数 据 进 行 了 NAT 转 换, 则 必 须 开 启 IPSec 或 者 IKE 的 NAT 穿 越 功 能 默 认 情 况 下,NAT 穿 越 功 能 是 关 闭 的 接 受 对 端 任 意 ID 使 所 创 建 的 ISAKMP 网 关 接 受 任 意 的 对 端 ID, 不 对 对 端 进 行 ID 检 查 产 生 路 由 对 端 存 活 检 测 配 置 自 动 生 成 路 由 功 能 默 认 情 况 下, 该 功 能 是 关 闭 的 该 功 能 允 许 设 备 自 动 添 加 从 中 心 设 备 到 分 支 机 构 的 路 由 条 目, 从 而 避 免 了 手 工 配 置 路 由 所 带 来 的 问 题 配 置 DPD( 安 全 隧 道 对 端 状 态 探 测 ) 功 能 默 认 情 况 下, 该 功 能 是 关 闭 的, 选 择 < 启 用 > 复 选 框 开 启 该 功 能 该 功 能 开 启 后, 如 果 接 收 端 长 时 间 收 不 到 对 端 的 报 文, 便 触 发 DPD 查 询, 主 动 向 对 端 发 送 请 求 报 文, 对 ISAKMP 网 关 是 否 存 在 进 行 检 测 DPD 间 隔 指 定 向 对 端 发 送 DPD 查 询 请 求 的 时 间 间 隔, 单 位 为 秒 取 值 范 围 是 1 到 10 秒, 默 认 值 是 10 秒 DPD 重 试 指 定 向 对 端 发 送 DPD 查 询 请 求 的 次 数 向 对 端 发 送 查 询 请 求 后, 如 果 本 端 在 指 定 的 时 间 间 隔 内 收 不 到 对 端 的 报 文, 系 统 会 在 再 次 发 送 查 询 请 求, 如 此 反 复, 直 到 完 成 该 参 数 指 定 的 次 数 在 指 定 次 数 查 询 完 成 后 如 果 仍 然 收 不 到 对 端 的 报 文, 则 判 断 对 端 ISAKMP 网 关 已 经 死 掉 查 询 请 求 的 次 数 范 围 是 1 到 10 次, 默 认 是 3 次 126 第 8 章 VPN

147 基 本 配 置 描 述 在 文 本 框 中 为 所 创 建 ISAKMP 网 关 输 入 描 述 内 容 XAUTH 服 务 器 选 中 启 用 复 选 框 在 设 备 上 启 用 XAUTH 服 务 器, 并 在 地 址 池 下 拉 菜 单 中 选 择 系 统 中 已 配 置 的 地 址 池 启 用 XAUTH 服 务 器 后, 设 备 可 以 结 合 已 配 置 的 认 证 服 务 器 (RADIUS 和 本 地 AAA 服 务 器 ) 对 试 图 访 问 IPSec VPN 网 络 的 用 户 进 行 身 份 认 证 4. 点 击 确 定 完 成 配 置 配 置 IK E VPN 使 用 IKE 完 成 自 动 协 商 IPSec SA 配 置 IKE VPN, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > IPSec VPN, 进 入 IPSec VPN 页 面 2. 在 <IKE VPN 配 置 > 部 分, 点 击 <IKE VPN 列 表 > 左 上 方 的 新 建 按 钮, 弹 出 <IKE VPN 配 置 > 对 话 框 在 < 基 础 设 置 > 标 签 页, 填 写 基 本 信 息 对 端 对 端 选 项 选 择 ISAKMP 网 关 的 名 称 如 需 新 建 ISAKMP 网 关, 点 击 下 拉 列 表 中 的 新 建 按 钮 如 需 编 辑 所 选 择 的 ISAKMP 网 关, 点 击 编 辑 按 钮 信 息 展 示 显 示 ISAKMP 网 关 的 信 息 隧 道 名 称 指 定 隧 道 的 名 称 模 式 指 定 操 作 模 式 当 前 版 本 支 持 隧 道 模 式 (tunnel) 和 传 输 模 式 (transport) P2 协 议 为 隧 道 指 定 P2 提 议 代 理 ID 为 隧 道 指 定 第 二 阶 段 ID 分 为 自 动 和 手 工 两 种 自 动 - 自 动 指 定 第 二 阶 段 ID 手 工 - 手 动 指 定 第 二 阶 段 ID 需 配 置 选 项 包 括 : 本 地 IP/ 掩 码 : 指 定 本 地 第 二 阶 段 ID 远 程 IP/ 掩 码 : 指 定 对 端 第 二 阶 段 ID 服 务 : 指 定 服 务 名 称 如 需 创 建 新 的 应 用 组, 点 击 新 建 应 用 组 在 < 高 级 设 置 > 标 签 页, 填 写 高 级 配 置 选 项 选 项 说 明 DNS1 为 PnPVPN 服 务 器 指 定 下 发 给 用 户 端 的 主 DNS 服 务 器 IP 地 址 第 8 章 VPN 127

148 选 项 说 明 DNS2 为 PnPVPN 服 务 器 指 定 下 发 给 用 户 端 的 备 DNS 服 务 器 IP 地 址 DNS3 为 PnPVPN 服 务 器 指 定 下 发 给 用 户 端 的 备 DNS 服 务 器 IP 地 址 DNS4 为 PnPVPN 服 务 器 指 定 下 发 给 用 户 端 的 备 DNS 服 务 器 IP 地 址 WINS1 为 PnPVPN 服 务 器 指 定 下 发 给 用 户 端 的 主 WINS 服 务 器 IP 地 址 WINS2 为 PnPVPN 服 务 器 指 定 下 发 给 用 户 端 的 备 WINS 服 务 器 IP 地 址 启 用 空 闲 时 间 配 置 空 闲 时 间 功 能 默 认 情 况 下, 该 功 能 是 关 闭 的, 选 择 启 用 复 选 框 开 启 该 功 能 启 用 该 功 能 后, 隧 道 在 无 流 量 状 态 下 能 够 保 持 连 接 状 态 的 最 长 时 间, 超 出 空 闲 时 间 后,SA 将 会 被 清 除 DF 位 指 定 是 否 允 许 转 发 设 备 将 包 进 行 分 片 处 理 选 项 包 括 : 拷 贝 直 接 从 发 包 端 拷 贝 IP 包 的 DF 选 项 该 选 项 为 系 统 默 认 选 项 清 除 允 许 转 发 设 备 对 包 做 分 片 处 理 设 置 不 允 许 转 发 设 备 对 包 做 分 片 处 理 防 重 放 防 重 放 指 防 止 恶 意 用 户 通 过 重 复 发 送 捕 获 到 的 数 据 包 所 进 行 的 攻 击, 即 接 收 方 会 拒 绝 旧 的 或 重 复 的 数 据 包 默 认 情 况 下, 防 重 放 功 能 是 关 闭 的 关 闭 - 关 闭 防 重 放 功 能 该 选 项 为 系 统 的 默 认 值 32 指 定 防 重 放 的 窗 口 为 指 定 防 重 放 的 窗 口 为 指 定 防 重 放 的 窗 口 为 指 定 防 重 放 的 窗 口 为 指 定 防 重 放 的 窗 口 为 512 Commit 位 使 用 代 理 ID 自 动 连 接 选 中 启 用 复 选 框 使 相 应 方 设 置 Commit 位, 用 来 防 止 丢 包 和 出 现 时 间 差 但 是, 设 置 Commit 位 可 能 会 使 响 应 速 度 变 慢 开 启 该 功 能 后, 如 果 设 备 作 为 接 收 端, 它 将 接 受 对 端 的 ID 作 为 为 它 的 IKE 协 商 代 理 ID, 并 返 回 该 ID 给 对 端 配 置 自 动 连 接 功 能 默 认 情 况 下, 该 功 能 是 关 闭 的, 选 择 < 启 用 > 复 选 框 开 启 该 功 能 设 备 提 供 两 种 触 发 建 立 SA 的 方 式 : 自 动 方 式 和 流 量 触 发 方 式 自 动 方 式 时, 设 备 每 60 秒 检 查 一 次 SA 的 状 态, 如 果 SA 未 建 立 则 自 动 发 起 协 商 请 求 ; 流 量 触 发 方 式 时, 当 有 数 据 流 量 需 要 通 过 隧 道 进 行 传 输 时, 该 隧 道 才 发 起 协 商 请 求 默 认 情 况 下, 系 统 使 用 流 量 触 发 方 式 隧 道 路 由 该 选 项 需 要 在 IKE VPN 配 置 完 成 后 进 行 修 改 点 击 编 辑 按 钮, 弹 出 < 隧 道 路 由 配 置 > 对 话 框 在 该 对 话 框 添 加 一 条 或 多 条 隧 道 路 由 系 统 允 许 最 多 设 置 128 条 隧 道 路 由 描 述 在 文 本 框 中 为 所 创 建 隧 道 输 入 描 述 内 容 VPN 隧 道 监 测 选 中 启 用 复 选 框 启 用 VPN 隧 道 监 测 功 能 设 备 能 够 监 测 指 定 的 VPN 隧 道 是 否 连 通, 并 且 能 够 实 现 两 条 或 者 多 条 VPN 隧 道 的 备 份 或 者 分 流 该 功 能 仅 对 基 于 路 由 的 VPN 以 及 基 于 策 略 的 VPN 均 有 效 选 项 包 括 : 检 测 间 隔 时 间 指 定 发 送 Ping 监 测 报 文 的 时 间 间 隔 连 续 失 败 次 数 指 定 判 断 监 测 失 败 的 警 戒 值 如 果 系 统 连 续 未 收 128 第 8 章 VPN

149 选 项 说 明 到 该 参 数 指 定 个 数 的 响 应 报 文, 就 判 断 为 监 测 失 败, 即 目 标 隧 道 中 断 源 地 址 指 定 发 送 Ping 监 测 报 文 的 源 IP 地 址 目 的 地 址 指 定 监 测 目 标 的 IP 地 址 通 知 VPN 隧 道 状 态 选 中 启 用 复 选 框 启 用 通 知 VPN 隧 道 状 态 功 能 启 用 该 功 能 后, 如 果 是 基 于 路 由 的 VPN,VPN 监 控 功 能 一 旦 监 测 到 中 断 的 VPN 隧 道, 会 立 即 通 知 路 由 模 块 中 断 的 VPN 隧 道 信 息 并 进 行 隧 道 路 由 的 更 新 处 理 ; 如 果 是 基 于 策 略 的 VPN,VPN 监 控 功 能 一 旦 监 测 到 中 断 的 VPN 隧 道, 会 立 即 通 知 策 略 模 块 中 断 的 VPN 隧 道 信 息 并 进 行 隧 道 策 略 的 更 新 处 理 3. 点 击 确 定 完 成 配 置 第 8 章 VPN 129

150 配 置 手 工 密 钥 VPN 使 用 手 工 密 钥 VPN 完 成 IPSec SA 的 手 动 协 商 配 置 手 工 密 钥 VPN, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > IPSec VPN, 进 入 IPSec VPN 页 面 2. 在 < 手 工 密 钥 VPN 配 置 > 部 分, 点 击 左 上 方 的 新 建 按 钮, 弹 出 < 手 工 密 钥 VPN 配 置 > 对 话 框 在 < 手 工 密 钥 VPN 配 置 > 对 话 框, 填 写 相 关 配 置 信 息 基 础 设 置 隧 道 名 称 指 定 或 者 显 示 所 创 建 手 工 密 钥 VPN 的 名 称 模 式 指 定 IPSec 协 议 的 操 作 模 式 选 中 需 要 的 模 式 : 隧 道 模 式 或 传 输 模 式 隧 道 模 式 为 系 统 默 认 模 式 对 端 IP 地 址 指 定 对 端 的 IP 地 址 本 地 SPI 在 文 本 框 中 输 入 本 端 的 SPI 值 SPI 是 为 唯 一 标 识 SA 而 生 成 的 一 个 32 比 特 的 数 值, 它 在 AH 和 ESP 头 中 传 输 SPI 的 作 用 是 查 找 对 应 的 VPN 隧 道 进 行 解 密 远 程 SPI 在 文 本 框 中 输 入 对 端 的 SPI 值 注 意 : 在 为 系 统 配 置 安 全 联 盟 时, 必 须 分 别 设 置 进 和 出 两 个 方 向 的 安 全 联 盟 的 参 数 并 且 在 隧 道 的 两 端 设 置 的 安 全 联 盟 参 数 必 须 完 全 匹 配 本 端 入 方 向 安 全 联 盟 的 SPI 必 须 和 对 端 出 方 向 安 全 联 盟 的 SPI 一 样 ; 本 端 的 出 方 向 安 全 联 盟 的 SPI 必 须 和 对 端 入 方 向 安 全 联 盟 的 SPI 一 样 接 口 为 所 创 建 手 工 密 钥 VPN 指 定 出 接 口 从 下 拉 菜 单 中 选 中 需 要 的 接 口 加 密 算 法 协 议 指 定 IPSec 协 议 类 型 ESP 协 议 为 系 统 默 认 协 议 类 型 加 密 算 法 指 定 加 密 算 法 3DES 为 系 统 默 认 算 法 入 方 向 加 密 密 钥 指 定 进 方 向 加 密 密 钥 用 户 需 要 为 安 全 隧 道 两 端 均 配 置 协 议 的 加 密 密 钥, 且 本 端 进 方 向 加 密 密 钥 必 须 与 对 端 出 方 向 的 加 密 密 钥 相 同, 而 本 端 出 方 向 的 加 密 密 钥 必 须 与 对 端 进 方 向 的 加 密 密 钥 相 同 出 方 向 加 密 密 钥 指 定 出 方 向 加 密 密 钥 验 证 算 法 指 定 验 证 算 法 SHA-1 为 系 统 默 认 验 证 算 法 入 方 向 验 证 密 钥 指 定 进 方 向 验 证 密 钥 用 户 需 要 为 安 全 隧 道 两 端 均 配 置 协 议 的 验 证 密 钥, 且 本 130 第 8 章 VPN

151 基 础 设 置 端 进 方 向 验 证 密 钥 必 须 与 对 端 出 方 向 的 验 证 密 钥 相 同, 而 本 端 出 方 向 的 验 证 密 钥 必 须 与 对 端 进 方 向 的 验 证 密 钥 相 同 出 方 向 验 证 密 钥 指 定 出 方 向 验 证 密 钥 压 缩 指 定 压 缩 算 法 默 认 情 况 下, 无 任 何 压 缩 算 法 描 述 描 述 在 文 本 框 中 为 所 创 建 手 工 密 钥 VPN 输 入 描 述 内 容 3. 点 击 确 定 完 成 配 置 第 8 章 VPN 131

152 查 看 I PSec VPN 监 控 信 息 IPSec VPN 监 控 主 要 通 过 ISAKMP SA 列 表 IPSec SA 列 表 和 拨 号 用 户 列 表 分 别 列 出 IPSec VPN 第 1 阶 段 SA 协 商 结 果 第 2 阶 段 SA 协 商 结 果 和 拨 号 端 用 户 的 统 计 信 息 查 看 VPN 监 控 结 果, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > IPSec VPN, 进 入 IPSec VPN 页 面 2. 在 <IKE VPN 配 置 > 部 分, 点 击 右 上 方 的 IPSec VPN 监 控 按 钮 用 户 可 在 <ISAKMP SA>,<IPSec SA>, 及 < 拨 号 用 户 > 三 个 界 面 查 看 IPSec VPN 监 控 信 息 各 监 控 页 面 具 体 选 项 说 明 如 下 : ISAKMP SA 列 表 选 项 说 明 Cookie 显 示 协 商 建 立 的 Cookies, 用 于 匹 配 第 一 阶 段 SA 状 态 显 示 第 一 阶 段 SA 的 状 态 对 端 显 示 对 端 IP 地 址 端 口 显 示 建 立 第 一 阶 段 SA 使 用 的 端 口 号 500 表 示 第 一 阶 段 SA 建 立 过 程 中 未 检 测 到 NAT 转 换,4500 表 示 检 测 到 了 NAT 转 换 算 法 显 示 第 一 阶 段 SA 协 商 时 使 用 的 算 法, 包 括 认 证 方 式 加 密 算 法 和 验 证 算 法 生 存 时 间 显 示 第 一 阶 段 SA 的 生 存 时 间, 单 位 是 秒 IPSec SA 列 表 选 项 说 明 ID 显 示 系 统 为 所 创 建 的 隧 道 自 动 分 配 的 编 号 VPN 名 称 显 示 VPN 的 名 称 方 向 显 示 VPN 的 方 向 对 端 显 示 对 端 IP 地 址 端 口 显 示 第 二 阶 段 SA 协 商 使 用 的 端 口 号 算 法 显 示 隧 道 使 用 的 算 法 包 括 协 议 类 型 加 密 算 法 验 证 算 法 和 压 缩 算 法 SPI 显 示 本 地 SPI 和 对 端 SPI inbound 方 向 对 应 本 地 SPI,outbound 方 向 对 应 对 端 SPI CPI 显 示 第 二 阶 段 SA 协 商 使 用 的 压 缩 参 数 索 引 生 存 期 ( 秒 ) 生 存 期 (KB) 显 示 第 二 阶 段 SA 的 生 存 期, 以 秒 为 单 位 进 行 度 量, 即 经 过 X 秒 后 第 二 阶 段 SA 将 重 新 协 商 密 钥 显 示 第 二 阶 段 SA 的 生 存 期, 以 KB 为 单 位 进 行 度 量, 即 经 过 X 字 节 的 流 量 后 第 二 阶 段 SA 将 重 新 协 商 密 钥 状 态 显 示 第 二 阶 段 SA 的 状 态 拨 号 用 户 列 表 选 项 说 明 对 端 显 示 指 定 对 端 的 用 户 统 计 信 息 从 下 菜 单 中 选 择 需 要 的 对 端 名 称 用 户 ID 显 示 用 户 IKE ID IP 显 示 相 应 的 IP 地 址 加 密 包 数 显 示 通 过 隧 道 传 输 的 加 密 包 数 加 密 字 节 数 显 示 通 过 隧 道 传 输 的 加 密 字 节 数 解 密 包 数 显 示 通 过 隧 道 传 输 的 解 密 包 数 解 密 字 节 数 显 示 通 过 隧 道 传 输 的 解 密 字 节 数 132 第 8 章 VPN

153 配 置 PnPVPN IPSec VPN 配 置 复 杂, 维 护 成 本 高, 对 网 管 人 员 技 术 要 求 高, 针 对 该 问 题, 为 企 业 用 户 提 供 了 一 种 简 单 易 用 的 VPN 技 术 PnPVPN, 即 即 插 即 用 VPN PnPVPN 由 两 部 分 组 成, 分 别 是 PnPVPN Server 和 PnPVPN Client, 各 自 功 能 描 述 如 下 : PnPVPN Server: 通 常 放 置 于 企 业 总 部, 由 总 部 IT 工 程 师 负 责 维 护, 客 户 端 的 大 多 数 配 置 由 服 务 器 下 发 PnPVPN Server 通 常 由 设 备 充 当, 一 台 设 备 可 充 当 多 个 PnPVPN Server PnPVPN Client: 通 常 放 置 于 企 业 分 支 机 构 ( 如 办 事 处 ), 可 由 总 部 工 程 师 远 程 维 护, 只 需 要 做 简 单 配 置 ( 如 客 户 端 ID 密 码 和 服 务 器 端 IP 地 址 ), 和 Server 端 协 商 成 功 后 即 可 从 Server 端 获 取 配 置 信 息 ( 如 DNS WINS DHCP 地 址 池 等 ) 设 备 既 可 以 充 当 PnPVPN Server, 又 可 以 充 当 PnPVPN Client 当 充 当 Server 时, 不 同 平 台 支 持 的 VPN 实 例 数 和 每 个 实 例 所 支 持 的 客 户 端 数 有 所 不 同 PnPVPN 工 作 流 程 PnPVPN 的 工 作 流 程 如 下 : 1. 客 户 端 发 起 连 接 请 求, 并 传 送 自 己 的 ID 以 及 密 码 到 服 务 器 端 2. 服 务 器 端 收 到 请 求 后, 验 证 客 户 端 传 送 的 ID 和 密 码, 验 证 通 过 即 下 发 预 配 置 的 DHCP 地 址 池 DHCP 掩 码 DHCP 网 关 WINS DNS 和 隧 道 路 由 等 信 息 到 客 户 端 3. 客 户 端 把 收 到 的 信 息 下 发 到 相 应 的 功 能 模 块 4. 客 户 端 PC 自 动 获 取 IP 地 址 IP 地 址 掩 码 和 网 关 地 址 等 网 络 参 数, 并 正 常 接 入 VPN 网 络 配 置 PnPVPN 配 置 PnPVPN, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > IPSec VPN, 进 入 IPSec VPN 页 面 2. 在 <IKE VPN 配 置 > 部 分, 点 击 右 上 方 的 PnPVPN 客 户 端 按 钮, 弹 出 <PnPVPN 配 置 > 对 话 框 在 <PnPVPN 配 置 > 对 话 框, 填 写 相 关 配 置 信 息 选 项 说 明 服 务 器 地 址 指 定 服 务 器 端 IP 地 址 ID 指 定 服 务 器 端 分 配 给 用 户 端 的 IKE ID 密 码 指 定 服 务 器 端 分 配 给 用 户 端 的 密 码 重 新 输 入 密 码 再 次 输 入 密 码 以 确 认 自 动 保 存 VPN 出 接 口 选 中 启 用 复 选 框, 系 统 自 动 保 存 连 接 建 立 后 PnPVPN 服 务 器 端 下 发 给 客 户 端 的 DHCP 和 WINS 信 息 VPN 出 接 口 是 接 入 Internet 的 接 口, 从 下 拉 菜 单 中 选 择 需 要 的 接 口 名 称 VPN 入 接 口 VPN 入 接 口 是 内 部 PC 或 应 用 服 务 器 在 PnPVPN 客 户 端 上 的 接 入 口 第 8 章 VPN 133

154 3. 点 击 确 定 完 成 配 置 134 第 8 章 VPN

155 配 置 I PSec-X AUT H 地 址 池 XAUTH 通 过 地 址 池 给 用 户 分 配 IP 地 址 当 客 户 端 连 接 XAUTH 服 务 端 成 功 后, 设 备 会 从 地 址 池 里 取 出 一 个 IP 地 址 与 其 它 相 关 参 数 ( 如 DNS 服 务 器 地 址 与 WINS 服 务 器 地 址 等 ) 一 起 分 配 给 用 户 XAUTH 服 务 器 通 过 创 建 和 执 行 IP 地 址 绑 定 规 则 来 满 足 客 户 端 的 固 定 IP 地 址 需 求 IP 地 址 绑 定 规 则 包 括 IP 用 户 绑 定 规 则 和 IP 角 色 绑 定 规 则 IP 用 户 绑 定 规 则 将 客 户 端 用 户 与 已 配 置 地 址 池 中 的 某 个 固 定 IP 地 址 绑 定, 当 客 户 端 连 接 成 功 后, 设 备 端 会 将 绑 定 的 IP 地 址 分 配 给 客 户 端 ;IP 角 色 绑 定 规 则 是 将 角 色 与 已 配 置 地 址 池 中 的 某 一 IP 地 址 范 围 绑 定, 当 此 客 户 端 连 接 成 功 后, 设 备 端 会 从 绑 定 的 地 址 范 围 中 取 出 一 个 IP 地 址 分 配 给 客 户 端 当 XAUTH 通 过 地 址 池 给 客 户 端 分 配 IP 地 址 时, 系 统 会 按 照 一 定 的 顺 序 对 客 户 端 的 IP 地 址 绑 定 规 则 进 行 检 查, 决 定 如 何 为 客 户 端 分 配 IP 地 址 : 1. 检 查 是 否 已 为 客 户 端 用 户 配 置 IP 用 户 绑 定 规 则, 如 果 是, 则 将 绑 定 的 IP 地 址 分 配 给 客 户 端 ; 否 则, 需 要 进 一 步 检 查 注 意, 如 果 此 IP 用 户 绑 定 规 则 中 的 IP 地 址 已 被 占 用, 则 该 用 户 无 法 登 录 2. 检 查 是 否 已 为 客 户 端 用 户 配 置 IP 角 色 绑 定 规 则, 如 果 是, 则 从 绑 定 的 地 址 范 围 中 取 出 一 个 IP 地 址 分 配 给 客 户 端 ; 否 则, 该 用 户 无 法 登 录 注 意 : IP 用 户 绑 定 规 则 中 的 IP 地 址 和 IP 角 色 绑 定 规 则 中 的 IP 地 址 不 能 重 叠 配 置 IPSec-XAUTH 地 址 池, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > IPSec VPN, 进 入 IPSec VPN 页 面 2. 在 <IKE VPN 配 置 > 部 分, 点 击 右 上 方 的 IPSec-XAUTH 地 址 池 按 钮, 弹 出 <XAUTH 地 址 池 配 置 > 对 话 框 3. 点 击 新 建, 弹 出 < 地 址 池 配 置 > 对 话 框 在 < 基 本 配 置 > 标 签 页 中, 填 写 基 本 信 息. 选 项 说 明 地 址 池 名 称 指 定 地 址 池 名 称 起 始 IP 指 定 地 址 池 的 起 始 IP 地 址 终 止 IP 指 定 地 址 池 的 终 止 IP 地 址 保 留 起 始 IP 指 定 保 留 地 址 池 的 起 始 IP 地 址 保 留 终 止 IP 指 定 保 留 地 址 池 的 终 止 IP 地 址 网 络 掩 码 指 定 上 述 IP 地 址 的 网 络 掩 码 DNS1 指 定 地 址 池 的 DNS 服 务 器 IP 地 址 此 项 为 可 选 项, 即 地 址 池 可 以 不 指 定 DNS 服 务 器 用 户 最 多 可 以 为 每 个 地 址 池 指 定 2 个 DNS 服 务 器 第 8 章 VPN 135

156 选 项 DNS2 WINS1 WINS2 说 明 指 定 地 址 池 的 DNS 服 务 器 IP 地 址 此 项 为 可 选 项, 即 地 址 池 可 以 不 指 定 DNS 服 务 器 用 户 最 多 可 以 为 每 个 地 址 池 指 定 2 个 DNS 服 务 器 指 定 地 址 池 的 WINS 服 务 器 IP 地 址 此 项 为 可 选 项, 即 地 址 池 可 以 不 指 定 WINS 服 务 器 用 户 最 多 可 以 为 每 个 地 址 池 指 定 2 个 WINS 服 务 器 指 定 地 址 池 的 WINS 服 务 器 IP 地 址 此 项 为 可 选 项, 即 地 址 池 可 以 不 指 定 WINS 服 务 器 用 户 最 多 可 以 为 每 个 地 址 池 指 定 2 个 WINS 服 务 器 在 <IP 用 户 绑 定 > 标 签 页 中, 填 写 相 关 配 置 信 息 选 项 说 明 用 户 输 入 用 户 名 称 IP 输 入 IP 地 址 添 加 将 用 户 与 IP 地 址 的 绑 定 条 目 添 加 到 列 表 中 在 <IP 角 色 绑 定 > 标 签 页 中, 填 写 相 关 配 置 信 息 选 项 说 明 角 色 输 入 用 户 名 称 起 始 IP 输 入 起 始 IP 地 址 终 止 IP 输 入 终 止 IP 地 址 添 加 将 角 色 与 IP 地 址 的 绑 定 条 目 添 加 到 列 表 中 上 移 / 下 移 / 移 到 最 前 / 移 到 最 后 点 击 上 移 / 下 移 / 移 到 最 前 / 移 到 最 后 等 按 钮 移 动 已 有 的 角 色 -IP 地 址 绑 定 规 则 从 而 改 变 规 则 的 排 列 顺 序 对 于 绑 定 到 多 个 角 色 且 多 个 角 色 有 相 应 的 角 色 -IP 地 址 绑 定 规 则 的 用 户, 系 统 会 对 角 色 -IP 地 址 绑 定 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 为 用 户 分 配 地 址 4. 点 击 确 定 完 成 配 置 136 第 8 章 VPN

157 SSL VP N 为 解 决 远 程 用 户 安 全 访 问 私 网 数 据 的 问 题, 设 备 提 供 基 于 SSL 的 远 程 登 录 解 决 方 案 SSL VPN 功 能 可 以 通 过 简 单 易 用 的 方 法 实 现 信 息 的 远 程 连 通 设 备 的 SSL VPN 功 能 包 含 设 备 端 和 客 户 端 两 部 分 配 置 了 SSL VPN 功 能 的 设 备 作 为 设 备 端, 具 有 以 下 功 能 : 接 受 客 户 端 连 接 ; 为 客 户 端 分 配 IP 地 址 DNS 服 务 器 地 址 和 WINS 服 务 器 地 址 ; 进 行 客 户 端 用 户 的 认 证 与 授 权 ; 进 行 客 户 端 主 机 的 安 全 检 测 ; 对 IPSec 数 据 进 行 加 密 与 转 发 SSL VPN 功 能 的 客 户 端 工 具 为 Hillstone Secure Connect 用 户 可 以 通 过 浏 览 器 下 载 该 客 户 端, 然 后 将 其 安 装 到 PC, 连 接 设 备 端 成 功 后, 用 户 就 可 以 通 过 SSL VPN 功 能 安 全 的 传 输 数 据 信 息 不 同 型 号 的 设 备 默 认 情 况 下 支 持 的 同 时 在 线 最 大 VPN 客 户 端 数 不 同, 如 果 想 增 加 支 持 的 客 户 端 数, 请 向 代 理 商 购 买 相 应 的 许 可 证 配 置 SSL VPN 配 置 SSL VPN 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 列 表 左 上 角 的 新 建, 弹 出 <SSL VPN 配 置 > 标 签 页 在 < 名 称 / 接 入 用 户 > 标 签 页, 填 写 相 关 信 息 选 项 说 明 SSL VPN 名 称 输 入 此 SSL VPN 实 例 的 名 称 接 入 用 户 AAA 服 务 器 在 下 拉 菜 单 中 选 择 需 要 的 服 务 器 名 称 域 名 输 入 服 务 器 对 应 的 域 名 用 户 域 名 验 证 启 用 用 户 域 名 验 证 后, 将 对 用 户 名 及 对 应 的 域 名 进 行 验 证 在 < 接 入 接 口 / 隧 道 接 口 > 标 签 页, 填 写 相 关 配 置 信 息 接 入 接 口 出 接 口 1 指 定 客 户 端 所 访 问 的 设 备 端 接 口 在 下 拉 菜 单 中 选 择 需 要 的 设 备 端 接 口 1 出 接 口 2 在 下 拉 菜 单 中 选 择 需 要 的 设 备 端 接 口 2 一 般 配 置 一 个 出 接 口 即 可, 配 置 最 优 路 径 检 测 时 需 要 配 置 两 个 出 接 口 第 8 章 VPN 137

158 接 入 接 口 服 务 端 口 指 定 客 户 端 所 访 问 的 设 备 端 SSL VPN 服 务 端 口 号 隧 道 接 口 隧 道 接 口 在 下 拉 菜 单 中 选 择 系 统 中 已 配 置 的 隧 道 接 口 ; 或 者, 选 中 下 拉 菜 单 中 的 新 建 选 项, 在 弹 出 的 < 隧 道 接 口 > 对 话 框 中 新 建 隧 道 接 口 ; 还 可 以 在 下 拉 菜 单 中 选 中 系 统 中 已 配 置 的 隧 道 接 口, 然 后 点 击 编 辑 按 钮, 在 弹 出 的 < 隧 道 接 口 > 对 话 框 中 编 辑 该 隧 道 接 口 信 息 展 示 显 示 已 选 中 隧 道 接 口 的 所 属 安 全 域,IP 地 址, 以 及 网 络 掩 码 地 址 池 地 址 池 指 定 SSL VPN 地 址 池 在 下 拉 菜 单 中 选 择 系 统 中 已 配 置 的 地 址 池 ; 或 者, 选 中 下 拉 菜 单 中 的 新 建 选 项, 在 弹 出 的 < 地 址 池 配 置 > 对 话 框 中 新 建 地 址 池 ; 还 可 以 在 下 拉 菜 单 中 选 中 系 统 中 已 配 置 的 地 址 池, 然 后 点 击 编 辑 按 钮, 在 弹 出 的 < 地 址 池 配 置 > 对 话 框 中 编 辑 该 地 址 池 信 息 展 示 显 示 已 选 中 地 址 池 的 相 关 信 息 在 < 隧 道 路 由 配 置 > 标 签 页, 指 定 通 过 SSL VPN 隧 道 到 特 定 网 段 的 路 由 隧 道 路 由 IP 输 入 目 的 IP 地 址 网 络 掩 码 输 入 目 的 IP 地 址 的 网 络 掩 码 度 量 值 输 入 路 由 的 度 量 值 添 加 点 击 此 按 钮 添 加 已 配 置 的 隧 道 路 由, 被 添 加 的 隧 道 路 由 将 显 示 在 下 方 的 列 表 中 删 除 点 击 此 按 钮 删 除 选 中 的 隧 道 路 由 3. 用 户 可 对 SSL VPN 功 能 进 行 高 级 配 置 点 击 当 前 对 话 框 左 下 角 的 高 级 配 置 按 钮, 对 SSL VPN 功 能 进 行 高 级 配 置 在 < 参 数 配 置 > 标 签 页, 填 写 相 关 配 置 信 息 安 全 套 件 SSL 版 本 指 定 SSL 协 议 版 本, 可 以 为 SSLv3 协 议 或 者 TLSv1 协 议 或 者 SSLv3 协 议 < 任 意 > 表 示 SSLv3 或 者 TLSv1 中 的 任 何 一 种 信 任 域 指 定 PKI 信 任 域 加 密 算 法 为 SSL VPN 隧 道 指 定 加 密 算 法 <NULL> 表 示 不 使 用 加 密 功 能 Hash 算 法 为 SSL VPN 隧 道 指 定 验 证 算 法 <NULL> 表 示 不 使 用 验 证 功 能 压 缩 算 法 为 SSL VPN 隧 道 指 定 压 缩 算 法 默 认 无 任 何 压 缩 算 法 客 户 端 连 接 空 闲 时 间 空 闲 时 间 指 客 户 端 与 设 备 端 在 无 流 量 状 态 下 能 够 保 持 连 接 状 态 的 最 长 时 间, 超 出 空 闲 时 间 后, 设 备 端 将 断 开 与 客 户 端 的 连 接 单 位 为 分 钟, 取 值 范 围 为 15 到 1500, 默 认 值 为 30 允 许 同 名 登 录 设 备 允 许 同 一 个 用 户 在 多 个 地 点 同 时 登 录 认 证 选 中 启 用 开 启 该 功 能 同 名 登 录 数 输 入 允 许 多 个 登 录 的 次 数, 取 值 范 围 为 0 到 , 其 中 0 表 示 不 限 制 次 数 高 级 参 数 防 重 放 防 重 放 功 能 是 指 防 止 恶 意 用 户 通 过 重 复 发 送 捕 获 到 的 数 据 包 所 进 行 的 攻 击, 即 接 收 方 会 拒 绝 旧 的 或 重 复 的 数 据 包 默 认 值 为 32 DF 位 DF 位 : 指 定 是 否 允 许 转 发 数 据 包 的 设 备 对 数 据 包 进 行 分 片 包 括 : 设 置 - 允 许 转 发 设 备 对 数 据 包 分 片 拷 贝 - 直 接 从 发 包 端 拷 贝 IP 包 的 DF 选 项 该 选 项 为 系 统 默 认 选 项 138 第 8 章 VPN

159 安 全 套 件 清 除 - 不 允 许 转 发 设 备 对 包 做 分 片 处 理 数 据 端 口 (UDP) SSL VPN 连 接 建 立 后 的 数 据 通 讯 端 口 在 < 客 户 端 > 标 签 页, 填 写 相 关 配 置 信 息 客 户 端 配 置 重 新 定 向 URL 重 定 向 URL:URL 重 定 向 功 能 是 指 在 SSL VPN 设 备 端 配 置 重 定 向 的 URL, 客 户 端 认 证 成 功 后 将 自 动 跳 转 到 指 定 URL 的 页 面 在 文 本 框 中 输 入 重 定 向 的 URL 字 符 串, 取 值 范 围 为 1 到 255 字 节 系 统 支 持 HTTP( 和 HTTPS( 两 种 类 型 的 URL 根 据 重 定 向 页 面 类 型 的 不 同, 系 统 支 持 内 容 符 合 下 列 格 式 的 URL 输 入, 以 HTTP 类 型 URL 为 例 : UTF-8 编 码 格 式 的 页 面 - 输 入 URL + username=$user&password=$pwd 比 如, abc.com/oa/login.do?username=$user&password=$pwd GB2312 编 码 格 式 的 页 面 - 输 入 URL + username=$gbuser&password=$pwd 比 如, abc.com/oa/login.do?username=$gbuser&password=$pwd 其 它 页 面 - 直 接 输 入 URL 比 如, 标 题 指 定 重 定 向 URL 的 描 述, 范 围 为 1 到 31 字 节 该 名 称 会 在 客 户 端 菜 单 项 中 显 示 断 开 时 清 除 隐 私 数 据 客 户 端 证 书 认 证 证 书 认 证 选 择 启 用 复 选 框, 在 客 户 端 断 开 时 清 除 相 关 的 隐 私 数 据 选 中 启 用 复 选 框 开 启 客 户 端 证 书 认 证 功 能 该 功 能 支 持 用 户 名 / 密 码 + 数 字 证 书 和 只 用 数 字 证 书 两 种 认 证 方 式 数 字 证 书 可 以 是 软 证 书 或 USB Key 证 书 选 中 所 需 认 证 方 式 单 选 按 钮 当 认 证 方 式 为 只 用 数 字 证 书 时 : 系 统 可 以 根 据 数 字 证 书 中 的 证 书 名 称 ( 证 书 CN 字 段 ) 或 者 组 织 机 构 ( 证 书 OU 字 段 ) 为 认 证 成 功 的 用 户 映 射 相 应 的 角 色 关 于 如 何 进 行 证 书 名 称 或 者 组 织 机 构 的 角 色 映 射, 请 参 阅 " 角 色 " 在 第 198 页 中 的 创 建 角 色 映 射 部 分 系 统 不 支 持 允 许 本 地 用 户 修 改 密 码 功 能 系 统 不 支 持 配 置 短 信 口 令 认 证 功 能 如 果 使 用 USB-Key 证 书 的 用 户 移 除 了 UKey, 客 户 端 不 会 自 动 重 连 USB KEY 下 载 网 址 信 任 域 主 题 名 字 检 查 CN 匹 配 OU 匹 配 当 使 用 USB Key 证 书 认 证 功 能 时, 用 户 可 以 通 过 该 地 址, 下 载 UKey 对 应 的 驱 动 程 序 信 任 域 和 主 题 名 字 检 查 功 能 配 置 方 法 如 下 : 1. 在 信 任 域 下 拉 菜 单 中 选 中 用 户 CA(Certification Authority) 证 书 所 在 的 PKI 信 任 域 客 户 端 所 提 交 的 证 书 匹 配 到 其 中 任 意 一 个 信 任 域 的 CA 证 书, 都 会 认 证 成 功 2. 如 需 要, 选 中 主 题 名 字 检 查 对 应 的 < 启 用 > 复 选 框, 启 用 主 题 名 字 检 查 功 能 启 用 后, 当 用 户 通 过 数 字 证 书 认 证 功 能 登 录 时, 设 备 端 会 检 查 客 户 端 证 书 的 主 题 名 称 (subject commonname) 是 否 和 登 录 用 户 的 用 户 名 一 致 用 户 可 另 外 指 定 是 否 匹 配 CN 字 段 和 OU 字 段 3. 点 击 添 加 按 钮, 添 加 已 配 置 的 信 任 域 和 主 题 名 字 检 查 条 目, 被 添 加 的 信 任 域 和 主 题 名 字 检 查 条 目 将 显 示 在 下 方 的 列 表 中 4. 如 需 要, 按 照 步 骤 1 至 3 添 加 其 它 信 任 域 和 主 题 名 字 检 查 条 目 如 需 要 删 除 信 任 域 和 主 题 名 字 检 查 条 目, 从 列 表 中 选 中 需 要 删 除 的 信 任 域 和 主 题 名 字 检 查 条 目 第 8 章 VPN 139

160 客 户 端 配 置 复 选 框, 点 击 删 除 按 钮 在 < 短 信 口 令 认 证 > 标 签 页, 填 写 相 关 配 置 信 息 选 项 说 明 短 信 口 令 认 证 选 择 启 用 复 选 框, 开 启 短 信 口 令 认 证 功 能 短 信 认 证 码 有 效 时 间 短 信 测 试 输 入 或 者 选 择 短 信 认 证 码 有 效 时 间 如 果 用 户 在 有 效 时 间 内 没 有 输 入 短 信 认 证 码 也 没 有 重 新 申 请 认 证 码,SSL VPN 设 备 端 将 自 动 断 开 连 接 在 短 信 测 试 文 本 框 输 入 接 收 测 试 短 信 的 手 机 号 码, 然 后 点 击 发 送 按 钮, 向 指 定 手 机 号 码 发 送 测 试 短 信, 以 验 证 设 备 能 否 正 常 发 送 短 信 在 < 主 机 检 测 / 绑 定 > 标 签 页, 填 写 相 关 配 置 信 息 主 机 检 测 进 行 此 部 分 配 置 前, 请 先 在 主 机 检 测 页 面 配 置 主 机 检 测 规 则 关 于 主 机 检 测 规 则 的 详 细 信 息, 请 参 阅 " 主 机 检 测 " 在 第 147 页 角 色 在 角 色 下 拉 菜 单 选 中 所 需 的 用 户 初 级 角 色 名 称, 主 机 检 测 功 能 对 该 角 色 有 效 缺 省 表 示 对 多 个 用 户 均 有 效 主 机 检 测 名 称 在 主 机 检 测 名 称 下 拉 菜 单 中 选 中 已 配 置 的 主 机 检 测 规 则 名 称 访 客 角 色 在 访 客 角 色 下 拉 菜 单 中 选 中 所 需 的 用 户 次 级 角 色 名 称, 当 客 户 端 的 主 机 检 测 失 败 时, 用 户 将 获 得 该 次 级 角 色 拥 有 的 访 问 权 限 ; 无 表 示 当 客 户 端 的 主 机 检 测 失 败 时, 系 统 将 断 开 该 客 户 端 连 接 周 期 检 测 在 周 期 检 测 文 本 框 中 指 定 用 户 的 自 动 检 测 周 期 单 位 为 分 钟, 取 值 范 围 为 5 到 1440 分 钟, 默 认 值 为 30 分 钟 指 定 该 参 数 后, 系 统 可 以 周 期 性 地 进 行 安 全 检 查, 比 如 可 以 定 时 地 检 查 客 户 端 主 机 的 防 病 毒 软 件 是 否 开 启, 如 果 用 户 在 使 用 过 程 中 关 闭 了 防 病 毒 软 件, 系 统 可 能 会 因 此 在 用 户 的 访 问 过 程 中 改 变 该 用 户 所 属 的 角 色, 重 新 为 该 用 户 分 配 相 应 的 权 限 添 加 主 机 绑 定 点 击 添 加 按 钮, 添 加 已 配 置 的 主 机 检 测 策 略, 被 添 加 的 主 机 检 测 策 略 将 显 示 在 下 方 的 列 表 中 启 用 主 机 绑 定, 还 需 要 在 主 机 绑 定 验 证 页 面 配 置 主 机 绑 定 功 能 关 于 主 机 绑 定 的 详 细 信 息, 请 参 阅 " 主 机 绑 定 " 在 第 144 页 启 用 主 机 绑 定 选 中 启 用 主 机 绑 定 复 选 框 开 启 主 机 绑 定 功 能 默 认 情 况 下, 系 统 仅 允 许 一 个 用 户 通 过 一 台 主 机 登 录, 即 用 户 名 和 主 机 一 一 对 应 用 户 可 以 通 过 选 择 以 下 选 项 改 变 主 机 名 与 用 户 的 绑 定 关 系 : 允 许 一 个 用 户 通 过 多 台 主 机 登 录 允 许 多 个 用 户 通 过 一 台 主 机 登 录 用 户 首 次 登 录 时 自 动 把 用 户 名 和 主 机 ID 的 应 用 关 系 加 入 绑 定 表 在 < 最 优 路 径 检 测 > 标 签 页, 填 写 相 关 配 置 信 息 最 优 路 径 检 测 功 能 够 使 不 同 ISP 线 路 接 入 的 客 户 端 自 动 选 择 最 快 线 路 连 接 到 SSL VPN 设 备 端, 从 而 提 供 访 问 总 部 资 源 时 的 速 度 选 项 说 明 不 检 测 不 进 行 最 优 路 径 检 测 客 户 端 客 户 端 通 过 发 送 UDP 探 测 包 自 动 判 断 最 优 链 路, 并 选 择 连 接 的 最 优 路 径 设 备 端 当 SSL VPN 客 户 端 直 接 访 问 设 备 端 出 接 口 地 址 时, 选 择 该 项, 设 备 端 通 过 客 户 端 的 源 接 入 地 址 判 断 其 ISP 类 型, 根 据 判 断, 将 所 有 的 SSL VPN 出 接 口 IP 地 址 按 照 优 先 级 重 新 排 序 并 下 发 给 客 户 端, 由 客 户 端 选 择 连 接 的 最 优 路 径 ; 当 SSL VPN 客 户 端 通 过 NAT 设 备 访 问 SSL VPN 设 备 端 时, 如 果 选 择 该 项, 设 备 端 会 通 过 客 户 端 的 源 接 入 地 址 判 断 其 ISP 类 型, 根 据 判 断, 将 所 有 的 NAT 外 网 接 口 IP 地 140 第 8 章 VPN

161 选 项 说 明 NAT 映 射 地 址 及 端 口 4. 点 击 完 成, 保 存 所 做 的 配 置 址 按 照 优 先 级 重 新 排 序 并 下 发 给 客 户 端, 由 客 户 端 选 择 连 接 的 最 优 路 径 如 需 要, 在 <NAT 映 射 地 址 及 端 口 > 部 分 指 定 NAT 设 备 上 DNAT 规 则 映 射 到 SSL VPN 服 务 器 的 外 网 IP 及 端 口 当 SSL VPN 客 户 端 通 过 NAT 设 备 访 问 SSL VPN 设 备 端 时, 该 NAT 设 备 会 将 客 户 端 的 访 问 地 址 映 射 到 SSL VPN 设 备 端 的 出 接 口 地 址 分 别 在 < 服 务 器 IP> 和 < 端 口 > 文 本 框 中 输 入 NAT 设 备 外 网 端 口 IP 地 址 及 HTTPS 端 口 号 ( 为 避 免 与 WebUI 使 用 的 HTTPS 端 口 号 相 冲 突, 建 议 用 户 不 要 把 HTTPS 端 口 号 设 置 为 443) 系 统 允 许 最 多 配 置 四 个 IP 地 址 查 看 SSL VPN 所 有 在 线 客 户 端, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 选 择 SSL VPN 实 例 3. 在 页 面 下 方 的 在 线 用 户 列 表 中 查 看 该 实 例 所 有 在 线 客 户 端 的 详 细 信 息 4. 如 需 要, 用 户 还 可 以 在 在 线 用 户 列 表 右 上 侧 的 在 线 用 户 文 本 框 中 输 入 特 定 用 户 名 称, 然 后 点 击 后 面 的 搜 索 按 钮 查 看 特 定 在 线 客 户 端 的 详 细 信 息 配 置 SSL VPN 地 址 池 SSL VPN 设 备 端 通 过 地 址 池 给 客 户 端 分 配 IP 地 址 当 客 户 端 连 接 SSL VPN 设 备 端 成 功 后, 设 备 端 会 从 地 址 池 里 取 出 一 个 IP 地 址 与 其 它 相 关 参 数 ( 如 DNS 服 务 器 地 址 与 WINS 服 务 器 地 址 等 ) 一 起 分 配 给 客 户 端 SSL VPN 通 过 创 建 和 执 行 IP 地 址 绑 定 规 则 来 满 足 客 户 端 的 固 定 IP 地 址 需 求 IP 地 址 绑 定 规 则 包 括 IP 用 户 绑 定 规 则 和 IP 角 色 绑 定 规 则 IP 用 户 绑 定 规 则 将 客 户 端 用 户 与 已 配 置 地 址 池 中 的 某 个 固 定 IP 地 址 绑 定, 当 客 户 端 连 接 成 功 后, 设 备 端 会 将 绑 定 的 IP 地 址 分 配 给 客 户 端 ;IP 角 色 绑 定 规 则 是 将 角 色 与 已 配 置 地 址 池 中 的 某 一 IP 地 址 范 围 绑 定, 当 此 客 户 端 连 接 成 功 后, 设 备 端 会 从 绑 定 的 地 址 范 围 中 取 出 一 个 IP 地 址 分 配 给 客 户 端 当 SSL VPN 设 备 端 通 过 地 址 池 给 客 户 端 分 配 IP 地 址 时, 系 统 会 按 照 一 定 的 顺 序 对 客 户 端 的 IP 地 址 绑 定 规 则 进 行 检 查, 决 定 如 何 为 客 户 端 分 配 IP 地 址 检 查 是 否 已 为 客 户 端 用 户 配 置 IP 用 户 绑 定 规 则, 如 果 是, 则 将 绑 定 的 IP 地 址 分 配 给 客 户 端 ; 否 则, 从 非 绑 定 地 址 范 围 中 取 出 一 个 未 被 占 用 的 IP 分 配 给 客 户 端 检 查 是 否 已 为 客 户 端 用 户 配 置 IP 角 色 绑 定 规 则, 如 果 是, 则 从 绑 定 的 地 址 范 围 中 取 出 一 个 IP 地 址 分 配 给 客 户 端 ; 否 则, 从 非 绑 定 地 址 范 围 中 取 出 一 个 未 被 占 用 的 IP 分 配 给 客 户 端 注 意 : IP 用 户 绑 定 规 则 中 的 IP 地 址 和 IP 角 色 绑 定 规 则 中 的 IP 地 址 不 能 重 叠 配 置 SSL VPN 地 址 池, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 页 面 右 上 方 的 SSL VPN 地 址 池, 弹 出 <SSL VPN 地 址 池 > 对 话 框 第 8 章 VPN 141

162 3. 点 击 " 新 建 " 按 钮, 弹 出 < 地 址 池 配 置 > 对 话 框 在 < 基 本 配 置 > 标 签 页, 填 写 基 本 配 置 信 息 选 项 说 明 地 址 池 名 称 指 定 地 址 池 名 称 起 始 IP 指 定 地 址 池 的 起 始 IP 地 址 终 止 IP 指 定 地 址 池 的 终 止 IP 地 址 保 留 起 始 IP 指 定 保 留 地 址 池 的 起 始 IP 地 址 保 留 终 止 IP 指 定 保 留 地 址 池 的 终 止 IP 地 址 网 络 掩 码 指 定 网 络 掩 码 DNS1/DNS2/DNS3/DNS4 指 定 地 址 池 的 DNS 服 务 器 IP 地 址 此 项 为 可 选 项, 即 地 址 池 可 以 不 指 定 DNS 服 务 器 用 户 最 多 可 以 为 每 个 地 址 池 指 定 4 个 DNS 服 务 器 WINS1/WINS2 指 定 地 址 池 的 WINS 服 务 器 IP 地 址 此 项 为 可 选 项, 即 地 址 池 可 以 不 指 定 WINS 服 务 器 用 户 最 多 可 以 为 每 个 地 址 池 指 定 2 个 WINS 服 务 器 在 <IP 用 户 绑 定 > 标 签 页, 进 行 IP 用 户 绑 定 规 则 配 置 选 项 说 明 用 户 输 入 用 户 名 称 IP 输 入 IP 地 址 添 加 点 击 添 加 按 钮, 将 用 户 与 IP 地 址 的 绑 定 条 目 添 加 到 列 表 中 删 除 点 击 删 除 按 钮 删 除 选 中 的 绑 定 条 目 在 <IP 角 色 绑 定 > 标 签 页, 进 行 IP 角 色 绑 定 规 则 配 置 选 项 说 明 角 色 输 入 角 色 名 称 起 始 IP 输 入 起 始 IP 地 址 终 止 IP 输 入 终 止 IP 地 址 添 加 点 击 添 加 按 钮, 将 角 色 与 IP 地 址 的 绑 定 条 目 添 加 到 列 表 中 删 除 点 击 删 除 按 钮 删 除 选 中 的 绑 定 条 目 上 移 / 下 移 / 移 到 最 前 / 移 到 最 后 2. 点 击 确 定 按 钮, 保 存 所 做 的 配 置 移 动 已 有 的 角 色 -IP 地 址 绑 定 规 则 从 而 改 变 规 则 的 排 列 顺 序 对 于 绑 定 到 多 个 角 色 且 多 个 角 色 有 相 应 的 角 色 -IP 地 址 绑 定 规 则 的 用 户, 系 统 会 对 角 色 -IP 地 址 绑 定 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 为 用 户 分 配 地 址 142 第 8 章 VPN

163 配 置 SSL VPN 认 证 登 录 页 设 备 支 持 用 户 自 行 定 制 SSL VPN 认 证 登 录 页 面 背 景 图 片 及 页 面 标 题 默 认 情 况 下, 配 置 SSL VPN 认 证 功 能 后, 其 认 证 登 录 页 面 背 景 图 如 下 所 示 : 定 制 认 证 登 录 页 面, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 页 面 右 上 方 的 SSL VPN 认 证 登 录 页, 弹 出 <SSL VPN 认 证 登 录 页 配 置 > 对 话 框 3. 点 击 浏 览 按 钮, 选 中 需 要 的 图 片 4. 点 击 上 传 按 钮, 将 背 景 图 片 上 载 到 系 统 上 传 成 功 后, 背 景 图 片 即 完 成 修 改 5. 在 认 证 页 面 标 题 文 本 框 中, 输 入 新 的 页 面 标 题 6. 点 击 确 定 保 存 设 置 点 击 取 消 按 钮, 将 只 影 响 认 证 页 面 标 题 的 设 置 如 果 需 要 恢 复 默 认 页 面 标 题 Login, 点 击 清 除 页 面 标 题 按 钮, 然 后 点 击 确 定 按 钮 ; 如 果 需 要 恢 复 默 认 图 片, 点 击 恢 复 缺 省 背 景 按 钮, 在 弹 出 的 < 认 证 登 录 默 认 配 置 > 对 话 框 选 中 < 更 换 中 文 背 景 > 或 者 < 更 换 英 文 背 景 > 复 选 框, 并 点 击 确 定 按 钮 第 8 章 VPN 143

164 主 机 绑 定 主 机 绑 定 也 即 主 机 验 证 主 机 验 证 功 能 是 指 SSL VPN 对 运 行 SSL VPN 客 户 端 的 主 机 进 行 验 证 用 户 在 PC 上 通 过 SSL VPN 客 户 端 登 录 时, 客 户 端 先 收 集 主 机 的 主 板 序 列 号 硬 盘 序 列 号 CPU ID 和 BIOS 序 列 号, 然 后 客 户 端 对 这 些 信 息 进 行 MD5 运 算, 生 成 一 个 32 位 的 字 符 串, 即 主 机 ID 之 后, 客 户 端 将 主 机 ID 以 及 用 户 名 密 码 信 息 发 送 到 SSL VPN 设 备 端 进 行 验 证 SSL VPN 设 备 端 根 据 未 绑 定 主 机 列 表 和 已 绑 定 主 机 列 表 中 记 录 表 项 以 及 主 机 验 证 配 置 进 行 验 证 未 绑 定 主 机 列 表 和 已 绑 定 主 机 列 表 描 述 如 下 : 未 绑 定 主 机 列 表 : 客 户 端 首 次 登 录 时,SSL VPN 设 备 端 会 记 录 用 户 名 与 主 机 ID 的 对 应 关 系, 并 加 入 未 绑 定 主 机 列 表 中 已 绑 定 主 机 列 表 : 已 绑 定 主 机 列 表 中 包 含 允 许 验 证 通 过 的 主 机 ID 与 用 户 名 对 应 关 系 的 表 项 用 户 可 以 通 过 手 工 操 作 或 首 次 登 录 自 动 批 准 方 式 把 候 选 表 中 的 表 项 移 入 已 绑 定 主 机 列 表 中 客 户 端 登 录 时,SSL VPN 设 备 端 会 先 检 查 已 绑 定 主 机 列 表 中 是 否 有 该 主 机 ID 与 用 户 名 的 对 应 关 系 表 项, 如 果 有, 则 通 过 主 机 验 证, 继 续 进 行 用 户 名 密 码 验 证 ; 如 果 没 有, 则 直 接 中 断 SSL 通 讯 过 程 配 置 主 机 绑 定 主 机 绑 定 配 置 包 括 主 机 绑 定 与 解 除 绑 定 超 级 用 户, 共 享 主 机 以 及 主 机 绑 定 导 入 / 导 出 配 置 配 置 主 机 绑 定 与 解 除 绑 定 添 加 绑 定 表 项, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 页 面 右 上 方 的 主 机 检 测 / 绑 定 按 钮, 弹 出 < 主 机 绑 定 / 检 测 > 对 话 框 3. 选 择 < 主 机 绑 定 > 标 签 页 进 入 此 标 签 页 后, 选 择 右 侧 < 绑 定 与 解 除 绑 定 > 标 签 页 4. 在 < 未 绑 定 主 机 列 表 > 中, 选 中 需 要 添 加 的 主 机 ID 与 用 户 名 对 应 关 系 表 项 复 选 框 5. 点 击 添 加 绑 定 按 钮 将 列 表 中 相 应 的 对 应 关 系 表 项 移 到 < 已 绑 定 主 机 列 表 > 中 解 除 绑 定 表 项, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 页 面 右 上 方 的 主 机 检 测 / 绑 定 按 钮, 弹 出 < 主 机 绑 定 / 检 测 > 对 话 框 3. 选 择 < 主 机 绑 定 > 标 签 页 进 入 此 标 签 页 后, 选 择 右 侧 < 绑 定 与 解 除 绑 定 > 标 签 页 4. 在 < 已 绑 定 主 机 列 表 > 中, 选 中 需 要 解 除 绑 定 的 表 项 复 选 框 5. 点 击 解 除 绑 定 按 钮 删 除 列 表 中 相 应 的 表 项 配 置 超 级 用 户 超 级 用 户 不 受 主 机 绑 定 功 能 限 制, 可 以 通 过 任 意 主 机 登 录 配 置 超 级 用 户, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 页 面 右 上 方 的 主 机 检 测 / 绑 定, 弹 出 < 主 机 绑 定 / 检 测 > 对 话 框 144 第 8 章 VPN

165 3. 选 择 < 主 机 绑 定 > 标 签 页 进 入 此 标 签 页 后, 选 择 右 侧 < 用 户 权 限 > 标 签 页 4. 点 击 新 建, 弹 出 < 新 建 用 户 > 对 话 框 在 < 新 建 用 户 > 对 话 框, 填 写 相 关 信 息 选 项 说 明 用 户 输 入 用 户 名 称 超 级 用 户 点 击 启 用 复 选 框, 将 用 户 设 置 为 超 级 用 户 预 批 准 数 输 入 预 批 准 数 值 当 允 许 一 个 用 户 通 过 多 台 主 机 登 录 且 设 置 了 用 户 首 次 登 录 自 动 批 准 用 户 名 和 主 机 ID 的 绑 定 关 系 时, 默 认 情 况 下, 仅 自 动 批 准 用 户 和 首 次 登 录 主 机 ID 的 绑 定 关 系 表 项, 即 仅 批 准 一 个 主 机 ID, 以 后 登 录 的 主 机 ID 进 入 候 选 表 该 选 项 为 用 户 设 定 预 批 准 主 机 数, 使 数 量 范 围 限 制 内 的 主 机 ID 都 进 入 绑 定 表 5. 点 击 确 定 按 钮 保 存 当 前 所 做 配 置 配 置 共 享 主 机 通 过 共 享 主 机 登 录 的 用 户 不 受 主 机 验 证 功 能 限 制 配 置 共 享 主 机, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 页 面 右 上 方 的 主 机 检 测 / 绑 定, 弹 出 < 主 机 绑 定 / 检 测 > 对 话 框 3. 选 择 < 主 机 绑 定 > 标 签 页 进 入 此 标 签 页 后, 选 择 右 侧 < 主 机 ID 权 限 > 标 签 页 4. 点 击 新 建, 弹 出 < 新 建 主 机 > 对 话 框 第 8 章 VPN 145

166 在 < 新 建 主 机 > 对 话 框, 填 写 相 关 信 息 选 项 说 明 主 机 ID 输 入 主 机 ID 共 享 主 机 选 中 启 用 复 选 框, 将 主 机 设 置 为 共 享 主 机 系 统 默 认 选 中 此 选 项 5. 点 击 确 定 按 钮 保 存 当 前 所 做 配 置 导 入 / 导 出 已 绑 定 主 机 列 表 导 入 已 绑 定 主 机 列 表, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 页 面 右 上 方 的 主 机 检 测 / 绑 定, 弹 出 < 主 机 绑 定 / 检 测 > 对 话 框 3. 选 择 < 主 机 绑 定 > 标 签 页 进 入 此 标 签 页 后, 选 择 右 侧 < 绑 定 与 解 除 绑 定 > 标 签 页 4. 在 已 绑 定 主 机 列 表 部 分, 点 击 导 入 按 钮 5. 点 击 浏 览 按 钮 并 选 择 已 绑 定 主 机 列 表 文 件, 然 后 点 击 上 传 按 钮, 系 统 将 把 选 中 的 已 绑 定 主 机 列 表 文 件 导 入 到 设 备 导 出 已 绑 定 主 机 列 表, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 页 面 右 上 方 的 主 机 检 测 / 绑 定, 弹 出 < 主 机 绑 定 / 检 测 > 对 话 框 3. 选 择 < 主 机 绑 定 > 标 签 页 进 入 此 标 签 页 后, 选 择 右 侧 < 绑 定 与 解 除 绑 定 > 标 签 页 4. 在 已 绑 定 主 机 列 表 部 分, 点 击 导 出 按 钮 导 出 列 表 文 件 146 第 8 章 VPN

167 主 机 检 测 主 机 检 测 功 能 是 指 SSL VPN 设 备 端 对 运 行 SSL VPN 客 户 端 主 机 的 安 全 状 况 进 行 检 测, 通 过 检 查 客 户 端 主 机 的 操 作 系 统 IE 版 本 以 及 特 定 软 件 的 安 装 情 况 等 因 素 来 评 估 客 户 端 主 机 的 安 全 级 别, 并 根 据 不 同 安 全 级 别 为 客 户 端 分 配 不 同 的 资 源 访 问 权 限, 保 证 SSL VPN 接 入 的 安 全 性 主 机 检 测 功 能 对 客 户 端 主 机 的 详 细 检 查 内 容, 请 参 阅 下 表 : 检 查 项 目 操 作 系 统 配 置 详 细 描 述 操 作 系 统 版 本 ( 如 Windows 2000 Windows 2003 Windows XP Windows Vista Windows 7 Windows 8 等 ) 操 作 系 统 补 丁 包 版 本 ( 如 Service Pack 1 等 ) Windows 特 定 补 丁 包 是 否 安 装 ( 如 KB 等 ) Windows 安 全 中 心 和 自 动 升 级 是 否 打 开 防 病 毒 软 件 是 否 必 须 安 装, 实 时 监 控 和 病 毒 库 在 线 升 级 是 否 打 开 防 间 谍 软 件 是 否 必 须 安 装, 实 时 监 控 和 特 征 库 在 线 升 级 是 否 打 开 个 人 防 火 墙 是 否 必 须 安 装 和 实 时 保 护 是 否 打 开 IE 版 本 和 安 全 级 别 是 否 达 到 指 定 标 准 其 他 配 置 指 定 进 程 是 否 正 在 运 行 指 定 服 务 是 否 已 经 安 装 指 定 服 务 是 否 正 在 运 行 指 定 注 册 表 键 值 是 否 存 在 指 定 文 件 是 否 存 在 于 操 作 系 统 中 基 于 角 色 的 访 问 控 制 和 主 机 检 测 流 程 基 于 角 色 的 访 问 控 制 是 指 用 户 的 权 限 不 是 由 用 户 名 而 是 由 用 户 在 系 统 中 的 角 色 决 定 的, 一 个 登 录 于 某 系 统 的 用 户, 可 以 通 过 它 所 对 应 角 色 的 权 限 来 决 定 其 可 以 访 问 的 系 统 资 源 在 权 限 管 理 中, 角 色 作 为 中 间 桥 梁 把 用 户 和 权 限 联 系 起 来 SSL VPN 在 主 机 检 测 流 程 中 实 现 了 基 于 角 色 的 访 问 控 制, 在 主 机 检 测 策 略 规 则 中 引 入 初 级 角 色 和 次 级 角 色 的 概 念 初 级 角 色 主 要 用 于 用 户 从 设 备 端 获 取 对 应 的 主 机 检 测 规 则 信 息 ( 包 含 主 机 检 测 的 内 容 以 及 安 全 级 别 ); 次 级 角 色 决 定 检 测 失 败 用 户 的 实 际 访 问 权 限 主 机 检 测 流 程 如 下 : 1. 客 户 端 发 起 连 接 请 求 并 成 功 认 证 2. 设 备 端 下 发 主 机 检 测 规 则 到 客 户 端 3. 客 户 端 根 据 主 机 检 测 规 则 对 主 机 系 统 进 行 相 应 的 安 全 检 测 如 果 检 测 失 败, 则 弹 出 检 测 结 果 进 行 提 示 4. 客 户 端 将 最 终 检 测 结 果 返 回 给 设 备 端 5. 设 备 端 根 据 配 置 的 主 机 检 测 策 略 规 则 断 开 检 测 失 败 客 户 端 的 连 接 或 者 根 据 其 相 应 的 次 级 角 色 授 予 实 际 访 问 权 限 另 外, 主 机 检 测 功 能 还 支 持 动 态 的 访 问 权 限 控 制 一 方 面, 当 设 备 端 的 安 全 状 况 发 生 变 化 时, 设 备 端 会 主 动 下 发 主 机 检 测 规 则 给 客 户 端, 并 要 求 客 户 端 重 新 进 行 安 全 检 测 ; 另 一 方 面, 客 户 端 可 以 周 期 性 地 进 行 安 全 检 查, 比 如 可 以 定 时 地 检 查 客 户 端 主 机 的 防 病 毒 软 件 是 否 开 启, 如 果 用 户 在 使 用 过 程 中 关 闭 了 防 病 毒 软 件, 系 统 可 能 会 因 此 在 用 户 的 访 问 过 程 中 改 变 该 用 户 所 属 的 角 色, 重 新 为 该 用 户 分 配 相 应 的 权 限 配 置 主 机 检 测 规 则 配 置 主 机 检 测 规 则, 按 照 如 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > SSL VPN, 进 入 SSL VPN 页 面 2. 点 击 SSL VPN 页 面 右 上 方 的 主 机 检 测 / 绑 定, 弹 出 < 主 机 绑 定 / 检 测 > 对 话 框 第 8 章 VPN 147

168 3. 选 择 < 主 机 检 测 > 标 签 页, 进 行 相 关 配 置 4. 点 击 < 主 机 检 测 规 则 > 列 表 左 上 角 的 新 建 按 钮, 弹 出 < 主 机 检 测 配 置 > 对 话 框 在 < 基 本 配 置 > 标 签 页, 填 写 基 本 配 置 信 息 选 项 说 明 主 机 名 称 指 定 主 机 安 全 检 测 规 则 名 称 OS 版 本 补 丁 包 1/2/3/4/5 最 低 IE 版 本 指 定 是 否 检 测 客 户 端 主 机 的 操 作 系 统 版 本 从 下 拉 菜 单 中 选 择 合 适 的 检 测 类 型, 包 括 : 不 检 测 : 不 对 客 户 端 主 机 操 作 系 统 版 本 进 行 检 测 必 须 匹 配 : 客 户 端 主 机 操 作 系 统 版 本 必 须 和 指 定 操 作 系 统 版 本 一 致 分 别 在 后 面 的 下 拉 菜 单 中 选 择 操 作 系 统 版 本 和 操 作 系 统 补 丁 包 版 本 至 少 : 客 户 端 主 机 操 作 系 统 版 本 必 须 高 于 指 定 操 作 系 统 版 本 或 者 和 指 定 操 作 系 统 版 本 一 致 分 别 在 后 面 的 下 拉 菜 单 中 选 择 操 作 系 统 版 本 和 操 作 系 统 补 丁 包 版 本 指 定 客 户 端 主 机 必 须 安 装 的 特 定 Windows 补 丁 包, 在 文 本 框 中 输 入 补 丁 包 名 称 用 户 最 多 可 以 为 每 条 主 机 检 测 规 则 指 定 5 个 补 丁 包 指 定 检 测 客 户 端 主 机 Internet zone 的 IE 版 本 是 否 达 到 指 定 标 准 当 选 择 特 定 IE 版 本 时, 用 户 还 可 以 在 后 面 最 低 IE 安 全 级 别 部 分 指 定 检 测 的 IE 安 全 级 别 最 低 IE 安 全 级 别 指 定 检 测 客 户 端 主 机 的 IE 安 全 级 别 是 否 达 到 指 定 标 准 在 < 高 级 配 置 > 标 签 页, 填 写 相 关 配 置 信 息 选 项 安 全 中 心 说 明 指 定 检 测 客 户 端 主 机 的 Windows 安 全 中 心 是 否 开 启 选 中 必 须 启 用 复 选 框 指 定 客 户 端 主 机 必 须 开 启 Windows 安 全 中 心 自 动 更 新 指 定 检 测 客 户 端 主 机 的 Windows 自 动 更 新 功 能 是 否 开 启 选 中 必 须 启 用 复 选 框 指 定 客 户 端 主 机 必 须 开 启 Windows 自 动 更 新 功 能 防 病 毒 软 件 安 装 软 件 : 指 定 客 户 端 主 机 必 须 安 装 防 病 毒 软 件 实 时 监 控 : 指 定 客 户 端 主 机 必 须 开 启 防 病 毒 软 件 实 时 监 控 功 能 病 毒 库 更 新 : 指 定 客 户 端 主 机 必 须 开 启 防 病 毒 软 件 病 毒 库 在 线 升 级 功 能 防 间 谍 软 件 安 装 软 件 : 指 定 客 户 端 主 机 必 须 安 装 防 间 谍 软 件 实 时 监 控 : 指 定 客 户 端 主 机 必 须 开 启 防 间 谍 软 件 实 时 监 控 功 能 148 第 8 章 VPN

169 选 项 说 明 特 征 库 更 新 : 指 定 客 户 端 主 机 必 须 开 启 防 间 谍 软 件 特 征 库 在 线 升 级 功 能 防 火 墙 安 装 软 件 : 指 定 客 户 端 主 机 必 须 安 装 个 人 防 火 墙 实 时 监 控 : 指 定 客 户 端 主 机 必 须 开 启 个 人 防 火 墙 实 时 监 控 功 能 注 册 表 键 值 指 定 检 测 客 户 端 主 机 的 特 定 注 册 表 键 值 是 否 存 在 用 户 最 多 可 以 为 每 条 主 机 检 测 规 则 指 定 5 个 注 册 表 键 值 从 下 拉 菜 单 中 选 择 合 适 的 检 测 类 型, 包 括 : 不 检 测 : 不 检 测 特 定 注 册 表 键 值 是 否 存 在 存 在 : 客 户 端 主 机 中 包 含 指 定 注 册 表 键 值 在 文 本 框 中 输 入 注 册 表 键 值 名 称 不 存 在 : 指 定 注 册 表 键 值 在 客 户 端 主 机 中 不 存 在 在 文 本 框 中 输 入 注 册 表 键 值 名 称 文 件 路 径 名 称 指 定 检 测 客 户 端 主 机 的 特 定 文 件 是 否 存 在 用 户 最 多 可 以 为 每 条 主 机 检 测 规 则 指 定 5 个 文 件 名 称 从 下 拉 菜 单 中 选 择 合 适 的 检 测 类 型, 包 括 : 不 检 测 : 不 检 测 特 定 文 件 是 否 存 在 存 在 : 客 户 端 主 机 操 作 系 统 中 包 含 指 定 文 件 在 文 本 框 中 输 入 文 件 名 称 不 存 在 : 指 定 文 件 在 客 户 端 主 机 操 作 系 统 中 不 存 在 在 文 本 框 中 输 入 文 件 名 称 运 行 进 程 名 称 指 定 检 测 客 户 端 主 机 的 特 定 进 程 是 否 正 在 运 行 用 户 最 多 可 以 为 每 条 主 机 检 测 规 则 指 定 5 个 进 程 名 称 从 下 拉 菜 单 中 选 择 合 适 的 检 测 类 型, 包 括 : 不 检 测 : 不 对 特 定 进 程 的 运 行 情 况 进 行 检 测 存 在 : 指 定 进 程 在 客 户 端 主 机 中 正 在 运 行 在 文 本 框 中 输 入 进 程 名 称 不 存 在 : 指 定 进 程 在 客 户 端 主 机 中 没 有 运 行 在 文 本 框 中 输 入 进 程 名 称 安 装 服 务 名 称 指 定 检 测 客 户 端 主 机 的 特 定 服 务 是 否 已 经 安 装 用 户 最 多 可 以 为 每 条 主 机 检 测 规 则 指 定 5 个 服 务 名 称 从 下 拉 菜 单 中 选 择 合 适 的 检 测 类 型, 包 括 : 不 检 测 : 不 对 特 定 服 务 的 安 装 情 况 进 行 检 测 存 在 : 指 定 服 务 在 客 户 端 主 机 中 已 经 安 装 在 文 本 框 中 输 入 服 务 名 称 不 存 在 : 指 定 服 务 在 客 户 端 主 机 中 没 有 安 装 在 文 本 框 中 输 入 服 务 名 称 运 行 服 务 名 称 指 定 检 测 客 户 端 主 机 的 特 定 服 务 是 否 正 在 运 行 用 户 最 多 可 以 为 每 条 主 机 检 测 规 则 指 定 5 个 服 务 名 称 从 下 拉 菜 单 中 选 择 合 适 的 检 测 类 型, 包 括 : 5. 点 击 确 定 按 钮, 保 存 所 做 的 配 置 不 检 测 : 不 对 特 定 服 务 的 运 行 情 况 进 行 检 测 存 在 : 指 定 服 务 在 客 户 端 主 机 中 正 在 运 行 在 文 本 框 中 输 入 服 务 名 称 不 存 在 : 指 定 服 务 在 客 户 端 主 机 中 没 有 运 行 在 文 本 框 中 输 入 服 务 名 称 第 8 章 VPN 149

170 SSL VPN 客 户 端 SSL VPN 客 户 端 程 序 为 Hillstone Secure Connect Hillstone Secure Connect 可 在 以 下 操 作 系 统 中 运 行 :Windows 2000/2003/ XP /Vista/Windows 7/Windows8/Windows2008 通 过 客 户 端 与 设 备 端 的 连 接, 即 可 实 现 数 据 的 加 密 通 信 该 客 户 端 的 主 要 作 用 包 括 : 从 所 在 PC 获 得 接 口 和 路 由 信 息 ; 显 示 与 SSL VPN 设 备 端 的 连 接 状 态 数 据 流 统 计 数 据 以 及 接 口 和 路 由 信 息 ; 显 示 应 用 程 序 日 志 信 息 ; 调 用 客 户 端 更 新 程 序 进 行 客 户 端 更 新 本 节 主 要 介 绍 客 户 端 的 下 载 安 装 启 动 卸 载 GUI 和 菜 单 根 据 设 备 端 配 置 的 认 证 方 式 的 不 同, 客 户 端 的 下 载 安 装 和 启 动 方 法 将 不 同 SSL VPN 设 备 端 支 持 以 下 三 种 认 证 方 式 : 用 户 名 / 密 码 用 户 名 / 密 码 + 数 字 证 书 只 用 数 字 证 书 下 载 与 安 装 客 户 端 初 次 使 用 SSL VPN 客 户 端 时, 用 户 需 要 下 载 和 安 装 客 户 端 程 序 Hillstone Secure Connect 本 节 将 根 据 设 备 端 的 三 种 认 证 方 式, 分 别 介 绍 对 应 的 客 户 端 下 载 和 安 装 方 法 对 于 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式, 数 字 证 书 可 以 是 厂 商 提 供 的 USB Key 证 书 或 管 理 员 所 提 供 的 软 证 书 当 用 户 使 用 短 信 口 令 认 证 功 能 时, 需 要 参 照 " 短 信 发 送 参 数 " 在 第 426 页 完 成 相 关 功 能 配 置 使 用 用 户 名 / 密 码 认 证 方 式 当 设 备 端 配 置 用 户 名 / 密 码 认 证 方 式 时, 按 照 以 下 步 骤 下 载 和 安 装 客 户 端 程 序 Hillstone Secure Connect: 1. 在 浏 览 器 的 地 址 栏 输 入 以 下 URL 访 问 设 备 端 : 其 中 IP-Address 和 Port-Number 分 别 为 设 备 端 SSL VPN 实 例 中 指 定 的 接 口 的 IP 地 址 和 HTTPS 端 口 号 2. 浏 览 器 转 到 登 录 页 面 ( 如 图 7-1 所 示 ), 输 入 用 户 名 和 密 码, 并 点 击 登 录 按 钮 图 1-1 如 果 设 备 端 采 用 本 地 认 证 服 务 器 进 行 用 户 认 证, 此 处 的 用 户 名 和 密 码 为 设 备 中 配 置 的 用 户 及 其 相 应 的 密 码 ; 如 果 设 备 端 采 用 RADIUS 认 证 + 通 过 RSA Server 进 行 RSA SecurID Token 认 证 相 结 合 的 方 式, 并 且 是 首 次 登 录, 此 处 输 入 的 用 户 名 应 为 RADIUS 服 务 器 中 的 用 户 名 称, 密 码 为 该 用 户 绑 定 的 实 时 Token 动 态 口 令 输 入 完 成 并 点 击 登 录 后, 浏 览 器 将 转 到 PIN 码 设 置 页 面 ( 如 下 图 7-2 所 示 ), 用 户 需 要 在 该 页 面 设 置 PIN 码, 为 4 至 8 位 数 字 PIN 码 设 置 成 功 后, 系 统 会 提 示 使 用 新 密 码 重 新 登 录 ( 如 下 图 7-3 所 示 ), 点 击 重 新 登 录, 浏 览 器 返 回 登 录 页 面, 输 入 正 确 的 用 户 名 和 新 密 码, 并 点 击 登 录 按 钮 此 处 的 新 密 码 为 PIN 码 + 实 时 Token 动 态 口 令, 例 如, 如 果 PIN 码 设 置 为 54321, 实 时 Token 动 态 口 令 为 , 则 新 密 码 为 ; 如 果 设 备 端 采 用 RADIUS 认 证 + 通 过 RSA Server 进 行 RSA SecurID Token 认 证 相 结 合 的 方 式, 但 不 是 首 次 登 录, 此 处 输 入 的 用 户 名 为 RADIUS 服 务 器 中 的 用 户 名 称, 密 码 为 首 次 重 新 登 录 时 输 入 的 新 密 码 PIN 码 + 实 时 Token 动 态 口 令 150 第 8 章 VPN

171 图 1-2 图 如 果 设 备 端 开 启 短 信 口 令 认 证 功 能, 浏 览 器 将 转 到 短 信 口 令 认 证 对 话 框 ( 如 下 图 所 示 ) 输 入 短 信 认 证 码, 并 点 击 认 证 按 钮 如 果 用 户 在 1 分 钟 内 没 收 到 认 证 码 短 信, 可 以 重 新 申 请 认 证 码 通 过 用 户 名 和 密 码 验 证 后, 用 户 最 多 可 以 输 入 3 次 认 证 码 如 果 连 续 3 次 输 入 错 误, 设 备 端 将 自 动 断 开 连 接 用 户 最 多 能 重 新 申 请 3 次 认 证 码, 新 认 证 码 短 信 发 送 的 时 间 间 隔 为 1 分 钟 重 新 申 请 认 证 码 后, 旧 认 证 码 信 息 失 效, 用 户 必 须 输 入 最 新 认 证 码 才 能 认 证 成 功 4. 成 功 登 录 后, 如 果 使 用 IE 浏 览 器, 系 统 将 自 动 完 成 下 载 任 务, 用 户 只 需 按 照 提 示 安 装 即 可 ; 如 果 使 用 Firefox 等 浏 览 器, 请 点 击 下 载 按 钮 下 载 客 户 端 程 序 scvpn.exe, 下 载 完 成, 双 击 scvpn.exe, 按 照 安 装 向 导 提 示 进 行 安 装 成 功 安 装 Hillstone Secure Connect 后, 将 有 一 个 虚 拟 网 卡 安 装 到 PC 上 该 虚 拟 网 卡 用 来 实 现 客 户 端 与 设 备 端 信 息 的 安 全 加 密 传 输 使 用 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式 当 设 备 端 配 置 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式 时, 按 照 以 下 步 骤 下 载 和 安 装 客 户 端 程 序 Hillstone Secure Connect: 第 8 章 VPN 151

172 1. 将 USB Key 插 入 PC 的 USB 接 口, 或 手 动 导 入 管 理 员 所 提 供 的 软 证 书 2. 在 浏 览 器 的 地 址 栏 输 入 以 下 URL 访 问 设 备 端 : 其 中 IP-Address 和 Port-Number 分 别 为 设 备 端 SSL VPN 实 例 中 指 定 的 接 口 的 IP 地 址 和 HTTPS 端 口 号 3. 浏 览 器 弹 出 < 选 择 数 字 证 书 > 对 话 框 选 中 需 要 的 数 字 证 书, 点 击 确 定 按 钮 如 果 用 户 使 用 的 是 USB Key 证 书, 继 续 在 弹 出 的 < 请 输 入 用 户 口 令 > 对 话 框 ( 如 下 图 所 示 ) 中 输 入 UKey 的 用 户 口 令 ( 默 认 为 1111 ), 并 点 击 确 定 按 钮 Hillstone UKey 的 正 常 使 用 需 要 有 配 套 的 驱 动 程 序 和 管 理 员 软 件, 具 体 信 息 请 参 阅 Hillstone UKey 使 用 指 南 4. 浏 览 器 转 到 登 录 页 面 ( 如 下 图 所 示 ), 输 入 用 户 名 和 密 码, 并 点 击 登 录 按 钮 此 处 的 用 户 名 和 密 码 为 设 备 中 配 置 的 用 户 及 其 相 应 的 密 码 5. 如 果 设 备 端 开 启 短 信 口 令 认 证 功 能, 浏 览 器 将 转 到 短 信 口 令 认 证 对 话 框 ( 如 下 图 所 示 ) 输 入 短 信 认 证 码, 并 点 击 认 证 按 钮 如 果 用 户 在 1 分 钟 内 没 收 到 认 证 码 短 信, 可 以 重 新 申 请 认 证 码 通 过 用 户 名 和 密 码 验 证 后, 用 户 最 多 可 以 输 入 3 次 认 证 码 如 果 连 续 3 次 输 入 错 误, 设 备 端 将 自 动 断 开 连 接 用 户 最 多 能 重 新 申 请 3 次 认 证 码, 新 认 证 码 短 信 发 送 的 时 间 间 隔 为 1 分 钟 重 新 申 请 认 证 码 后, 旧 认 证 码 信 息 失 效, 用 户 必 须 输 入 最 新 认 证 码 才 能 认 证 成 功 152 第 8 章 VPN

173 6. 成 功 登 录 后, 如 果 使 用 IE 浏 览 器, 系 统 将 自 动 完 成 下 载 任 务, 用 户 只 需 按 照 提 示 安 装 即 可 ; 如 果 使 用 Firefox 等 浏 览 器, 请 点 击 下 载 按 钮 下 载 客 户 端 程 序 scvpn.exe, 下 载 完 成, 双 击 scvpn.exe, 按 照 安 装 向 导 提 示 进 行 安 装 成 功 安 装 Hillstone Secure Connect 后, 将 有 一 个 虚 拟 网 卡 安 装 到 PC 上 该 虚 拟 网 卡 用 来 实 现 客 户 端 与 设 备 端 信 息 的 安 全 加 密 传 输 使 用 数 字 证 书 认 证 方 式 当 设 备 端 配 置 只 用 数 字 证 书 认 证 方 式 时, 请 按 照 以 下 步 骤 下 载 和 安 装 客 户 端 程 序 Hillstone Secure Connect: 1. 将 USB Key 插 入 PC 的 USB 接 口, 或 手 动 导 入 管 理 员 所 提 供 的 软 证 书 2. 在 浏 览 器 的 地 址 栏 输 入 以 下 URL 访 问 设 备 端 : 其 中 IP-Address 和 Port-Number 分 别 为 设 备 端 SSL VPN 实 例 中 指 定 的 接 口 的 IP 地 址 和 HTTPS 端 口 号 3. 浏 览 器 弹 出 < 选 择 数 字 证 书 > 对 话 框 选 中 需 要 的 数 字 证 书, 点 击 确 定 按 钮 如 果 用 户 使 用 的 是 USB Key 证 书, 继 续 在 弹 出 的 < 请 输 入 用 户 口 令 > 对 话 框 ( 如 下 图 所 示 ) 中 输 入 UKey 的 用 户 口 令 ( 默 认 为 1111 ), 并 点 击 确 定 按 钮 4. 成 功 登 录 后, 如 果 使 用 IE 浏 览 器, 系 统 将 自 动 完 成 下 载 任 务, 用 户 只 需 按 照 提 示 安 装 即 可 ; 如 果 使 用 Firefox 等 浏 览 器, 请 点 击 下 载 按 钮 下 载 客 户 端 程 序 scvpn.exe, 下 载 完 成, 双 击 scvpn.exe, 按 照 安 装 向 导 提 示 进 行 安 装 5. 成 功 安 装 Hillstone Secure Connect 后, 将 有 一 个 虚 拟 网 卡 安 装 到 PC 上 该 虚 拟 网 卡 用 来 实 现 客 户 端 与 设 备 端 信 息 的 安 全 加 密 传 输 启 动 客 户 端 客 户 端 成 功 安 装 到 PC 后, 用 户 有 两 种 方 法 可 以 启 动 客 户 端 : Web 方 式 启 动 直 接 启 动 第 8 章 VPN 153

174 使 用 W eb 方 式 启 动 客 户 端 本 节 将 根 据 设 备 端 的 三 种 认 证 方 式, 分 别 介 绍 对 应 的 客 户 端 Web 启 动 方 法 对 于 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式, 数 字 证 书 可 以 是 厂 商 提 供 的 USB Key 证 书 或 管 理 员 所 提 供 的 软 证 书 使 用 用 户 名 / 密 码 认 证 方 式 当 设 备 端 配 置 用 户 名 / 密 码 认 证 方 式 时, 按 照 以 下 步 骤 通 过 Web 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 在 IE 浏 览 器 的 地 址 栏 输 入 以 下 URL 访 问 设 备 端 : 2. 浏 览 器 转 到 登 录 页 面 ( 如 图 7-4 所 示 ), 输 入 用 户 名 和 密 码, 并 点 击 登 录 按 钮 图 1-4 如 果 设 备 端 采 用 本 地 认 证 服 务 器 进 行 用 户 认 证, 此 处 的 用 户 名 和 密 码 为 设 备 中 配 置 的 用 户 及 其 相 应 的 密 码 ; 如 果 设 备 端 采 用 RADIUS 认 证 + 通 过 RSA Server 进 行 RSA SecurID Token 认 证 相 结 合 的 方 式, 并 且 是 首 次 登 录, 此 处 输 入 的 用 户 名 应 为 RADIUS 服 务 器 中 的 用 户 名 称, 密 码 为 该 用 户 绑 定 的 实 时 Token 动 态 口 令 输 入 完 成 并 点 击 登 录 按 钮 后, 浏 览 器 将 转 到 PIN 码 设 置 页 面 ( 如 下 图 7-5 所 示 ), 用 户 需 要 在 该 页 面 设 置 PIN 码, 为 4 至 8 位 数 字 PIN 码 设 置 成 功 后, 系 统 会 提 示 使 用 新 密 码 重 新 登 录 ( 如 下 图 7-6 所 示 ), 点 击 重 新 登 录, 浏 览 器 返 回 登 录 页 面, 输 入 正 确 的 用 户 名 和 新 密 码, 并 点 击 登 录 按 钮 此 处 的 新 密 码 为 PIN 码 + 实 时 Token 动 态 口 令, 例 如, 如 果 PIN 码 设 置 为 54321, 实 时 Token 动 态 口 令 为 , 则 新 密 码 为 ; 如 果 设 备 端 采 用 RADIUS 认 证 + 通 过 RSA Server 进 行 RSA SecurID Token 认 证 相 结 合 的 方 式, 但 不 是 首 次 登 录, 此 处 输 入 的 用 户 名 为 RADIUS 服 务 器 中 的 用 户 名 称, 密 码 为 首 次 重 新 登 录 时 输 入 的 新 密 码 PIN 码 + 实 时 Token 动 态 口 令 图 第 8 章 VPN

175 图 如 果 设 备 端 开 启 短 信 口 令 认 证 功 能, 浏 览 器 将 转 到 短 信 口 令 认 证 对 话 框 ( 如 下 图 所 示 ) 输 入 短 信 认 证 码, 并 点 击 认 证 按 钮 如 果 用 户 在 1 分 钟 内 没 收 到 认 证 码 短 信, 可 以 重 新 申 请 认 证 码 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 使 用 用 户 名 / 密 码 + U S B K e y 证 书 方 式 认 证 当 设 备 端 配 置 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式 时, 对 于 USB Key 证 书, 按 照 以 下 步 骤 通 过 Web 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 将 USB Key 插 入 PC 的 USB 接 口 2. 在 IE 浏 览 器 的 地 址 栏 输 入 以 下 URL 访 问 设 备 端 : 3. 浏 览 器 弹 出 < 选 择 数 字 证 书 > 对 话 框 选 中 需 要 的 数 字 证 书, 点 击 确 定 按 钮 在 弹 出 的 < 请 输 入 用 户 口 令 > 对 话 框 ( 如 下 图 所 示 ) 中 输 入 UKey 的 用 户 口 令 ( 默 认 为 1111 ), 并 点 击 确 定 按 钮 Hillstone UKey 的 正 常 使 用 需 要 有 配 套 的 驱 动 程 序 和 管 理 员 软 件, 具 体 信 息 请 参 阅 Hillstone UKey 使 用 指 南 第 8 章 VPN 155

176 4. 浏 览 器 转 到 登 录 页 面 ( 如 下 图 所 示 ), 输 入 用 户 名 和 密 码, 并 点 击 登 录 按 钮 此 处 的 用 户 名 和 密 码 为 设 备 中 配 置 的 用 户 及 其 相 应 的 密 码 5. 如 果 设 备 端 开 启 短 信 口 令 认 证 功 能, 浏 览 器 将 转 到 短 信 口 令 认 证 对 话 框 ( 如 下 图 所 示 ) 输 入 短 信 认 证 码, 并 点 击 认 证 按 钮 如 果 用 户 在 1 分 钟 内 没 收 到 认 证 码 短 信, 可 以 重 新 申 请 认 证 码 6. 在 弹 出 的 <USB Key 口 令 > 对 话 框 ( 如 下 图 所 示 ) 输 入 UKey 的 用 户 口 令 ( 默 认 为 1111 ), 并 点 击 确 定 按 钮 156 第 8 章 VPN

177 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 使 用 用 户 名 / 密 码 + 软 证 书 方 式 认 证 当 设 备 端 配 置 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式 时, 对 于 软 证 书, 按 照 以 下 步 骤 通 过 Web 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 手 动 导 入 管 理 员 所 提 供 的 软 证 书 2. 在 IE 浏 览 器 的 地 址 栏 输 入 以 下 URL 访 问 设 备 端 : 3. 浏 览 器 弹 出 < 选 择 数 字 证 书 > 对 话 框 选 中 需 要 的 数 字 证 书, 点 击 确 定 按 钮 4. 浏 览 器 转 到 登 录 页 面 ( 如 下 图 所 示 ), 输 入 用 户 名 和 密 码, 并 点 击 登 录 按 钮 此 处 的 用 户 名 和 密 码 为 设 备 中 配 置 的 用 户 及 其 相 应 的 密 码 5. 如 果 设 备 端 开 启 短 信 口 令 认 证 功 能, 浏 览 器 将 转 到 短 信 口 令 认 证 对 话 框 ( 如 下 图 所 示 ) 输 入 短 信 认 证 码, 并 点 击 认 证 按 钮 如 果 用 户 在 1 分 钟 内 没 收 到 认 证 码 短 信, 可 以 重 新 申 请 认 证 码 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 使 用 U S B K e y 证 书 方 式 认 证 当 设 备 端 配 置 只 用 数 字 证 书 认 证 方 式 时, 对 于 USB Key 证 书, 按 照 以 下 步 骤 通 过 Web 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 将 USB Key 插 入 PC 的 USB 接 口 2. 在 IE 浏 览 器 的 地 址 栏 输 入 以 下 URL 访 问 设 备 端 : 3. 浏 览 器 弹 出 < 选 择 数 字 证 书 > 对 话 框 选 中 需 要 的 数 字 证 书, 点 击 确 定 按 钮 在 弹 出 的 < 请 输 入 用 户 口 令 > 对 话 框 ( 如 下 图 所 示 ) 中 输 入 UKey 的 用 户 口 令 ( 默 认 为 1111 ), 并 点 击 确 定 按 钮 第 8 章 VPN 157

178 4. 在 弹 出 的 <USB Key 口 令 > 对 话 框 ( 如 下 图 所 示 ) 输 入 UKey 的 用 户 口 令 ( 默 认 为 1111 ), 并 点 击 确 定 按 钮 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 使 用 软 证 书 方 式 当 设 备 端 配 置 只 用 数 字 证 书 认 证 方 式 时, 对 于 软 证 书, 按 照 以 下 步 骤 通 过 Web 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 手 动 导 入 管 理 员 所 提 供 的 软 证 书 2. 在 IE 浏 览 器 的 地 址 栏 输 入 以 下 URL 访 问 设 备 端 : 3. 浏 览 器 弹 出 < 选 择 数 字 证 书 > 对 话 框 选 中 需 要 的 数 字 证 书, 点 击 确 定 按 钮 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 直 接 启 动 客 户 端 本 节 将 根 据 设 备 端 的 三 种 认 证 方 式, 分 别 介 绍 对 应 的 通 过 启 动 文 件 直 接 启 动 客 户 端 的 方 法 对 于 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式, 数 字 证 书 可 以 是 厂 商 提 供 的 USB Key 类 型 数 字 证 书 或 管 理 员 所 提 供 的 文 件 类 型 数 字 证 书 使 用 用 户 名 / 密 码 认 证 方 式 当 设 备 端 配 置 用 户 名 / 密 码 认 证 方 式 时, 按 照 以 下 步 骤 通 过 启 动 文 件 直 接 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 双 击 桌 面 的 Hillstone Secure Connect 快 捷 方 式 2. 点 击 对 话 框 中 的 模 式 按 钮, 系 统 弹 出 < 登 录 模 式 > 对 话 框 ( 如 下 图 所 示 ) 选 中 用 户 名 / 密 码 单 选 按 钮, 点 击 确 定 按 钮 158 第 8 章 VPN

179 3. 系 统 弹 出 用 户 名 / 密 码 登 录 模 式 客 户 端 程 序 登 录 对 话 框 ( 如 图 7-7 所 示 ) 依 次 填 写 登 录 对 话 框 中 的 各 项, 然 后 点 击 登 录 按 钮 选 项 说 明 最 近 访 问 在 下 拉 菜 单 中 选 择 登 录 信 息 条 目 标 识 服 务 器 填 写 设 备 端 的 IP 地 址 端 口 填 写 设 备 端 的 HTTPS 端 口 号 用 户 名 填 写 客 户 端 用 户 名 密 码 填 写 与 用 户 名 相 对 应 的 密 码 图 1-7 如 果 设 备 端 采 用 本 地 认 证 服 务 器 进 行 用 户 认 证, 此 处 的 用 户 名 和 密 码 为 设 备 中 配 置 的 用 户 及 其 相 应 的 密 码 ; 如 果 设 备 端 采 用 RADIUS 认 证 + 通 过 RSA Server 进 行 RSA SecurID Token 认 证 相 结 合 的 方 式, 并 且 是 首 次 登 录, 此 处 输 入 的 用 户 名 应 为 RADIUS 服 务 器 中 的 用 户 名 称, 密 码 为 该 用 户 绑 定 的 实 时 Token 动 态 口 令 输 入 完 成 并 点 击 登 录 按 钮 后, 浏 览 器 将 转 到 PIN 码 设 置 页 面 ( 如 下 图 7-8 所 示 ), 用 户 需 要 在 该 页 面 设 置 PIN 码, 为 4 至 8 位 数 字 PIN 码 设 置 成 功 后, 系 统 会 提 示 使 用 新 密 码 重 新 登 录 ( 如 下 图 7-9 所 示 ), 点 击 重 新 登 录, 浏 览 器 返 回 登 录 页 面, 输 入 正 确 的 用 户 名 和 新 密 码, 并 点 击 登 录 按 钮 此 处 的 新 密 码 为 PIN 码 + 实 时 Token 动 态 口 令, 例 如, 如 果 PIN 码 设 置 为 54321, 实 时 Token 动 态 口 令 为 , 则 新 密 码 为 ; 如 果 设 备 端 采 用 RADIUS 认 证 + 通 过 RSA Server 进 行 RSA SecurID Token 认 证 相 结 合 的 方 式, 但 不 是 首 次 登 录, 此 处 输 入 的 用 户 名 为 RADIUS 服 务 器 中 的 用 户 名 称, 密 码 为 首 次 重 新 登 录 时 输 入 的 新 密 码 PIN 码 + 实 时 Token 动 态 口 令 第 8 章 VPN 159

180 图 1-8 图 如 果 设 备 端 开 启 短 信 口 令 认 证 功 能, 浏 览 器 将 转 到 短 信 口 令 认 证 对 话 框 ( 如 下 图 所 示 ) 输 入 短 信 认 证 码, 并 点 击 认 证 按 钮 如 果 用 户 在 1 分 钟 内 没 收 到 认 证 码 短 信, 可 以 重 新 申 请 认 证 码 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 使 用 用 户 名 / 密 码 + U S B K e y 证 书 方 式 认 证 当 设 备 端 配 置 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式 时, 对 于 USB Key 证 书, 请 按 照 以 下 步 骤 通 过 启 动 文 件 直 接 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 将 USB Key 插 入 PC 的 USB 接 口 2. 双 击 桌 面 的 Hillstone Secure Connect 快 捷 方 式. 3. 点 击 模 式 按 钮, 系 统 弹 出 < 登 录 模 式 > 对 话 框 首 先, 选 中 用 户 名 / 密 码 + 数 字 证 书 单 选 按 钮 ; 如 需 要, 点 击 选 择 证 书 按 钮, 在 弹 出 的 < 选 择 证 书 > 对 话 框 ( 如 下 图 所 示 ) 中 选 择 使 用 USB Key 证 书 按 钮 如 果 当 前 证 书 列 表 中 没 有 显 示 USB Key 证 书, 请 点 击 刷 新 按 钮 客 户 端 会 将 选 中 的 数 字 证 书 传 送 至 设 备 端, 设 备 端 对 收 到 的 数 字 证 书 进 行 认 证 ; 最 后, 点 击 确 定 按 钮 160 第 8 章 VPN

181 4. 系 统 弹 出 用 户 名 / 密 码 + 数 字 证 书 登 录 模 式 客 户 端 程 序 登 录 对 话 框 ( 如 下 图 所 示 ) 依 次 填 写 登 录 对 话 框 中 的 各 项 5. 内 容 填 写 完 毕, 点 击 登 录 按 钮 如 果 设 备 端 开 启 短 信 口 令 认 证 功 能, 系 统 将 弹 出 < 短 信 口 令 认 证 > 对 话 框 ( 如 下 图 所 示 ) 在 该 对 话 框 中 输 入 认 证 码, 并 点 击 验 证 按 钮 如 果 用 户 在 1 分 钟 内 没 收 到 认 证 码 短 信, 可 以 重 新 申 请 认 证 码 第 8 章 VPN 161

182 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 使 用 用 户 名 / 密 码 + 软 证 书 方 式 认 证 当 设 备 端 配 置 用 户 名 / 密 码 + 数 字 证 书 认 证 方 式 时, 对 于 软 证 书, 请 按 照 以 下 步 骤 通 过 启 动 文 件 直 接 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 手 动 导 入 管 理 员 所 提 供 的 软 证 书 2. 双 击 桌 面 的 Hillstone Secure Connect 快 捷 方 式 3. 点 击 模 式 按 钮, 系 统 弹 出 < 登 录 模 式 > 对 话 框 首 先, 选 中 用 户 名 / 密 码 + 数 字 证 书 单 选 按 钮 ; 如 需 要, 点 击 选 择 证 书 按 钮, 在 弹 出 的 < 选 择 证 书 > 对 话 框 ( 如 下 图 所 示 ) 中 选 择 使 用 软 证 书 按 钮 如 果 当 前 证 书 列 表 中 没 有 显 示 软 证 书, 请 点 击 刷 新 按 钮 客 户 端 会 将 选 中 的 数 字 证 书 传 送 至 设 备 端, 设 备 端 对 收 到 的 数 字 证 书 进 行 认 证 ; 最 后, 点 击 确 定 按 钮 162 第 8 章 VPN

183 4. 系 统 弹 出 用 户 名 / 密 码 + 数 字 证 书 登 录 模 式 客 户 端 程 序 登 录 对 话 框 ( 如 下 图 所 示 ) 依 次 填 写 登 录 对 话 框 中 的 各 项 5. 内 容 填 写 完 毕, 点 击 登 录 按 钮 如 果 设 备 端 开 启 短 信 口 令 认 证 功 能, 系 统 将 弹 出 < 短 信 口 令 认 证 > 对 话 框 ( 如 下 图 所 示 ) 在 该 对 话 框 中 输 入 认 证 码, 并 点 击 验 证 按 钮 如 果 用 户 在 1 分 钟 内 没 收 到 认 证 码 短 信, 可 以 重 新 申 请 认 证 码 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 使 用 U S B K e y 证 书 方 式 认 证 当 设 备 端 配 置 只 用 数 字 证 书 认 证 方 式 时, 对 于 USB Key 证 书, 请 按 照 以 下 步 骤 通 过 启 动 文 件 直 接 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 将 USB Key 插 入 PC 的 USB 接 口 2. 双 击 桌 面 的 Hillstone Secure Connect 快 捷 方 式 3. 点 击 模 式 按 钮, 系 统 弹 出 < 登 录 模 式 > 对 话 框 首 先, 选 中 只 用 数 字 证 书 单 选 按 钮 ; 如 需 要, 点 击 选 择 证 书 按 钮, 在 弹 出 的 < 选 择 证 书 > 对 话 框 ( 如 下 图 所 示 ) 中 选 择 使 用 USB Key 证 书 如 果 当 前 证 书 列 表 中 没 有 显 示 USB Key 证 书, 请 点 击 刷 新 按 钮 客 户 端 会 将 选 中 的 数 字 证 书 传 送 至 设 备 端, 设 备 端 对 收 到 的 数 字 证 书 进 行 认 证 ; 最 后, 点 击 确 定 按 钮 第 8 章 VPN 163

184 4. 系 统 弹 出 只 用 数 字 证 书 登 录 模 式 客 户 端 程 序 登 录 对 话 框 ( 如 下 图 所 示 ) 依 次 填 写 登 录 对 话 框 中 的 各 项 5. 内 容 填 写 完 毕, 点 击 登 录 按 钮 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 使 用 软 证 书 方 式 当 设 备 端 配 置 只 用 数 字 证 书 认 证 方 式 时, 对 软 证 书, 请 按 照 以 下 步 骤 通 过 启 动 文 件 直 接 启 动 客 户 端, 完 成 客 户 端 与 设 备 端 的 连 接 : 1. 手 动 导 入 管 理 员 所 提 供 的 软 证 书 2. 双 击 桌 面 的 Hillstone Secure Connect 快 捷 方 式 3. 点 击 模 式 按 钮, 系 统 弹 出 < 登 录 模 式 > 对 话 框 首 先, 选 中 只 用 数 字 证 书 单 选 按 钮 ; 如 需 要, 点 击 选 择 证 书 按 钮, 在 弹 出 的 < 选 择 证 书 > 对 话 框 ( 如 下 图 所 示 ) 中 选 择 使 用 软 证 书 如 果 当 前 证 书 列 表 中 没 有 显 示 软 证 书, 请 点 击 刷 新 按 钮 客 户 端 会 将 选 中 的 数 字 证 书 传 送 至 设 备 端, 设 备 端 对 收 到 的 数 字 证 书 进 行 认 证 ; 最 后, 点 击 确 定 按 钮 164 第 8 章 VPN

185 4. 系 统 弹 出 只 用 数 字 证 书 登 录 模 式 客 户 端 程 序 登 录 对 话 框 ( 如 下 图 所 示 ) 依 次 填 写 登 录 对 话 框 中 的 各 项 5. 内 容 填 写 完 毕, 点 击 登 录 按 钮 完 成 以 上 各 步 骤 后, 客 户 端 将 发 起 自 动 连 接 以 接 入 VPN 连 接 成 功 后, 在 系 统 任 务 栏 的 通 知 区 域 将 会 显 示 绿 色 的 图 标 可 以 通 过 SSL VPN 实 现 加 密 通 信 此 时 就 查 看 客 户 端 图 形 用 户 界 面 双 击 系 统 任 务 栏 通 知 区 域 的 Hillstone Secure Connect 绿 色 的 图 标 计 信 息 接 口 信 息 以 及 路 由 信 息, 系 统 弹 出 < 网 络 信 息 > 对 话 框 < 网 络 信 息 > 对 话 框 显 示 统 统 计 信 息 选 项 具 体 描 述 如 下 : 地 址 信 息 服 务 器 显 示 客 户 端 连 接 到 的 设 备 端 的 IP 地 址 客 户 端 示 当 前 客 户 端 的 IP 地 址 第 8 章 VPN 165

186 地 址 信 息 加 密 信 息 密 码 组 合 依 次 显 示 SSL VPN 使 用 的 加 密 算 法 和 验 证 算 法 版 本 显 示 SSL PN 使 用 的 SSL 协 议 版 本 连 接 状 态 状 态 IP 压 缩 显 示 客 户 端 与 设 备 端 的 当 前 连 接 状 态 可 能 出 现 的 状 态 包 括 : 正 在 连 接 已 经 连 接 正 在 断 开 和 断 开 算 法 显 示 客 户 端 所 使 用 的 数 据 压 缩 算 法 隧 道 数 据 包 数 发 送 显 示 通 过 SSL VPN 隧 道 发 送 的 数 据 包 数 接 收 显 示 通 过 SSL VPN 隧 道 接 收 的 数 据 包 数 隧 道 数 据 字 节 数 发 送 显 示 通 过 SSL VPN 隧 道 发 送 的 数 据 字 节 数 接 收 显 示 通 过 SSL VPN 隧 道 接 收 的 数 据 字 节 数 连 接 时 间 持 续 显 示 客 户 端 与 设 备 端 保 持 连 接 的 时 间 压 缩 率 发 送 显 示 通 过 压 缩 算 法 处 理 后 的 发 送 数 据 长 度 百 分 比 接 收 显 示 通 过 压 缩 算 法 处 理 后 的 接 收 数 据 长 度 百 分 比 接 口 信 息 选 项 具 体 描 述 如 下 : 选 项 说 明 接 口 名 称 显 示 SSL VPN 客 户 端 传 送 加 密 信 息 的 接 口 的 名 称 接 口 类 型 显 示 SSL VPN 客 户 端 传 送 加 密 信 息 的 接 口 的 类 型 接 口 状 态 显 示 SSL VPN 客 户 端 传 送 加 密 信 息 的 接 口 的 状 态 物 理 地 址 显 示 SSL VPN 客 户 端 传 送 加 密 信 息 的 接 口 的 MAC 地 址 IP 地 址 类 型 显 示 SSL VPN 客 户 端 传 送 加 密 信 息 的 接 口 IP 地 址 的 类 型 网 络 地 址 显 示 SSL VPN 客 户 端 传 送 加 密 信 息 的 接 口 的 IP 地 址 ( 由 设 备 端 自 动 分 配 ) 子 网 掩 码 显 示 SSL VPN 客 户 端 传 送 加 密 信 息 的 接 口 的 网 络 掩 码 默 认 网 关 显 示 SSL VPN 客 户 端 传 送 加 密 信 息 的 接 口 的 默 认 网 关 地 址 DNS 服 务 器 地 址 显 示 客 户 端 使 用 的 DNS 服 务 器 地 址 WINS 地 址 显 示 客 户 端 使 用 的 WINS 服 务 器 地 址 路 由 信 息 选 项 具 体 描 述 如 下 : 选 项 说 明 本 地 路 由 显 示 通 过 虚 拟 网 卡 实 现 数 据 加 密 传 输 的 路 由 条 目 信 息 查 看 客 户 端 菜 单 右 键 单 击 系 统 任 务 栏 通 知 区 域 的 Hillstone Secure Connect 绿 色 的 图 标, 弹 出 系 统 客 户 端 菜 单 选 项 具 体 描 述 如 下 : 166 第 8 章 VPN

187 选 项 说 明 网 络 信 息 弹 出 < 网 络 信 息 > 对 话 框 查 看 相 关 信 息 日 志 弹 出 < 日 志 > 对 话 框, 显 示 Hillstone Secure Connect 日 志 信 息 该 对 话 框 显 示 基 本 的 日 志 信 息, 查 看 所 有 详 细 日 志 信 息, 点 击 对 话 框 下 方 的 查 看 按 钮 点 击 清 除 按 钮 清 除 对 话 框 的 日 志 信 息 点 击 确 定 按 钮 关 闭 < 日 志 > 对 话 框 调 试 弹 出 < 调 试 > 对 话 框, 对 客 户 端 程 序 的 调 试 功 能 进 行 配 置 关 于 弹 出 < 关 于 Hillstone Secure Connect> 对 话 框, 显 示 Hillstone Secure Connect 的 版 本 版 权 等 相 关 信 息 连 接 当 客 户 端 处 于 断 开 状 态 时, 点 击 该 选 项 弹 出 < 登 录 > 对 话 框, 进 行 连 接 断 开 当 客 户 端 处 于 连 接 状 态 时, 点 击 该 选 项 使 客 户 端 断 开 与 设 备 端 的 连 接 选 项 退 出 弹 出 <Secure Connect 设 置 > 对 话 框 通 过 该 对 话 框, 用 户 可 以 设 置 客 户 端 的 登 录 信 息 自 动 运 行 和 自 动 登 录 等 具 体 介 绍 请 参 阅 Secure Connect 设 置 部 分 点 击 退 出 按 钮 后, 客 户 端 程 序 退 出 如 果 客 户 端 处 于 连 接 状 态, 同 时 会 使 客 户 端 断 开 与 设 备 端 的 连 接 配 置 H illstone S ecure Connect 点 击 客 户 端 菜 单 中 的 < 选 项 >, 系 统 将 弹 出 <Secure Connect 设 置 > 对 话 框 通 过 该 对 话 框, 用 户 可 以 : 设 置 通 用 选 项 添 加 登 录 信 息 条 目 修 改 登 录 信 息 条 目 删 除 登 录 信 息 条 目 设 置 通 用 选 项 在 <Secure Connect 设 置 > 对 话 框, 选 中 左 侧 栏 中 的 通 用 节 点, 右 方 将 显 示 可 配 置 的 通 用 选 项, 包 括 自 动 运 行 和 自 动 登 录 选 项 具 体 描 述 如 下 : 选 项 说 明 自 动 运 行 选 中 该 选 项,SSL VPN 客 户 端 将 在 PC 系 统 启 动 时 自 动 启 动 自 动 登 录 选 中 该 选 项,SSL VPN 将 在 PC 系 统 启 动 时 使 用 指 定 的 用 户 名 自 动 登 录 从 < 登 录 用 户 > 下 拉 菜 单 中 选 择 自 动 登 录 用 户 名 称 自 动 重 连 选 中 该 选 项,SSL VPN 客 户 端 在 非 人 为 选 择 断 开 的 情 况 下, 会 尝 试 连 接 服 务 器 选 择 证 书 添 加 登 录 信 息 条 目 选 中 该 选 项, 系 统 弹 出 < 选 择 证 书 > 对 话 框, 用 户 可 以 通 过 该 对 话 框 选 择 USB Key 认 证 证 书, 详 细 描 述 信 息 请 参 阅 客 户 端 的 启 动 的 直 接 启 动 部 分 该 选 项 适 用 于 设 备 端 已 开 启 客 户 端 证 书 认 证 功 能 为 方 便 用 户 登 录, 用 户 可 以 配 置 登 录 信 息 条 目 配 置 的 登 录 信 息 条 目 将 显 示 在 < 登 录 > 对 话 框 的 最 近 访 问 下 拉 菜 单 中, 供 用 户 登 录 时 选 择 添 加 登 录 信 息 条 目, 按 照 以 下 步 骤 进 行 操 作 : 第 8 章 VPN 167

188 1. 选 中 <Secure Connect 设 置 > 对 话 框 左 侧 栏 的 登 录 信 息 节 点, 右 方 将 显 示 登 录 信 息 配 置 选 项 如 下 图 所 示 : 依 次 填 写 各 选 项 选 项 说 明 最 近 访 问 服 务 器 填 写 设 备 端 的 IP 地 址 为 所 创 建 登 录 信 息 条 目 指 定 名 称 作 为 登 录 信 息 条 目 的 标 识 如 果 不 指 定 该 项, 客 户 端 会 根 据 所 填 写 的 服 务 器 端 口 和 用 户 信 息 自 动 生 成 该 标 识 端 口 填 写 设 备 端 的 HTTPS 端 口 号 用 户 填 写 用 户 名 登 录 模 式 最 优 通 道 2. 填 写 完 毕, 点 击 对 话 框 下 方 的 应 用 按 钮 在 下 拉 菜 单 中 选 择 登 录 模 式, 密 码 密 码 +PIN 或 PIN 密 码 表 示 使 用 用 户 名 / 密 码 认 证 方 式, 选 中 记 住 密 码 复 选 框 使 用 记 住 密 码 功 能, 并 在 密 码 文 本 框 中 输 入 该 用 户 对 应 的 登 录 密 码 ; 密 码 +PIN 表 示 使 用 用 户 名 / 密 码 + USB Key 认 证 方 式, 选 中 记 住 密 码 复 选 框 使 用 记 住 密 码 功 能, 并 在 密 码 文 本 框 中 输 入 该 用 户 对 应 的 登 录 密 码, 选 中 记 住 PIN 码 复 选 框 使 用 记 住 PIN 码 功 能, 然 后 在 PIN 码 文 本 框 中 输 入 UKey 对 应 的 用 户 口 令 ; PIN 表 示 使 用 只 用 USB Key 认 证 方 式, 选 中 记 住 PIN 码 复 选 框 使 用 记 住 PIN 码 功 能, 然 后 在 PIN 码 文 本 框 中 输 入 UKey 对 应 的 用 户 口 令 选 中 该 复 选 框 开 启 自 动 选 择 最 优 通 道 功 能 关 于 自 动 选 择 最 优 通 道 功 能 的 详 细 信 息, 参 阅 "SSL VPN" 在 第 137 页 168 第 8 章 VPN

189 L2TP VP N 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 L2TP(Layer Two Tunneling Protocol, 第 二 层 隧 道 协 议 ) 是 虚 拟 专 用 拨 号 网 络 (VPDN) 技 术 的 一 种 L2TP 可 以 让 拨 号 用 户 从 L2TP 客 户 端 或 者 L2TP 访 问 集 中 器 端 (LAC) 发 起 VPN 连 接, 通 过 点 对 点 协 议 (PPP) 连 接 到 L2TP 网 络 服 务 器 (LNS) 连 接 成 功 后,LNS 会 向 合 法 用 户 分 配 IP 地 址, 并 允 许 其 访 问 私 网 设 备 在 L2TP 协 议 隧 道 组 网 中 充 当 LNS 的 角 色, 它 接 受 来 自 L2TP 客 户 端 或 LAC 的 连 接, 进 行 用 户 认 证 与 授 权, 为 合 法 用 户 分 配 IP 地 址 DNS 服 务 器 地 址 和 WINS 服 务 器 地 址 L2TP 协 议 不 对 隧 道 传 输 中 的 数 据 进 行 加 密, 因 此 在 传 输 过 程 中 无 法 保 证 数 据 的 安 全 用 户 可 以 将 L2TP 协 议 和 IPSec 协 议 结 合 使 用, 利 用 IPSec 协 议 对 数 据 进 行 加 密 的 优 势, 保 证 L2TP 隧 道 传 输 中 的 数 据 安 全 配 置 L 2 T P VPN 新 建 L2TP VPN, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > L2TP VPN, 进 入 L2TP VPN 页 面 2. 点 击 左 上 角 的 新 建, 弹 出 <L2TP VPN 配 置 > 对 话 框 输 入 L2TP VPN 名 称 并 开 始 进 行 相 关 配 置 在 < 名 称 / 接 入 用 户 > 标 签 页, 填 写 相 关 信 息 接 入 用 户 AAA 服 务 器 在 AAA 服 务 器 下 拉 菜 单 中 选 择 需 要 的 服 务 器 名 称 域 名 在 域 名 文 本 框 中 输 入 服 务 器 对 应 的 域 名 用 户 域 名 验 证 启 用 用 户 域 名 验 证 后, 将 对 用 户 名 及 对 应 的 域 名 进 行 验 证 添 加 点 击 添 加 按 钮, 添 加 已 配 置 的 AAA 服 务 器, 被 添 加 的 AAA 服 务 器 将 显 示 在 下 方 的 列 表 中 在 < 接 口 / 地 址 池 /IPSec 隧 道 > 标 签 页, 填 写 相 关 信 息 接 入 接 口 出 接 口 指 定 客 户 端 所 访 问 的 设 备 端 接 口 在 下 拉 菜 单 中 选 择 需 要 的 设 备 端 接 口 隧 道 接 口 隧 道 接 口 指 定 绑 定 L2TP VPN 隧 道 的 隧 道 接 口, 流 量 通 过 隧 道 接 口 进 出 L2TP VPN 通 道 在 下 拉 菜 单 中 选 择 系 统 中 已 配 置 的 隧 道 接 口 ; 或 者, 选 中 下 拉 菜 单 中 的 新 建 选 项, 在 弹 出 的 < 隧 道 接 口 > 对 话 框 中 新 建 隧 道 接 口 ; 还 可 以 在 下 拉 菜 单 中 选 中 系 统 中 已 配 置 的 隧 道 接 口, 然 后 点 击 编 辑 按 钮, 在 弹 出 的 < 隧 道 接 口 > 对 话 框 中 编 辑 该 隧 道 接 口 信 息 展 示 显 示 隧 道 接 口 相 关 信 息 第 8 章 VPN 169

190 接 入 接 口 地 址 池 地 址 池 指 定 L2TP VPN 地 址 池 在 下 拉 菜 单 中 选 择 系 统 中 已 配 置 的 地 址 池 ; 或 者, 选 中 下 拉 菜 单 中 的 新 建 选 项, 在 弹 出 的 < 地 址 池 配 置 > 对 话 框 中 新 建 地 址 池 ; 还 可 以 在 下 拉 菜 单 中 选 中 系 统 中 已 配 置 的 地 址 池, 然 后 点 击 编 辑 按 钮, 在 弹 出 的 < 地 址 池 配 置 > 对 话 框 中 编 辑 该 地 址 池 信 息 展 示 显 示 地 址 池 相 关 信 息 引 用 IPSec 隧 道 引 用 IPSec 隧 道 从 下 拉 菜 单 选 择 引 用 的 IPSec 隧 道 L2TP 协 议 不 对 隧 道 传 输 中 的 数 据 进 行 加 密, 因 此 在 传 输 过 程 中 无 法 保 证 数 据 的 安 全 用 户 可 以 将 L2TP 协 议 和 IPSec 协 议 结 合 使 用, 利 用 IPSec 协 议 对 数 据 进 行 加 密 的 优 势, 保 证 L2TP 隧 道 传 输 中 的 数 据 安 全 3. 如 需 要, 点 击 页 面 左 下 方 的 高 级 配 置 按 钮, 打 开 < 参 数 配 置 > 标 签 页 在 < 参 数 配 置 > 标 签 页, 填 写 相 关 信 息 安 全 配 置 隧 道 认 证 AVP 数 据 隐 含 点 击 启 用 按 钮 启 用 隧 道 认 证, 保 证 连 接 的 安 全 隧 道 认 证 可 由 LNS 或 LAC 任 何 一 端 发 起, 只 有 两 端 均 通 过 隧 道 认 证, 即 隧 道 密 码 一 致 时, 方 可 建 立 隧 道 点 击 启 用 按 钮 启 用 AVP 数 据 隐 含 L2TP 协 议 使 用 AVP(attribute value pair, 属 性 值 对 ) 来 传 递 和 协 商 L2TP 的 一 些 参 数 属 性 等 在 默 认 情 况 下, AVP 是 采 用 明 文 形 式 传 输 的 为 了 保 证 数 据 安 全, 用 户 可 以 通 过 隧 道 密 码 加 解 密 这 些 数 据, 将 这 些 AVP 隐 藏 起 来 传 输 隧 道 密 码 指 定 LNS 端 隧 道 认 证 的 密 码 对 端 名 称 客 户 端 连 接 允 许 客 户 端 指 定 指 定 LAC 端 设 备 的 主 机 名 称 如 果 多 个 LAC 与 LNS 建 立 连 接, 用 户 可 通 过 配 置 该 项 参 数 为 不 同 的 LAC 端 设 备 指 定 不 同 的 隧 道 密 码 点 击 添 加 按 钮 将 配 置 的 隧 道 密 码 和 对 端 名 称 组 合 添 加 到 列 表 点 击 删 除 按 钮 删 除 选 中 的 组 合 点 击 启 用 按 钮 允 许 用 户 指 定 IP 地 址 默 认 情 况 下, 客 户 端 的 IP 地 址 由 LNS 从 地 址 池 中 取 出 并 自 动 分 配 启 用 该 功 能 后, 用 户 可 以 指 定 IP 地 址, 但 该 IP 地 址 必 须 属 于 已 指 定 的 地 址 池 范 围 之 内 且 与 用 户 的 用 户 名 和 角 色 一 致 如 果 指 定 的 IP 地 址 已 被 占 用, 则 系 统 禁 止 该 用 户 登 录 允 许 同 名 登 录 点 击 启 用 按 钮 允 许 同 一 个 用 户 在 多 个 地 点 同 时 登 录 认 证 Hello 报 文 间 隔 指 定 发 送 Hello 报 文 的 时 间 间 隔 LNS 定 时 向 L2TP 客 户 端 或 LAC 发 送 Hello 报 文 检 测 隧 道 是 否 连 通, 若 在 一 段 时 间 内 未 收 到 应 答, 该 隧 道 连 接 将 被 断 开 LNS 名 称 指 定 本 端 隧 道 的 名 称 隧 道 数 据 窗 口 大 小 指 定 隧 道 传 输 数 据 的 窗 口 大 小 控 制 报 文 重 传 次 数 PPP 配 置 指 定 控 制 报 文 重 传 次 数 如 果 在 指 定 的 重 传 次 数 内 未 收 到 对 端 的 响 应, 则 系 统 认 为 隧 道 连 接 已 经 断 开 LCP-echo 指 定 PPP 协 商 过 程 中 LNS 发 送 LCP Echo 报 文 的 相 关 参 数, 包 括 : 发 送 间 隔 - 指 定 发 送 LCP Echo 报 文 的 间 隔 时 间 重 传 次 数 - 指 定 发 送 LCP Echo 报 文 的 重 传 次 数 如 果 LNS 在 发 送 次 数 达 到 设 置 的 重 传 次 数 后 未 收 到 响 应, 会 判 断 连 接 已 经 断 开 PPP 认 证 指 定 PPP 认 证 的 协 议, 包 括 : PAP - 指 定 PPP 认 证 方 式 为 密 码 认 证 协 议 PAP 170 第 8 章 VPN

191 安 全 配 置 4. 点 击 完 成 按 钮, 保 存 所 做 配 置 配 置 L 2 T P VPN 地 址 池 CHAP - 指 定 PPP 认 证 方 式 为 质 询 握 手 认 证 协 议 CHAP 此 选 项 为 默 认 选 项 任 意 - 指 定 该 参 数 后, 系 统 首 选 认 证 方 式 为 CHAP, 如 果 认 证 不 支 持 CHAP 协 议 时, 则 使 用 PAP 协 议 进 行 认 证 LNS 通 过 地 址 池 给 用 户 分 配 IP 地 址 当 用 户 连 接 LNS 成 功 后,LNS 会 从 地 址 池 里 取 出 一 个 IP 地 址 与 其 它 相 关 参 数 ( 如 DNS 服 务 器 地 址 与 WINS 服 务 器 地 址 等 ) 一 起 分 配 给 用 户 L2TP 通 过 创 建 和 执 行 IP 地 址 绑 定 规 则 来 满 足 客 户 端 的 固 定 IP 地 址 需 求 IP 地 址 绑 定 规 则 包 括 静 态 IP 地 址 绑 定 规 则 和 角 色 -IP 地 址 绑 定 规 则 静 态 IP 地 址 绑 定 规 则 将 客 户 端 用 户 与 已 配 置 地 址 池 中 的 某 个 固 定 IP 地 址 绑 定, 当 客 户 端 连 接 成 功 后, 系 统 会 将 绑 定 的 IP 地 址 分 配 给 客 户 端 ; 角 色 -IP 地 址 绑 定 规 则 是 将 角 色 与 已 配 置 地 址 池 中 的 某 一 IP 地 址 范 围 绑 定, 当 此 客 户 端 连 接 成 功 后, 系 统 会 从 绑 定 的 地 址 范 围 中 取 出 一 个 IP 地 址 分 配 给 客 户 端 注 意 : 静 态 IP 地 址 绑 定 规 则 中 的 IP 地 址 和 角 色 -IP 地 址 绑 定 规 则 中 的 IP 地 址 不 能 重 叠 新 建 L2TP VPN 地 址 池, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > L2TP VPN, 进 入 L2TP VPN 页 面 2. 点 击 右 上 角 的 L2TP VPN 地 址 池, 弹 出 <L2TP VPN 地 址 池 > 对 话 框 3. 点 击 新 建, 弹 出 < 地 址 池 配 置 > 对 话 框 在 < 基 本 配 置 > 标 签 页, 填 写 相 关 信 息 选 项 说 明 地 址 池 名 称 指 定 地 址 池 名 称 起 始 IP 指 定 地 址 池 的 起 始 IP 地 址 终 止 IP 指 定 地 址 池 的 终 止 IP 地 址 保 留 起 始 IP 指 定 保 留 地 址 池 的 起 始 IP 地 址 第 8 章 VPN 171

192 选 项 说 明 保 留 终 止 IP 指 定 保 留 地 址 池 的 终 止 IP 地 址 DNS1/2 WINS1/2 指 定 地 址 池 的 DNS 服 务 器 IP 地 址 此 项 为 可 选 项, 即 地 址 池 可 以 不 指 定 DNS 服 务 器 用 户 最 多 可 以 为 每 个 地 址 池 指 定 2 个 DNS 服 务 器 指 定 地 址 池 的 WINS 服 务 器 IP 地 址 此 项 为 可 选 项, 即 地 址 池 可 以 不 指 定 WINS 服 务 器 用 户 最 多 可 以 为 每 个 地 址 池 指 定 2 个 WINS 服 务 器 在 <IP 用 户 绑 定 > 标 签 页, 填 写 相 关 信 息 选 项 说 明 用 户 输 入 用 户 名 称 IP 输 入 IP 地 址 添 加 将 用 户 与 IP 地 址 的 绑 定 条 目 添 加 到 列 表 中 删 除 删 除 选 中 的 绑 定 条 目 在 <IP 角 色 绑 定 > 标 签 页, 填 写 相 关 信 息 选 项 说 明 角 色 输 入 角 色 名 称 起 始 IP 输 入 起 始 IP 地 址 终 止 IP 输 入 终 止 IP 地 址 添 加 将 角 色 与 IP 地 址 的 绑 定 条 目 添 加 到 列 表 中 删 除 删 除 选 中 的 绑 定 条 目 上 移 / 下 移 / 移 到 最 前 / 移 到 最 后 移 动 已 有 的 角 色 -IP 地 址 绑 定 规 则 从 而 改 变 规 则 的 排 列 顺 序 对 于 绑 定 到 多 个 角 色 且 多 个 角 色 有 相 应 的 角 色 -IP 地 址 绑 定 规 则 的 用 户, 系 统 会 对 角 色 -IP 地 址 绑 定 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 为 用 户 分 配 地 址 4. 点 击 确 定 按 钮, 完 成 配 置 查 看 在 线 用 户 查 看 L2TP VPN 所 有 在 线 客 户 端, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 网 络 > VPN > L2TP VPN, 进 入 L2TP VPN 页 面 2. 选 择 L2TP VPN 实 例 3. 在 页 面 下 方 的 在 线 用 户 列 表 中 查 看 该 L2TP VPN 实 例 所 有 在 线 客 户 端 的 详 细 信 息 选 项 说 明 名 称 显 示 L2TP VPN 名 称 登 录 时 间 显 示 在 线 用 户 的 登 录 时 间 公 网 IP 显 示 在 线 用 户 的 公 网 IP 地 址 私 有 IP 显 示 L2TP VPN 分 配 给 在 线 用 户 的 IP 地 址 4. 如 需 要, 用 户 可 以 在 在 线 用 户 列 表 右 上 侧 的 在 线 用 户 文 本 框 中 输 入 特 定 用 户 名 称, 然 后 点 击 后 面 的 搜 索 按 钮 查 看 特 定 在 线 客 户 端 的 详 细 信 息 172 第 8 章 VPN

193 第 9 章 对 象 本 章 介 绍 系 统 中 需 要 被 其 它 功 能 模 块 引 用 的 对 象 用 户 的 概 念 以 及 配 置, 包 括 : " 地 址 簿 " 在 第 174 页 : 包 含 地 址 信 息, 可 被 多 个 功 能 模 块 引 用, 例 如 策 略 规 则 NAT 规 则 QoS 会 话 限 制 等 " 域 名 薄 " 在 第 176 页 : 包 含 域 名 信 息, 可 被 策 略 路 由 规 则 引 用 " 服 务 薄 " 在 第 177 页 : 包 含 应 用 信 息, 可 被 多 个 功 能 模 块 引 用, 例 如 策 略 规 则 NAT 规 则 QoS 等 " 应 用 薄 " 在 第 180 页 : 应 用 簿 储 存 和 管 理 应 用 和 应 用 组 "SLB 服 务 器 池 " 在 第 182 页 : 介 绍 设 备 的 SLB 服 务 器 配 置 " 时 间 表 " 在 第 184 页 : 指 定 时 间 段 或 者 时 间 周 期, 使 引 用 时 间 表 的 功 能 在 时 间 表 指 定 时 间 内 生 效, 例 如 策 略 规 则 QoS 规 则 主 机 黑 名 单 PPPoE 接 口 与 Internet 的 连 接 等 "AAA 服 务 器 " 在 第 186 页 : 介 绍 设 备 的 AAA 服 务 器 配 置 " 用 户 " 在 第 191 页 : 包 含 使 用 安 全 网 关 设 备 提 供 的 功 能 服 务 被 设 备 认 证 以 及 管 理 的 用 户 信 息 " 角 色 " 在 第 198 页 : 包 含 将 用 户 和 权 限 联 系 起 来 的 角 色 信 息 功 能 配 置 中, 为 不 同 的 角 色 指 定 不 同 的 服 务, 由 此, 角 色 对 应 的 用 户 即 可 拥 有 其 角 色 的 服 务 " 监 测 对 象 " 在 第 201 页 : 监 测 指 定 的 目 标 (IP 地 址 或 者 主 机 ) 是 否 可 达 或 者 接 口 的 链 路 是 否 连 通, 可 用 于 HA 以 及 接 口 监 控 " 发 送 对 象 " 在 第 203 页 : 配 置 了 告 警 规 则 后, 系 统 将 在 发 生 告 警 事 件 时 给 收 件 人 发 送 告 警 邮 件 或 告 警 短 信 发 送 对 象 页 面 用 来 配 置 告 警 信 息 接 收 人 信 息 第 9 章 对 象 173

194 地 址 簿 IP 地 址 是 多 个 功 能 模 块 配 置 的 重 要 组 成 元 素, 例 如 策 略 规 则 网 络 地 址 转 换 规 则 以 及 会 话 数 限 制 等 因 此, 为 方 便 引 用 IP 地 址, 实 现 灵 活 配 置, 设 备 支 持 地 址 簿 功 能 用 户 可 以 给 一 个 IP 地 址 范 围 指 定 一 个 名 称, 在 配 置 时, 只 需 引 用 该 名 称 而 地 址 簿 就 是 系 统 中 用 来 储 存 IP 地 址 范 围 与 其 名 称 的 对 应 关 系 的 数 据 库 地 址 簿 中 的 IP 地 址 与 名 称 的 对 应 关 系 条 目 被 称 作 地 址 条 目 设 备 拥 有 一 个 全 局 地 址 簿 用 户 需 要 为 全 局 地 址 簿 定 义 地 址 条 目 在 定 义 地 址 条 目 时,DNS 名 称 可 以 直 接 用 来 代 替 IP 地 址 范 围 已 经 配 置 好 IP 地 址 的 接 口 也 会 作 为 地 址 条 目 自 动 添 加 到 地 址 簿 中, 方 便 用 户 做 NAT 时 使 用 地 址 条 目 还 具 有 以 下 特 点 : 地 址 簿 中 有 一 条 默 认 条 目 Any Any 对 应 的 IP 地 址 是 /0, 也 就 是 代 表 所 有 IP 地 址 Any 不 可 以 编 辑 也 不 可 以 被 删 除 一 条 地 址 条 目 中 可 以 包 含 地 址 簿 中 另 外 的 地 址 条 目 如 果 地 址 条 目 的 IP 地 址 范 围 发 生 了 变 化, 系 统 会 自 动 更 新 其 它 引 用 了 该 地 址 条 目 的 模 块 新 建 地 址 簿 条 目 新 建 地 址 簿 条 目, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 地 址 簿, 进 入 < 配 置 地 址 簿 > 对 话 框 2. 点 击 新 建 按 钮 在 < 配 置 地 址 簿 > 对 话 框, 配 置 地 址 簿 信 息 基 本 配 置 名 称 输 入 地 址 簿 的 名 称 地 址 成 员 成 员 添 加 指 定 地 址 条 目 成 员 可 以 根 据 需 要 在 下 拉 菜 单 中 选 择 IP/ 掩 码 IP 范 围 主 机 名 称 或 地 址 条 目, 然 后 在 右 侧 的 文 本 框 中 输 入 相 应 的 配 置 将 配 置 的 地 址 成 员 添 加 到 下 方 的 地 址 条 目 成 员 列 表 中 如 需 要, 可 以 多 次 点 击 添 加 按 钮 为 地 址 条 目 添 加 多 个 地 址 成 员 删 除 将 选 中 的 地 址 成 员 从 下 方 的 地 址 条 目 成 员 列 表 中 删 除 排 除 地 址 成 员 成 员 指 定 地 址 条 目 排 除 成 员 可 以 根 据 需 要 在 下 拉 菜 单 中 选 择 IP/ 掩 码 或 IP 范 围, 然 后 在 右 侧 的 文 本 框 中 输 入 相 应 的 配 置 注 意 : 排 除 地 址 成 员 需 要 配 置 在 地 址 成 员 范 围 内, 否 则 无 法 完 成 配 置 添 加 将 配 置 的 地 址 条 目 排 除 成 员 添 加 到 下 方 的 地 址 条 目 排 除 成 员 列 表 中 如 需 要, 可 以 多 次 点 击 添 加 按 钮 为 地 址 条 目 添 加 多 个 地 址 条 目 排 除 成 员 174 第 9 章 对 象

195 基 本 配 置 删 除 将 选 中 的 地 址 条 目 排 除 成 员 从 下 方 的 地 址 条 目 排 除 成 员 列 表 中 删 除 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 地 址 簿 名 称 将 会 显 示 在 地 址 簿 列 表 中 查 看 地 址 簿 条 目 详 情 用 户 可 以 查 看 地 址 条 目 的 详 细 信 息, 包 括 地 址 条 目 名 称 成 员 描 述 以 及 关 联 项 查 看 地 址 条 目 详 情, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 地 址 簿 2. 在 地 址 条 目 列 表 中 点 击 需 要 查 看 详 情 的 地 址 簿 条 目 名 称, 在 地 址 簿 条 目 列 表 下 方 区 域 查 看 详 情 详 情 名 称 查 看 地 址 簿 的 名 称 成 员 查 看 地 址 簿 中 的 地 址 条 目 成 员 排 除 成 员 查 看 地 址 簿 中 的 地 址 条 目 排 除 成 员 描 述 查 看 地 址 簿 的 描 述 信 息 关 联 性 地 址 被 其 它 地 址 条 目 引 用 的 信 息 策 略 被 策 略 规 则 引 用 的 信 息 源 NAT 被 源 NAT 规 则 引 用 的 信 息 目 的 NAT 被 目 的 NAT 规 则 引 用 的 信 息 会 话 限 制 被 会 话 限 制 规 则 引 用 的 信 息 策 略 路 由 被 策 略 路 由 规 则 引 用 的 信 息 Qos 被 QoS 规 则 引 用 的 信 息 第 9 章 对 象 175

196 域 名 薄 用 户 可 以 将 一 个 域 名 或 多 个 域 名 的 集 合 指 定 一 个 名 称, 在 配 置 时, 只 需 引 用 该 名 称 域 名 簿 (Host book) 就 是 系 统 中 用 来 存 储 域 名 集 合 与 其 名 称 的 对 应 关 系 的 数 据 库 域 名 簿 中 的 域 名 与 名 称 的 对 应 关 系 条 目 被 称 作 域 名 条 目 (Host entry) 需 要 注 意 的 是 : 域 名 条 目 个 数 的 最 大 值 为 地 址 条 目 个 数 最 大 值 的 四 分 之 一 每 条 策 略 路 由 规 则 只 可 以 配 置 一 个 域 名 条 目 新 建 域 名 条 目 新 建 域 名 条 目, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 域 名 簿, 进 入 域 名 簿 页 面 2. 点 击 新 建 按 钮, 弹 出 < 配 置 域 名 簿 > 对 话 框 选 项 说 明 名 称 输 入 域 名 簿 的 名 称 成 员 指 定 域 名 条 目 成 员, 根 据 需 要 配 置 IP 地 址 或 者 域 名 点 击 添 加 按 钮, 将 配 置 的 域 名 成 员 添 加 到 下 方 的 域 名 条 目 成 员 列 表 中 如 需 要, 可 以 为 域 名 条 目 添 加 多 个 域 名 成 员 描 述 输 入 所 需 的 域 名 条 目 描 述 信 息 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 域 名 簿 名 称 将 会 显 示 在 域 名 簿 列 表 中 176 第 9 章 对 象

197 服 务 薄 服 务 (Service) 是 具 有 协 议 标 准 的 信 息 流 服 务 具 有 一 定 的 特 征, 例 如 相 应 的 协 议 端 口 号 等, 举 例 来 讲,FTP 服 务 使 用 TCP 传 输 协 议, 其 目 的 端 口 号 是 21 服 务 是 多 个 功 能 模 块 配 置 的 重 要 组 成 元 素, 例 如 策 略 规 则 网 络 地 址 转 换 规 则 和 应 用 QoS 管 理 等 设 备 提 供 多 种 预 定 义 服 务 预 定 义 服 务 组, 同 时 用 户 也 可 以 根 据 自 己 的 需 要 自 定 义 服 务 自 定 义 服 务 组 设 备 用 服 务 簿 来 储 存 和 管 理 这 些 服 务 和 服 务 组 预 定 义 服 务 及 预 定 义 服 务 组 设 备 提 供 多 种 标 准 预 定 义 服 务, 系 统 会 根 据 服 务 的 端 口 直 接 识 别 对 应 的 应 用 类 型 不 同 平 台 支 持 的 预 定 义 服 务 不 同 预 定 义 服 务 组 中 包 含 相 关 的 预 定 义 服 务, 可 方 便 用 户 配 置 自 定 义 服 务 除 了 使 用 系 统 提 供 的 预 定 义 服 务 以 外, 用 户 还 可 以 很 容 易 地 创 建 自 己 的 自 定 义 服 务 用 户 需 指 定 的 自 定 义 服 务 条 目 的 参 数 包 括 : 名 称 传 输 协 议 TCP 或 UDP 类 型 服 务 的 源 和 目 标 端 口 号 或 者 ICMP 类 型 服 务 的 type 和 code 值 超 时 时 间 应 用 类 型 自 定 义 服 务 组 用 户 将 一 些 服 务 组 织 到 一 起 便 组 成 了 服 务 组 用 户 可 以 直 接 将 服 务 组 应 用 到 设 备 策 略 中, 这 样 便 简 化 了 管 理 服 务 组 有 以 下 特 征 : 服 务 簿 中 的 每 一 条 服 务 都 可 以 被 一 个 或 多 个 服 务 组 引 用 每 个 服 务 组 中 既 可 以 包 含 预 定 义 服 务, 也 可 以 包 含 用 户 自 定 义 服 务 服 务 组 可 以 包 含 服 务 组 服 务 组 支 持 8 层 嵌 套 服 务 组 还 有 以 下 限 制 : 服 务 组 名 称 与 服 务 名 称 不 能 相 同 被 策 略 引 用 的 服 务 组 不 能 被 删 除 如 果 要 删 除 一 个 服 务 组, 必 须 首 先 从 其 它 模 块 中 删 除 对 该 服 务 组 的 引 用 如 果 用 户 从 服 务 簿 中 删 除 了 一 条 用 户 自 定 义 服 务, 该 条 服 务 也 将 会 从 所 有 引 用 它 的 服 务 组 中 被 删 除 配 置 服 务 薄 本 节 主 要 介 绍 自 定 义 服 务 和 自 定 义 服 务 组 配 置 配 置 自 定 义 服 务 1. 选 择 对 象 > 服 务 簿 > 服 务 名 称, 进 入 服 务 簿 页 面 2. 点 击 新 建 按 钮, 弹 出 < 服 务 配 置 > 对 话 框 第 9 章 对 象 177

198 选 项 说 明 服 务 名 称 输 入 服 务 簿 的 名 称 规 则 描 述 指 定 所 创 建 自 定 义 服 务 的 协 议 类 型, 点 击 新 建 按 钮, 弹 出 < 服 务 规 则 配 置 > 对 话 框, 可 选 择 的 协 议 类 型 有 TCP UDP ICMP 以 及 其 它 如 需 要, 可 添 加 多 条 服 务 条 目 不 同 类 型 的 具 体 参 数 的 配 置 描 述 如 下 : TCP UDP ICMP 目 的 端 口 : 最 小 指 定 服 务 条 目 的 最 小 目 的 端 口 号 ; 最 大 指 定 服 务 条 目 的 最 大 目 的 端 口 号 端 口 号 范 围 是 0 到 65535, 但 是 目 的 端 口 号 不 能 是 单 一 的 0 源 端 口 : 最 小 指 定 服 务 条 目 的 最 小 源 端 口 号 ; 最 大 指 定 服 务 条 目 的 最 大 源 端 口 号 范 围 是 0 到 注 意 : 最 小 端 口 号 不 能 大 于 最 大 端 口 号 目 的 端 口 : 最 小 指 定 服 务 条 目 的 最 小 目 的 端 口 号 ; 最 大 指 定 服 务 条 目 的 最 大 目 的 端 口 号 端 口 号 范 围 是 0 到 65535, 但 是 目 的 端 口 号 不 能 是 单 一 的 0 源 端 口 : 最 小 指 定 服 务 条 目 的 最 小 源 端 口 号 ; 最 大 指 定 服 务 条 目 的 最 大 源 端 口 号 范 围 是 0 到 注 意 : 最 小 端 口 号 不 能 大 于 最 大 端 口 号 类 型 : 指 定 服 务 条 目 的 ICMP type 值 通 过 下 拉 菜 单 可 以 选 择 3(Destination-Unreachable) 4(Source Quench) 5 (Redirect) 8(Echo) 11(Time Exceeded) 12 (Parameter Problem) 13(Timestamp) 或 15(Information) 最 小 码 : 指 定 自 定 义 服 务 的 ICMP code 最 小 值 范 围 是 0-5 最 大 码 : 指 定 自 定 义 服 务 的 ICMP code 最 大 值 范 围 是 0-5 注 意 : 最 小 端 口 号 不 能 大 于 最 大 端 口 号 其 他 指 定 服 务 条 目 的 协 议 号 范 围 是 1 到 255 服 务 描 述 输 入 所 需 的 自 定 义 服 务 描 述 信 息 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 服 务 簿 将 会 显 示 在 服 务 簿 列 表 中 配 置 自 定 义 服 务 组 1. 选 择 对 象 > 服 务 簿 > 服 务 组, 进 入 服 务 组 页 面 2. 点 击 新 建 按 钮, 弹 出 < 服 务 组 配 置 > 对 话 框 178 第 9 章 对 象

199 选 项 说 明 服 务 组 名 称 输 入 自 定 义 服 务 组 的 名 称 服 务 组 描 述 输 入 所 需 的 自 定 义 服 务 组 描 述 信 息 成 员 指 定 服 务 组 的 成 员, 成 员 可 以 是 自 定 义 服 务 自 定 义 服 务 组 预 定 义 服 务 或 预 定 义 服 务 组 从 左 侧 列 表 中 选 择 需 要 的 服 务 或 服 务 组, 点 击 移 入 按 钮 将 其 添 加 到 右 侧 列 表, 可 添 加 多 个 成 员 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 服 务 组 将 会 显 示 在 自 定 义 服 务 组 列 表 中 第 9 章 对 象 179

200 应 用 薄 应 用 具 有 一 定 的 特 征, 例 如 相 应 的 协 议 端 口 号 应 用 类 型 等, 应 用 是 系 统 中 多 个 功 能 模 块 配 置 的 重 要 组 成 元 素, 例 如 策 略 规 则 网 络 地 址 转 换 规 则 和 应 用 QoS 管 理 等 设 备 提 供 多 种 预 定 义 应 用 以 及 预 定 义 应 用 组, 同 时 用 户 也 可 以 根 据 自 己 的 需 要 自 定 义 应 用 组 系 统 用 应 用 簿 来 储 存 和 管 理 这 些 应 用 和 应 用 组 编 辑 预 定 义 应 用 用 户 可 以 查 看 和 使 用 当 前 版 本 支 持 的 所 有 预 定 义 应 用 并 且 修 改 预 定 义 应 用 超 时 时 间, 但 是 不 能 删 除 预 定 义 应 用 编 辑 预 定 义 应 用, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 应 用 簿 > 应 用 2. 在 列 表 中 选 中 需 要 的 预 定 义 应 用 复 选 框, 点 击 编 辑 按 钮, 在 弹 出 的 编 辑 应 用 对 话 框 中 编 辑 相 应 的 预 定 义 应 用 的 超 时 时 间 新 建 自 定 义 应 用 组 新 建 自 定 义 应 用 组, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 应 用 簿 > 应 用 组 2. 点 击 新 建 按 钮, 弹 出 < 新 建 应 用 组 > 对 话 框 选 项 说 明 名 称 输 入 自 定 义 用 户 组 的 名 称 描 述 输 入 所 需 的 自 定 义 应 用 组 描 述 信 息 成 员 在 可 选 应 用 列 表 选 中 需 要 的 预 定 义 应 用 自 定 义 应 用 组 或 者 常 用 软 件, 点 击 移 入 按 钮, 将 选 中 项 目 添 加 到 已 选 应 用 列 表 如 需 删 除 已 选 应 用, 选 中 已 选 应 用 列 表 中 的 应 用, 点 击 移 出 按 钮, 删 除 相 应 的 应 用 3. 点 击 确 定 按 钮, 完 成 配 置 新 建 应 用 过 滤 组 为 了 细 分 应 用 种 类 以 及 简 化 用 户 重 复 的 搜 索, 系 统 支 持 定 义 应 用 过 滤 组 用 户 可 根 据 应 用 的 类 别 子 类 别 所 用 技 术 风 险 等 级 特 征 等 条 件 定 义 应 用 过 滤 组 新 建 应 用 过 滤 组, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 应 用 簿 > 应 用 过 滤 组 2. 点 击 新 建 按 钮, 弹 出 < 应 用 过 滤 组 配 置 > 对 话 框 180 第 9 章 对 象

201 3. 在 名 称 文 本 框 中 输 入 该 应 用 过 滤 组 的 名 字 4. 依 次 在 类 别 子 类 别 所 用 技 术 风 险 等 级 特 征 下 方 对 应 的 列 表 中 选 择 所 需 创 建 的 应 用 过 滤 组 的 过 滤 条 件 用 户 可 根 据 需 要, 点 击 清 除 过 滤 按 钮 清 除 所 选 的 过 滤 条 件 5. 点 击 确 定 按 钮, 完 成 配 置 第 9 章 对 象 181

202 SLB 服 务 器 池 服 务 器 负 载 均 衡 功 能 (SLB), 可 以 通 过 负 载 均 衡 算 法 均 衡 流 量 到 不 同 的 内 网 服 务 器, 从 而 达 到 充 分 利 用 各 内 网 服 务 器, 提 高 业 务 处 理 能 力 配 置 SL B 服 务 器 池 条 目 和 监 测 规 则 新 建 SLB 服 务 器 池 条 目 和 监 测 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > SLB 服 务 器 池, 进 入 SLB 服 务 器 池 页 面 2. 点 击 新 建 按 钮, 弹 出 < 配 置 SLB 服 务 器 池 > 对 话 框 在 < 配 置 SLB 服 务 器 池 > 对 话 框 中, 填 写 绑 定 信 息 选 项 说 明 名 称 输 入 地 址 池 名 称 算 法 选 择 使 用 的 服 务 器 负 载 均 衡 算 法 成 员 成 员 指 定 SLB 服 务 器 池 条 目 成 员, 根 据 需 要 配 置 IP/ 掩 码 成 员 或 IP 范 围 成 员 端 口 > 输 入 服 务 器 端 口 号 最 大 连 接 数 输 入 服 务 器 最 大 连 接 数 范 围 是 1 到 , 默 认 值 是 0, 表 示 无 最 大 连 接 数 限 制 权 重 输 入 负 载 均 衡 中 流 量 转 发 的 权 重, 范 围 是 1 到 255 添 加 将 配 置 的 SLB 服 务 器 池 成 员 添 加 到 SLB 服 务 器 池 条 目 成 员 列 表 中 探 测 监 测 类 型 选 择 协 议 类 型 监 测 端 口 输 入 监 测 规 则 端 口 号, 范 围 是 0 到 发 送 报 文 间 隔 输 入 发 送 Ping/TCP/UDP 报 文 的 时 间 间 隔, 单 位 为 秒 范 围 是 1 到 255 秒 重 试 次 数 输 入 判 断 监 测 失 败 的 警 戒 值 如 果 系 统 连 续 未 收 到 该 参 数 指 定 个 数 的 响 应 报 文, 就 判 断 为 监 测 失 败, 即 目 标 不 可 达 取 值 范 围 是 3 到 255 权 重 指 定 该 条 监 测 失 败 对 整 个 监 测 对 象 失 败 贡 献 的 权 重 值 取 值 范 围 是 1 到 255 添 加 将 配 置 的 监 测 规 则 添 加 到 监 测 规 则 条 目 列 表 中 警 戒 值 输 入 监 测 警 戒 值 范 围 是 1 到 255 当 失 败 监 测 规 则 的 权 重 之 和 高 于 设 置 的 监 测 警 戒 值 后, 则 认 为 该 服 务 器 不 可 用 描 述 输 入 所 需 的 SLB 服 务 器 池 条 目 描 述 信 息 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 182 第 9 章 对 象

203 查 看 SL B 服 务 器 池 条 目 详 情 用 户 可 以 查 看 SLB 服 务 器 池 条 目 的 详 细 信 息, 包 括 SLB 服 务 器 池 条 目 的 监 测 规 则 信 息 服 务 器 对 应 关 系 以 及 关 联 项 查 看 SLB 服 务 器 池 条 目 详 情, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > SLB 服 务 器 池, 进 入 SLB 服 务 器 池 页 面 2. 选 中 SLB 服 务 器 池 条 目 列 表 中 的 SLB 服 务 器 池 条 目 复 选 框, 在 SLB 服 务 器 池 条 目 列 表 下 方 区 域 查 看 详 情 3. 在 服 务 器 列 表 标 签 页 查 看 SLB 服 务 器 池 条 目 与 服 务 器 对 应 关 系 4. 在 监 控 标 签 页 查 看 监 测 规 则 的 监 测 类 型 监 测 端 口 发 送 报 文 间 隔 重 试 次 数 和 权 重 5. 在 关 联 项 标 签 页, 查 看 SLB 服 务 器 池 被 目 的 NAT 规 则 引 用 的 信 息 第 9 章 对 象 183

204 时 间 表 设 备 支 持 时 间 表 (Schedule) 功 能 时 间 表 功 能 可 以 使 策 略 规 则 在 指 定 的 时 间 生 效, 也 可 以 控 制 PPPoE 接 口 与 因 特 网 的 连 接 时 间 时 间 表 包 含 绝 对 计 划 和 周 期 计 划 周 期 计 划 通 过 周 期 条 目 指 定 时 间 表 的 时 间 点 或 者 时 间 段 ; 而 绝 对 计 划 决 定 周 期 计 划 的 生 效 时 间 周 期 计 划 周 期 计 划 的 时 间 是 该 周 期 计 划 中 周 期 条 目 的 总 和 一 个 周 期 计 划 中 最 多 可 以 添 加 16 个 条 周 期 条 目 用 户 可 以 配 置 三 种 类 型 的 周 期 条 目 : 每 天 : 每 天 的 指 定 时 间 例 如 每 天 的 9:00 到 18:00 每 周 的 某 几 天 : 一 周 中 指 定 天 的 指 定 时 间 例 如 每 周 一 周 二 和 周 六 的 9:00 到 13:30 每 周 一 段 时 间 : 一 周 中 的 一 个 连 续 时 间 段 例 如 从 周 一 早 上 9:30 到 周 三 下 午 15:00 绝 对 计 划 绝 对 计 划 是 一 个 时 间 范 围, 指 定 的 周 期 计 划 会 在 绝 对 计 划 的 时 间 范 围 内 生 效 同 时, 用 户 也 可 以 不 启 用 绝 对 计 划 功 能, 此 时 周 期 计 划 会 在 被 应 用 到 系 统 中 某 项 功 能 上 时, 立 即 生 效 创 建 时 间 表 新 建 时 间 表, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 时 间 表 2. 点 击 新 建 按 钮, 弹 出 < 时 间 表 配 置 > 对 话 框 在 < 时 间 表 配 置 > 对 话 框, 配 置 如 下 信 息 角 色 映 射 配 置 名 称 输 入 时 间 表 的 名 称 周 期 计 划 添 加 添 加 周 期 条 目 类 型 指 定 周 期 条 目 类 型, 可 以 为 每 天 每 周 的 某 几 天 或 者 每 周 一 段 时 间 每 天 : 每 天 的 指 定 时 间 选 中 该 单 选 按 钮 并 在 每 天 计 划 任 务 部 分 指 定 每 天 的 起 始 时 间 和 结 束 时 间 184 第 9 章 对 象

205 角 色 映 射 配 置 每 周 的 某 几 天 : 一 周 中 指 定 天 的 指 定 时 间 选 中 该 单 选 按 钮, 在 每 周 计 划 任 务 部 分 选 择 星 期, 在 起 始 时 间 下 拉 菜 单 选 中 起 始 时 间, 在 结 束 时 间 下 拉 菜 单 选 中 结 束 时 间 每 周 一 段 时 间 : 一 周 中 的 一 个 连 续 时 间 段 选 中 该 单 选 按 钮, 在 每 周 一 段 时 间 的 计 划 任 务 部 分 指 定 时 间 段 的 起 始 日 期 和 时 间 以 及 结 束 日 期 和 时 间 预 览 确 定 如 需 要, 点 击 预 览 按 钮, 在 < 预 览 > 部 分 预 览 周 期 计 划 详 情 保 存 所 做 配 置, 新 创 建 的 周 期 条 目 将 会 显 示 在 周 期 条 目 列 表 中 删 除 将 选 中 的 周 期 条 目 从 周 期 条 目 列 表 中 删 除 绝 对 计 划 起 始 时 间 指 定 绝 对 计 划 的 起 始 日 期 和 时 间 结 束 时 间 指 定 绝 对 计 划 的 结 束 日 期 和 时 间 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 时 间 表 将 会 显 示 在 时 间 表 列 表 中 第 9 章 对 象 185

206 AAA 服 务 器 AAA 服 务 器 是 认 证 服 务 器, 存 储 用 户 信 息 ( 包 括 用 户 名 称 密 码 和 各 种 属 性 ), 在 用 户 请 求 访 问 网 络 时, 提 供 认 证 功 能 有 关 认 证 的 工 作 流 程, 请 参 考 " 第 7 章 用 户 认 证 " 在 第 104 页 AAA 服 务 器 包 括 以 下 四 种 : 本 地 服 务 器 :Local 服 务 器 即 安 全 设 备 本 身 将 用 户 信 息 存 储 在 防 火 墙 上 本 地 认 证 速 度 快, 可 以 降 低 运 营 成 本, 但 是 存 储 信 息 量 受 设 备 硬 件 条 件 的 限 制 外 部 服 务 器, 包 括 : Radius 服 务 器 LDAP 服 务 器 Active-Directory 服 务 器 根 据 认 证 类 型 的 不 同, 选 择 不 同 的 AAA 服 务 器 " 单 点 登 录 " 在 第 109 页 : 只 能 选 择 AD 服 务 器 "802.1x 认 证 " 在 第 114 页 和 " 配 置 IPSec-XAUTH 地 址 池 " 在 第 135 页 : 只 能 选 择 Local 和 Radius 服 务 器 其 他 认 证 方 式 : 所 有 服 务 器 均 支 持 配 置 本 地 AAA 服 务 器 1. 点 击 对 象 > AAA 服 务 器 2. 点 击 新 建 > 本 地 服 务 器, 弹 出 < 本 地 服 务 器 配 置 > 对 话 框 在 < 本 地 服 务 器 配 置 > 对 话 框 进 行 配 置 选 项 说 明 服 务 器 名 称 角 色 映 射 规 则 允 许 用 户 修 改 密 码 备 份 认 证 服 务 器 输 入 本 地 认 证 服 务 器 的 名 称 如 果 需 要 为 服 务 器 指 定 角 色 映 射 规 则, 从 角 色 映 射 规 则 下 拉 菜 单 选 择 映 射 规 则 指 定 角 色 映 射 规 则 后, 系 统 将 会 为 通 过 该 服 务 器 认 证 的 用 户 按 照 指 定 角 色 映 射 规 则 分 配 角 色 选 中 启 用 复 选 框 开 启 本 地 用 户 修 改 密 码 功 能 开 启 该 功 能 后, 用 户 通 过 Web 认 证 或 者 SCVPN 认 证 成 功 登 录 系 统 后, 可 以 修 改 自 身 密 码 为 本 地 服 务 器 配 置 备 份 认 证 服 务 器 后, 当 主 服 务 器 出 现 问 题 或 者 用 户 在 主 服 务 器 认 证 失 败 时, 备 份 认 证 服 务 器 发 挥 身 份 认 证 的 作 用 备 份 认 证 服 务 器 可 以 为 系 统 中 已 配 置 的 本 地 Active-Directory Radius 或 者 LDAP 服 务 器 3. 点 击 确 定 配 置 R adius 服 务 器 1. 点 击 对 象 > AAA 服 务 器 2. 点 击 新 建 > Radius 服 务 器, 弹 出 <Radius 服 务 器 配 置 > 对 话 框 186 第 9 章 对 象

207 在 <Radius 服 务 器 配 置 > 对 话 框 填 写 服 务 器 信 息 基 本 配 置 服 务 器 名 称 输 入 Radius 认 证 服 务 器 的 名 称 服 务 器 地 址 指 定 认 证 服 务 器 的 IP 地 址 或 者 域 名 虚 拟 路 由 器 指 定 认 证 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 端 口 指 定 Radius 服 务 器 的 端 口 号 默 认 值 是 1812, 范 围 是 1024 到 密 钥 指 定 Radius 服 务 器 的 密 钥 再 次 输 入 密 钥 再 次 输 入 Radius 服 务 器 的 密 钥 进 行 确 认 可 选 配 置 角 色 映 射 规 则 备 份 服 务 器 1( 或 2) 虚 拟 路 由 器 1( 或 2) 如 果 需 要 为 服 务 器 指 定 角 色 映 射 规 则, 从 角 色 映 射 规 则 下 拉 菜 单 选 择 映 射 规 则 指 定 角 色 映 射 规 则 后, 系 统 将 会 为 通 过 该 服 务 器 认 证 的 用 户 按 照 指 定 角 色 映 射 规 则 分 配 角 色 一 台 用 于 备 份 的 Radius 服 务 器, 与 主 服 务 器 互 为 备 份 备 份 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 重 拨 次 数 指 定 AAA 服 务 器 ( 认 证 报 文 ) 的 重 传 次 数 取 值 范 围 为 1 到 10 次, 默 认 为 3 次 应 答 超 时 时 间 指 定 服 务 器 的 应 答 超 时 时 间 取 值 范 围 为 1 到 30 秒, 默 认 为 3 秒 备 份 认 证 服 务 器 启 用 计 费 功 能 指 定 备 份 认 证 服 务 器 为 Radius 服 务 器 配 置 备 份 认 证 服 务 器 后, 当 主 服 务 器 出 现 问 题 或 者 用 户 在 主 服 务 器 认 证 失 败 时, 备 份 认 证 服 务 器 发 挥 身 份 认 证 的 作 用 备 份 认 证 服 务 器 可 以 为 系 统 中 已 配 置 的 本 地 Active-Directory Radius 或 者 LDAP 服 务 器 选 中 启 用 计 费 功 能 复 选 框 启 用 Radius 服 务 器 的 计 费 功 能, 然 后 在 展 开 区 域 配 置 服 务 器 的 计 费 功 能 服 务 器 地 址 指 定 计 费 服 务 器 的 IP 地 址 或 者 域 名 虚 拟 路 由 器 计 费 服 务 器 所 属 的 虚 拟 路 由 器 端 口 指 定 计 费 服 务 器 的 端 口 号 默 认 值 是 1813 取 值 范 围 是 1024 到 第 9 章 对 象 187

208 基 本 配 置 密 钥 指 定 Radius 服 务 器 的 密 钥 再 次 输 入 密 钥 再 次 输 入 密 钥 以 确 认 备 份 服 务 器 1 ( 或 2) 虚 拟 路 由 器 1 ( 或 2) 指 定 备 份 服 务 器 1 的 IP 地 址 或 者 域 名 备 份 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 3. 点 击 确 定 配 置 Act iv e Direct ory 服 务 器 1. 点 击 对 象 > AAA 服 务 器 2. 点 击 新 建 >Active Directory 服 务 器, 弹 出 <Active Directory 服 务 器 配 置 > 对 话 框 在 <Active Directory 服 务 器 配 置 > 对 话 框 填 写 服 务 器 信 息 基 本 配 置 服 务 器 名 称 输 入 Active Directory 认 证 服 务 器 的 名 称 服 务 器 地 址 指 定 认 证 服 务 器 的 IP 地 址 或 者 域 名 虚 拟 路 由 器 指 定 认 证 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 端 口 指 定 Active Directory 服 务 器 的 端 口 号 默 认 值 是 389, 范 围 是 1 到 Login-dn DN 意 为 可 辨 别 名 称 (distinguished name) Login-dn 是 有 权 限 读 取 用 户 信 息 的 AD 服 务 器 的 用 户 名 输 入 格 式 是 cn=xxx, DC=xxx,..., 举 例 说 明 : 服 务 器 的 域 名 为 abc.xyz.com, AD 服 务 器 的 管 理 员 名 为 administrator, 该 管 理 员 名 位 于 Users 路 径 下, 那 么 login-dn 应 写 为 cn=administrator,cn=users,dc=abc,dc=xyz,dc=com Base-dn Base-dn 是 指 当 前 AD 服 务 器 搜 索 的 路 径 起 始 点 以 服 务 器 域 名 为 abc.xyz.com 为 例,Base-dn 的 输 入 格 式 是 dc=abc,dc=xyz,dc=com 188 第 9 章 对 象

209 基 本 配 置 密 钥 是 登 录 AD 服 务 器 的 login-dn 所 对 应 的 密 码 再 次 输 入 密 钥 再 次 输 入 login-dn 所 对 应 的 密 码 进 行 确 认 可 选 配 置 角 色 映 射 规 则 备 份 服 务 器 1( 或 2) 虚 拟 路 由 器 1( 或 2) 如 果 需 要 为 服 务 器 指 定 角 色 映 射 规 则, 从 角 色 映 射 规 则 下 拉 菜 单 选 择 映 射 规 则 指 定 角 色 映 射 规 则 后, 系 统 将 会 为 通 过 该 服 务 器 认 证 的 用 户 按 照 指 定 角 色 映 射 规 则 分 配 角 色 一 台 用 于 备 份 的 AD 服 务 器, 与 主 服 务 器 互 为 备 份 备 份 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 认 证 方 式 指 定 认 证 方 法, 明 文 或 MD5 摘 要 默 认 为 MD5 摘 要 监 控 用 户 登 录 选 中 复 选 框, 开 启 单 点 登 录 功 能 ( 参 见 " 单 点 登 录 " 在 第 109 页 ) 开 启 后, 服 务 器 可 以 将 用 户 上 线 信 息 发 送 给 防 火 墙, 实 现 基 于 用 户 的 安 全 统 计 日 志 记 录 行 为 审 计 等 该 功 能 要 在 AD 服 务 器 上 安 装 并 运 行 服 务 器 监 控 软 件 Security Agent 监 听 端 口 登 录 信 息 保 留 时 间 指 定 监 听 端 口 号 取 值 范 围 为 1025 到 系 统 默 认 监 听 端 口 号 为 6666 指 定 用 户 绑 定 信 息 删 除 超 时 时 间 取 值 范 围 为 0 到 1800, 单 位 为 秒 默 认 超 时 时 间 为 300 秒 0 表 示 永 不 超 时 备 份 认 证 服 务 器 指 定 备 份 认 证 服 务 器 为 AD 服 务 器 配 置 备 份 认 证 服 务 器 后, 当 主 服 务 器 出 现 问 题 或 者 用 户 在 主 服 务 器 认 证 失 败 时, 备 份 认 证 服 务 器 发 挥 身 份 认 证 的 作 用 备 份 认 证 服 务 器 可 以 为 系 统 中 已 配 置 的 本 地 Active-Directory Radius 或 者 LDAP 服 务 器 3. 点 击 确 定 配 置 L DAP 服 务 器 1. 点 击 对 象 > AAA 服 务 器 2. 点 击 新 建 > LDAP 服 务 器, 弹 出 <LDAP 服 务 器 配 置 > 对 话 框 第 9 章 对 象 189

210 在 <LDAP 服 务 器 配 置 > 对 话 框 填 写 服 务 器 信 息 基 本 配 置 服 务 器 名 称 输 入 LDAP 认 证 服 务 器 的 名 称 服 务 器 地 址 指 定 认 证 服 务 器 的 IP 地 址 或 者 域 名 虚 拟 路 由 器 指 定 认 证 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 端 口 指 定 LDAP 服 务 器 的 端 口 号 默 认 值 是 389, 范 围 是 1 到 login-dn Base-dn 指 定 登 录 DN( 通 常 为 LDAP 服 务 器 预 设 的 具 有 查 询 权 限 的 用 户 账 号 ) 的 具 体 内 容 Base-DN 是 指 当 LDAP 服 务 器 收 到 一 个 认 证 请 求 时, 目 录 查 询 的 起 始 点 该 选 项 用 于 指 定 Base-dn 的 具 体 内 容 密 钥 指 定 login-dn 所 对 应 的 密 码, 为 管 理 员 DN 所 对 应 的 密 码 再 次 输 入 密 钥 再 次 输 入 LDAP 服 务 器 的 密 钥 进 行 确 认 可 选 配 置 角 色 映 射 规 则 备 份 服 务 器 1( 或 2) 虚 拟 路 由 器 1( 或 2) 如 果 需 要 为 服 务 器 指 定 角 色 映 射 规 则, 从 角 色 映 射 规 则 下 拉 菜 单 选 择 映 射 规 则 指 定 角 色 映 射 规 则 后, 系 统 将 会 为 通 过 该 服 务 器 认 证 的 用 户 按 照 指 定 角 色 映 射 规 则 分 配 角 色 一 台 用 于 备 份 的 LDAP 服 务 器, 与 主 服 务 器 互 为 备 份 备 份 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 认 证 方 式 指 定 认 证 方 法, 明 文 或 MD5 摘 要 默 认 为 MD5 摘 要 用 户 名 属 性 成 员 属 性 组 类 别 备 份 认 证 服 务 器 3. 点 击 确 定 用 户 名 属 性 是 指 LDAP 服 务 器 上 唯 一 标 识 名 称 的 字 符 串 该 字 符 串 通 常 为 uid (User ID) 或 cn(common Name), 默 认 值 为 uid 指 定 LDAP 服 务 器 的 成 员 属 性 名 称 默 认 为 uniquemember 指 定 组 对 象 objectclass 的 值 默 认 为 groupofuniquenames 指 定 备 份 认 证 服 务 器 为 LDAP 服 务 器 配 置 备 份 认 证 服 务 器 后, 当 主 服 务 器 出 现 问 题 或 者 用 户 在 主 服 务 器 认 证 失 败 时, 备 份 认 证 服 务 器 发 挥 身 份 认 证 的 作 用 备 份 认 证 服 务 器 可 以 为 系 统 中 已 配 置 的 本 地 Active-Directory RADIUS 或 者 LDAP 服 务 器 190 第 9 章 对 象

211 用 户 系 统 中 的 用 户 (User) 是 指 使 用 设 备 提 供 的 功 能 服 务 被 设 备 认 证 管 理 的 用 户 被 设 备 认 证 的 用 户 有 本 地 和 外 部 两 种 本 地 用 户 (Local User) 由 系 统 管 理 员 创 建, 分 属 于 不 同 的 本 地 认 证 服 务 器, 储 存 在 系 统 的 配 置 文 件 中 ; 外 部 用 户 (External User) 储 存 在 外 部 服 务 器 上, 例 如 AD 服 务 器 LDAP 服 务 器 为 方 便 管 理 用 户, 系 统 支 持 用 户 组 功 能, 属 于 同 一 本 地 认 证 服 务 器 的 用 户 可 以 划 分 到 不 同 的 用 户 组 中, 并 且 同 一 个 用 户 可 以 同 时 属 于 不 同 的 用 户 组, 属 于 同 一 个 本 地 认 证 服 务 器 的 用 户 组 可 以 划 分 到 不 同 的 用 户 组 中, 并 且 同 一 个 用 户 组 可 以 同 时 属 于 不 同 的 用 户 组 下 图 以 缺 省 本 地 AAA 认 证 服 务 器 Local 的 用 户 配 置 说 明 用 户 以 及 用 户 组 关 系 : 如 上 图 所 示, 用 户 User1 User2 和 User3 均 属 于 用 户 组 UserGroup1, 而 User3 又 同 时 属 于 用 户 组 UserGroup2,UserGroup2 中 还 包 含 User4 User5 以 及 用 户 组 UserGroup1 配 置 本 地 用 户 本 节 主 要 介 绍 本 地 用 户 和 用 户 组 的 配 置 新 建 用 户 新 建 用 户, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 用 户 > 本 地 用 户 2. 点 击 新 建 > 用 户, 弹 出 < 用 户 配 置 > 对 话 框 在 < 基 本 配 置 > 标 签 页, 对 本 地 用 户 进 行 基 本 配 置 选 项 说 明 名 称 输 入 用 户 的 名 称 第 9 章 对 象 191

212 选 项 说 明 密 码 输 入 用 户 的 密 码 重 新 输 入 密 码 再 次 输 入 密 码 以 确 认 手 机 号 码 配 置 用 户 的 手 机 号 码, 在 用 户 登 录 SCVPN 时, 设 备 将 验 证 码 发 送 到 该 手 机 号 码 上 描 述 输 入 用 户 描 述 信 息 组 账 户 到 期 日 把 当 前 用 户 加 入 一 个 或 多 个 用 户 组 点 击 选 择 按 钮, 弹 出 < 选 择 用 户 组 > 对 话 框, 从 可 选 项 目 中 选 择 已 创 建 的 用 户 组 名 称, 点 击 移 入 按 钮 选 中 启 用 复 选 框, 开 启 用 户 的 有 效 期 限 制 功 能, 并 选 择 日 期 和 时 间 超 过 有 效 期 的 用 户 不 可 以 通 过 设 备 的 认 证, 因 此 不 可 以 在 系 统 中 继 续 使 用 默 认 情 况 下, 用 户 没 有 有 效 期 限 制 在 <VPN 配 置 > 标 签 页, 为 PnPVPN 客 户 端 用 户 配 置 网 络 参 数 信 息 选 项 IKE ID 说 明 为 拨 号 VPN 用 户 指 定 IKE 标 识 类 型, 选 中 所 需 类 型 单 选 按 钮 当 选 择 FQDN ASN1DN 或 KEY-ID 时 还 需 在 后 面 的 文 本 框 内 指 定 标 识 内 容 DHCP 起 始 地 址 DHCP 地 址 池 的 起 始 IP 地 址 DHCP 结 束 地 址 DHCP 地 址 池 的 终 止 IP 地 址 DHCP 网 络 掩 码 DHCP 地 址 池 的 网 络 掩 码 DHCP 网 关 DNS1 DNS2 DNS3 DNS4 WINS1 WINS2 隧 道 IP DHCP 地 址 池 的 网 关 地 址 该 地 址 用 来 作 为 PnPVPN 客 户 端 内 网 接 口 的 IP 地 址, 并 被 设 置 为 PC 的 网 关 地 址,PC 的 IP 地 址 由 以 上 设 置 的 DHCP 地 址 池 的 网 段 以 及 网 络 掩 码 确 定, 所 以 网 关 地 址 应 该 和 DHCP 地 址 池 在 同 一 个 网 段 指 定 DNS 服 务 器 的 IP 地 址 可 同 时 指 定 1 个 主 DNS 服 务 器 (DNS1) 和 最 多 3 个 备 份 服 务 器 指 定 WINS 服 务 器 的 IP 地 址, 可 同 时 指 定 一 个 主 WINS 服 务 器 和 一 个 备 份 WINS 服 务 器 指 定 PnPVPN 客 户 端 隧 道 接 口 的 IP 地 址 选 择 启 用 源 NAT 复 选 框, 开 启 SNAT 功 能 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 用 户 将 会 显 示 在 用 户 列 表 中 新 建 用 户 组 新 建 用 户 组, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 用 户 > 本 地 用 户 2. 点 击 新 建 > 用 户 组, 弹 出 < 用 户 组 配 置 > 对 话 框 192 第 9 章 对 象

213 选 项 说 明 名 称 输 入 用 户 组 的 名 称 移 入 指 定 用 户 组 所 包 含 的 用 户 组 成 员 在 可 选 项 目 列 表 中 选 中 需 要 指 定 的 用 户 或 者 用 户 组, 点 击 移 入 将 其 添 加 到 已 选 项 目 列 表 中 一 个 用 户 组 可 包 含 多 个 用 户 或 者 用 户 组, 但 是 系 统 支 持 的 用 户 组 的 嵌 套 层 数 最 多 为 12 层, 并 且 不 支 持 回 环 嵌 套, 用 户 组 不 可 以 再 嵌 套 它 所 属 的 用 户 组 移 出 移 除 已 指 定 的 用 户 或 者 用 户 组 3. 点 击 确 定 按 钮, 完 成 配 置 配 置 L DAP 用 户 本 节 主 要 介 绍 LDAP 用 户 配 置 配 置 LDA P 服 务 器 在 可 选 项 目 列 表 中 选 择 用 户 或 者 用 户 组, 点 击 移 出 将 其 从 已 选 项 目 列 表 中 移 除 新 建 LDAP 用 户, 首 先 要 配 置 需 要 获 取 用 户 和 认 证 的 LDAP 服 务 器 配 置 LDAP 服 务 器, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 用 户 > LDAP 用 户 2. 从 LDAP 服 务 器 的 下 拉 菜 单 选 择 需 要 编 辑 的 LDAP 服 务 器 3. 点 击 配 置, 弹 出 <LDAP 服 务 器 配 置 > 对 话 框 第 9 章 对 象 193

214 基 本 配 置 服 务 器 名 称 LDAP 服 务 器 的 名 称 服 务 器 地 址 输 入 服 务 器 的 IP 地 址 或 者 域 名 虚 拟 路 由 器 指 定 认 证 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 端 口 指 定 LDAP 服 务 器 的 端 口 号 默 认 值 是 389, 范 围 是 1 到 Login-dn Base-dn 指 定 登 录 DN( 通 常 为 LDAP 服 务 器 预 设 的 具 有 查 询 权 限 的 用 户 账 号 ) 的 具 体 内 容 Base-DN 是 指 当 LDAP 服 务 器 收 到 一 个 认 证 请 求 时, 目 录 查 询 的 起 始 点 该 选 项 用 于 指 定 Base-dn 的 具 体 内 容 密 钥 指 定 LDAP 服 务 器 的 密 钥, 为 管 理 员 DN 所 对 应 的 密 码 再 次 输 入 密 钥 再 次 输 入 LDAP 服 务 器 的 密 钥 进 行 确 认 可 选 配 置 备 份 服 务 器 1( 或 2) 虚 拟 路 由 器 1( 或 2) 一 台 用 于 备 份 的 Radius 服 务 器, 与 主 服 务 器 互 为 备 份 备 份 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 认 证 方 式 指 定 认 证 方 法, 明 文 或 MD5 摘 要 默 认 为 MD5 摘 要 用 户 名 属 性 成 员 属 性 组 类 别 备 份 认 证 服 务 器 用 户 名 属 性 是 指 LDAP 服 务 器 上 唯 一 标 识 名 称 的 字 符 串 该 字 符 串 通 常 为 uid (User ID) 或 cn(common Name), 默 认 值 为 uid 指 定 LDAP 服 务 器 的 成 员 属 性 名 称 默 认 为 uniquemember 指 定 组 对 象 objectclass 的 值 默 认 为 groupofuniquenames 指 定 备 份 认 证 服 务 器 为 LDAP 服 务 器 配 置 备 份 认 证 服 务 器 后, 当 主 服 务 器 出 现 问 题 或 者 用 户 在 主 服 务 器 认 证 失 败 时, 备 份 认 证 服 务 器 发 挥 身 份 认 证 的 作 用 备 份 认 证 服 务 器 可 以 为 系 统 中 已 配 置 的 本 地 Active-Directory RADIUS 或 者 LDAP 服 务 器 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 194 第 9 章 对 象

215 同 步 用 户 用 户 可 以 将 LDAP 服 务 器 中 的 用 户 同 步 到 设 备 中 同 步 用 户, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 用 户 > LDAP 用 户, 进 入 LDAP 用 户 配 置 页 面 2. 点 击 同 步 用 户 按 钮, 进 行 同 步 用 户 操 作 配 置 Act iv e Direct ory 用 户 本 节 主 要 介 绍 Active Directory(AD) 用 户 配 置 配 置 A ctive Directory 服 务 器 新 建 AD 用 户, 首 先 要 配 置 需 要 获 取 用 户 和 认 证 的 AD 服 务 器 配 置 AD 服 务 器, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 用 户 > Active Directory 用 户 2. 从 Active Directory 的 下 拉 菜 单 选 择 需 要 编 辑 的 Active Directory 服 务 器 3. 点 击 配 置, 弹 出 <Active Directory 服 务 器 配 置 > 对 话 框 基 本 配 置 服 务 器 名 称 AD 服 务 器 的 名 称 服 务 器 地 址 输 入 服 务 器 的 IP 地 址 或 者 域 名 虚 拟 路 由 器 指 定 认 证 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 端 口 指 定 AD 服 务 器 的 端 口 号 默 认 值 是 389, 范 围 是 1 到 Login-dn Base-dn 指 定 AD 服 务 器 的 管 理 员 DN( 通 常 为 AD 服 务 器 预 设 的 具 有 查 询 权 限 的 用 户 账 号 ) 指 定 AD 服 务 器 的 基 本 可 区 别 名 基 本 可 区 别 名 是 指 当 AD 服 务 器 收 到 一 个 认 证 请 求 时, 目 录 查 询 的 起 始 点 密 钥 指 定 AD 服 务 器 的 登 录 密 码, 为 管 理 员 DN 所 对 应 的 密 码 再 次 输 入 密 钥 重 新 输 入 密 码 以 确 认 可 选 配 置 备 份 服 务 器 1( 或 一 台 用 于 备 份 的 Radius 服 务 器, 与 主 服 务 器 互 为 备 份 第 9 章 对 象 195

216 基 本 配 置 2) 虚 拟 路 由 器 1( 或 2) 备 份 服 务 器 所 属 的 虚 拟 路 由 器 (VRouter) 认 证 方 式 指 定 认 证 方 法, 明 文 或 MD5 摘 要 默 认 为 MD5 摘 要 监 控 用 户 登 录 选 中 复 选 框, 开 启 单 点 登 录 功 能 ( 参 见 " 单 点 登 录 " 在 第 109 页 ) 开 启 后, 服 务 器 可 以 将 用 户 上 线 信 息 发 送 给 防 火 墙, 实 现 基 于 用 户 的 安 全 统 计 日 志 记 录 行 为 审 计 等 该 功 能 要 在 AD 服 务 器 上 安 装 并 运 行 服 务 器 监 控 软 件 Security Agent 监 听 端 口 登 录 信 息 保 留 时 间 指 定 监 听 端 口 号 取 值 范 围 为 1025 到 系 统 默 认 监 听 端 口 号 为 6666 指 定 用 户 绑 定 信 息 删 除 超 时 时 间 取 值 范 围 为 0 到 1800, 单 位 为 秒 默 认 超 时 时 间 为 300 秒 0 表 示 永 不 超 时 备 份 认 证 服 务 器 指 定 备 份 认 证 服 务 器 为 AD 服 务 器 配 置 备 份 认 证 服 务 器 后, 当 主 服 务 器 出 现 问 题 或 者 用 户 在 主 服 务 器 认 证 失 败 时, 备 份 认 证 服 务 器 发 挥 身 份 认 证 的 作 用 备 份 认 证 服 务 器 可 以 为 系 统 中 已 配 置 的 本 地 Active-Directory Radius 或 者 LDAP 服 务 器 同 步 用 户 用 户 可 以 将 AD 服 务 器 中 的 用 户 同 步 到 设 备 中 同 步 用 户, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 用 户 > Active Directory 用 户, 进 入 AD 用 户 配 置 页 面 2. 点 击 同 步 用 户 按 钮, 进 行 同 步 用 户 操 作 配 置 用 户 绑 定 本 节 主 要 介 绍 用 户 绑 定 配 置 添 加 用 户 绑 定 绑 定 IP 地 址 或 MAC 地 址 到 用 户, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 用 户 > 用 户 绑 定 2. 点 击 添 加 用 户 绑 定 按 钮, 弹 出 <IP MAC 绑 定 > 对 话 框 用 户 AAA 服 务 器 指 定 AAA 服 务 器 名 称 196 第 9 章 对 象

217 用 户 用 户 指 定 需 要 绑 定 的 用 户 名 称 绑 定 类 型 绑 定 类 型 指 定 所 需 的 绑 定 类 型, 可 以 为 IP 类 型 或 者 MAC 类 型 3. 点 击 确 定 按 钮, 完 成 配 置 导 入 用 户 绑 定 列 表 导 入 用 户 绑 列 表 定 到 设 备, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 用 户 > 用 户 绑 定 IP: 需 要 在 IP 文 本 框 中 输 入 IP 地 址 在 虚 拟 路 由 器 下 拉 菜 单 选 择 所 属 的 虚 拟 路 由 器 如 需 要, 选 中 只 用 于 Web 认 证 IP- 用 户 对 应 关 系 检 查 复 选 框, 则 该 IP- 用 户 绑 定 关 系 只 用 于 Web 认 证 时 IP 和 用 户 的 对 应 关 系 检 查 MAC: 需 要 在 MAC 文 本 框 中 输 入 MAC 地 址 在 虚 拟 路 由 器 下 拉 菜 单 选 择 所 属 的 虚 拟 路 由 器 2. 点 击 导 入 按 钮, 弹 出 < 导 入 用 户 绑 定 列 表 > 对 话 框 3. 点 击 浏 览 按 钮, 选 择 所 需 导 入 的 文 件 4. 点 击 确 定 按 钮, 完 成 导 入 导 出 用 户 绑 定 列 表 从 设 备 导 出 用 户 绑 列 表 定 到 设 备, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 用 户 > 用 户 绑 定 2. 点 击 导 出 按 钮, 弹 出 导 出 对 话 框 选 择 保 存 的 位 置 将 文 件 保 存 到 本 地 3. 点 击 确 定 按 钮, 完 成 导 出 第 9 章 对 象 197

218 角 色 角 色 拥 有 某 些 特 定 的 权 限, 例 如 某 角 色 可 以 访 问 某 指 定 网 络 资 源 或 者 某 角 色 可 以 独 享 一 定 带 宽 等 在 系 统 中, 用 户 与 权 限 并 不 直 接 关 联, 而 是 需 要 通 过 角 色 把 二 者 联 系 起 来 角 色 映 射 规 则 定 义 角 色 和 用 户 的 对 应 关 系, 功 能 配 置 中, 为 不 同 的 角 色 指 定 不 同 的 服 务, 由 此, 角 色 对 应 的 用 户 即 可 拥 有 其 角 色 的 服 务 设 备 支 持 角 色 组 合, 即 通 过 对 角 色 进 行 与 或 逻 辑 运 算, 将 角 色 进 行 组 合 被 不 同 功 能 模 块 引 用 的 角 色 对 应 的 用 户 将 是 经 过 运 算 后 的 角 色 对 应 的 用 户 设 备 支 持 以 下 基 于 角 色 的 功 能 : 基 于 角 色 的 策 略 规 则 : 实 现 不 同 用 户 的 访 问 控 制 基 于 角 色 的 QoS: 实 现 不 同 用 户 的 带 宽 控 制 基 于 角 色 的 统 计 集 : 统 计 不 同 用 户 的 带 宽 会 话 以 及 新 建 会 话 数 基 于 角 色 的 会 话 限 制 : 实 现 对 特 定 用 户 的 会 话 数 限 制 SCVPN 基 于 角 色 的 主 机 安 全 检 测 : 实 现 不 同 用 户 对 特 定 资 源 的 访 问 控 制 基 于 角 色 的 策 略 路 由 : 实 现 根 据 不 同 源 用 户 选 择 路 由 新 建 角 色 新 建 角 色, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 角 色 > 角 色, 进 入 角 色 页 面 2. 点 击 新 建 按 钮, 弹 出 < 角 色 配 置 > 对 话 框 选 项 说 明 角 色 名 称 输 入 角 色 的 名 称 描 述 输 入 角 色 描 述 信 息 3. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 角 色 名 称 将 会 显 示 在 角 色 列 表 中 创 建 角 色 映 射 新 建 角 色 映 射 规 则, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 角 色 > 角 色 映 射 2. 点 击 新 建 按 钮, 弹 出 < 角 色 映 射 配 置 > 对 话 框 198 第 9 章 对 象

219 3. 在 映 射 名 称 文 本 框 输 入 角 色 映 射 规 则 名 称 4. 在 成 员 部 分 的 第 一 个 下 拉 菜 单 中 指 定 角 色 名 称 ; 在 第 二 个 下 拉 菜 单 中 指 定 用 户 用 户 组 证 书 名 称 (USB Key 证 书 CN 字 段 ) 或 者 组 织 机 构 (USB Key 证 书 OU 字 段 ) 如 果 选 中 用 户 用 户 组 证 书 名 称 或 者 组 织 机 构, 还 需 在 后 面 的 文 本 框 中 分 别 指 定 相 应 的 用 户 名 称 用 户 组 名 称 证 书 名 称 或 者 组 织 机 构 5. 点 击 添 加 按 钮, 将 角 色 映 射 条 目 添 加 到 下 方 的 角 色 映 射 条 目 列 表 中 如 需 要, 可 再 添 加 其 它 角 色 映 射 条 目 6. 如 需 删 除 角 色 映 射 条 目, 选 中 角 色 映 射 条 目 列 表 中 的 角 色 映 射 条 目 复 选 框, 点 击 删 除 按 钮, 删 除 相 应 的 角 色 映 射 条 目 7. 点 击 确 定 按 钮, 完 成 配 置 新 建 角 色 组 合 新 建 角 色 组 合, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 角 色 > 角 色 组 合 2. 点 击 新 建 按 钮, 弹 出 < 角 色 组 合 配 置 > 对 话 框 配 置 角 色 组 合 选 项 前 缀 一 角 色 一 操 作 符 说 明 选 择 无 前 缀 或 者 非 单 选 按 钮, 指 定 角 色 正 则 表 达 式 中 第 一 个 角 色 的 前 缀 从 下 拉 菜 单 中 选 择 需 要 的 角 色 名 称, 指 定 角 色 表 正 则 达 式 中 第 一 个 角 色 的 名 称 选 择 无 操 作 符 与 或 者 或 单 选 按 钮, 指 定 角 色 正 则 表 达 式 的 操 作 符 第 9 章 对 象 199

220 选 项 说 明 前 缀 二 角 色 二 如 果 操 作 符 选 择 与 或 者 或 单 选 按 钮 时, 该 选 项 选 择 无 前 缀 或 者 非 单 选 按 钮, 指 定 角 色 正 则 表 达 式 中 第 二 个 角 色 的 前 缀 如 果 操 作 符 选 择 与 或 者 或 单 选 按 钮 时, 该 选 项 从 下 拉 菜 单 中 选 择 需 要 的 角 色 名 称, 指 定 角 色 正 则 表 达 式 中 第 二 个 角 色 的 名 称 最 终 角 色 从 下 拉 菜 单 中 选 择 需 要 的 角 色 名 称, 指 定 角 色 正 则 表 达 式 的 最 终 角 色 名 称 3. 点 击 确 定 按 钮, 完 成 配 置 200 第 9 章 对 象

221 监 测 对 象 设 备 的 监 测 功 能 能 够 监 测 指 定 的 目 标 (IP 地 址 或 者 主 机 ) 是 否 可 达 或 者 接 口 的 链 路 是 否 连 通 监 测 功 能 用 于 HA 以 及 接 口 监 控 等 新 建 监 测 对 象 新 建 监 测 对 象, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 对 象 > 监 测 对 象 2. 点 击 新 建 按 钮, 弹 出 < 监 测 对 象 配 置 > 对 话 框 配 置 监 测 对 象 选 项 说 明 名 称 指 定 监 测 对 象 的 名 称 警 戒 值 指 定 监 测 对 象 的 警 戒 值 监 测 类 型 选 择 检 测 对 象 的 类 型 可 以 是 接 口 或 者 HTTP Ping ARP DNS TCP 一 个 监 测 对 象 中 只 能 配 置 一 种 监 测 类 型 的 监 测 条 目 选 择 接 口 单 选 按 钮 点 击 添 加 按 钮, 添 加 接 口 对 象 接 口 : 指 定 被 监 测 接 口 的 名 称 权 值 : 指 定 接 口 的 权 值, 即 该 条 监 测 失 败 对 整 个 监 测 对 象 失 败 贡 献 的 权 重 值 选 择 HTTP Ping ARP DNS TCP 单 选 按 钮 点 击 添 加 按 钮, 添 加 HTTP/Ping/ARP/DNS/TCP 对 象 IP/ 主 机 : 通 过 HTTP/Ping/TCP 报 文 对 目 标 进 行 监 测 时, 该 选 项 用 于 指 定 监 测 目 标 的 IP 地 址 或 者 主 机 名 称 IP: 通 过 ARP 报 文 对 目 标 进 行 监 测 时, 该 选 项 用 于 指 定 监 测 目 标 的 IP 地 址 DNS: 通 过 DNS 报 文 对 目 标 进 行 监 测 时, 该 选 项 用 于 指 定 监 测 目 标 的 域 名 权 值 : 指 定 该 条 监 测 失 败 对 整 个 监 测 对 象 失 败 贡 献 的 权 重 值 取 值 范 围 是 1 到 255 默 认 值 是 255 第 9 章 对 象 201

222 选 项 说 明 重 试 次 数 : 定 判 断 监 测 失 败 的 警 戒 值 如 果 系 统 连 续 未 收 到 该 参 数 指 定 个 数 的 响 应 报 文, 就 判 断 为 监 测 失 败, 即 目 标 不 可 达 取 值 范 围 是 1 到 255 默 认 值 是 3 发 送 报 文 间 隔 : 指 定 发 送 HTTP/Ping/ARP/DNS/TCP 报 文 的 时 间 间 隔, 单 位 为 秒 范 围 是 1 到 255 秒 默 认 值 是 3 秒 发 送 报 文 接 口 : 指 定 发 送 HTTP/Ping/ARP/DNS/TCP 检 测 报 文 的 出 接 口 接 收 报 文 接 口 : 指 定 HTTP/Ping/ARP/DNS/TCP 检 测 报 文 的 源 接 口 HA 同 步 选 中 该 选 项 复 选 框 开 启 HA 同 步, 主 设 备 和 备 用 设 备 信 息 同 步 3. 点 击 确 定 按 钮, 完 成 配 置 202 第 9 章 对 象

223 发 送 对 象 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 配 置 了 告 警 规 则 后, 系 统 将 在 发 生 告 警 事 件 时 给 收 件 人 发 送 告 警 邮 件 或 告 警 短 信 发 送 对 象 页 面 用 来 配 置 告 警 信 息 接 收 人 信 息 新 建 发 送 对 象 新 建 发 送 对 象, 请 按 照 如 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 发 送 对 象 2. 点 击 列 表 左 上 角 的 新 建 按 钮 在 < 发 送 对 象 > 对 话 框, 填 写 接 收 人 配 置 信 息 选 项 说 明 名 称 指 定 发 送 对 象 名 称 手 机 号 码 指 定 接 收 告 警 短 信 的 手 机 号 码 邮 件 地 址 指 定 接 收 告 警 邮 件 的 邮 件 地 址 备 注 为 发 送 对 象 添 加 描 述 信 息 查 看 关 联 告 警 规 则 在 发 送 对 象 列 表 中, 选 中 某 发 送 对 象 条 目, 页 面 下 方 关 联 告 警 规 则 处 显 示 该 发 送 对 象 关 联 的 所 有 告 警 规 则 名 称 第 9 章 对 象 203

224 第 10 章 策 略 策 略 模 块 提 供 如 下 功 能 : 安 全 策 略 : 安 全 策 略 是 网 络 安 全 设 备 的 基 本 功 能, 控 制 安 全 域 间 / 不 同 地 址 段 间 的 流 量 转 发 默 认 情 况 下, 设 备 会 拒 绝 所 有 安 全 域 / 地 址 段 之 间 的 信 息 传 输 NAT:NAT 是 将 IP 数 据 包 包 头 中 的 IP 地 址 转 换 为 另 一 个 IP 地 址 的 协 议 当 IP 数 据 包 通 过 设 备 时, 设 备 会 把 IP 数 据 包 的 源 IP 地 址 和 / 或 者 目 的 IP 地 址 进 行 转 换 流 量 管 理 : 流 量 管 理 为 特 定 流 量 提 供 更 高 优 先 服 务 的 同 时 控 制 抖 动 和 延 迟 的 能 力, 并 且 能 够 降 低 数 据 传 输 丢 包 率 当 网 络 过 载 或 拥 塞 时, 系 统 能 够 确 保 重 要 业 务 流 量 的 正 常 传 输 会 话 限 制 : 用 户 可 以 对 安 全 域 内 的 源 IP 地 址 目 的 IP 地 址 指 定 的 IP 地 址 服 务 或 角 色 / 用 户 / 用 户 组 进 行 会 话 数 量 或 者 建 立 会 话 速 率 控 制, 从 而 保 护 连 接 表 不 被 DoS 攻 击 填 满, 并 且 能 够 在 一 定 程 度 上 限 制 一 些 应 用 的 带 宽 ARP 防 护 :ARP 防 护 功 能 保 护 网 络 免 受 各 种 ARP 攻 击 URL 过 滤 :URL 过 滤 功 能 可 以 控 制 用 户 对 某 些 网 站 的 访 问, 并 能 对 访 问 行 为 进 行 日 志 记 录 上 网 行 为 控 制 : 上 网 行 为 控 制 功 能 可 以 根 据 需 要 针 对 不 同 用 户 不 同 上 网 行 为 不 同 时 间 进 行 灵 活 的 控 制, 对 用 户 的 上 网 行 为 进 行 全 面 的 行 为 控 制 和 行 为 审 计 黑 名 单 : 将 IP 或 者 服 务 添 加 到 黑 名 单 后, 系 统 将 对 黑 名 单 中 的 IP 或 者 服 务 执 行 阻 断 操 作, 直 到 阻 断 时 间 结 束 第 10 章 策 略 204

225 安 全 策 略 策 略 是 网 络 安 全 设 备 的 基 本 功 能, 控 制 安 全 域 间 / 不 同 地 址 段 间 的 流 量 转 发 默 认 情 况 下, 安 全 设 备 会 拒 绝 设 备 上 所 有 安 全 域 / 地 址 段 之 间 的 信 息 传 输 而 策 略 则 通 过 策 略 规 则 (Policy Rule) 决 定 从 一 个 ( 多 个 ) 安 全 域 到 另 一 个 ( 多 个 ) 安 全 域 / 从 一 个 地 址 段 到 另 一 个 地 址 段 的 哪 些 流 量 该 被 允 许, 哪 些 流 量 该 被 拒 绝 策 略 规 则 的 基 本 元 素 包 括 : 流 量 的 类 型 流 量 的 源 安 全 域 / 源 地 址 与 目 的 安 全 域 / 目 的 地 址 以 及 行 为 流 量 的 源 安 全 域 / 源 地 址 流 量 的 目 的 安 全 域 / 目 的 地 址 流 量 的 服 务 类 型 安 全 设 备 在 遇 到 指 定 类 型 流 量 时 所 做 的 行 为, 包 括 允 许 (Permit) 拒 绝 (Deny) 隧 道 (Tunnel) 是 否 来 自 隧 道 (Fromtunnel) Web 认 证 以 及 Portal 服 务 器 五 个 行 为 一 般 来 讲, 策 略 规 则 分 为 两 部 分 : 过 滤 条 件 和 行 为 安 全 域 间 流 量 的 源 安 全 域 / 源 地 址 目 的 安 全 域 / 目 的 地 址 服 务 类 型 以 及 角 色 构 成 策 略 规 则 的 过 滤 条 件 策 略 规 则 都 有 其 独 有 的 ID 号 策 略 规 则 ID 会 在 定 义 规 则 时 自 动 生 成, 同 时 用 户 也 可 以 按 自 己 的 需 求 为 策 略 规 则 指 定 ID 整 个 系 统 的 所 有 策 略 规 则 有 特 定 的 排 列 顺 序 在 流 量 进 入 系 统 时, 系 统 会 对 流 量 按 照 找 到 的 第 一 条 与 过 滤 条 件 相 匹 配 的 策 略 规 则 进 行 处 理 不 同 设 备 平 台 支 持 的 全 局 最 大 策 略 规 则 数 不 同 配 置 策 略 规 则 配 置 策 略 规 则, 按 照 如 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 安 全 策 略, 进 入 安 全 策 略 页 面 2. 点 击 列 表 左 上 角 的 添 加 按 钮, 弹 出 < 策 略 配 置 > 对 话 框 在 < 基 本 配 置 > 标 签 页, 填 写 基 本 配 置 信 息 选 项 说 明 名 称 输 入 此 条 策 略 规 则 的 名 称 源 信 息 安 全 域 指 定 策 略 规 则 的 源 安 全 域 地 址 用 户 / 用 户 组 指 定 策 略 规 则 的 源 地 址 在 地 址 下 拉 菜 单 中 选 择 需 要 的 地 址, 然 后 点 击 将 所 选 择 的 地 址 添 加 到 右 侧 列 表 中 添 加 完 成 后, 点 击 < 策 略 配 置 > 对 话 框 空 白 区 域, 即 可 完 成 源 地 址 的 选 择 如 需 新 建 地 址 条 目, 点 击 新 建 地 址 簿 或 新 建 地 址 按 钮 指 定 策 略 规 则 的 角 色 用 户 和 用 户 组 在 用 户 / 用 户 组 下 拉 菜 单 中, 选 择 配 置 类 型 205 第 10 章 策 略

226 选 项 说 明 角 色 : 选 择 角 色 单 选 按 钮, 并 在 角 色 后 的 下 拉 菜 单 中 选 择 角 色 名 称, 然 后 点 击 添 加 按 钮 将 该 角 色 添 加 到 列 表 中 用 户 可 根 据 自 身 需 要 添 加 多 个 角 色, 也 可 点 击 删 除 按 钮 将 选 中 的 角 色 从 列 表 中 删 除 点 击 对 话 框 空 白 区 域 完 成 为 策 略 规 则 指 定 角 色 用 户 : 选 择 用 户 单 选 按 钮, 并 在 AAA 服 务 器 后 的 下 拉 菜 单 中 选 择 已 创 建 的 服 务 器 在 用 户 下 拉 菜 单 中 选 择 已 创 建 的 用 户, 然 后 点 击 添 加 按 钮 将 该 用 户 添 加 到 列 表 中 可 根 据 需 要 添 加 多 个 用 户, 也 可 点 击 删 除 按 钮 将 选 中 的 用 户 从 列 表 中 删 除 点 击 对 话 框 空 白 区 域 按 钮 完 成 为 策 略 规 则 指 定 用 户 用 户 组 : 选 择 用 户 组 单 选 按 钮, 并 在 AAA 服 务 器 后 的 下 拉 菜 单 中 选 择 已 创 建 的 服 务 器 在 用 户 组 下 拉 菜 单 中 选 择 已 创 建 的 用 户 组, 然 后 点 击 添 加 按 钮 将 该 用 户 组 添 加 到 列 表 中 可 根 据 需 要 添 加 多 个 用 户 组, 也 可 点 击 删 除 按 钮 将 选 中 的 用 户 组 从 列 表 中 删 除 点 击 对 话 框 空 白 区 域 按 钮 完 成 为 策 略 规 则 指 定 用 户 组 目 的 信 息 安 全 域 指 定 策 略 规 则 的 目 的 安 全 域 地 址 其 他 信 息 指 定 策 略 规 则 的 目 的 地 址 在 地 址 下 拉 菜 单 中 选 择 需 要 的 地 址, 然 后 点 击 将 所 选 择 的 地 址 添 加 到 右 侧 列 表 中 添 加 完 成 后, 点 击 对 话 框 空 白 区 域, 即 可 完 成 目 的 地 址 的 选 择 服 务 / 服 务 组 指 定 策 略 规 则 的 服 务 / 服 务 组 在 服 务 / 服 务 组 下 拉 菜 单 中 选 择 需 要 的 服 务 / 服 务 组, 然 后 点 击 移 入 按 钮 将 所 选 择 的 服 务 / 服 务 组 添 加 到 右 侧 列 表 中 添 加 完 成 后, 点 击 对 话 框 空 白 区 域, 即 可 完 成 服 务 / 服 务 组 的 选 择 如 需 新 建 服 务 / 服 务 组, 点 击 新 建 服 务 或 新 建 服 务 组 按 钮 应 用 / 应 用 组 指 定 策 略 规 则 的 应 用 / 应 用 组 在 应 用 / 应 用 组 下 拉 菜 单 中 选 择 需 要 的 应 用 / 应 用 组, 然 后 点 击 移 入 按 钮 将 所 选 择 的 项 目 添 加 到 右 侧 列 表 中 添 加 完 成 后, 点 击 对 话 框 空 白 区 域, 即 可 完 成 应 用 / 应 用 组 的 选 择 时 间 表 如 需 新 建 应 用 组, 点 击 新 建 应 用 组 按 钮 指 定 策 略 规 则 的 时 间 表 在 时 间 表 组 合 框 中 选 择 需 要 的 时 间 表, 然 后 点 击 移 入 按 钮 将 所 选 择 的 项 目 添 加 到 右 侧 列 表 中 添 加 完 成 后, 点 击 对 话 框 空 白 区 域, 即 可 完 成 时 间 表 的 选 择 如 需 新 建 时 间 表, 点 击 新 建 按 钮 行 为 指 定 对 匹 配 策 略 规 则 的 流 量 所 采 取 的 行 为, 包 括 : 允 许 : 允 许 流 量 通 过 选 择 允 许 单 选 按 钮 拒 绝 : 拒 绝 流 量 通 过 选 择 拒 绝 单 选 按 钮 Web 认 证 : 对 符 合 条 件 的 流 量 进 行 Web 认 证 选 择 安 全 连 接 后 在 下 拉 菜 单 中 选 择 Web 认 证, 并 在 其 后 的 下 拉 菜 单 中 选 择 认 证 服 务 器 的 名 称 来 自 隧 道 (VPN): 当 流 量 为 从 对 端 到 本 地 时, 如 果 使 用 该 行 为, 系 统 将 会 首 先 判 断 流 量 是 否 来 自 隧 道, 只 有 来 自 隧 道 的 流 量 才 会 被 允 许 通 过 选 择 安 全 连 接 下 拉 菜 单 中 选 择 来 自 隧 道 (VPN), 并 在 其 后 的 下 拉 菜 单 中 选 择 隧 道 名 称 隧 道 (VPN): 当 流 量 为 从 本 地 到 对 端 时, 使 用 该 行 为 使 流 量 通 过 VPN 隧 道 选 择 安 全 连 接 下 拉 菜 单 中 选 择 隧 道 (VPN), 并 在 其 后 的 下 拉 菜 单 中 选 择 隧 道 名 称 第 10 章 策 略 206

227 选 项 说 明 Portal 服 务 器 : 对 符 合 条 件 的 流 量 进 行 Portal 认 证 从 安 全 连 接 下 拉 菜 单 中 选 择 Portal 服 务 器, 并 在 其 后 的 文 本 框 中 输 入 Portal 认 证 服 务 器 地 址 在 < 高 级 配 置 > 标 签 页, 填 写 基 本 配 置 信 息 选 项 QoS 说 明 为 策 略 中 允 许 通 过 的 流 量 添 加 QoS 标 签, 结 合 系 统 的 QoS 管 理 对 流 量 进 行 控 制 关 于 QoS 配 置, 请 参 阅 " 流 量 管 理 " 在 第 212 页 在 < 设 置 QoS 标 记 > 后 的 文 本 框 中 输 入 QoS 标 记 的 数 值 描 述 添 加 策 略 的 描 述 信 息 记 录 日 志 用 户 可 以 根 据 需 要, 通 过 系 统 日 志 信 息 记 录 流 量 对 策 略 规 则 的 匹 配 情 况 : 对 于 允 许 类 型 的 策 略 规 则, 可 以 记 录 两 种 情 况, 分 别 是 符 合 策 略 规 则 的 流 量 建 立 会 话 时 生 成 日 志 信 息 和 结 束 会 话 时 生 成 日 志 信 息 ; 对 于 拒 绝 类 型 的 策 略 规 则, 可 以 记 录 的 情 况 为 符 合 策 略 规 则 的 流 量 被 拒 绝 时 生 成 日 志 信 息 选 中 记 录 日 志 后 相 应 的 复 选 框 开 启 相 应 的 日 志 记 录 功 能 列 表 位 置 用 户 上 线 通 知 修 改 策 略 规 则 排 列 顺 序 每 一 条 策 略 规 则 都 有 唯 一 一 个 ID 号 流 量 进 入 设 备 时, 设 备 对 策 略 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 进 行 处 理 但 是, 策 略 规 则 ID 的 大 小 顺 序 并 不 是 规 则 查 找 时 的 匹 配 顺 序 WebUI 页 面 上 的 显 示 顺 序 才 是 系 统 策 略 规 则 的 查 找 顺 序 策 略 规 则 的 排 列 位 置 可 以 是 绝 对 位 置, 即 处 在 首 位 或 者 处 在 末 位, 也 可 以 是 相 对 位 置, 即 位 于 某 个 ID 之 前 或 之 后 在 列 表 位 置 下 拉 菜 单 中 选 择 该 策 略 规 则 的 位 置 基 于 策 略 的 用 户 上 线 通 知 功 能 是 指 当 客 户 端 发 送 HTTP 网 页 访 问 请 求 后, 系 统 自 动 将 该 请 求 重 新 定 向 到 指 定 的 通 知 页 面 配 置 该 功 能 后, 当 用 户 使 用 HTTP 访 问 网 络 时, 页 面 会 先 跳 转 到 指 定 的 提 示 页 面 使 用 用 户 上 线 通 知 功 能 前, 需 要 配 置 Web 认 证 点 击 设 置 Web 认 证 链 接 进 行 Web 认 证 设 置 1. 点 击 启 用 按 钮 开 启 用 户 上 线 通 知 2. 输 入 通 知 页 面 的 网 址 关 于 用 户 上 线 通 知 的 详 细 配 置, 参 阅 " 用 户 上 线 通 知 " 在 第 210 页 病 毒 过 滤 入 侵 防 御 SSL 代 理 指 定 病 毒 过 滤 规 则 通 过 策 略 与 病 毒 过 滤 规 则 相 结 合, 能 够 使 设 备 完 成 细 粒 度 的 应 用 层 安 全 策 略 控 制 选 择 启 用 按 钮 并 在 下 拉 菜 单 中 选 择 已 创 建 的 规 则 指 定 入 侵 防 御 规 则 通 过 策 略 与 入 侵 策 略 规 则 相 结 合, 能 够 使 设 备 完 成 细 粒 度 的 应 用 层 安 全 策 略 控 制 选 择 启 用 按 钮 并 在 下 拉 菜 单 中 选 择 已 创 建 的 规 则 指 定 SSL 代 理 规 则 通 过 策 略 与 SSL 代 理 规 则 相 结 合, 能 够 使 设 备 控 制 并 解 密 HTTPS 流 量 选 择 启 用 按 钮 并 在 下 拉 菜 单 中 选 择 已 创 建 的 规 则 3. 点 击 确 定 完 成 配 置 启 用 / 禁 用 策 略 规 则 默 认 情 况 下, 配 置 好 的 策 略 规 则 会 在 系 统 中 立 即 生 效 用 户 可 以 通 过 配 置 禁 用 某 条 策 略 规 则, 使 其 不 对 流 量 进 行 控 制 启 用 / 禁 用 策 略 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 安 全 策 略, 进 入 安 全 策 略 页 面 2. 选 中 列 表 中 需 要 启 用 / 禁 用 的 策 略 规 则 对 应 的 复 选 框 3. 点 击 启 用 或 禁 用 按 钮 207 第 10 章 策 略

228 复 制 策 略 规 则 复 制 策 略 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 安 全 策 略, 进 入 安 全 策 略 页 面 2. 选 中 列 表 中 需 要 复 制 的 策 略 规 则 对 应 的 复 选 框, 然 后 点 击 复 制 按 钮 3. 点 击 粘 贴 按 钮 该 策 略 规 则 将 被 粘 贴 到 策 略 规 则 列 表 的 末 位 粘 贴 此 策 略 规 则 到 指 定 位 置, 点 击 与 粘 贴 按 钮 相 邻 的 倒 三 角, 并 从 弹 出 菜 单 中 选 择 指 定 位 置 该 策 略 规 则 将 被 粘 贴 到 指 定 的 位 置 调 整 优 先 级 调 整 策 略 规 则 的 优 先 级, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 安 全 策 略, 进 入 安 全 策 略 页 面 2. 从 安 全 策 略 列 表 中 选 中 需 要 调 整 优 先 级 的 安 全 策 略 规 则 对 应 的 复 选 框, 然 后 点 击 列 表 上 方 的 移 动 按 钮 3. 在 弹 出 下 拉 菜 单 的 移 动 到 文 本 框 中, 输 入 ID 号, 并 点 击 之 前 / 之 后 按 钮 被 选 中 安 全 策 略 规 则 将 被 移 动 至 指 定 ID 规 则 的 前 / 后 设 置 策 略 默 认 动 作 用 户 可 以 对 未 匹 配 到 任 何 已 配 置 策 略 规 则 的 流 量 指 定 默 认 行 为, 系 统 将 按 照 指 定 的 默 认 行 为 对 此 类 流 量 进 行 处 理 默 认 情 况 下, 系 统 会 拒 绝 未 匹 配 到 任 何 已 配 置 策 略 规 则 的 流 量 通 过 指 定 策 略 的 默 认 行 为, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 安 全 策 略, 进 入 安 全 策 略 页 面 2. 点 击 更 多 按 钮, 并 在 弹 出 菜 单 中 选 择 策 略 默 认 动 作 系 统 弹 出 < 策 略 默 认 动 作 > 对 话 框 在 < 策 略 默 认 动 作 > 对 话 框, 填 写 如 下 配 置 信 息 选 项 说 明 命 中 数 显 示 默 认 策 略 的 匹 配 次 数 默 认 动 作 指 定 未 匹 配 到 任 何 已 配 置 策 略 规 则 的 流 量 的 默 认 行 为 允 许 : 系 统 将 允 许 未 匹 配 到 任 何 已 配 置 的 策 略 规 则 的 流 量 通 过 拒 绝 : 系 统 将 拒 绝 未 匹 配 到 任 何 已 配 置 的 策 略 规 则 的 流 量 通 过 日 志 系 统 对 于 未 匹 配 到 策 略 规 则 的 流 量, 可 以 指 定 是 否 为 其 生 成 日 志 信 息 默 认 情 况 下, 系 统 不 为 此 类 流 量 生 成 日 志 信 息 选 中 启 用 后 的 复 选 框, 开 启 日 志 功 能, 系 统 将 对 未 匹 配 到 策 略 规 则 的 流 量 生 成 日 志 信 息 第 10 章 策 略 208

229 3. 点 击 确 定 完 成 配 置 查 看 及 清 零 策 略 命 中 数 设 备 支 持 策 略 规 则 匹 配 次 数 统 计 功 能 该 功 能 能 够 对 系 统 流 量 与 策 略 规 则 的 匹 配 次 数 进 行 统 计, 即 每 当 进 入 系 统 的 流 量 与 某 条 策 略 规 则 相 匹 配 时, 该 策 略 规 则 的 匹 配 次 数 会 自 动 加 1 查 看 策 略 规 则 的 命 中 数, 进 入 安 全 策 略 页 面 在 策 略 规 则 列 表 的 命 中 数 一 列, 查 看 相 应 策 略 规 则 的 命 中 数 统 计 清 除 策 略 规 则 匹 配 次 数 统 计 信 息, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 安 全 策 略, 进 入 安 全 策 略 页 面 2. 点 击 更 多 按 钮, 并 在 弹 出 菜 单 中 选 择 命 中 数 清 零 系 统 弹 出 < 策 略 命 中 数 清 零 > 对 话 框 3. 根 据 需 要, 清 除 策 略 规 则 匹 配 次 数 统 计 信 息 具 体 选 项 说 明 如 下 : 所 有 策 略 : 清 除 所 有 规 则 的 匹 配 次 数 统 计 信 息 默 认 策 略 : 清 除 策 略 规 则 的 默 认 动 作 匹 配 次 数 统 计 信 息 策 略 ID: 清 除 指 定 ID 规 则 的 匹 配 次 数 统 计 信 息 在 文 本 框 中 输 入 策 略 规 则 的 ID 4. 点 击 确 定 按 钮 完 成 配 置 209 第 10 章 策 略

230 用 户 上 线 通 知 用 户 上 线 通 知 功 能 是 指 当 客 户 端 发 送 HTTP 网 页 访 问 请 求 后, 系 统 自 动 将 该 请 求 重 新 定 向 到 指 定 的 通 知 页 面 系 统 提 供 基 于 策 略 的 用 户 上 线 通 知 功 能 配 置 该 功 能 后, 当 用 户 使 用 HTTP 访 问 网 络 时, 页 面 会 首 先 跳 转 到 提 示 页 面 ( 如 下 图 所 示 ), 点 击 该 页 面 上 的 继 续 浏 览 网 页 按 钮, 系 统 会 将 网 页 重 定 向 到 通 知 页 面 用 户 若 想 访 问 第 一 次 输 入 的 URL 地 址, 需 要 重 新 在 Web 浏 览 器 中 输 入 该 地 址 在 启 用 用 户 上 线 功 能 前, 需 要 配 置 Web 认 证 功 能 配 置 Web 认 证 功 能, 参 阅 "Web 认 证 " 在 第 105 页 配 置 用 户 上 线 通 知 功 能 配 置 用 户 上 线 通 知 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 安 全 策 略, 进 入 安 全 策 略 页 面 2. 根 据 用 户 策 略 配 置, 选 择 需 要 启 用 用 户 上 线 通 知 功 能 的 策 略 一 般 情 况 下, 选 择 Web 认 证 策 略 下 面 的 且 对 上 网 流 量 进 行 放 行 动 作 的 策 略 配 置 用 户 上 线 通 知 功 能 3. 点 击 编 辑 按 钮 对 选 择 的 策 略 进 行 编 辑 4. 在 < 高 级 配 置 > 标 签 页 的 列 表 位 置 下 方, 选 择 启 用 按 钮 并 在 通 知 页 面 网 址 文 本 框 中 的 填 写 通 知 页 面 的 URL 5. 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 策 略 页 面 配 置 用 户 上 线 通 知 功 能 参 数 用 户 上 线 通 知 功 能 参 数 包 括 : 空 闲 时 间 : 指 网 络 在 无 流 量 状 态 下 保 持 连 接 状 态 的 最 长 时 间 超 出 空 闲 时 间 后, 如 果 用 户 再 次 打 开 浏 览 器 请 求 浏 览 网 页, 网 页 将 会 重 新 定 向 到 指 定 的 通 知 页 面 提 示 页 面 背 景 图 片 : 用 户 可 以 自 定 义 转 到 通 知 页 面 前 的 提 示 页 面 的 背 景 图 片 配 置 用 户 上 线 通 知 功 能 参 数, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 安 全 策 略, 进 入 安 全 策 略 页 面 2. 点 击 更 多 按 钮, 并 在 弹 出 菜 单 中 选 择 Click-through 页 面 系 统 弹 出 <Click-through 页 面 > 对 话 框 3. 在 空 闲 时 间 文 本 框 输 入 空 闲 时 间 默 认 是 30 分 钟, 范 围 是 3 到 1440 分 钟 4. 更 换 提 示 页 面 的 图 片 点 击 浏 览 按 钮, 选 中 新 图 片, 然 后 点 击 上 传 背 景 图 片 文 件 需 压 缩 成 ZIP 文 件 后 上 传, 且 名 称 必 须 为 web_redirect_bg_en.gif( 用 于 英 文 登 录 页 面 ) 和 web_redirect_bg_cn.gif( 用 于 中 文 登 录 页 面 ), 且 图 片 大 小 为 800 像 素 *600 像 素 查 看 上 线 通 知 用 户 配 置 用 户 上 线 通 知 功 能 后, 用 户 可 以 通 过 上 线 通 知 用 户 对 话 框 查 看 相 关 信 息 第 10 章 策 略 210

231 1. 点 击 策 略 > 安 全 策 略, 进 入 安 全 策 略 页 面 2. 点 击 更 多 按 钮, 并 在 弹 出 菜 单 中 选 择 Click-through IP 列 表 系 统 弹 出 <Click-through IP 列 表 > 对 话 框 该 对 话 框 显 示 上 线 通 知 用 户 的 相 关 信 息, 如 下 : IP 地 址 : 显 示 上 线 用 户 的 IP 地 址 会 话 数 : 显 示 上 线 用 户 的 会 话 数 接 口 : 显 示 上 线 用 户 的 源 接 口 存 活 时 间 : 显 示 上 线 用 户 的 在 线 时 长 过 期 时 间 : 显 示 上 线 用 户 的 空 闲 时 间 211 第 10 章 策 略

232 流 量 管 理 随 着 网 络 应 用 的 快 速 发 展 以 及 网 民 数 量 的 增 加, 网 络 带 宽 的 压 力 也 与 日 俱 增, 这 导 致 企 事 业 单 位 包 括 运 营 商 都 面 临 着 网 络 拥 堵 和 带 宽 资 源 有 效 利 用 的 问 题 系 统 提 供 的 流 量 管 理 功 能, 能 够 保 障 和 管 理 优 化 重 要 带 宽, 提 高 用 户 的 网 络 体 验 和 带 宽 资 源 利 用 率 流 量 管 理, 即 网 络 为 特 定 流 量 提 供 更 高 优 先 服 务 的 同 时 控 制 抖 动 和 延 迟 的 能 力, 并 且 能 够 降 低 数 据 传 输 丢 包 率 当 网 络 过 载 或 拥 塞 时, 系 统 能 够 确 保 重 要 业 务 流 量 的 正 常 传 输 流 量 管 理 功 能 受 许 可 证 控 制, 安 装 许 可 证 后, 流 连 管 理 功 能 才 可 使 用 注 意 : 如 果 用 户 在 升 级 到 5.5 版 本 前 已 经 配 置 了 旧 版 QoS 功 能, 则 旧 版 QoS 在 升 级 后 生 效, 无 对 应 的 WebUI, 需 要 在 CLI 中 进 行 配 置 ; iqos 功 能 将 在 WebUI 上 隐 藏 且 不 生 效 如 果 用 户 在 升 级 到 5.5 版 本 前, 没 有 配 置 旧 版 QoS 功 能, 在 升 级 后, 将 默 认 启 动 iqos 功 能, 可 在 WebUI 进 行 配 置 此 时, 旧 版 QoS 功 能 不 生 效 实 现 机 制 数 据 包 进 入 系 统 后, 首 先 会 被 分 类 和 标 记 对 于 分 类 标 记 后 的 流 量, 系 统 会 通 过 整 形 机 制 使 流 量 平 滑 的 转 发 或 管 制 机 制 丢 弃 若 选 择 整 形 机 制 转 发 流 量, 系 统 则 会 通 过 拥 塞 管 理 机 制 和 拥 塞 避 免 机 制 对 数 据 包 进 行 管 理, 为 数 据 包 排 列 优 先 次 序 并 且 在 发 生 拥 塞 时 保 证 高 优 先 级 数 据 包 优 先 调 度 通 常 来 讲, 实 现 流 量 管 理 的 工 具 包 括 : 分 类 和 标 记 工 具 : 分 类 和 标 记 的 过 程 就 是 识 别 出 需 进 行 不 同 处 理 ( 优 先 或 者 区 分 ) 的 流 量 的 过 程 分 类 和 标 记 是 执 行 流 量 管 理 的 第 一 步 管 制 和 整 形 工 具 : 识 别 流 量 违 约 并 做 出 响 应 管 制 和 整 形 使 用 同 样 的 算 法 识 别 流 量 违 约, 但 是 做 出 的 响 应 不 同 管 制 工 具 对 流 量 违 约 进 行 即 时 检 查, 发 现 违 约 后 立 即 采 取 设 定 的 动 作 进 行 处 理 整 形 工 具 是 一 个 与 排 队 机 制 一 起 工 作 的 流 量 平 滑 工 具, 整 形 的 目 的 是 控 制 流 量 永 远 不 超 出 指 定 的 速 率, 使 流 量 平 滑 地 转 发 拥 塞 管 理 工 具 : 即 排 队 工 具, 应 用 在 产 生 拥 塞 处 由 于 网 络 之 间 的 速 率 不 匹 配, 在 广 域 网 或 者 局 域 网 中 都 有 可 能 出 现 拥 塞 只 有 当 发 生 拥 塞 时, 排 队 工 具 才 会 被 启 用 拥 塞 避 免 工 具 : 拥 塞 避 免 工 具 是 排 队 算 法 的 补 充, 它 的 目 的 是 为 了 处 理 基 于 TCP 的 数 据 流 功 能 概 述 设 备 通 过 配 置 管 道 来 实 现 流 量 管 理 管 道, 即 带 宽 通 道, 是 一 个 虚 拟 概 念 系 统 以 管 道 为 单 位 对 流 量 进 行 划 分, 并 根 据 管 道 配 置 的 流 控 动 作 对 管 道 内 的 流 量 进 行 管 控 所 有 流 经 设 备 的 流 量, 都 将 按 照 设 置 的 匹 配 条 件 进 入 虚 拟 管 道 未 匹 配 到 的 流 量 将 进 入 系 统 预 定 义 的 默 认 管 道 管 道 ( 除 默 认 管 道 ) 必 须 包 含 两 部 分, 分 别 是 流 量 匹 配 条 件 和 流 量 管 理 动 作 流 量 匹 配 条 件 : 定 义 设 备 需 要 匹 配 的 流 量, 从 而 设 备 可 以 将 流 量 进 行 区 分 流 经 设 备 的 流 量 会 根 据 用 户 设 置 的 条 件 分 类, 划 入 对 应 的 管 道 系 统 为 匹 配 到 匹 配 条 件 的 流 量 提 供 带 宽 控 制 一 个 管 道 可 以 有 多 个 流 量 匹 配 条 件, 各 个 匹 配 条 件 之 间 为 或 的 关 系 流 量 只 要 匹 配 到 其 中 一 个 匹 配 条 件, 就 会 进 入 该 管 道 流 量 管 理 动 作 : 对 已 被 划 分 到 管 道 中 的 流 量 所 做 的 动 作 流 控 分 为 正 向 控 制 和 反 向 控 制 正 向 控 制 即 对 从 源 到 目 的 方 向 的 流 量 进 行 控 制 ; 反 向 控 制 即 对 从 目 的 到 源 方 向 的 流 量 进 行 控 制 为 了 给 用 户 提 供 灵 活 和 方 便 的 配 置, 系 统 支 持 多 级 管 道 配 置 多 级 管 道, 可 将 不 同 用 户 的 不 同 应 用 分 别 限 制 在 一 定 带 宽 之 内, 从 而 能 优 先 保 障 重 要 用 户 或 重 要 应 用 的 带 宽 管 道 最 多 支 持 四 级 嵌 套, 默 认 管 道 不 可 嵌 套 子 管 道 管 道 逻 辑 关 系 如 下 图 所 示 : 第 10 章 策 略 212

233 用 户 可 创 建 多 个 根 管 道, 各 个 根 管 道 之 间 是 彼 此 独 立 的 每 个 根 管 道 下 均 可 嵌 套 三 级 子 管 道 子 管 道 的 最 小 带 宽 之 和 不 能 大 于 其 上 一 级 管 道 的 最 小 带 宽, 最 大 带 宽 也 不 能 大 于 其 上 一 级 管 道 的 最 大 带 宽 用 户 若 在 根 管 道 上 配 置 了 正 向 或 反 向 的 流 量 管 理 动 作 后, 该 根 管 道 下 的 所 有 子 管 道 都 必 须 继 承 根 管 道 设 定 的 流 量 方 向 仅 配 置 了 反 向 流 量 管 理 动 作 的 管 道 不 可 用 以 某 企 业 的 应 用 场 景 为 例 说 明 如 何 嵌 套 多 级 管 道 如 下 图 所 示, 管 理 员 可 创 建 一 个 根 管 道, 限 制 该 企 业 北 京 分 公 司 的 流 量 创 建 一 个 子 管 道, 限 制 其 研 发 部 门 的 流 量 再 创 建 子 管 道 对 研 发 部 应 用 进 行 划 分, 限 制 不 同 应 用 拥 有 不 同 的 带 宽 最 后 为 某 种 应 用 的 每 用 户 设 置 子 管 道, 限 制 该 应 用 的 每 位 用 户 的 流 量 213 第 10 章 策 略

234 处 理 流 程 系 统 支 持 两 层 流 控, 即 第 一 层 流 控 和 第 二 层 流 控 在 每 层 流 控 中, 流 量 的 具 体 控 制 通 过 管 道 来 实 现 经 过 第 一 层 流 控 处 理 过 的 流 量 进 入 第 二 层 流 控, 系 统 再 根 据 第 二 层 流 控 的 管 道 设 置 对 流 量 进 行 进 一 步 管 控 流 量 进 入 设 备 后, 流 量 管 理 处 理 流 程 如 下 图 所 示 : 根 据 上 图 所 示, 系 统 的 流 控 处 理 流 程 描 述 如 下 : 1. 流 量 首 先 进 入 第 一 层 流 控, 系 统 根 据 第 一 层 流 控 中 管 道 的 匹 配 条 件 设 置 划 分 流 量 到 不 同 的 管 道 中 不 匹 配 任 何 管 道 的 流 量 进 入 默 认 管 道 如 果 存 在 相 同 匹 配 条 件 的 根 管 道, 流 量 优 先 匹 配 位 置 靠 前 的 根 管 道 流 量 进 入 根 管 道 后, 再 根 据 子 管 道 的 匹 配 条 件 逐 层 匹 配 2. 系 统 根 据 管 道 配 置 的 流 控 动 作 对 匹 配 到 的 流 量 进 行 管 控 3. 经 过 第 一 层 流 控 处 理 的 流 量 进 入 第 二 层 流 控 进 行 再 次 管 控 系 统 在 第 二 层 流 控 中 的 管 道 匹 配 以 及 流 量 管 控 原 理 与 第 一 层 流 控 相 同 4. 流 控 处 理 结 束 注 意 : 被 禁 用 的 流 控 层 级 或 者 管 道 不 参 与 流 控 处 理 不 可 用 的 管 道 也 不 参 与 流 控 处 理 第 10 章 策 略 214

235 配 置 管 道 系 统 通 过 管 道 来 实 现 流 量 管 理, 进 而 保 障 和 优 化 管 理 网 络 带 宽 配 置 管 道, 包 括 : 1. 创 建 流 量 匹 配 条 件, 系 统 对 匹 配 到 匹 配 条 件 的 流 量 进 行 控 制 若 为 管 道 配 置 多 个 匹 配 条 件, 各 匹 配 条 件 之 间 为 或 的 关 系 2. 根 据 需 求 创 建 流 量 白 名 单 目 前 仅 根 管 道 和 默 认 管 道 支 持 配 置 白 名 单 配 置 后, 系 统 将 不 对 白 名 单 中 指 定 的 流 量 做 流 量 管 理 3. 指 定 流 量 管 理 动 作, 即 对 已 被 划 分 到 管 道 中 的 流 量 指 定 动 作 流 量 管 理 页 面 可 以 实 现 以 下 操 作 : 选 中 第 一 层 流 控 或 第 二 层 流 控, 然 后 点 击 新 建 > 管 道, 在 弹 出 的 < 管 道 配 置 > 对 话 框 创 建 根 管 道 ; 或 将 鼠 标 悬 停 在 第 一 层 流 控 或 第 二 层 流 控, 然 后 点 击 弹 出 的 图 标, 在 弹 出 的 < 管 道 配 置 > 对 话 框 创 建 根 管 道 选 中 任 意 一 个 根 管 道 或 子 管 道, 然 后 点 击 新 建 > 管 道, 在 弹 出 的 < 管 道 配 置 > 对 话 框 创 建 子 管 道 或 将 鼠 标 悬 停 在 任 意 一 个 根 管 道 和 子 管 道, 然 后 点 击 弹 出 的 图 标, 在 弹 出 的 < 管 道 配 置 > 对 话 框 创 建 子 管 道 点 击 启 用 按 钮, 启 用 所 选 的 管 道 或 流 控 层 级 管 道 创 建 后 将 被 系 统 默 认 启 用 点 击 禁 用 按 钮, 禁 用 所 选 的 管 道 或 流 控 层 级 管 道 或 流 控 层 级 一 旦 被 禁 用 后, 将 不 参 与 流 控 处 理 点 击 删 除 按 钮, 删 除 所 选 的 管 道 或 匹 配 条 件 默 认 管 道 和 流 控 层 级 无 法 删 除 在 管 道 详 情 下 拉 菜 单 中 选 中 全 部 管 道, 查 看 全 局 的 管 道 配 置 选 中 一 个 管 道 后, 显 示 管 道 详 情 信 息 在 < 匹 配 条 件 > 标 签 页 选 中 匹 配 条 件, 点 击 当 前 页 面 上 方 的 编 辑 按 钮, 编 辑 所 选 的 流 量 匹 配 条 件 在 管 道 详 情 页 的 管 道 名 称 及 流 控 动 作 处, 点 击 编 辑 按 钮, 编 辑 相 关 配 置 在 管 道 详 情 页 的 正 向 及 反 向 处, 点 击 清 除, 清 除 指 定 配 置 配 置 管 道, 按 照 以 下 步 骤 进 行 操 作 : 1. 根 据 根 管 道 及 子 管 道 的 创 建 方 法, 创 建 一 个 管 道, 弹 出 < 管 道 配 置 > 对 话 框 2. 在 < 管 道 配 置 > 对 话 框, 填 写 管 道 的 基 础 信 息 管 道 名 称 : 输 入 将 要 创 建 的 管 道 的 名 称 父 管 道 / 流 控 层 级 : 显 示 该 管 道 所 属 的 流 控 层 级 名 称 或 父 管 道 名 称 3. 在 < 匹 配 条 件 > 标 签 页, 创 建 匹 配 条 件 点 击 新 建, 弹 出 < 匹 配 条 件 配 置 > 对 话 框 在 对 话 框 中 填 写 匹 配 条 件 信 息 源 信 息 安 全 域 指 定 流 量 的 源 安 全 域 在 下 拉 菜 单 中 选 中 所 需 的 流 量 源 安 全 域 名 称 接 口 指 定 流 量 的 源 接 口 在 下 拉 菜 单 中 选 中 所 需 的 流 量 源 接 口 名 称 地 址 条 目 指 定 流 量 的 源 地 址 条 目 在 下 拉 菜 单 中 选 中 所 需 的 流 量 源 地 址 条 目 用 户 可 选 215 第 10 章 策 略

236 目 的 信 息 择 多 个 地 址 条 目 安 全 域 指 定 流 量 的 目 的 全 域 在 下 拉 菜 单 中 选 中 所 需 的 流 量 目 的 安 全 域 名 称 接 口 指 定 流 量 的 目 的 接 口 在 下 拉 菜 单 中 选 中 所 需 的 流 量 目 的 接 口 名 称 地 址 条 目 用 户 信 息 用 户 / 用 户 组 其 他 指 定 流 量 的 目 的 地 址 条 目 在 下 拉 菜 单 中 选 中 所 需 的 流 量 目 的 地 址 条 目 用 户 可 选 择 多 个 地 址 条 目 指 定 流 量 所 属 的 用 户 / 用 户 组 在 下 拉 菜 单 中 选 中 类 型, 选 择 用 户 / 用 户 组 所 属 的 AAA 服 务 器, 选 择 所 需 的 用 户 / 用 户 组 选 择 完 成 后, 点 击 添 加 按 钮 完 成 用 户 / 用 户 组 配 置 配 置 完 成 后, 点 击 < 匹 配 条 件 > 配 置 对 话 框 的 空 白 处 返 回 对 话 框 服 务 / 服 务 组 应 用 / 应 用 组 指 定 流 量 所 述 的 服 务 / 服 务 组 在 下 拉 菜 单 中 选 中 所 需 的 服 务 或 服 务 组, 包 括 预 定 义 服 务 和 自 定 义 服 务, 点 击 移 入 按 钮 完 成 配 置 配 置 完 成 后, 点 击 < 匹 配 条 件 > 配 置 对 话 框 的 空 白 处 返 回 对 话 框 用 户 也 可 根 据 需 要, 创 建 新 的 服 务 / 服 务 组 下 拉 菜 单 中 选 中 所 需 的 应 用 或 应 用 组, 包 括 预 定 义 应 用 和 自 定 义 应 用 击 移 入 按 钮 完 成 配 置 配 置 完 成 后, 点 击 < 匹 配 条 件 > 配 置 对 话 框 的 空 白 处 返 回 对 话 框 用 户 也 可 根 据 需 要, 创 建 新 的 应 用 组 VLAN 输 入 流 量 对 应 的 VLAN 信 息 TOS 输 入 流 量 对 应 的 ToS 字 段 ; 或 点 击 设 置 按 钮, 弹 出 <ToS 配 置 > 对 话 框, 指 定 流 量 IP 头 部 的 ToS 字 段 优 先 级 : 指 定 先 行 位 延 迟 : 指 定 最 小 延 迟 吞 吐 量 : 指 定 最 大 吞 吐 量 可 靠 度 : 指 定 最 高 可 靠 性 花 费 : 指 定 最 小 通 信 成 本 保 留 : 指 定 普 通 服 务 4. 当 配 置 根 管 道 时, 用 户 可 指 定 白 名 单 白 名 单 配 置 过 程, 参 照 匹 配 条 件 配 置 过 程 5. 在 < 流 控 动 作 > 标 签 页, 对 匹 配 流 量 设 置 控 制 动 作 正 向 ( 源 到 目 的 ) 正 向, 即 从 源 到 目 的 方 向 流 量 的 控 制 系 统 将 对 命 中 匹 配 条 件 的 正 向 流 量 指 定 流 控 动 作 管 道 带 宽 当 配 置 根 管 道 时, 指 定 根 管 道 的 带 宽 当 配 置 子 管 道 时, 指 定 管 道 的 最 小 带 宽 和 最 大 带 宽 : 最 小 带 宽 : 输 入 管 道 的 最 小 带 宽 值 当 配 置 子 管 道 最 小 带 宽 时, 选 择 开 启 预 留 带 宽 为 此 子 管 道 预 留 最 小 带 宽 此 预 留 最 小 带 宽 不 可 以 被 借 用 最 大 带 宽 : 在 文 本 框 中 输 入 管 道 的 最 大 带 宽 值 每 IP/ 用 户 带 宽 为 每 个 IP 或 每 个 用 户 指 定 最 小 带 宽 或 最 大 带 宽 : 类 型 : 选 择 带 宽 限 制 的 类 型, 可 以 是 每 IP 或 每 用 户 表 示 不 为 每 IP 或 每 用 户 限 制 带 宽 若 选 择 每 IP, 用 户 需 选 择 源 IP 单 选 按 钮 指 定 为 该 管 道 的 每 个 源 IP 限 制 带 宽 ; 或 选 择 目 的 IP 单 选 按 钮 指 定 为 该 管 道 的 每 个 目 的 IP 限 制 带 宽 当 配 置 根 管 道 时, 可 选 择 开 启 平 均 带 宽 复 选 框 为 此 根 管 道 中 的 源 IP, 目 的 IP, 或 用 户 平 均 分 配 第 10 章 策 略 216

237 带 宽 最 小 带 宽 : 在 文 本 框 中 输 入 最 小 带 宽 值 最 大 带 宽 : 在 文 本 框 中 输 入 最 大 带 宽 值 优 先 级 TOS 指 定 管 道 的 优 先 级 从 下 拉 菜 单 中 选 中 数 值, 范 围 为 0 到 7 数 值 越 小, 表 示 该 管 道 的 优 先 级 越 高 优 先 级 较 高 的 管 道, 系 统 将 优 先 调 度, 并 优 先 借 用 其 他 管 道 的 空 闲 带 宽 默 认 管 道 的 优 先 级 是 7 输 入 流 量 对 应 的 ToS 字 段 ; 或 点 击 设 置 按 钮, 弹 出 <ToS 配 置 > 对 话 框, 指 定 流 量 IP 头 部 的 ToS 字 段 优 先 级 : 指 定 先 行 位 延 时 : 指 定 最 小 延 迟 吞 吐 量 : 指 定 最 大 吞 吐 量 可 靠 度 : 指 定 最 高 可 靠 性 花 费 : 指 定 最 小 通 信 成 本 保 留 : 指 定 普 通 服 务 反 向 ( 目 的 到 源 ) 反 向, 即 从 目 的 到 源 方 向 流 量 的 控 制 系 统 将 对 命 中 匹 配 条 件 的 反 向 流 量 指 定 流 控 动 作 管 道 带 宽 当 配 置 根 管 道 时, 指 定 根 管 道 的 带 宽 当 配 置 指 定 管 道 的 最 小 带 宽 和 最 大 带 宽 : 最 小 带 宽 : 输 入 管 道 的 最 小 带 宽 值 当 配 置 子 管 道 最 小 带 宽 时, 选 择 开 启 预 留 带 宽 为 此 子 管 道 预 留 最 小 带 宽 此 预 留 最 小 带 宽 不 可 以 被 借 用 最 大 带 宽 : 在 文 本 框 中 输 入 管 道 的 最 大 带 宽 值 每 IP/ 用 户 带 宽 为 每 个 IP 或 每 个 用 户 指 定 最 小 带 宽 或 最 大 带 宽 : 类 型 : 选 择 带 宽 限 制 的 类 型, 可 以 是 每 IP 或 每 用 户 表 示 不 为 每 IP 或 每 用 户 限 制 带 宽 若 选 择 每 IP, 用 户 需 选 择 源 IP 单 选 按 钮 指 定 为 该 管 道 的 每 个 源 IP 限 制 带 宽 ; 或 选 择 目 的 IP 单 选 按 钮 指 定 为 该 管 道 的 每 个 目 的 IP 限 制 带 宽 当 配 置 根 管 道 时, 选 择 开 启 平 均 带 宽 复 选 框 为 此 根 管 道 中 的 源 IP, 目 的 IP, 或 用 户 平 均 分 配 带 宽 最 小 带 宽 : 在 文 本 框 中 输 入 最 小 带 宽 值 最 大 带 宽 : 在 文 本 框 中 输 入 最 大 带 宽 值 优 先 级 ToS 指 定 管 道 的 优 先 级 从 下 拉 菜 单 中 选 中 数 值, 范 围 为 0 到 7 数 值 越 小, 表 示 该 管 道 的 优 先 级 越 高 优 先 级 较 高 的 管 道, 系 统 将 优 先 调 度, 并 优 先 借 用 其 他 管 道 的 空 闲 带 宽 默 认 管 道 的 优 先 级 是 7 输 入 流 量 对 应 的 ToS 字 段 ; 或 点 击 设 置 按 钮, 弹 出 <ToS 配 置 > 对 话 框, 指 定 流 量 IP 头 部 的 ToS 字 段 优 先 级 : 指 定 先 行 位 延 时 : 指 定 最 小 延 迟 吞 吐 量 : 指 定 最 大 吞 吐 量 可 靠 度 : 指 定 最 高 可 靠 性 花 费 : 指 定 最 小 通 信 成 本 217 第 10 章 策 略

238 保 留 : 指 定 普 通 服 务 6. 点 击 确 定 按 钮 完 成 配 置 查 看 管 道 监 控 统 计 查 看 管 道 监 控 的 统 计 信 息, 参 阅 " 管 道 监 控 " 在 第 333 页 第 10 章 策 略 218

239 N AT 网 络 地 址 转 换 (Network Address Translation) 简 称 为 NAT, 是 将 IP 数 据 包 包 头 中 的 IP 地 址 转 换 为 另 一 个 IP 地 址 的 协 议 当 IP 数 据 包 通 过 设 备 时, 设 备 会 把 IP 数 据 包 的 源 IP 地 址 和 / 或 者 目 的 IP 地 址 进 行 转 换 在 实 际 应 用 中,NAT 主 要 用 于 私 有 网 络 访 问 外 部 网 络 或 外 部 网 络 访 问 私 有 网 络 的 情 况 N AT 的 基 本 转 换 过 程 设 备 执 行 NAT 功 能 时, 处 于 公 有 网 络 和 私 有 网 络 的 连 接 处 下 图 描 述 了 NAT 的 基 本 转 换 过 程 : 如 上 图 所 示, 设 备 处 于 私 有 网 络 和 公 有 网 络 的 连 接 处 当 内 部 PC( ) 向 外 部 服 务 器 ( ) 发 送 一 个 IP 包 时,IP 包 将 通 过 设 备 设 备 查 看 包 头 内 容, 发 现 该 IP 包 是 发 向 公 有 网 络 的, 然 后 它 将 IP 包 1 的 源 地 址 换 成 一 个 可 以 在 Internet 上 选 路 的 公 有 地 址 , 并 将 该 IP 包 发 送 到 外 部 服 务 器, 与 此 同 时, 设 备 还 在 网 络 地 址 转 换 表 中 记 录 这 一 映 射 外 部 服 务 器 给 内 部 PC 发 送 IP 包 1 的 应 答 报 文 ( 其 初 始 目 的 地 址 为 ), 到 达 设 备 后, 设 备 再 次 查 看 包 头 内 容, 然 后 查 找 当 前 网 络 地 址 转 换 表 的 记 录, 用 内 部 PC 的 私 有 地 址 替 换 目 的 地 址 这 个 过 程 中, 设 备 对 PC 和 Server 来 说 是 透 明 的 对 外 部 服 务 器 来 说, 它 认 为 内 部 PC 的 地 址 就 是 , 并 不 知 道 这 个 地 址 因 此,NAT 隐 藏 了 企 业 的 私 有 网 络 设 备 的 N AT 功 能 设 备 的 NAT 功 能 将 内 部 网 络 主 机 的 IP 地 址 和 端 口 替 换 为 设 备 外 部 网 络 的 地 址 和 端 口, 以 及 将 设 备 的 外 部 网 络 地 址 和 端 口 转 换 为 内 部 网 络 主 机 的 IP 地 址 和 端 口 也 就 是 私 有 地 址 + 端 口 与 公 有 地 址 + 端 口 之 间 的 转 换 设 备 通 过 创 建 并 执 行 NAT 规 则 来 实 现 NAT 功 能 NAT 规 则 有 两 类, 分 别 为 源 NAT 规 则 (SNAT Rule) 和 目 的 NAT 规 则 (DNAT Rule) SNAT 转 换 源 IP 地 址, 从 而 隐 藏 内 部 IP 地 址 或 者 分 享 有 限 的 IP 地 址 ;DNAT 转 换 目 的 IP 地 址, 通 常 是 将 受 设 备 保 护 的 内 部 服 务 器 ( 如 WWW 服 务 器 或 者 SMTP 服 务 器 ) 的 IP 地 址 转 换 成 公 网 IP 地 址 219 第 10 章 策 略

240 配 置 源 N AT 新 建 源 NAT 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > 源 NAT, 进 入 源 NAT 页 面 2. 点 击 新 建 按 钮, 弹 出 < 源 NAT 配 置 > 对 话 框 在 < 基 本 配 置 > 标 签 页, 填 写 相 关 信 息 当 IP 地 址 符 合 以 下 条 件 时 虚 拟 路 由 器 指 定 源 NAT 规 则 所 在 的 虚 拟 路 由 器 源 地 址 指 定 源 NAT 规 则 中 流 量 的 源 IP 地 址 可 选 地 址 包 括 : 地 址 条 目 : 在 下 拉 菜 单 中 选 择 已 配 置 的 地 址 条 目 IP 地 址 : 在 文 本 框 中 直 接 输 入 IP 地 址 IP/ 掩 码 : 在 文 本 框 中 输 入 IP 地 址 及 掩 码 目 的 地 址 指 定 源 NAT 规 则 中 流 量 的 目 的 IP 地 址 可 选 地 址 包 括 : 地 址 条 目 : 在 下 拉 菜 单 中 选 择 已 配 置 的 地 址 条 目 IP 地 址 - 在 文 本 框 中 直 接 输 入 IP 地 址 IP/ 掩 码 - 在 文 本 框 中 输 入 IP 地 址 及 掩 码 出 流 量 指 定 源 NAT 规 则 的 出 流 量 包 括 : 所 有 流 量 : 指 定 源 NAT 规 则 中 出 流 量 为 所 有 流 量 出 接 口 : 指 定 源 NAT 规 则 中 出 流 量 的 出 接 口, 从 下 拉 菜 单 中 选 择 接 口 名 称 下 一 跳 虚 拟 路 由 器 : 指 定 源 NAT 规 则 中 出 流 量 的 下 一 跳 虚 拟 路 由 器, 从 下 拉 菜 单 中 选 择 虚 拟 路 由 器 的 名 称 服 务 指 定 流 量 的 服 务 类 型 从 下 拉 菜 单 中 选 择 服 务 类 型 将 地 址 转 换 为 如 需 新 建 服 务 / 服 务 组, 点 击 新 建 服 务 或 新 建 服 务 组 按 钮 转 换 为 指 定 将 符 合 条 件 的 流 量 转 为 出 接 口 IP 指 定 IP 或 不 做 流 量 转 换 出 接 口 IP: 将 符 合 条 件 的 流 量 转 为 出 接 口 IP 地 址 指 定 IP: 将 符 合 条 件 的 流 量 转 为 指 定 的 IP 地 址 选 择 此 选 项 后, 在 地 址 下 拉 菜 单 中 选 择 地 址 条 目, IP 地 址, 或 者 IP/ 掩 码, 并 指 第 10 章 策 略 220

241 当 IP 地 址 符 合 以 下 条 件 时 定 相 应 的 取 值 不 转 换 : 对 符 合 条 件 的 流 量 不 做 NAT 转 换 模 式 指 定 地 址 转 换 的 模 式 包 括 : 其 他 静 态 : 选 中 该 单 选 按 钮 使 用 静 态 转 换 模 式 静 态 源 NAT 转 换 即 一 对 一 的 转 换 该 模 式 要 求 被 转 换 到 的 地 址 条 目 包 含 的 IP 地 址 数 与 流 量 的 源 地 址 的 地 址 条 目 包 含 的 IP 地 址 数 相 同 动 态 : 选 中 该 单 选 按 钮 使 用 动 态 转 换 模 式 动 态 源 NAT 转 换 即 多 对 一 的 转 换 该 模 式 将 源 地 址 转 换 到 指 定 的 IP 地 址 每 一 个 源 地 址 会 被 映 射 到 一 个 唯 一 的 IP 地 址 做 转 换, 直 到 指 定 地 址 全 部 被 占 用 动 态 端 口 : 选 中 该 单 选 按 钮 使 用 动 态 端 口 转 换 模 式 该 模 式 即 为 PAT 多 个 源 地 址 将 被 转 换 成 指 定 IP 地 址 条 目 中 的 一 个 地 址 如 果 不 启 用 Sticky 功 能, 地 址 条 目 中 的 第 一 个 地 址 将 会 首 先 被 使 用, 当 第 一 个 地 址 的 端 口 资 源 被 用 尽, 第 二 个 地 址 将 会 被 使 用 如 果 启 用 了 Sticky 功 能, 每 一 个 源 IP 产 生 的 所 有 会 话 将 被 映 射 到 同 一 个 固 定 的 IP 地 址 启 用 Sticky 功 能, 选 中 Sticky 对 应 的 启 用 复 选 框 选 中 Track 对 应 的 启 用 复 选 框 启 用 该 功 能, 并 从 下 拉 菜 单 选 择 监 测 对 象 HA 组 指 定 源 NAT 规 则 所 属 的 HA 组 默 认 属 于 HA 组 0 描 述 为 此 条 源 NAT 规 则 输 入 描 述 信 息 在 < 更 多 配 置 > 标 签 页, 填 写 相 关 信 息 选 项 说 明 NAT 日 志 列 表 位 置 选 中 启 用 复 选 框 开 启 该 源 NAT 规 则 的 日 志 功 能 当 有 流 量 匹 配 该 地 址 转 换 规 则 时 产 生 日 志 信 息 指 定 规 则 所 在 的 位 置 每 一 条 源 NAT 规 则 都 有 唯 一 一 个 ID 号 流 量 进 入 设 备 时, 设 备 对 源 NAT 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 的 源 IP 做 NAT 转 换 但 是,ID 的 大 小 顺 序 并 不 是 规 则 匹 配 顺 序 在 源 NAT 列 表 中 显 示 的 顺 序 才 是 规 则 的 匹 配 顺 序 从 下 拉 菜 单 中 选 择 该 源 NAT 规 则 在 源 NAT 列 表 中 所 处 的 位 置, 包 括 : 列 表 最 后 : 配 置 的 源 NAT 规 则 将 处 于 所 有 源 NAT 规 则 的 末 尾 默 认 情 况 下, 系 统 会 将 新 创 建 的 源 NAT 规 则 放 到 所 有 源 NAT 规 则 的 末 尾 列 表 最 前 : 配 置 的 源 NAT 规 则 将 处 于 所 有 源 NAT 规 则 的 首 位 该 ID 之 前 : 选 择 此 选 项, 并 在 其 后 的 文 本 框 中 输 入 需 要 的 源 NAT 规 则 ID, 配 置 的 源 NAT 将 处 于 指 定 ID 源 NAT 规 则 的 前 一 位 该 ID 之 后 : 选 择 此 选 项, 并 且 在 其 后 的 文 本 框 中 输 入 需 要 的 源 NAT 规 则 ID, 配 置 的 源 NAT 将 处 于 指 定 ID 源 NAT 规 则 的 后 一 位 ID 指 定 规 则 获 得 ID 的 方 式 每 一 条 源 NAT 规 则 都 有 一 个 唯 一 的 ID 选 中 合 适 方 式 的 单 选 按 钮, 可 以 为 自 动 分 配 ID ( 系 统 默 认 ) 或 者 手 工 分 配 ID 当 选 择 手 工 分 配 ID 时, 还 需 在 后 面 的 文 本 框 中 输 入 ID 3. 点 击 确 定 完 成 配 置 启 用 / 禁 用 N A T 规 则 默 认 情 况 下, 配 置 好 的 NAT 规 则 会 在 系 统 中 立 即 生 效 用 户 可 以 通 过 配 置 禁 用 某 条 NAT 规 则, 使 其 不 对 流 量 进 行 控 制 启 用 / 禁 用 NAT 规 则, 按 照 以 下 步 骤 进 行 操 作 : 221 第 10 章 策 略

242 1. 点 击 策 略 > NAT > 源 NAT, 进 入 源 NAT 页 面 2. 选 中 列 表 中 需 要 启 用 / 禁 用 的 NAT 规 则 对 应 的 复 选 框 3. 点 击 启 用 或 禁 用 按 钮 调 整 优 先 级 每 一 条 源 NAT 规 则 都 有 唯 一 一 个 ID 号 流 量 进 入 设 备 时, 设 备 对 源 NAT 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 的 源 IP 做 NAT 转 换 但 是,ID 的 大 小 顺 序 并 不 是 规 则 匹 配 顺 序 在 源 NAT 列 表 中 显 示 的 顺 序 才 是 规 则 的 匹 配 顺 序 调 整 源 NAT 规 则 的 优 先 级, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > 源 NAT, 进 入 源 NAT 页 面 2. 从 源 NAT 列 表 中 选 中 需 要 调 整 优 先 级 的 源 NAT 规 则 对 应 的 复 选 框, 然 后 点 击 列 表 上 方 的 优 先 级 按 钮, 弹 出 < 调 整 优 先 级 > 对 话 框 选 择 相 应 的 单 选 按 钮, 调 整 源 NAT 规 则 的 在 列 表 中 的 顺 序 选 项 说 明 列 表 最 前 将 该 源 NAT 规 则 移 至 所 有 源 NAT 规 则 的 首 位 列 表 最 后 将 该 源 NAT 规 则 移 至 所 有 源 NAT 规 则 的 末 位 该 ID 之 前 将 源 NAT 规 则 移 至 指 定 ID 源 NAT 规 则 的 前 一 位 在 文 本 框 中 输 入 ID 号 该 ID 之 后 将 源 NAT 规 则 移 至 指 定 ID 源 NAT 规 则 的 后 一 位 在 文 本 框 中 输 入 ID 号 3. 点 击 确 定 完 成 配 置 导 出 N A T 444 静 态 端 口 块 映 射 表 用 户 可 以 将 NAT444 静 态 端 口 块 映 射 表 以 文 件 形 式 导 出, 导 出 的 映 射 表 文 件 中 包 含 SNAT 规 则 ID 源 地 址 转 换 后 地 址 起 始 端 口 号 结 束 端 口 号 和 协 议 信 息 导 出 静 态 端 口 块 映 射 表, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > 源 NAT, 进 入 源 NAT 页 面 2. 点 击 导 出 NAT444 静 态 映 射 按 钮, 将 映 射 表 导 出 并 保 存 到 适 当 位 置 3. 导 出 的 映 射 表 文 件 为 CSV 格 式, 建 议 用 户 通 过 管 理 接 口 导 出 映 射 表 文 件 第 10 章 策 略 222

243 配 置 目 的 N AT DNAT 转 换 目 的 IP 地 址, 通 常 是 将 受 安 全 网 关 保 护 的 内 部 服 务 器 ( 如 WWW 服 务 器 或 者 SMTP 服 务 器 ) 的 IP 地 址 转 换 成 公 网 IP 地 址 配 置 IP 映 射 类 型 的 目 的 N A T 新 建 IP 映 射 类 型 的 目 的 NAT, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > 目 的 NAT, 进 入 目 的 NAT 页 面 2. 点 击 新 建 按 钮, 并 在 弹 出 的 下 拉 菜 单 中 选 择 IP 映 射, 弹 出 <IP 映 射 配 置 > 对 话 框 在 <IP 映 射 配 置 > 标 签 页, 填 写 相 关 信 息 当 IP 地 址 符 合 以 下 条 件 时 虚 拟 路 由 器 指 定 目 的 NAT 规 则 所 在 的 虚 拟 路 由 器 目 的 地 址 指 定 流 量 的 目 的 IP 地 址 可 选 地 址 包 括 : 地 址 条 目 : 在 下 拉 菜 单 中 选 择 已 配 置 的 地 址 条 目 IP 地 址 : 在 文 本 框 中 直 接 输 入 IP 地 址 IP/ 掩 码 : 在 文 本 框 中 输 入 IP 地 址 及 掩 码 映 射 映 射 到 地 址 其 他 指 定 NAT 转 换 地 址 可 选 择 地 址 条 目 IP 地 址 或 IP/ 掩 码 此 处 指 定 的 NAT 转 换 地 址 个 数 必 须 与 流 量 目 的 IP 地 址 的 个 数 相 同 HA 组 指 定 目 的 NAT 规 则 所 属 的 HA 组 默 认 属 于 HA 组 0 描 述 为 此 条 目 的 NAT 规 则 输 入 描 述 信 息 3. 点 击 确 定 完 成 配 置 配 置 端 口 映 射 类 型 的 目 的 N A T 新 建 端 口 映 射 类 型 的 目 的 NAT 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > 目 的 NAT, 进 入 目 的 NAT 页 面 223 第 10 章 策 略

244 2. 点 击 新 建 按 钮, 并 在 弹 出 的 下 拉 菜 单 中 选 择 端 口 映 射, 弹 出 < 端 口 映 射 配 置 > 对 话 框 在 < 端 口 映 射 配 置 > 对 话 框, 填 写 相 关 信 息 当 IP 地 址 符 合 以 下 条 件 时 虚 拟 路 由 器 指 定 目 的 NAT 规 则 所 在 的 虚 拟 路 由 器 目 的 地 址 指 定 流 量 的 目 的 IP 地 址 可 选 地 址 包 括 : 地 址 条 目 : 在 下 拉 菜 单 中 选 择 已 配 置 的 地 址 条 目 IP 地 址 : 在 文 本 框 中 直 接 输 入 IP 地 址 IP/ 掩 码 : 在 文 本 框 中 输 入 IP 地 址 及 掩 码 服 务 指 定 流 量 的 服 务 类 型 用 户 可 搜 索 指 定 的 服 务, 或 创 建 新 的 服 务 或 服 务 组 映 射 映 射 到 地 址 指 定 NAT 转 换 地 址 可 选 择 地 址 条 目 IP 地 址 或 IP/ 掩 码 此 处 指 定 的 NAT 转 换 地 址 个 数 必 须 与 流 量 目 的 IP 地 址 的 个 数 相 同 端 口 映 射 在 文 本 框 中 输 入 NAT 转 换 的 内 网 服 务 器 端 口 号 取 值 范 围 为 1 到 其 他 HA 组 指 定 目 的 NAT 规 则 所 属 的 HA 组 默 认 属 于 HA 组 0 描 述 为 此 条 目 的 NAT 规 则 输 入 描 述 信 息 3. 点 击 确 定 完 成 配 置 配 置 N A T 规 则 的 高 级 配 置 用 户 可 新 建 一 条 NAT 规 则 并 进 行 相 应 的 高 级 配 置, 也 可 以 对 已 经 存 在 的 NAT 规 则 进 行 高 级 配 置 新 建 目 的 NAT 规 则 并 进 行 高 级 配 置, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > 目 的 NAT, 进 入 目 的 NAT 页 面 2. 点 击 新 建 按 钮, 并 在 弹 出 的 下 拉 菜 单 中 选 择 高 级 配 置, 弹 出 < 目 的 NAT 配 置 > 对 话 框 ; 对 已 经 存 在 的 NAT 规 则, 选 中 此 条 规 则, 并 点 击 编 辑 按 钮, 弹 出 < 目 的 NAT 配 置 > 对 话 框 第 10 章 策 略 224

245 在 < 基 本 配 置 > 标 签 页, 填 写 相 关 信 息 当 IP 地 址 符 合 以 下 条 件 时 虚 拟 路 由 器 指 定 目 的 NAT 规 则 所 在 的 虚 拟 路 由 器 源 地 址 指 定 目 的 NAT 规 则 中 流 量 的 源 IP 地 址 可 选 地 址 包 括 : 地 址 条 目 : 在 下 拉 菜 单 中 选 择 已 配 置 的 地 址 条 目 IP 地 址 : 在 文 本 框 中 直 接 输 入 IP 地 址 IP/ 掩 码 : 在 文 本 框 中 输 入 IP 地 址 及 掩 码 目 的 地 址 指 定 流 量 的 目 的 IP 地 址 可 选 地 址 包 括 : 地 址 条 目 : 在 下 拉 菜 单 中 选 择 已 配 置 的 地 址 条 目 IP 地 址 : 在 文 本 框 中 直 接 输 入 IP 地 址 IP/ 掩 码 : 在 文 本 框 中 输 入 IP 地 址 及 掩 码 服 务 指 定 流 量 的 服 务 类 型 用 户 可 搜 索 指 定 的 服 务, 或 创 建 新 的 服 务 或 服 务 组 将 地 址 转 换 为 动 作 指 定 对 符 合 条 件 的 流 量 所 做 的 行 为 包 括 : 转 换 : 对 符 合 条 件 的 流 量 做 地 址 转 换 不 转 换 : 对 符 合 条 件 的 流 量 不 做 NAT 转 换 转 换 为 IP 当 选 择 转 换 动 作 后, 指 定 NAT 转 换 地 址 的 类 型, 可 以 为 地 址 条 目 IP 地 址 IP/ 掩 码 或 者 SLB 服 务 器 池 选 择 类 型 后, 指 定 相 应 的 取 值 将 服 务 端 口 转 换 为 转 换 端 口 选 中 启 用 复 选 框, 并 在 转 换 端 口 后 的 文 本 框 中 输 入 转 换 后 的 端 口 号, 取 值 范 围 为 1 到 负 载 均 衡 其 他 选 中 启 用 复 选 框 开 启 负 载 均 衡 功 能 开 启 负 载 均 衡 功 能 后, 流 量 将 会 均 衡 到 不 同 的 内 网 服 务 器 HA 组 指 定 目 的 NAT 规 则 所 属 的 HA 组 默 认 属 于 HA 组 0 描 述 为 此 条 目 的 NAT 规 则 输 入 描 述 信 息 在 < 更 多 配 置 > 标 签 页, 填 写 相 关 信 息 225 第 10 章 策 略

246 服 务 器 跟 踪 Ping 跟 踪 TCP 跟 踪 选 中 启 用 开 启 Ping 跟 踪 功 能, 以 使 设 备 发 送 Ping 报 文 监 测 内 网 服 务 器 是 否 可 达 选 中 启 用 开 启 TCP 跟 踪 功 能, 以 使 设 备 发 送 TCP 报 文 监 测 内 网 服 务 器 的 TCP 端 口 是 否 可 达 TCP 端 口 输 入 内 网 服 务 器 端 口 号, 其 他 NAT 日 志 列 表 位 置 选 中 启 用 开 启 该 目 的 NAT 规 则 的 日 志 功 能 ( 当 有 流 量 匹 配 该 地 址 转 换 规 则 时 产 生 日 志 信 息 ) 指 定 规 则 所 在 的 位 置 每 一 条 目 的 NAT 规 则 都 有 唯 一 一 个 ID 号 流 量 进 入 设 备 时, 设 备 对 目 的 NAT 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 的 目 的 IP 做 NAT 转 换 但 是,ID 的 大 小 顺 序 并 不 是 规 则 匹 配 顺 序 在 目 的 NAT 列 表 中 显 示 的 顺 序 才 是 规 则 的 匹 配 顺 序 从 下 拉 菜 单 中 选 择 该 目 的 NAT 规 则 在 目 的 NAT 列 表 中 所 处 的 位 置, 包 括 : 列 表 最 后 : 配 置 的 目 的 NAT 规 则 将 处 于 所 有 目 的 NAT 规 则 的 末 尾 默 认 情 况 下, 系 统 会 将 新 创 建 的 目 的 NAT 规 则 放 到 所 有 目 的 NAT 规 则 的 末 尾 列 表 最 前 : 配 置 的 目 的 NAT 规 则 将 处 于 所 有 目 的 NAT 规 则 的 首 位 该 ID 之 前 : 从 下 拉 菜 单 中 选 择 该 ID 之 前, 并 且 在 其 后 的 文 本 框 中 输 入 需 要 的 目 的 NAT 规 则 ID, 配 置 的 目 的 NAT 将 处 于 指 定 ID 目 的 NAT 规 则 的 前 一 位 该 ID 之 后 : 从 下 拉 菜 单 中 选 择 该 ID 之 后, 并 且 在 其 后 的 文 本 框 中 输 入 需 要 的 目 的 NAT 规 则 ID, 配 置 的 目 的 NAT 将 处 于 指 定 ID 目 的 NAT 规 则 的 后 一 位 ID 指 定 规 则 获 得 ID 的 方 式 每 一 条 目 的 NAT 规 则 都 有 一 个 唯 一 的 ID 选 中 合 适 方 式 的 单 选 按 钮, 可 以 为 自 动 分 配 ID ( 系 统 默 认 ) 或 者 手 工 分 配 ID 当 选 择 手 工 分 配 ID 时, 还 需 在 后 面 的 文 本 框 中 输 入 ID 3. 点 击 确 定 完 成 配 置 启 用 / 禁 用 N A T 规 则 默 认 情 况 下, 配 置 好 的 NAT 规 则 会 在 系 统 中 立 即 生 效 用 户 可 以 通 过 配 置 禁 用 某 条 NAT 规 则, 使 其 不 对 流 量 进 行 控 制 启 用 / 禁 用 NAT 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > 目 的 NAT, 进 入 目 的 NAT 页 面 2. 选 中 列 表 中 需 要 启 用 / 禁 用 的 NAT 规 则 对 应 的 复 选 框 3. 点 击 启 用 或 禁 用 按 钮 调 整 优 先 级 每 一 条 目 的 NAT 规 则 都 有 唯 一 一 个 ID 号 流 量 进 入 设 备 时, 设 备 对 目 的 NAT 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 的 目 的 IP 做 NAT 转 换 但 是,ID 的 大 小 顺 序 并 不 是 规 则 匹 配 顺 序 在 目 的 NAT 列 表 中 显 示 的 顺 序 才 是 规 则 的 匹 配 顺 序 调 整 目 的 NAT 规 则 的 优 先 级, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > 目 的 NAT, 进 入 目 的 NAT 页 面 2. 从 目 的 NAT 列 表 中 选 中 需 要 调 整 优 先 级 的 目 的 NAT 规 则 对 应 的 复 选 框, 然 后 点 击 列 表 左 上 方 的 优 先 级 按 钮, 弹 出 < 调 整 优 先 级 > 对 话 框 选 择 列 表 最 前 列 表 最 后 该 ID 之 前 或 该 ID 之 后 单 选 按 钮, 调 整 目 的 NAT 规 则 的 在 列 表 中 的 第 10 章 策 略 226

247 顺 序 选 项 说 明 列 表 最 前 将 该 目 的 NAT 规 则 移 至 所 有 目 的 NAT 规 则 的 首 位 列 表 最 后 将 该 目 的 NAT 规 则 移 至 所 有 目 的 NAT 规 则 的 末 位 该 ID 之 前 将 目 的 NAT 规 则 移 至 指 定 ID 目 的 NAT 规 则 的 前 一 位 在 文 本 框 中 输 入 ID 号 该 ID 之 后 将 目 的 NAT 规 则 移 至 指 定 ID 目 的 NAT 规 则 的 后 一 位 在 文 本 框 中 输 入 ID 号 3. 点 击 确 定 完 成 配 置 227 第 10 章 策 略

248 查 看 负 载 均 衡 服 务 器 及 地 址 池 状 态 查 看 服 务 器 状 态 : 如 果 在 SLB 服 务 器 池 中 启 用 探 测 功 能 (Ping 探 测 TCP 探 测 或 UDP 探 测 ), 系 统 列 出 Ping 报 文 TCP 报 文 或 UDP 报 文 探 测 的 内 网 服 务 器 的 状 态 信 息, 包 括 服 务 器 IP 地 址 端 口 所 属 HA 组 状 态 当 前 连 接 数 以 及 该 服 务 器 被 哪 些 目 的 NAT 规 则 引 用 查 看 服 务 器 池 状 态 : 启 用 服 务 器 负 载 均 衡 功 能 后, 系 统 将 列 出 监 测 的 内 网 服 务 器 的 状 态 信 息, 包 括 服 务 器 名 称 负 载 均 衡 算 法 引 用 SLB 服 务 器 池 的 目 的 NAT 规 则 异 常 服 务 器 数 以 及 当 前 会 话 数 查 看 服 务 器 状 态 查 看 服 务 器 状 态 信 息, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > SLB 服 务 器 状 态, 进 入 SLB 服 务 器 状 态 页 面 2. 用 户 可 根 据 虚 拟 路 由 器,SLB 服 务 器 池, 以 及 服 务 器 地 址 设 置 过 滤 条 件, 查 看 符 合 过 滤 条 件 的 信 息 查 看 SLB 服 务 器 状 态 页 面 显 示 相 关 的 信 息 选 项 说 明 服 务 器 显 示 服 务 器 的 IP 地 址 端 口 显 示 服 务 器 的 端 口 号 状 态 显 示 服 务 器 的 状 态 当 前 连 接 数 显 示 与 服 务 器 建 立 会 话 的 连 接 数 目 的 NAT 显 示 服 务 器 被 哪 些 目 的 NAT 规 则 引 用 HA 组 显 示 服 务 器 所 属 的 HA 组 查 看 S LB 服 务 器 地 址 池 状 态 查 看 服 务 器 池 状 态 信 息, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > NAT > SLB 服 务 器 池 状 态, 进 入 SLB 服 务 器 池 状 态 页 面 2. 用 户 可 根 据 虚 拟 路 由 器 算 法 以 及 名 称 设 置 过 滤 条 件, 查 看 符 合 过 滤 条 件 的 信 息 查 看 SLB 服 务 器 地 址 池 状 态 页 面 显 示 的 信 息 选 项 说 明 名 称 显 示 SLB 服 务 器 池 的 名 称 算 法 显 示 负 载 均 衡 算 法 目 的 NAT 显 示 服 务 器 被 哪 些 目 的 NAT 规 则 引 用 异 常 / 服 务 器 总 数 显 示 异 常 服 务 器 数 和 服 务 器 总 数 当 前 会 话 数 显 示 当 前 会 话 数 第 10 章 策 略 228

249 会 话 限 制 设 备 支 持 基 于 安 全 域 的 会 话 限 制 功 能 用 户 可 以 对 安 全 域 内 的 源 IP 地 址 目 的 IP 地 址 指 定 的 IP 地 址 服 务 或 角 色 / 用 户 / 用 户 组 进 行 会 话 数 量 或 者 建 立 会 话 速 率 控 制, 从 而 保 护 连 接 表 不 被 DoS 攻 击 填 满, 并 且 能 够 在 一 定 程 度 上 限 制 一 些 应 用 的 带 宽, 如 IM 或 者 P2P 等 配 置 会 话 限 制 规 则 新 建 会 话 限 制 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 会 话 限 制, 进 入 会 话 限 制 页 面 2. 点 击 会 话 限 制 列 表 左 上 方 的 新 建 按 钮, 弹 出 < 会 话 限 制 配 置 > 对 话 框 3. 在 安 全 域 下 拉 菜 单 中 选 择 配 置 会 话 限 制 功 能 的 安 全 域 4. 配 置 限 制 条 件 和 时 间 表 限 制 条 件 可 以 是 IP 限 制 应 用 限 制 角 色 / 用 户 / 用 户 组 限 制 IP 限 制 勾 选 IP 限 制 复 选 框, 设 置 IP 限 制 条 件 IP 限 制 选 中 该 单 选 按 钮, 并 选 择 地 址 条 目, 限 制 安 全 域 中 某 个 IP 地 址 段 的 会 话 数 在 下 拉 菜 单 中 选 中 所 有 IP, 表 示 限 制 所 有 IP 地 址 的 最 大 会 话 数 或 每 5 秒 新 建 会 话 数 ; 在 下 拉 菜 单 中 选 中 每 个 IP, 表 示 限 制 每 个 IP 地 址 的 最 大 会 话 数 源 IP 选 中 该 单 选 按 钮, 并 选 择 源 IP 的 地 址 条 目 和 目 的 IP 的 地 址 条 目 当 会 话 的 源 目 IP 地 址 处 在 地 址 条 目 的 限 定 范 围 内 时, 系 统 将 根 据 如 下 配 置 限 制 会 话 数 / 新 建 会 话 数 : 当 在 源 IP 对 应 的 下 拉 菜 单 中 选 中 每 个 源 IP 时, 表 示 限 制 每 个 源 IP 地 址 的 最 大 会 话 数 或 每 5 秒 新 建 会 话 数 ; 当 在 目 的 IP 对 应 的 下 拉 菜 单 中 选 中 每 个 目 的 IP 时, 表 示 限 制 每 个 目 的 IP 地 址 的 最 大 会 话 数 或 每 5 秒 新 建 会 话 数 应 用 应 用 角 色 / 用 户 / 用 户 组 勾 选 应 用 复 选 框, 设 置 应 用 限 制 条 件 在 下 拉 菜 单 中 选 择 需 要 限 制 会 话 的 应 用 类 型 勾 选 角 色 / 用 户 / 用 户 组 复 选 框, 设 置 相 关 限 制 条 件 229 第 10 章 策 略

250 IP 限 制 角 色 选 中 该 单 选 按 钮, 并 从 下 拉 菜 单 中 选 择 角 色 名 称, 限 制 指 定 角 色 的 会 话 数 用 户 用 户 组 时 间 表 选 中 该 单 选 按 钮, 并 从 用 户 下 拉 菜 单 中 选 择 用 户 名 称, 从 属 于 AAA 服 务 器 下 拉 菜 单 中 选 择 该 用 户 所 属 的 AAA 服 务 器 的 名 称, 限 制 指 定 用 户 的 会 话 数 选 中 该 单 选 按 钮, 并 从 用 户 组 下 拉 菜 单 中 选 择 用 户 组 名 称, 从 属 于 AAA 服 务 器 下 拉 菜 单 中 选 择 该 用 户 组 所 属 的 AAA 服 务 器 的 名 称, 限 制 指 定 用 户 组 会 话 数 从 下 拉 菜 单 中 选 中 所 有 用 户 按 钮, 表 示 限 制 该 用 户 组 对 应 的 所 有 用 户 的 最 大 会 话 数 或 每 5 秒 新 建 会 话 数 ; 从 下 拉 菜 单 中 选 中 每 个 用 户 按 钮, 表 示 限 制 该 用 户 组 对 应 的 每 个 用 户 的 最 大 会 话 数 时 间 表 勾 选 时 间 表 复 选 框, 设 置 时 间 表 限 制 条 件 在 下 拉 菜 单 中 选 择 需 要 使 用 的 时 间 表 5. 配 置 限 制 类 型, 可 以 是 会 话 数 和 每 5 秒 新 建 会 话 数 会 话 限 制 会 话 数 每 5 秒 新 建 会 话 数 选 中 该 单 选 按 钮, 并 在 文 本 框 中 输 入 数 值, 指 定 最 大 会 话 数 0 表 示 无 会 话 数 限 制 选 中 该 单 选 按 钮, 指 定 每 5 秒 钟 可 建 立 的 最 大 会 话 数 在 文 本 框 中 输 入 允 许 建 立 的 最 大 会 话 数 6. 点 击 确 定 完 成 配 置 7. 点 击 会 话 限 制 列 表 左 上 方 匹 配 模 式 配 置, 选 择 一 种 匹 配 模 式 : 在 同 类 限 制 取 最 小 值 模 式 下, 如 果 一 个 IP 地 址 符 合 多 条 会 话 限 制 规 则, 那 么 该 IP 地 址 的 最 大 会 话 数 为 规 则 中 的 最 小 值 ; 在 同 类 限 制 取 最 大 值 模 式 下, 如 果 一 个 IP 地 址 符 合 多 条 会 话 限 制 规 则, 那 么 该 IP 地 址 的 最 大 会 话 数 为 规 则 中 的 最 大 值 清 除 统 计 信 息 配 置 会 话 限 制 功 能 后, 超 出 最 大 会 话 数 限 制 的 会 话 将 被 丢 弃 用 户 可 根 据 需 要 清 楚 特 定 会 话 限 制 规 则 中 被 丢 弃 会 话 数 的 统 计 信 息 清 除 会 话 限 制 规 则 中 被 丢 弃 会 话 数 的 统 计 信 息, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 会 话 限 制, 进 入 会 话 限 制 页 面 2. 选 择 需 要 清 楚 统 计 信 息 的 会 话 限 制 条 目 3. 点 击 清 楚 按 钮, 清 除 特 定 会 话 限 制 规 则 中 被 丢 弃 会 话 数 的 统 计 信 息 第 10 章 策 略 230

251 ARP 防 护 系 统 提 供 一 系 列 功 能 进 行 ARP 防 护, 保 护 网 络 免 受 各 种 ARP 攻 击 这 些 ARP 防 护 功 能 包 括 : ARP 学 习 : 设 备 通 过 ARP 学 习 过 程 获 得 内 网 中 的 IP-MAC 的 绑 定 信 息, 并 将 绑 定 信 息 添 加 到 系 统 ARP 表 中 默 认 情 况 下, 设 备 的 ARP 学 习 功 能 是 开 启 的, 设 备 会 一 直 进 行 ARP 学 习, 并 将 学 到 的 IP-MAC 绑 定 信 息 添 加 到 系 统 ARP 表 中 在 ARP 学 习 过 程 中, 如 果 IP 或 者 MAC 地 址 发 生 变 化, 设 备 会 将 更 新 的 IP-MAC 绑 定 信 息 添 加 到 系 统 ARP 表 中 关 闭 ARP 学 习 功 能, 只 有 已 经 在 系 统 ARP 表 中 的 IP 地 址 可 以 访 问 Internet MAC 学 习 : 设 备 通 过 MAC 学 习 过 程 获 得 内 网 中 的 MAC- 端 口 绑 定 信 息, 并 将 其 添 加 到 系 统 MAC 表 中 默 认 情 况 下, 设 备 的 MAC 学 习 功 能 是 开 启 的, 设 备 会 一 直 进 行 MAC 学 习, 并 将 学 到 的 MAC- 端 口 绑 定 信 息 添 加 到 系 统 MAC 表 中 在 MAC 学 习 过 程 中, 如 果 MAC 地 址 或 者 端 口 发 生 变 化, 设 备 会 将 更 新 的 MAC- 端 口 绑 定 信 息 添 加 到 MAC 表 中 IP-MAC- 端 口 绑 定 :IP-MAC MAC- 端 口 以 及 IP-MAC- 端 口 绑 定 后, 与 绑 定 列 表 中 不 一 致 的 数 据 包 将 会 被 丢 弃, 保 证 系 统 免 受 ARP 欺 骗 攻 击 或 者 MAC 地 址 表 攻 击 结 合 ARP/MAC 学 习 功 能, 实 现 实 时 扫 描 + 静 态 绑 定, 使 防 护 配 置 更 加 简 单 有 效 ARP 认 证 : 保 护 客 户 端 免 受 ARP 欺 骗 攻 击 ARP 检 查 : 系 统 会 对 通 过 接 口 的 所 有 ARP 包 进 行 检 查, 将 ARP 包 的 IP 地 址 与 系 统 ARP 表 中 的 静 态 表 项 以 及 DHCP 监 控 列 表 中 的 IP-MAC 绑 定 表 项 进 行 对 比 DHCP 监 控 :DHCP 监 控 通 过 分 析 DHCP 客 户 端 与 DHCP 服 务 器 之 间 的 DHCP 报 文 建 立 DHCP 客 户 端 的 MAC 地 址 和 被 分 配 的 IP 地 址 的 对 应 关 系 主 机 防 御 : 设 备 代 替 不 同 主 机 发 送 免 费 ARP 包, 保 护 被 代 理 主 机 免 受 ARP 攻 击 配 置 AR P 防 护 配 置 A R P 绑 定 为 加 强 网 络 安 全 控 制, 设 备 支 持 IP-MAC 地 址 绑 定 MAC- 端 口 绑 定 以 及 IP-MAC- 端 口 绑 定 这 些 绑 定 信 息 分 为 静 态 和 动 态 两 种 通 过 ARP 学 习 功 能 ARP 扫 描 功 能 以 及 MAC 学 习 功 能 获 得 的 绑 定 信 息 为 动 态 绑 定 信 息 ; 而 手 工 配 置 的 绑 定 信 息 为 静 态 信 息 配 置 静 态 绑 定 添 加 静 态 IP-MAC 绑 定 条 目, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 绑 定 > 标 签 页, 点 击 新 建 按 钮 弹 出 <IP-MAC 绑 定 配 置 > 对 话 框 231 第 10 章 策 略

252 在 <IP-MAC 绑 定 配 置 > 对 话 框 中 填 写 绑 定 信 息 选 项 说 明 MAC 指 定 MAC 地 址 IP 端 口 VLAN ID 虚 拟 路 由 器 选 中 启 用 复 选 框 开 启 IP 绑 定, 并 在 后 边 的 文 本 框 中 输 入 需 要 绑 定 的 IP 地 址 选 中 启 用 复 选 框 开 启 端 口 绑 定, 并 从 后 边 的 下 拉 菜 单 选 择 需 要 绑 定 的 端 口 如 果 端 口 属 于 某 个 VLAN, 需 要 在 VLAN ID 的 下 拉 菜 单 中 选 择 接 口 所 属 的 VLAN ID 从 下 拉 菜 单 选 择 静 态 IP-MAC 绑 定 条 目 所 属 的 虚 拟 路 由 器, 默 认 属 于 缺 省 虚 拟 路 由 器 (trust-vr) MAC 描 述 为 IP-MAC 绑 定 条 目 添 加 描 述 信 息 ARP 认 证 选 中 启 用 复 选 框 开 启 ARP 认 证 功 能 3. 配 置 完 成, 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 ARP 防 护 页 面 获 取 动 态 绑 定 信 息 设 备 可 以 通 过 以 下 两 种 方 式 获 得 动 态 IP-MAC- 端 口 绑 定 信 息 : ARP-MAC 学 习 功 能 ARP 扫 描 功 能 配 置 ARP-MAC 学 习 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 绑 定 > 标 签 页, 点 击 其 他 操 作 按 钮 并 在 弹 出 菜 单 中 选 择 ARP-MAC 学 习 配 置 弹 出 <ARP/MAC 学 习 配 置 > 对 话 框 3. 选 中 需 要 开 启 ARP 学 习 /MAC 学 习 的 接 口 4. 点 击 启 用 按 钮 并 在 弹 出 菜 单 中 选 择 启 用 ARP 学 习 或 启 用 MAC 学 习 系 统 将 开 启 相 应 接 口 的 功 能 5. 配 置 完 成 后, 关 闭 此 对 话 框 并 返 回 ARP 防 护 页 面 配 置 ARP 扫 描 功 能, 按 照 以 下 步 骤 进 行 操 作 : 第 10 章 策 略 232

253 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 绑 定 > 标 签 页, 点 击 绑 定 配 置 按 钮 并 在 弹 出 菜 单 中 选 择 扫 描 添 加 IP-MAC 绑 定 弹 出 <IP MAC 扫 描 > 对 话 框 3. 分 别 在 起 始 IP 地 址 和 终 止 IP 地 址 文 本 框 中 输 入 需 要 扫 描 的 IP 地 址 范 围 的 起 始 IP 地 址 和 终 止 IP 地 址 4. 点 击 确 定 按 钮 系 统 开 始 扫 描 指 定 的 IP 范 围, 扫 描 结 果 将 显 示 在 ARP 防 护 页 面 的 绑 定 列 表 中 强 制 绑 定 I P -M A C- 端 口 绑 定 信 息 强 制 绑 定 IP-MAC- 端 口 绑 定 信 息, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 绑 定 > 标 签 页, 点 击 绑 定 配 置 按 钮 并 在 弹 出 菜 单 中 选 择 绑 定 所 有 配 置 弹 出 < 绑 定 所 有 配 置 > 对 话 框 3. 选 择 需 要 绑 定 的 信 息 类 型 4. 点 击 确 定 按 钮 完 成 配 置 解 除 IP-MAC- 端 口 的 强 制 绑 定, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 绑 定 > 标 签 页, 点 击 绑 定 配 置 按 钮 并 在 弹 出 菜 单 中 选 择 解 除 绑 定 配 置 弹 出 < 解 除 绑 定 配 置 > 对 话 框 3. 选 择 需 要 解 除 绑 定 的 信 息 类 型 4. 点 击 确 定 按 钮 完 成 配 置 导 入 / 导 出 绑 定 信 息 导 入 绑 定 信 息, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 绑 定 > 标 签 页, 点 击 其 他 操 作 按 钮 并 在 弹 出 菜 单 中 选 择 导 入 IP-MAC 绑 定 弹 出 < 导 入 > 对 话 框 3. 点 击 浏 览 按 钮 选 择 绑 定 信 息 文 件 ( 当 前 版 本 仅 支 持 UTF-8 编 码 文 件 的 导 入 ) 导 出 绑 定 信 息, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 绑 定 > 标 签 页, 点 击 其 他 操 作 按 钮 并 在 弹 出 菜 单 中 选 择 导 出 IP-MAC 绑 定 弹 出 < 导 出 > 对 话 框 3. 选 择 导 出 信 息 的 类 型 4. 点 击 确 定 按 钮 导 出 绑 定 信 息 文 件 配 置 A R P 认 证 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 设 备 提 供 ARP 认 证 功 能, 保 护 客 户 端 免 受 ARP 欺 骗 攻 击 ARP 认 证 功 能 通 过 ARP 客 户 端 Hillstone Secure Defender 来 实 现 安 装 Hillstone Secure Defender 的 PC 在 通 过 设 备 开 启 ARP 认 证 功 能 的 接 口 访 问 网 络 时, 会 与 设 备 进 行 ARP 认 证, 保 证 与 PC 相 连 的 设 备 的 MAC 地 址 是 可 信 的 同 时, 该 ARP 客 户 端 还 具 有 强 大 的 反 伪 造 和 防 重 放 机 制, 为 系 统 防 御 各 种 ARP 攻 击 233 第 10 章 策 略

254 注 意 : 由 于 Loopback 接 口 和 PPPoE 子 接 口 不 具 有 ARP 学 习 功 能, 所 以 这 两 种 接 口 不 支 持 ARP 认 证 配 置 ARP 认 证 功 能 需 要 在 设 备 上 开 启 ARP 认 证 功 能, 并 在 PC 上 安 装 Hillstone Secure Defender 程 序 在 设 备 上 开 启 ARP 认 证 功 能 并 完 成 相 关 配 置, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 认 证 > 标 签 页, 选 中 需 要 开 启 ARP 认 证 的 接 口 的 复 选 框 3. 点 击 启 用 按 钮, 然 后 在 弹 出 菜 单 中 选 择 ARP 强 制 认 证, 开 启 ARP 认 证 功 能 4. 选 中 需 要 开 启 强 制 安 装 客 户 端 功 能 的 接 口 的 复 选 框 点 击 启 用 按 钮, 然 后 在 弹 出 菜 单 中 选 择 强 制 安 装 客 户 端 根 据 情 况 选 择 是 否 开 启 强 制 安 装 客 户 端 功 能 如 果 开 启 强 制 安 装 客 户 端, 所 有 通 过 该 接 口 访 问 网 络 的 PC 都 需 要 安 装 ARP 认 证 客 户 端 Hillstone Secure Defender, 否 则 设 备 将 拒 绝 其 访 问 网 络 ; 如 果 不 开 启 强 制 安 装 客 户 端,ARP 认 证 功 能 只 对 安 装 了 客 户 端 的 PC 起 效 5. 指 定 显 示 在 客 户 端 下 载 页 面 的 ARP 认 证 描 述 点 击 ARP 认 证 客 户 端 下 载 页 链 接 并 在 弹 出 对 话 框 中 输 入 相 应 的 描 述 信 息 在 PC 上 安 装 Hillstone Secure Defender, 按 照 以 下 步 骤 进 行 操 作 : 1. 开 启 接 口 的 ARP 认 证 功 能 并 且 配 置 强 制 安 装 客 户 端 2. PC 通 过 该 接 口 访 问 网 络 时,PC 端 会 弹 出 Hillstone Secure Defneder 的 下 载 页 面 根 据 提 示 下 载 客 户 端 程 序 HillstoneSecureDefender.exe 3. 下 载 完 毕, 双 击 HillstoneSecureDefender.exe, 按 照 安 装 向 导 安 装 客 户 端 配 置 A R P 检 查 设 备 支 持 接 口 的 ARP 检 查 功 能 开 启 该 功 能 后, 系 统 会 对 通 过 接 口 的 所 有 ARP 包 进 行 检 查, 将 ARP 包 的 IP 地 址 与 系 统 ARP 表 中 的 静 态 表 项 以 及 DHCP 监 控 列 表 中 的 IP-MAC 绑 定 表 项 进 行 对 比 : 如 果 IP 地 址 在 ARP 表 中, 并 且 与 表 中 记 录 的 MAC 地 址 相 同, 则 继 续 转 发 该 ARP 包 ; 如 果 IP 地 址 在 ARP 表 中, 但 是 与 表 中 记 录 的 MAC 地 址 不 一 致, 系 统 将 丢 弃 该 ARP 包 ; 如 果 IP 地 址 不 在 ARP 表 中, 则 继 续 检 查 该 IP 地 址 是 否 在 DHCP 监 控 列 表 中 ; 如 果 IP 地 址 在 DHCP 监 控 列 表 中, 并 且 与 表 中 记 录 的 MAC 地 址 相 同, 则 继 续 转 发 该 ARP 包 ; 如 果 IP 地 址 在 DHCP 监 控 列 表 中, 但 是 与 表 中 记 录 的 MAC 地 址 不 一 致, 系 统 将 丢 弃 该 ARP 包 ; 如 果 IP 地 址 不 在 DHCP 监 控 列 表 中, 则 根 据 配 置 进 行 丢 弃 或 者 转 发 系 统 支 持 对 VSwitch 接 口 以 及 VLAN 接 口 进 行 ARP 检 查 功 能 默 认 情 况 下, 该 功 能 是 关 闭 的 配 置 VSwitch 接 口 的 ARP 检 查 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 检 查 > 标 签 页, 系 统 自 动 列 出 已 经 存 在 的 VSwitch 接 口 第 10 章 策 略 234

255 3. 双 击 该 接 口 所 属 的 条 目, 弹 出 < 接 口 配 置 > 对 话 框 4. 在 对 话 框 中, 选 择 < 启 用 > 复 选 框 5. 选 择 丢 弃 或 者 转 发 IP 地 址 不 在 ARP 表 中 的 ARP 包 6. 对 于 属 于 VSwitch 的 接 口, 如 果 不 需 要 / 需 要 进 行 ARP 检 查, 则 需 要 在 <ARP 检 查 > 标 签 页 下 方 的 高 级 配 置 部 分 双 击 接 口 所 属 的 条 目, 并 在 弹 出 的 < 编 辑 ARP 速 率 > 对 话 框 中 勾 选 检 查 状 态 部 分 的 不 检 查 / 检 查 选 项 7. 如 果 有 需 要, 在 < 编 辑 ARP 速 率 > 对 话 框 中 可 以 设 置 接 口 每 秒 接 受 ARP 包 的 个 数 当 每 秒 钟 接 收 ARP 包 的 个 数 超 过 该 指 定 值 时, 系 统 将 丢 弃 超 出 的 ARP 包 ARP 包 速 率 取 值 范 围 是 0 到 默 认 值 是 0, 即 无 速 率 限 制 8. 点 击 确 定 完 成 配 置 配 置 VLAN 接 口 的 ARP 检 查, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 <ARP 检 查 > 标 签 页, 点 击 新 建 按 钮 弹 出 < 接 口 配 置 > 对 话 框 3. 在 弹 出 对 话 框 指 定 VLAN ID, 并 在 行 为 中 指 定 转 发 / 丢 弃 IP 地 址 不 在 ARP 表 中 的 ARP 包 4. 对 于 属 于 VLAN 的 接 口, 如 果 不 需 要 / 需 要 进 行 ARP 检 查, 则 需 要 在 <ARP 检 查 > 标 签 页 下 方 的 高 级 配 置 部 分 双 击 接 口 所 属 的 条 目, 并 在 弹 出 的 < 编 辑 ARP 速 率 > 对 话 框 中 勾 选 检 查 状 态 部 分 的 不 检 查 / 检 查 选 项 5. 如 果 有 需 要, 在 < 编 辑 ARP 速 率 > 对 话 框 中 可 以 设 置 接 口 每 秒 接 受 ARP 包 的 个 数 当 每 秒 钟 接 收 ARP 包 的 个 数 超 过 该 指 定 值 时, 系 统 将 丢 弃 超 出 的 ARP 包 ARP 包 速 率 取 值 范 围 是 0 到 默 认 值 是 0, 即 无 速 率 限 制 6. 点 击 确 定 按 钮 完 成 配 置 配 置 DH CP 监 控 DHCP 为 动 态 主 机 配 置 协 议 (Dynamic Host Configuration Protocol), 它 能 够 自 动 为 子 网 分 配 适 当 的 IP 地 址 以 及 其 它 网 络 参 数 DHCP 监 控 通 过 分 析 DHCP 客 户 端 与 DHCP 服 务 器 之 间 的 DHCP 报 文 建 立 DHCP 客 户 端 的 MAC 地 址 和 被 分 配 的 IP 地 址 的 对 应 关 系 在 启 动 ARP 检 查 功 能 后, 将 检 查 经 过 设 备 的 ARP 包 是 否 与 该 表 的 内 容 匹 配, 如 果 不 匹 配 则 丢 弃 该 ARP 包 在 用 DHCP 获 取 地 址 的 网 络 中, 可 以 通 过 启 用 ARP 检 查 和 DHCP 监 控 功 能 来 防 止 ARP 欺 骗 由 于 DHCP 服 务 的 客 户 端 是 以 广 播 的 方 式 寻 找 服 务 器, 并 且 只 接 收 第 一 个 到 达 的 服 务 器 提 供 的 网 络 配 置 参 数, 因 此, 如 果 网 络 中 存 在 非 授 权 的 DHCP 服 务 器, 就 有 可 能 引 发 DHCP 服 务 器 欺 骗 设 备 可 以 通 过 在 相 应 端 口 上 设 置 丢 弃 DHCP 响 应 报 文 来 防 止 DHCP 服 务 器 欺 骗 另 外, 一 些 恶 意 攻 击 者 通 过 伪 造 不 同 的 MAC 地 址 不 断 地 向 DHCP 服 务 器 发 送 DHCP 请 求, 从 而 耗 尽 服 务 器 的 IP 地 址 资 源, 最 终 导 致 合 法 用 户 不 能 获 得 IP 地 址 这 种 攻 击 也 即 网 络 上 常 见 的 DHCP Starvation Attack 设 备 可 以 通 过 在 相 应 端 口 上 设 置 丢 弃 请 求 报 文 设 置 DHCP 包 速 率 限 制 或 者 打 开 合 法 性 检 查 功 能 来 防 止 该 类 攻 击 系 统 的 VSwitch 接 口 支 持 DHCP 监 控 功 能 默 认 情 况 下, 该 功 能 是 关 闭 的 配 置 DHCP 监 控 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 235 第 10 章 策 略

256 2. 在 <DHCP 监 控 配 置 > 标 签 页, 点 击 DHCP 监 控 设 置 按 钮 弹 出 <DHCP 监 控 配 置 > 对 话 框 3. 在 < 接 口 > 标 签 页, 选 中 需 要 开 启 DHCP 监 控 功 能 的 接 口 相 应 的 复 选 框 4. 点 击 启 用 按 钮, 开 启 接 口 的 DHCP 监 控 功 能 5. 在 < 端 口 > 标 签 页, 对 DHCP 监 控 参 数 进 行 配 置 DHCP 有 效 性 检 查 : 检 查 DHCP 包 的 客 户 端 MAC 地 址 与 以 太 网 包 的 源 MAC 地 址 是 否 一 致, 如 不 一 致, 则 丢 弃 选 中 端 口 后, 点 击 启 用 按 钮 开 启 检 查 功 能 速 率 : 指 定 接 口 每 秒 钟 接 收 DHCP 包 的 个 数 当 每 秒 钟 接 收 DHCP 包 的 个 数 超 过 该 指 定 值 时, 系 统 将 丢 弃 超 出 的 DHCP 包 选 中 端 口 后, 点 击 编 辑 按 钮 对 速 率 限 制 进 行 限 制 默 认 值 是 0, 即 无 速 率 限 制 丢 弃 : 配 置 是 否 丢 弃 端 口 的 指 定 类 型 数 据 包 选 中 端 口 后, 点 击 编 辑 按 钮 进 行 指 定 选 中 DHCP 请 求, 系 统 将 丢 弃 从 客 户 端 发 送 到 服 务 器 端 的 所 有 请 求 报 文 ; 选 中 DHCP 应 答, 系 统 将 丢 弃 从 服 务 器 端 到 客 户 端 的 所 有 响 应 报 文 6. 配 置 完 成 后, 点 击 确 定 按 钮 保 存 配 置 查 看 DH CP 监 控 列 表 启 用 DHCP 监 控 功 能 后, 系 统 会 对 通 过 接 口 的 所 有 DHCP 包 进 行 检 查, 并 在 此 过 程 中 建 立 并 维 护 一 个 包 含 IP-MAC 绑 定 信 息 的 DHCP 监 控 列 表 另 外, 当 系 统 的 VSwitch 接 口 VLAN 接 口 以 及 其 它 三 层 物 理 接 口 配 置 为 DHCP 服 务 器 时, 不 用 开 启 DHCP 监 控 功 能, 系 统 也 会 自 动 建 立 IP-MAC 绑 定 信 息 并 将 它 们 添 加 到 DHCP 监 控 列 表 中 列 表 中 的 绑 定 条 目 包 含 合 法 用 户 的 MAC 地 址 所 获 IP 地 址 接 口 端 口 租 约 期 限 等 信 息 打 开 <DHCP 监 控 > 标 签 页 即 可 查 看 到 DHCP 监 控 列 表 配 置 主 机 防 御 主 机 防 御 功 能 即 设 备 代 替 不 同 主 机 发 送 免 费 ARP 包, 保 护 被 代 理 主 机 免 受 ARP 攻 击 本 节 介 绍 主 机 防 御 功 能 的 配 置 配 置 主 机 防 御, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > ARP 防 护, 进 入 ARP 防 护 页 面 2. 在 < 主 机 防 御 > 标 签 页, 点 击 新 建 按 钮 弹 出 < 主 机 防 御 > 对 话 框 在 < 主 机 防 御 > 对 话 框 中 填 写 绑 定 信 息 第 10 章 策 略 236

257 发 送 设 置 接 口 指 定 发 送 ARP 广 播 包 的 接 口 排 除 接 口 指 定 排 除 接 口, 即 不 发 送 免 费 ARP 包 的 接 口 通 常 为 连 接 被 代 理 主 机 的 接 口 被 代 理 主 机 IP 指 定 被 代 理 主 机 的 IP 地 址 MAC 指 定 被 代 理 主 机 的 MAC 地 址 发 送 速 率 指 定 设 备 发 送 免 费 ARP 包 的 速 率 单 位 为 个 / 每 秒 默 认 值 为 1 个 取 值 范 围 是 1 到 10 个 3. 配 置 完 成 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 主 机 防 御 页 面 4. 重 复 2 到 3 步 配 置 为 代 理 更 多 主 机 发 送 免 费 ARP 包 设 备 最 多 可 代 理 16 台 主 机 发 送 免 费 ARP 包 237 第 10 章 策 略

258 URL 过 滤 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 URL 过 滤 功 能 可 以 控 制 用 户 对 某 些 网 站 的 访 问, 并 能 对 访 问 行 为 进 行 日 志 记 录 通 过 配 置 URL 过 滤 功 能, 可 以 实 现 : 控 制 用 户 对 某 类 网 站 的 访 问 比 如, 阻 止 用 户 访 问 赌 博 色 情 类 网 站 分 时 段 控 制 用 户 对 某 类 网 站 的 访 问 比 如, 阻 止 用 户 在 上 班 时 间 访 问 在 线 聊 天 类 网 站, 下 班 后 则 允 许 访 问 控 制 用 户 对 网 址 中 含 有 特 定 关 键 字 的 网 站 的 访 问 比 如, 阻 止 用 户 访 问 网 址 中 含 有 关 键 字 游 戏 的 网 站 配 置 UR L 过 滤 新 建 URL 过 滤 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 页 面 2. 点 击 新 建 按 钮, 弹 出 <URL 过 滤 规 则 配 置 > 对 话 框 在 对 话 框 中 填 写 URL 过 滤 规 则 的 配 置 信 息 选 项 说 明 名 称 输 入 规 则 名 称 目 的 安 全 域 指 定 规 则 的 目 的 安 全 域 URL 过 滤 规 则 将 对 进 入 此 安 全 域 的 流 量 生 效 用 户 类 型 指 定 规 则 的 用 户 类 型 URL 过 滤 规 则 将 对 此 类 用 户 类 型 的 流 量 生 效 用 户 类 型 包 括 源 地 址 和 用 户 两 类 源 地 址 类 型 包 括 地 址 簿 IP/ 掩 码 IP 范 围 主 机 名 称 用 户 类 型 包 括 角 色 用 户 组 用 户 系 统 默 认 使 用 地 址 簿 条 目 Any, 从 而 对 任 意 IP 地 址 生 效 用 户 可 根 据 需 求 进 行 调 整 源 地 址 源 地 址 类 型 包 括 地 址 簿 条 目 IP/ 掩 码 IP 范 围 和 主 机 名 称 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 第 10 章 策 略 238

259 选 项 说 明 如 果 选 中 地 址 簿, 需 要 在 地 址 簿 下 拉 菜 单 中 选 中 需 要 的 地 址 条 目 ; 如 果 选 中 IP/ 掩 码, 需 要 在 文 本 框 输 入 IP 地 址 和 网 络 掩 码 ; 如 果 选 中 IP 范 围, 需 要 在 文 本 框 中 输 入 范 围 的 起 始 IP; 如 果 选 中 主 机 名 称, 需 要 在 文 本 框 中 输 入 主 机 名 称 输 入 完 成 后, 点 击 添 加 按 钮 用 户 用 户 类 型 包 括 角 色 用 户 和 用 户 组 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 角 色, 需 要 在 角 色 下 拉 菜 单 选 中 需 要 的 角 色 ; 如 果 选 中 用 户 组, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 组 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 组 ; 如 果 选 中 用 户, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 时 间 表 指 定 规 则 的 时 间 表, 控 制 规 则 在 指 定 时 间 内 生 效 系 统 默 认 无 时 间 表 配 置, 即 任 意 时 间 都 有 效 在 下 拉 菜 单 中 选 择 所 需 要 的 时 间 表, 或 者 在 下 拉 菜 单 中 点 击 新 建 时 间 表 按 钮 新 建 时 间 表 控 制 类 型 控 制 类 型 包 括 URL 类 别 URL 关 键 字 类 别 以 及 上 网 日 志 记 录 URL 类 别 控 制 对 某 类 网 站 的 访 问 : 新 建 : 点 击 该 按 钮 新 建 URL 类 别 关 于 新 建 URL 类 别 的 详 细 信 息, 请 参 阅 "URL 过 滤 " 在 第 238 页 中 的 自 定 义 URL 库 部 分 编 辑 : 单 击 选 中 URL 类 别 列 表 中 的 URL 类 别, 点 击 该 按 钮, 编 辑 相 应 的 预 定 义 或 者 自 定 义 URL 类 别 URL 类 别 : 显 示 系 统 预 定 义 URL 类 别 以 及 用 户 自 定 义 的 URL 类 别 阻 止 访 问 : 选 中 复 选 框, 指 定 阻 止 访 问 相 应 的 URL 类 别 记 录 日 志 : 选 中 复 选 框, 指 定 对 用 户 的 URL 访 问 行 为 进 行 日 志 记 录 列 表 外 的 所 有 URL: 指 定 对 URL 类 别 列 表 以 外 的 URL 进 行 的 控 制 动 作, 包 括 阻 止 访 问 和 记 录 日 志 选 中 复 选 框 进 行 指 定 URL 关 键 字 类 别 控 制 对 网 址 中 含 有 特 定 关 键 字 的 网 站 的 访 问 : 新 建 : 点 击 该 按 钮 新 建 关 键 字 类 别 关 于 新 建 关 键 字 类 别 的 详 细 信 息, 请 参 阅 "URL 过 滤 " 在 第 238 页 中 的 关 键 字 类 别 部 分 编 辑 : 单 击 选 中 关 键 字 类 别 列 表 中 的 关 键 字, 点 击 该 按 钮, 编 辑 相 应 的 关 键 字 类 别 239 第 10 章 策 略

260 选 项 说 明 关 键 字 类 别 : 显 示 系 统 中 已 有 的 关 键 字 类 别 阻 止 访 问 : 选 中 复 选 框, 阻 止 访 问 网 址 中 含 有 相 应 关 键 字 的 网 站 记 录 日 志 : 选 中 复 选 框, 对 访 问 网 址 中 含 有 相 应 关 键 字 的 网 站 的 行 为 进 行 日 志 记 录 列 表 外 的 所 有 URL: 对 不 包 含 关 键 字 类 别 的 网 址 进 行 的 控 制 动 作, 包 括 阻 止 访 问 和 记 录 日 志 选 中 复 选 框 进 行 指 定 上 网 日 志 记 录 对 HTTP 的 GET 及 POST 操 作 进 行 日 志 记 录 GET: 记 录 GET 方 式 的 上 网 日 志 信 息 POST: 记 录 POST 方 式 的 上 网 日 志 信 息 POST 内 容 : 记 录 POST 内 容 3. 点 击 确 定 完 成 配 置 如 果 需 要, 用 户 还 可 以 配 置 相 关 的 预 定 义 URL 库 URL 查 询 页 面 提 示 Bypass 域 名 和 免 监 控 用 户 功 能 相 关 功 能 介 绍 如 下 : 功 能 介 绍 预 定 义 URL 库 通 过 维 护 相 应 的 URL 库, 指 定 关 键 字 规 则 的 控 制 范 围 URL 查 询 页 面 提 示 通 过 URL 查 询 功 能 查 看 特 定 URL 的 具 体 信 息, 包 括 该 URL 所 属 的 URL 类 别 以 及 所 属 URL 库 的 类 型 用 户 被 阻 断 警 告 : 当 用 户 的 上 网 行 为 被 阻 断 时, 在 用 户 的 Web 浏 览 器 中 显 示 访 问 被 拒 绝 的 警 告 信 息 用 户 被 监 控 警 告 : 当 用 户 的 上 网 行 为 被 监 控 时, 在 用 户 的 Web 浏 览 器 中 显 示 行 为 被 监 控 的 警 告 信 息 Bypass 域 名 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 域 名 免 监 控 用 户 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 用 户 注 意 : 为 确 保 配 置 时 引 用 最 新 URL 类 别, 建 议 首 先 进 行 URL 库 更 新 关 于 更 新 URL 库 的 详 细 信 息, 请 参 阅 "URL 过 滤 " 在 第 238 页 中 的 在 线 升 级 URL 库 部 分 用 户 可 以 指 定 将 日 志 信 息 输 出 到 特 定 目 的 地 关 于 日 志 信 息 输 出 配 置 的 详 细 信 息, 请 参 阅 " 日 志 管 理 " 在 第 385 页 URL 过 滤 规 则 配 置 后 会 立 即 生 效 启 用 / 禁 用 规 则 默 认 情 况 下, 配 置 好 的 规 则 会 在 系 统 中 立 即 生 效 用 户 可 以 通 过 配 置 禁 用 某 条 规 则, 使 其 不 对 流 量 进 行 控 制 启 用 / 禁 用 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 页 面 2. 选 中 列 表 中 需 要 启 用 / 禁 用 的 规 则 对 应 的 复 选 框, 然 后 点 击 启 用 或 禁 用 按 钮 第 10 章 策 略 240

261 调 整 优 先 级 流 量 进 入 设 备 时, 设 备 对 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 进 行 处 理 用 户 可 根 据 需 要, 移 动 规 则 的 位 置 进 而 调 整 规 则 的 优 先 级, 使 其 处 在 首 位 或 者 处 在 末 位, 也 可 以 位 于 某 个 规 则 之 前 或 之 后 调 整 URL 过 滤 规 则 的 优 先 级, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 页 面 2. 点 击 规 则 列 表 上 方 的 优 先 级 按 钮, 弹 出 < 优 先 级 > 对 话 框 3. 单 击 选 中 需 要 移 动 的 规 则 名 称, 点 击 右 侧 的 按 钮 移 动 相 应 的 规 则 4. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 查 看 UR L 访 问 日 志 查 看 URL 日 志, 参 阅 监 控 模 块 中 的 "URL 日 志 " 在 第 383 页 部 分 配 置 UR L 过 滤 对 象 对 象 是 URL 过 滤 功 能 中 配 置 项 的 集 合, 可 以 供 用 户 在 配 置 URL 过 滤 规 则 时 使 用 包 括 : 对 象 说 明 预 定 义 URL 库 包 含 数 十 个 类 别, 多 达 上 千 万 条 URL, 用 于 URL 类 别 及 控 制 范 围 的 指 定 自 定 义 URL 库 自 定 义 的 URL 库 用 于 URL 类 别 及 控 制 范 围 的 指 定 URL 查 询 通 过 URL 查 询 功 能 查 看 特 定 URL 的 具 体 信 息, 包 括 该 URL 所 属 的 URL 类 别 以 及 所 属 URL 库 的 类 型 关 键 字 类 别 用 户 可 以 根 据 需 要 自 定 义 关 键 字 类 别 用 于 URL 关 键 字 的 指 定 页 面 提 示 用 户 被 阻 断 警 告 : 当 用 户 访 问 的 URL 被 阻 断 时, 在 用 户 的 Web 浏 览 器 中 显 示 访 问 被 拒 绝 的 警 告 信 息 用 户 被 监 控 警 告 : 当 用 户 被 访 问 的 URL 被 监 控 时, 在 用 户 的 Web 浏 览 器 中 显 示 行 为 被 监 控 的 警 告 信 息 Bypass 域 名 设 置 不 受 URL 过 滤 规 则 控 制 的 特 殊 域 名 免 监 控 用 户 设 置 不 受 URL 过 滤 规 则 控 制 的 特 殊 用 户 预 定 义 UR L 库 系 统 内 置 预 定 义 URL 库 注 意 : 预 定 义 URL 库 受 许 可 证 控 制, 安 装 许 可 证 后, 预 定 义 URL 库 才 可 使 用 预 定 义 URL 库 能 够 为 URL 过 滤 功 能 提 供 URL 类 别 预 定 义 URL 库 中 的 URL 按 照 中 国 的 文 化 背 景 伦 理 道 德 法 律 法 规 应 用 领 域 上 网 习 惯 等 进 行 分 类 目 前, 系 统 预 定 义 URL 库 共 提 供 数 十 个 类 别, 包 含 多 达 上 千 万 条 的 URL 对 于 URL 类 别 的 匹 配 顺 序, 优 先 匹 配 自 定 义 URL 库, 其 次 匹 配 预 定 义 URL 库 更 改 预 定 义 URL 库 更 新 配 置 默 认 情 况 下, 系 统 会 每 日 自 动 更 新 预 定 义 URL 库, 用 户 可 以 根 据 需 要 更 改 数 据 库 更 新 配 置 目 前 提 供 两 个 默 认 数 据 库 更 新 服 务 器, 分 别 是 update1.hillstonenet.com 和 update2.hillstonenet.com 系 统 支 持 在 线 更 新 和 本 地 更 新 两 种 方 式 供 用 户 进 行 选 择 更 改 预 定 义 URL 库 更 新 配 置, 按 照 以 下 步 骤 进 行 操 作 : 241 第 10 章 策 略

262 1. 点 击 系 统 > 升 级 管 理 > 特 征 库 升 级, 进 入 特 征 库 升 级 页 面 2. 在 <URL 分 类 库 升 级 > 部 分, 可 查 看 当 前 分 类 库 版 本, 执 行 远 程 升 级, 配 置 远 程 升 级, 以 及 执 行 本 地 升 级 3. 选 中 启 动 自 动 更 新 开 启 URL 库 自 动 更 新 功 能, 并 配 置 自 动 更 新 的 间 隔 和 时 间 配 置 完 成 后, 点 击 保 存 按 钮 保 存 所 做 配 置 4. 点 击 配 置 升 级 服 务 器 按 钮 对 升 级 服 务 器 进 行 配 置 在 弹 出 的 < 升 级 服 务 器 设 置 > 对 话 框, 配 置 升 级 服 务 器 的 IP 地 址 或 者 域 名, 并 选 择 可 与 升 级 服 务 器 连 通 的 虚 拟 路 由 器 如 需 恢 复 缺 省 设 置, 点 击 恢 复 缺 省 按 钮 5. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 在 线 升 级 URL 库 在 线 更 新 预 定 义 URL 数 据 库, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 升 级 管 理 > 特 征 库 升 级, 进 入 特 征 库 升 级 页 面 2. 在 <URL 分 类 库 升 级 > 部 分, 点 击 立 即 在 线 升 级 按 钮 升 级 URL 数 据 库 本 地 升 级 URL 库 本 地 升 级 URL 数 据 库, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 升 级 管 理 > 特 征 库 升 级, 进 入 特 征 库 升 级 页 面 2. 在 <URL 分 类 库 升 级 > 部 分, 点 击 浏 览 按 钮, 选 中 本 地 URL 库 分 类 文 件 并 选 择 打 开 3. 点 击 上 传 按 钮 进 行 升 级 自 定 义 UR L 库 用 户 可 以 根 据 需 要 自 定 义 URL 类 别 与 预 定 义 URL 类 别 相 同, 自 定 义 URL 库 能 够 为 URL 过 滤 功 能 提 供 URL 类 别 对 于 URL 类 别 的 匹 配 顺 序, 优 先 匹 配 自 定 义 URL 库, 其 次 匹 配 预 定 义 URL 库 配 置 自 定 义 URL 库 新 建 URL 类 别, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 自 定 义 URL 库, 弹 出 < 自 定 义 URL 库 > 对 话 框 3. 点 击 新 建 按 钮, 弹 出 <URL 类 别 > 对 话 框 第 10 章 策 略 242

263 4. 在 类 别 名 称 文 本 框 中 输 入 类 别 名 称 URL 类 别 名 称 不 能 只 为 连 字 符 - 且 系 统 最 多 支 持 16 个 自 定 义 URL 类 别 5. 在 URL 文 本 框 中 输 入 URL 6. 点 击 添 加 将 URL 添 加 进 URL 列 表 框 中 7. 如 需 要, 按 照 以 上 步 骤 添 加 其 它 URL 8. 如 需 要 编 辑 已 添 加 进 URL 列 表 框 中 的 URL, 选 中 该 URL 对 应 的 复 选 框, 点 击 编 辑 按 钮, 在 URL 文 本 框 中 对 URL 进 行 编 辑, 然 后 点 击 文 本 框 后 的 添 加 按 钮 9. 如 需 要 删 除 已 添 加 进 URL 列 表 框 中 的 URL, 选 中 该 URL 对 应 的 复 选 框, 点 击 删 除 按 钮 10. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 UR L 查 询 通 过 URL 查 询 功 能 查 看 特 定 URL 的 具 体 信 息, 包 括 该 URL 所 属 的 URL 类 别 以 及 所 属 URL 库 的 类 型 查 询 URL 信 息 用 户 可 以 通 过 URL 查 询 功 能 查 看 特 定 URL 的 具 体 信 息, 包 括 该 URL 所 属 的 URL 类 别 以 及 所 属 URL 库 的 类 型 查 看 URL 信 息, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 URL 查 询, 弹 出 <URL 查 询 > 对 话 框 243 第 10 章 策 略

264 3. 在 请 输 入 需 要 查 询 的 URL 文 本 框 输 入 需 要 查 询 的 URL 4. 点 击 查 询 按 钮, 查 询 结 果 会 显 示 在 下 方 的 查 询 结 果 属 于 以 下 URL 类 部 分 配 置 URL 查 询 服 务 器 URL 查 询 服 务 器 可 以 将 网 站 访 问 过 程 中 出 现 的 未 分 类 URL 地 址 ( 预 定 义 及 自 定 义 URL 库 中 不 包 含 的 URL 地 址 ) 进 行 分 类, 并 在 以 后 的 URL 数 据 库 升 级 中 更 新 到 数 据 库 目 前 提 供 两 个 默 认 URL 查 询 服 务 器, 分 别 是 url1.hillstonenet.com 和 url2.hillstonenet.com 默 认 情 况 下,URL 查 询 服 务 器 处 于 启 用 状 态 配 置 查 询 服 务 器, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 预 定 义 URL 库, 弹 出 < 预 定 义 URL 库 > 对 话 框 3. 在 对 话 框 中, 点 击 查 询 服 务 器 配 置 按 钮, 弹 出 < 预 定 义 URL 库 查 询 服 务 器 配 置 > 对 话 框 4. 在 查 询 服 务 器 部 分, 双 击 指 定 服 务 器 对 应 的 地 址 栏 单 元 格, 输 入 需 要 的 服 务 器 的 IP 地 址 或 者 域 名 5. 双 击 指 定 服 务 器 对 应 的 端 口 栏 单 元 格, 输 入 需 要 的 服 务 器 的 端 口 号 6. 选 择 指 定 服 务 器 的 启 用 复 选 框, 启 用 此 服 务 器 7. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 关 键 字 类 别 用 户 可 以 根 据 需 要 自 定 义 关 键 字 类 别 用 于 URL 过 滤 中 关 键 字 的 指 定 配 置 URL 过 滤 规 则 后, 系 统 会 按 照 关 键 字 对 流 量 进 行 扫 描, 并 将 扫 描 到 的 关 键 字 按 照 关 键 字 类 别 进 行 信 任 值 的 统 计 计 算, 计 算 方 法 为 : 将 扫 描 到 的 所 有 属 于 该 类 别 的 关 键 字 按 照 次 数 * 关 键 字 信 任 值 进 行 累 加 计 算, 然 后 用 此 计 算 值 与 关 键 字 类 别 的 警 戒 值 进 行 比 较 ( 关 键 字 类 别 的 警 戒 值 为 100) 根 据 比 较 结 果 进 行 如 下 处 理 : 第 10 章 策 略 244

265 如 果 计 算 值 大 于 或 者 等 于 该 类 别 的 警 戒 值, 则 触 发 该 类 别 所 对 应 的 控 制 动 作 ; 如 果 多 个 关 键 字 类 别 的 计 算 值 大 于 或 者 等 于 警 戒 值, 且 对 应 控 制 动 作 有 阻 止 的, 则 按 照 阻 止 进 行 处 理 ; 如 果 多 个 关 键 字 类 别 的 计 算 值 大 于 或 者 等 于 警 戒 值, 且 对 应 控 制 动 作 都 为 允 许, 则 按 照 允 许 进 行 处 理 例 如 : 某 URL 过 滤 规 则 配 有 两 个 关 键 字 类 别 C1 和 C2,C1 对 应 控 制 动 作 为 阻 止,C2 对 应 控 制 动 作 为 允 许 类 别 C1 中 包 含 两 个 关 键 字 K1 和 K2,K1 的 信 任 值 为 20,K2 的 信 任 值 为 40 类 别 C2 中 包 含 两 个 关 键 字 K1 和 K2,K1 的 信 任 值 为 30,K2 的 信 任 值 为 80 假 设 访 问 某 URL, 发 现 K1 和 K2 各 出 现 一 次 对 C1 信 任 值 计 算 :20*1+40*1=60<100; 对 C2 信 任 值 计 算 :30*1+80*1=110>100 所 以 触 发 C2 对 应 的 控 制 动 作, 即 允 许 访 问 该 网 页 假 设 访 问 某 URL, 发 现 K1 出 现 三 次,K2 出 现 一 次 对 C1 信 任 值 计 算 :20*3+40*1=100; 对 C2 信 任 值 计 算 :30*3+80*1-1=170>100 C1 和 C2 都 满 足 触 发 条 件, 所 以 触 发 C2 对 应 的 阻 止 控 制 动 作, 即 禁 止 访 问 该 网 页 配 置 关 键 字 类 别 新 建 关 键 字 类 别, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 关 键 字 类 别, 弹 出 < 关 键 字 类 别 > 对 话 框 3. 在 对 话 框 中, 点 击 新 建 按 钮, 弹 出 < 关 键 字 类 别 配 置 > 对 话 框 4. 在 类 别 名 称 文 本 框 中 输 入 关 键 字 类 别 名 称 5. 点 击 新 建 按 钮, 在 滑 出 区 域 指 定 关 键 字 名 称 关 键 字 类 型 ( 完 全 匹 配 / 正 则 匹 配 ) 和 信 任 值 ( 默 认 值 100) 6. 点 击 添 加 按 钮, 将 关 键 字 添 加 进 关 键 字 列 表 7. 如 需 要, 按 照 步 骤 3 至 6 添 加 其 它 关 键 字 8. 如 需 要 删 除 已 添 加 进 关 键 字 列 表 中 的 关 键 字, 选 中 该 关 键 字 对 应 的 复 选 框, 点 击 列 表 上 方 的 删 除 按 钮 9. 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 页 面 提 示 页 面 提 示 功 能 包 括 提 示 用 户 被 阻 断 警 告 信 息 和 提 示 用 户 被 监 控 警 告 信 息 245 第 10 章 策 略

266 配 置 用 户 被 阻 断 警 告 信 息 当 用 户 的 上 网 行 为 被 URL 过 滤 功 能 阻 断 时, 访 问 连 接 将 无 法 建 立 若 此 时 用 户 使 用 Web 浏 览 器 访 问 网 页, 浏 览 器 中 将 显 示 无 法 显 示 页 面 的 错 误 提 示 信 息 用 户 被 阻 断 警 告 功 能 能 够 在 用 户 的 上 网 行 为 被 阻 断 时, 反 馈 给 用 户 适 当 的 提 示 信 息 下 图 所 示 为 默 认 配 置 : 开 启 用 户 被 阻 断 警 告 功 能 后, 当 用 户 的 下 列 上 网 行 为 被 URL 过 滤 规 则 阻 断 时, 用 户 的 Web 浏 览 器 中 会 显 示 阻 断 提 示 信 息 : 对 某 类 URL 的 访 问 行 为 对 网 址 中 含 有 某 关 键 字 类 别 的 网 页 的 访 问 行 为 默 认 情 况 下, 用 户 被 阻 断 警 告 功 能 是 关 闭 的 配 置 用 户 被 阻 断 警 告 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 页 面 提 示, 弹 出 < 页 面 提 示 > 对 话 框 3. 选 中 用 户 被 阻 断 警 告 对 应 的 启 用 复 选 框 4. 指 定 用 户 被 阻 断 警 告 信 息 内 容 选 项 说 明 默 认 配 置 使 用 默 认 阻 断 警 告 信 息 重 定 向 页 面 自 定 义 内 容 重 定 向 到 指 定 的 URL 在 URL 文 本 框 中 输 入 指 定 的 URL 取 值 范 围 是 1 到 255 个 字 符 设 置 后, 可 点 击 检 测 测 试 URL 的 有 效 性 需 在 标 题 文 本 框 中 输 入 自 定 义 阻 断 警 告 信 息 标 题, 取 值 范 围 是 1 到 31 个 字 符 ; 在 详 细 内 容 文 本 框 中 输 入 自 定 义 阻 断 警 告 信 息 详 细 内 容, 取 值 范 围 是 1 到 255 个 字 符 设 置 后, 可 点 击 预 览 按 钮 预 览 用 户 被 阻 断 警 告 信 息 的 显 示 效 果 5. 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 第 10 章 策 略 246

267 配 置 用 户 被 监 控 警 告 信 息 开 启 用 户 被 监 控 警 告 功 能 后, 如 果 用 户 的 上 网 行 为 与 系 统 中 已 配 置 的 URL 过 滤 规 则 相 匹 配, 则 该 用 户 的 HTTP 网 页 访 问 请 求 会 被 重 定 向 到 用 户 被 监 控 警 告 提 示 页 面, 提 示 其 上 网 行 为 将 受 到 监 控, 注 意 保 护 个 人 隐 私 并 遵 守 相 关 法 律 法 规 例 如, 如 果 创 建 URL 过 滤 规 则 对 用 户 浏 览 某 网 页 的 行 为 进 行 监 控, 并 开 启 用 户 被 监 控 警 告 功 能, 当 用 户 浏 览 该 网 页 时, 用 户 PC 的 Web 浏 览 器 将 显 示 用 户 被 监 控 警 告 提 示 页 面 如 图 所 示 : 默 认 情 况 下, 用 户 被 监 控 警 告 功 能 是 关 闭 的 配 置 用 户 被 监 控 警 告 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 页 面 提 示, 弹 出 < 页 面 提 示 > 对 话 框 3. 选 中 用 户 被 监 控 警 告 对 应 的 启 用 复 选 框 4. 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 B yp ass 域 名 设 置 Bypass 域 名 后, 系 统 将 无 条 件 允 许 用 户 对 Bypass 域 名 的 访 问, 不 受 URL 过 滤 功 能 的 控 制 配 置 Bypass 域 名, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 Bypass 域 名, 弹 出 <Bypass 域 名 > 对 话 框 3. 在 文 本 框 中 输 入 所 需 域 名 4. 点 击 添 加 按 钮 将 域 名 添 加 进 系 统 被 添 加 的 域 名 将 显 示 在 下 方 的 Bypass 域 名 列 表 中 5. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 免 监 控 用 户 免 监 控 用 户 将 不 受 URL 过 滤 功 能 的 控 制, 比 如, 可 以 将 公 司 领 导 层 或 者 某 些 特 殊 部 门 设 置 为 免 监 控 用 户 系 统 支 持 地 址 簿 IP 地 址 IP 范 围 用 户 用 户 组 和 角 色 类 型 的 免 监 控 用 户 247 第 10 章 策 略

268 配 置 免 监 控 用 户, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > URL 过 滤, 进 入 URL 过 滤 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 免 监 控 用 户, 弹 出 < 免 监 控 用 户 > 对 话 框 3. 在 用 户 类 型 下 拉 菜 单 中 选 择 免 监 控 用 户 类 型 系 统 支 持 地 址 簿 IP 地 址 IP 范 围 角 色 用 户 和 用 户 组 类 型 的 免 监 控 用 户 用 户 可 根 据 需 要 指 定, 并 完 成 相 应 参 数 的 配 置 4. 点 击 添 加 按 钮 将 用 户 添 加 进 系 统 被 添 加 的 免 监 控 用 户 将 显 示 在 下 方 的 免 监 控 用 户 列 表 中 5. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 第 10 章 策 略 248

269 SSL 代 理 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 为 了 保 护 敏 感 数 据 在 互 联 网 传 送 中 的 安 全 性, 越 来 越 多 的 网 站 都 采 用 SSL 加 密 形 式 发 布 设 备 提 供 SSL 代 理 功 能, 能 够 解 密 HTTPS 流 量 SSL 代 理 功 能 利 用 SSL 代 理 证 书 替 换 加 密 Web 网 站 的 数 字 证 书, 并 将 SSL 代 理 证 书 发 送 到 客 户 端 的 Web 浏 览 器, 在 此 过 程 中, 设 备 分 别 作 为 SSL 客 户 端 和 SSL 服 务 器 与 Web 服 务 器 和 Web 浏 览 器 建 立 SSL 连 接, 从 而 获 得 加 密 通 信 的 明 文 内 容 SSL 代 理 证 书 是 使 用 设 备 本 身 的 证 书 对 Web 服 务 器 证 书 重 新 签 发 而 成 的 证 书 过 程 如 下 图 所 示 : 同 时, 在 SSL 代 理 过 程 中, 设 备 将 会 对 SSL 协 商 过 程 中 的 参 数 进 行 检 查 对 于 符 合 检 查 条 件 的 SSL 协 商 参 数, 用 户 可 对 其 HTTPS 流 量 进 行 阻 断 或 者 放 行 设 置 为 阻 断 行 为 的 HTTPS 流 量 将 无 法 显 示 在 浏 览 器 中 ; 设 置 为 放 行 行 为 的 HTTPS 流 量, 设 备 不 会 对 其 进 行 解 密 同 时, 设 备 将 此 网 站 IP 地 址 和 端 口 号 动 态 地 添 加 到 放 行 名 单 对 于 动 态 地 添 加 到 放 行 名 单 的 网 站, 第 一 次 连 接 会 断 开, 用 户 需 要 重 新 发 起 HTTPS 访 问 才 能 正 常 显 示 网 站 内 容 对 于 既 没 有 被 阻 断, 也 没 有 被 放 行 的 HTTPS 流 量, 设 备 将 会 对 其 解 密 SSL 代 理 功 能 可 与 如 下 功 能 模 块 结 合 使 用 : 与 应 用 识 别 结 合 使 用, 设 备 能 够 对 使 用 SSL 加 密 通 讯 的 应 用 所 产 生 的 HTTPS 流 量 进 行 解 密 与 识 别 识 别 应 用 后, 可 针 对 应 用 进 行 策 略 控 制 流 量 控 制 会 话 限 制 配 置 策 略 路 由 等 与 网 页 关 键 字 过 滤 Web 外 发 信 息 控 制 和 邮 件 过 滤 结 合 使 用, 设 备 能 够 对 用 户 访 问 HTTPS 网 站 的 行 为 进 行 审 计 实 现 SSL 代 理 与 检 查 SSL 协 商 通 过 策 略 规 则 与 SSL 代 理 Profile 相 结 合 的 方 式 可 实 现 SSL 代 理 将 SSL 代 理 Profile 绑 定 到 策 略 规 则 后, 系 统 将 会 对 与 策 略 规 则 相 匹 配 的 网 络 流 量 根 据 SSL 代 理 Profile 配 置 进 行 处 理 请 按 照 以 下 步 骤 进 行 操 作 : 1. 配 置 SSL 代 理 相 关 参 数, 包 括 指 定 设 备 证 书 的 PKI 信 任 域 获 取 网 站 证 书 Subject 字 段 的 CN 值 配 置 可 信 SSL 证 书 列 表 以 及 导 入 设 备 证 书 到 客 户 端 Web 浏 览 器 2. 定 义 SSL 代 理 Profile, 在 Profile 中 设 置 放 行 名 单 对 符 合 检 查 条 件 的 SSL 协 商 设 置 行 为 启 用 警 告 提 示 功 能 等 3. 将 SSL 代 理 Profile 绑 定 到 适 当 的 策 略 规 则, 对 符 合 策 略 规 则 且 没 有 被 阻 断 与 放 行 的 HTTPS 流 量 进 行 解 密 配 置 SSL 代 理 相 关 参 数 SSL 代 理 相 关 参 数 的 配 置 包 括 : 指 定 设 备 证 书 的 PKI 信 任 域 获 取 网 站 证 书 的 CN 值 配 置 可 信 SSL 证 书 列 表 导 入 设 备 证 书 到 客 户 端 Web 浏 览 器 指 定 设 备 证 书 的 PK I 信 任 域 默 认 情 况 下, 设 备 会 使 用 缺 省 PKI 信 任 域 trust_domain_ssl_proxy 中 的 证 书 对 Web 服 务 器 证 书 重 新 签 发, 生 成 SSL 代 理 证 书 用 户 也 可 以 将 系 统 中 其 它 PKI 信 任 域 指 定 为 设 备 证 书 信 任 域, 该 PKI 信 任 域 必 须 配 有 CA 证 书 本 地 证 书 以 及 本 地 证 书 对 应 的 私 钥 指 定 设 备 证 书 的 PKI 信 任 域, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > SSL 代 理, 进 入 相 应 功 能 页 面 2. 在 页 面 右 上 角, 点 击 信 任 域 设 置, 并 在 弹 出 页 面 中 选 择 需 要 使 用 的 信 任 域 249 第 10 章 策 略

270 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 获 取 网 站 证 书 的 CN 值 获 取 网 站 证 书 Subject 字 段 的 CN 值, 按 照 以 下 步 骤 进 行 操 作 ( 以 需 要 获 得 网 站 证 书 Subject 字 段 的 CN 值 为 例 ): 1. 打 开 IE 浏 览 器, 访 问 此 URL 2. 在 浏 览 器 地 址 栏 单 击 锁 状 图 标 3. 在 弹 出 菜 单 种 选 择 查 看 证 书 链 接 4. 打 开 详 细 信 息 标 签 页 5. 在 使 用 者 字 段 查 看 对 应 的 CN 值 配 置 可 信 S S L 证 书 列 表 可 信 SSL 证 书 列 表 中 包 含 业 内 广 泛 认 可 的 CA 证 书, 用 于 设 备 替 换 SSL Web 站 点 证 书 前 验 证 站 点 证 书 的 合 法 性 如 果 合 法, 设 备 会 将 系 统 SSL 代 理 证 书 下 发 给 客 户 端 Web 浏 览 器 ; 如 果 不 合 法, 设 备 会 下 发 系 统 内 置 证 书, 该 内 置 证 书 会 在 Subject 字 段 中 表 明 该 证 书 不 可 信, 从 而 提 醒 用 户 对 该 站 点 的 访 问 1. 点 击 策 略 > SSL 代 理, 进 入 相 应 功 能 页 面 2. 在 页 面 右 上 角, 点 击 可 信 SSL 证 书 设 置, 弹 出 < 可 信 SSL 证 书 设 置 > 对 话 框 导 入 : 点 击 该 按 钮, 在 弹 出 的 < 导 入 证 书 > 对 话 框 中 点 击 浏 览 按 钮, 选 中 证 书 文 件, 点 击 确 定 按 钮, 系 统 开 始 上 传 SSL 证 书 删 除 : 单 击 选 中 列 表 中 的 SSL 证 书, 点 击 删 除 按 钮, 删 除 相 应 的 可 信 SSL 证 书 3. 完 成 配 置 后, 点 击 关 闭 按 钮 关 闭 当 前 对 话 框 导 入 设 备 证 书 到 客 户 端 W eb 浏 览 器 进 行 SSL 代 理 时, 设 备 会 用 SSL 代 理 证 书 替 换 SSL Web 站 点 的 证 书, 并 发 送 到 客 户 端 Web 浏 览 器 由 于 客 户 端 浏 览 器 不 拥 有 SSL 代 理 证 书 的 根 证 书, 从 而 导 致 用 户 不 能 正 常 访 问 代 理 站 点 为 了 解 决 这 个 问 题, 需 要 在 客 户 端 浏 览 器 中 导 入 SSL 代 理 证 书 的 根 证 书, 也 即 设 备 证 书 导 入 设 备 证 书 到 客 户 端 PC 浏 览 器, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 导 出 设 备 证 书 点 击 系 统 > PKI, 进 入 PKI 功 能 页 面 2. 在 < 管 理 > 标 签 页, 做 如 下 配 置 : 信 任 域 : trust_domain_ssl_proxy 内 容 :CA 证 书 行 为 : 导 出 3. 点 击 确 定 按 钮 并 选 择 导 出 路 径 证 书 将 会 输 出 到 指 定 路 径 4. 导 入 证 书 到 客 户 端 PC 浏 览 器 在 客 户 端 Web 浏 览 器 ( 以 Internet Explorer 为 例 ) 选 择 工 具 >Internet 选 项 > 内 容 > 证 书 > 受 信 任 的 根 证 书 颁 发 机 构 点 击 列 表 下 方 的 导 入 按 钮, 弹 出 < 证 书 导 入 向 导 > 对 话 框, 按 照 向 导 提 示 将 导 出 证 书 导 入 到 浏 览 第 10 章 策 略 250

271 器 参 见 下 图 : 配 置 SSL 代 理 Prof ile SSL 代 理 Profile 中 可 以 设 置 放 行 名 单, 对 符 合 检 查 条 件 的 SSL 协 商 设 置 相 应 的 行 为, 配 置 警 告 提 示, 以 及 配 置 描 述 信 息 等 系 统 支 持 最 多 32 个 SSL 代 理 Profile 每 个 SSL 代 理 Profile 支 持 最 多 1024 个 静 态 放 行 条 目 配 置 SSL 代 理 Profile, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > SSL 代 理, 进 入 相 应 功 能 页 面 2. 点 击 列 表 左 上 方 的 新 建 按 钮, 新 建 SSL 代 理 Profile 在 基 本 配 置 标 签 页 配 置 基 本 配 置 选 项 说 明 名 称 指 定 所 创 建 的 SSL 代 理 Profile 的 名 称 描 述 添 加 SSL 代 理 Profile 的 描 述 信 息 解 密 配 置 系 统 完 成 对 SSL 协 商 的 检 查 后, 既 没 有 被 阻 断 也 没 有 被 放 行 的 HTTPS 商, 其 HTTPS 流 量 将 会 被 解 密 当 SSL 协 商 的 参 数 符 合 多 个 检 查 条 件 且 用 户 对 不 同 的 检 查 条 件 设 置 不 同 的 行 为, 即, 阻 断 行 为 和 放 行 行 为, 则 阻 断 行 为 生 效 HTTPS 流 量 会 被 阻 断 服 务 器 证 书 检 查 过 期 证 书 加 密 模 式 检 查 检 查 服 务 器 使 用 的 证 书 当 SSL 服 务 器 的 证 书 过 期 时, 可 选 择 阻 断 阻 断 其 HTTPS 流 量, 或 者 选 择 放 行 使 用 BYPASS 模 式 放 行 HTTPS 流 量, 或 者 选 择 解 密 对 HTTPS 流 量 进 行 解 密 不 支 持 的 版 本 检 查 服 务 器 使 用 的 SSL 协 议 版 本 当 系 统 不 支 持 SSL 服 务 器 使 用 的 SSL 协 议 时, 可 选 择 阻 断 阻 断 其 HTTPS 流 量, 或 者 选 择 放 行 使 用 BYPASS 模 式 放 行 HTTPS 流 量 不 支 持 的 加 密 算 法 检 查 服 务 器 使 用 的 加 密 算 法 当 系 统 支 持 SSL 服 务 器 使 用 的 加 密 算 法 时, 将 继 续 检 查 后 续 项 目 当 系 统 不 支 持 SSL 服 务 器 使 用 的 加 密 算 法 时, 可 选 择 阻 断 阻 断 其 HTTPS 流 量, 或 者 选 择 放 行 使 用 BYPASS 模 式 放 行 HTTPS 流 量 当 系 统 支 持 SSL 服 务 器 使 用 的 SSL 协 议 时, 将 继 续 检 查 后 续 项 目 客 户 端 认 证 检 查 服 务 器 是 否 需 要 验 证 客 户 端 证 书 251 第 10 章 策 略

272 选 项 说 明 当 服 务 器 需 要 验 证 客 户 端 证 书 时, 可 选 择 阻 断 阻 断 其 HTTPS 流 量, 或 者 选 择 放 行 使 用 BYPASS 模 式 放 行 HTTPS 流 量 当 服 务 器 不 需 要 验 证 客 户 端 证 书 时, 将 继 续 检 查 后 续 项 目 阻 断 指 定 版 本 阻 断 加 密 算 法 解 密 资 源 不 可 用 警 告 提 示 启 用 检 查 服 务 器 使 用 的 SSL 协 议 版 本 当 SSL 服 务 器 使 用 指 定 版 本 的 SSL 协 议 时, 系 统 可 阻 断 其 HTTPS 流 量 检 查 服 务 器 使 用 的 SSL 协 议 版 本 当 SSL 服 务 器 使 用 指 定 版 本 的 SSL 协 议 时, 系 统 可 阻 断 其 HTTPS 流 量 检 查 设 备 是 否 有 资 源 解 密 HTTPS 流 量 当 设 备 解 密 资 源 不 可 用 时, 将 放 行 HTTPS 流 量 此 配 置 无 法 修 改 选 择 对 应 的 启 用 复 选 框, 启 用 警 告 提 示 功 能 当 用 户 的 HTTPS 访 问 行 为 被 监 控 时, 即,HTTPS 流 量 被 解 密, 用 户 Web 浏 览 器 中 显 示 隐 私 保 护 警 告 信 息 在 不 解 密 网 站 标 签 页 指 定 不 需 要 解 密 的 网 站 流 量 选 项 说 明 网 站 地 址 在 当 前 标 签 页 的 上 部 文 本 框 内, 输 入 不 需 要 解 密 的 网 站 地 址 添 加 点 击 此 按 钮 将 不 要 解 密 的 网 站 地 址 添 加 到 下 方 的 网 站 地 址 列 表 中 删 除 如 需 删 除 网 站, 单 击 选 中 网 站 列 表 中 需 要 删 除 的 网 站 地 址, 点 击 列 表 右 侧 的 删 除 按 钮 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 绑 定 SSL 代 理 Prof ile 到 策 略 规 则 将 SSL 代 理 Profile 绑 定 到 策 略 规 则 后, 系 统 将 会 对 与 策 略 规 则 相 匹 配 的 流 量 根 据 Profile 配 置 进 行 处 理 详 细 配 置, 请 参 阅 " 安 全 策 略 " 在 第 205 页 第 10 章 策 略 252

273 上 网 行 为 控 制 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 系 统 提 供 上 网 行 为 控 制 功 能, 可 以 根 据 需 要 针 对 不 同 用 户 不 同 上 网 行 为 不 同 时 间 进 行 灵 活 的 控 制, 对 用 户 的 上 网 行 为 进 行 全 面 的 行 为 控 制 和 行 为 审 计 ( 记 录 行 为 日 志 ) 上 网 行 为 控 制 功 能 主 要 包 括 以 下 几 个 方 面 : 功 能 网 页 关 键 字 过 滤 Web 外 发 信 息 邮 件 过 滤 说 明 对 用 户 访 问 含 有 某 关 键 字 的 网 页 ( 包 括 HTTPS 加 密 网 页 ) 进 行 行 为 控 制 和 行 为 审 计 : 比 如, 禁 止 访 问 含 赌 博 词 汇 的 网 页, 并 记 录 访 问 行 为 日 志 对 用 户 在 某 网 站 ( 包 括 HTTPS 加 密 网 站 ) 发 布 信 息 或 者 发 布 含 有 某 关 键 字 信 息 进 行 行 为 控 制 和 行 为 审 计 : 比 如, 禁 止 在 社 区 论 坛 上 发 布 含 色 情 词 汇 的 信 息, 并 记 录 发 布 行 为 日 志 对 用 户 使 用 SMTP 协 议 及 Webmail 外 发 邮 件 ( 包 括 Gmail 加 密 邮 件 ) 进 行 控 制 : 对 所 有 邮 件 外 发 行 为 进 行 行 为 控 制 和 行 为 审 计 对 发 送 包 含 特 定 收 件 人 发 件 人 关 键 字 内 容 的 行 为 进 行 行 为 控 制 和 行 为 审 计 网 络 聊 天 对 用 户 使 用 MSN QQ 雅 虎 通 聊 天 进 行 行 为 控 制 和 行 为 审 计 应 用 行 为 控 制 对 FTP 和 HTTP 应 用 程 序 行 为 进 行 控 制 和 审 计 : 配 置 上 网 行 为 控 制 对 象 对 FTP 的 Login Get Put 行 为 进 行 行 为 控 制 和 行 为 审 计 对 HTTP 的 Connect Get Put Head Options Post Trace 行 为 进 行 行 为 控 制 和 行 为 审 计 禁 止 下 载 文 件 ( 如.bat.com 等 ) 以 及 ActiveX 和 Java Applet 对 象 对 象 是 上 网 行 为 控 制 功 能 中 一 些 公 用 配 置 项 的 集 合, 可 以 供 用 户 在 配 置 上 网 行 为 控 制 规 则 时 使 用 包 括 : 对 象 预 定 义 URL 库 自 定 义 URL 库 URL 查 询 关 键 字 类 别 页 面 提 示 说 明 包 含 数 十 个 类 别, 多 达 上 千 万 条 URL, 用 于 网 页 关 键 字 /Web 外 发 信 息 中 URL 类 别 及 控 制 范 围 的 指 定 自 定 义 的 URL 库 用 于 网 页 关 键 字 /Web 外 发 信 息 中 URL 类 别 及 控 制 范 围 的 指 定 通 过 URL 查 询 功 能 查 看 特 定 URL 的 具 体 信 息, 包 括 该 URL 所 属 的 URL 类 别 以 及 所 属 URL 库 的 类 型 用 户 可 以 根 据 需 要 自 定 义 关 键 字 类 别 用 于 网 页 关 键 字 /Web 外 发 信 息 / 邮 件 过 滤 中 关 键 字 的 指 定 用 户 被 阻 断 警 告 : 当 用 户 的 上 网 行 为 被 阻 断 时, 在 用 户 的 Web 浏 览 器 中 显 示 访 问 被 拒 绝 的 警 告 信 息 用 户 被 监 控 警 告 : 当 用 户 的 上 网 行 为 被 监 控 时, 在 用 户 的 Web 浏 览 器 中 显 示 行 为 被 监 控 的 警 告 信 息 Bypass 域 名 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 域 名 免 监 控 用 户 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 用 户 预 定 义 UR L 库 系 统 内 置 预 定 义 URL 库 使 用 预 定 义 URL 库, 需 安 装 URL 许 可 证 后 253 第 10 章 策 略

274 注 意 : 预 定 义 URL 库 受 许 可 证 控 制, 安 装 许 可 证 后, 预 定 义 URL 库 才 可 使 用 预 定 义 URL 库 能 够 为 网 页 关 键 字 过 滤 功 能 和 Web 外 发 信 息 控 制 功 能 提 供 URL 类 别 预 定 义 URL 库 中 的 URL 按 照 中 国 的 文 化 背 景 伦 理 道 德 法 律 法 规 应 用 领 域 上 网 习 惯 等 进 行 分 类 目 前, 系 统 预 定 义 URL 库 共 提 供 数 十 个 类 别, 包 含 多 达 上 千 万 条 的 URL 对 于 URL 类 别 的 匹 配 顺 序, 优 先 匹 配 自 定 义 URL 库, 其 次 匹 配 预 定 义 URL 库 更 改 预 定 义 URL 库 更 新 配 置 默 认 情 况 下, 系 统 会 每 日 自 动 更 新 预 定 义 URL 库, 用 户 可 以 根 据 需 要 更 改 数 据 库 更 新 配 置 目 前 提 供 两 个 默 认 数 据 库 更 新 服 务 器, 分 别 是 update1.hillstonenet.com 和 update2.hillstonenet.com 系 统 支 持 在 线 更 新 和 本 地 更 新 两 种 方 式 供 用 户 进 行 选 择 更 改 预 定 义 URL 库 更 新 配 置, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 升 级 管 理 > 特 征 库 升 级, 进 入 特 征 库 升 级 页 面 2. 在 <URL 分 类 库 升 级 > 部 分, 可 查 看 当 前 URL 库 的 版 本, 执 行 远 程 升 级, 配 置 远 程 升 级, 以 及 执 行 本 地 升 级 3. 选 中 启 动 自 动 更 新 开 启 URL 库 自 动 更 新 功 能, 并 配 置 自 动 更 新 的 间 隔 和 时 间 配 置 完 成 后, 点 击 保 存 按 钮 保 存 所 做 配 置 4. 点 击 配 置 升 级 服 务 器 按 钮 对 升 级 服 务 器 进 行 配 置 在 弹 出 的 < 升 级 服 务 器 设 置 > 对 话 框, 配 置 升 级 服 务 器 的 IP 地 址 或 者 域 名, 并 选 择 可 与 升 级 服 务 器 连 通 的 虚 拟 路 由 器 如 需 恢 复 缺 省 设 置, 点 击 恢 复 缺 省 按 钮 5. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 在 线 升 级 URL 库 在 线 更 新 预 定 义 URL 数 据 库, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 升 级 管 理 > 特 征 库 升 级, 进 入 特 征 库 升 级 页 面 2. 在 <URL 分 类 库 升 级 > 部 分, 点 击 立 即 在 线 升 级 按 钮 升 级 URL 数 据 库 本 地 升 级 URL 库 本 地 升 级 URL 数 据 库, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 升 级 管 理 > 特 征 库 升 级, 进 入 特 征 库 升 级 页 面 2. 在 <URL 分 类 库 升 级 > 部 分, 点 击 浏 览 按 钮, 选 中 本 地 URL 库 特 征 文 件 并 选 择 打 开 3. 点 击 上 传 按 钮 进 行 升 级 自 定 义 UR L 库 用 户 可 以 根 据 需 要 自 定 义 URL 类 别 与 预 定 义 URL 类 别 相 同, 自 定 义 URL 库 能 够 为 网 页 关 键 字 过 滤 功 能 和 Web 外 发 信 息 控 制 功 能 提 供 URL 类 别 对 于 URL 类 别 的 匹 配 顺 序, 优 先 匹 配 自 定 义 URL 库, 其 次 匹 配 预 定 义 URL 库 配 置 自 定 义 URL 库 新 建 URL 类 别, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字 /Web 外 发 信 息, 进 入 相 应 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 自 定 义 URL 库, 弹 出 < 自 定 义 URL 库 > 对 话 框 第 10 章 策 略 254

275 3. 点 击 新 建 按 钮, 弹 出 <URL 类 别 > 对 话 框 4. 在 类 别 名 称 文 本 框 中 输 入 类 别 名 称 URL 类 别 名 称 不 能 只 为 连 字 符 - 且 系 统 最 多 支 持 16 个 自 定 义 URL 类 别 5. 在 URL 文 本 框 中 输 入 URL 6. 点 击 添 加 将 URL 添 加 进 URL 列 表 框 中 7. 如 需 要, 按 照 以 上 步 骤 添 加 其 它 URL 8. 如 需 要 编 辑 已 添 加 进 URL 列 表 框 中 的 URL, 选 中 该 URL 对 应 的 复 选 框, 点 击 编 辑 按 钮, 在 URL 文 本 框 中 对 URL 进 行 编 辑, 然 后 点 击 文 本 框 后 的 添 加 按 钮 9. 如 需 要 删 除 已 添 加 进 URL 列 表 框 中 的 URL, 选 中 该 URL 对 应 的 复 选 框, 点 击 删 除 按 钮 10. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 UR L 查 询 通 过 URL 查 询 功 能 查 看 特 定 URL 的 具 体 信 息, 包 括 该 URL 所 属 的 URL 类 别 以 及 所 属 URL 库 的 类 型 查 询 URL 信 息 用 户 可 以 通 过 URL 查 询 功 能 查 看 特 定 URL 的 具 体 信 息, 包 括 该 URL 所 属 的 URL 类 别 以 及 所 属 URL 库 的 类 型 查 看 URL 信 息, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字 /Web 外 发 信 息, 进 入 相 应 功 能 页 面 255 第 10 章 策 略

276 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 URL 查 询, 弹 出 <URL 查 询 > 对 话 框 3. 在 请 输 入 需 要 查 询 的 URL 文 本 框 输 入 需 要 查 询 的 URL 4. 点 击 查 询 按 钮, 查 询 结 果 会 显 示 在 下 方 的 查 询 结 果 属 于 以 下 URL 类 部 分 配 置 URL 查 询 服 务 器 URL 查 询 服 务 器 可 以 将 网 站 访 问 过 程 中 出 现 的 未 分 类 URL 地 址 ( 预 定 义 及 自 定 义 URL 库 中 不 包 含 的 URL 地 址 ) 进 行 分 类, 并 在 以 后 的 URL 数 据 库 升 级 中 更 新 到 数 据 库 目 前 提 供 两 个 默 认 URL 查 询 服 务 器, 分 别 是 url1.hillstonenet.com 和 url2.hillstonenet.com 默 认 情 况 下,URL 查 询 服 务 器 处 于 启 用 状 态 配 置 查 询 服 务 器, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字 /Web 外 发 信 息, 进 入 相 应 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 预 定 义 URL 库, 弹 出 < 预 定 义 URL 库 > 对 话 框 3. 在 对 话 框 中, 点 击 查 询 服 务 器 配 置 按 钮, 弹 出 < 预 定 义 URL 库 查 询 服 务 器 配 置 > 对 话 框 4. 在 查 询 服 务 器 部 分, 双 击 指 定 服 务 器 对 应 的 地 址 栏 单 元 格, 输 入 需 要 的 服 务 器 的 IP 地 址 或 者 域 名 5. 双 击 指 定 服 务 器 对 应 的 端 口 栏 单 元 格, 输 入 需 要 的 服 务 器 的 端 口 号 6. 选 择 指 定 服 务 器 的 启 用 复 选 框, 启 用 此 服 务 器 7. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 关 键 字 类 别 用 户 可 以 根 据 需 要 自 定 义 关 键 字 类 别 用 于 网 页 关 键 字 /Web 外 发 信 息 / 邮 件 过 滤 中 关 键 字 的 指 定 配 置 关 键 字 相 关 的 上 网 行 为 控 制 规 则 后, 系 统 会 按 照 关 键 字 对 流 量 进 行 扫 描, 并 将 扫 描 到 的 关 键 字 按 照 关 键 字 类 别 进 行 信 任 值 的 统 计 计 算, 计 算 方 法 为 : 将 扫 描 到 的 所 有 属 于 该 类 别 的 关 键 字 按 照 次 数 * 关 键 字 信 任 值 进 行 累 加 计 算, 然 后 用 此 计 算 值 与 关 键 字 类 别 的 警 戒 值 进 行 比 较 ( 关 键 字 类 别 的 警 戒 值 为 100) 根 据 比 较 结 果 进 行 如 下 处 理 : 第 10 章 策 略 256

277 如 果 计 算 值 大 于 或 者 等 于 该 类 别 的 警 戒 值, 则 触 发 该 类 别 所 对 应 的 控 制 动 作 ; 如 果 多 个 关 键 字 类 别 的 计 算 值 大 于 或 者 等 于 警 戒 值, 且 对 应 控 制 动 作 有 阻 止 的, 则 按 照 阻 止 进 行 处 理 ; 如 果 多 个 关 键 字 类 别 的 计 算 值 大 于 或 者 等 于 警 戒 值, 且 对 应 控 制 动 作 都 为 允 许, 则 按 照 允 许 进 行 处 理 例 如 : 某 网 页 关 键 字 规 则 配 有 两 个 关 键 字 类 别 C1 和 C2,C1 对 应 控 制 动 作 为 阻 止,C2 对 应 控 制 动 作 为 允 许 类 别 C1 中 包 含 两 个 关 键 字 K1 和 K2,K1 的 信 任 值 为 20,K2 的 信 任 值 为 40 类 别 C2 中 包 含 两 个 关 键 字 K1 和 K2,K1 的 信 任 值 为 30,K2 的 信 任 值 为 80 假 设 扫 描 某 网 页, 发 现 K1 和 K2 各 出 现 一 次 对 C1 信 任 值 计 算 :20*1+40*1=60<100; 对 C2 信 任 值 计 算 :30*1+80*1=110>100 所 以 触 发 C2 对 应 的 控 制 动 作, 即 允 许 访 问 该 网 页 假 设 扫 描 某 网 页, 发 现 K1 出 现 三 次,K2 出 现 一 次 对 C1 信 任 值 计 算 :20*3+40*1=100; 对 C2 信 任 值 计 算 :30*3+80*1-1=170>100 C1 和 C2 都 满 足 触 发 条 件, 所 以 触 发 C2 对 应 的 阻 止 控 制 动 作, 即 禁 止 访 问 该 网 页 建 议 通 过 关 键 字 组 合 的 方 式 实 现 关 键 字 相 关 的 上 网 行 为 控 制 功 能 例 如, 配 置 网 页 关 键 字 功 能 阻 止 用 户 访 问 网 游 相 关 网 站, 如 果 只 指 定 过 滤 关 键 字 网 游, 则 可 能 阻 止 很 多 无 关 网 站 ; 但 如 果 指 定 过 滤 关 键 字 网 游 经 验 值 装 备 和 外 挂, 并 恰 当 设 置 每 个 关 键 字 的 信 任 值, 这 样 就 能 大 大 提 高 控 制 的 准 确 性 更 为 高 级 的 使 用 方 式 是 将 网 游 相 关 的 术 语 都 收 集 起 来, 按 照 可 能 性 给 每 个 关 键 字 分 配 信 任 值, 这 样 可 以 较 为 全 面 和 准 确 的 达 到 控 制 目 的 配 置 关 键 字 类 别 新 建 关 键 字 类 别, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字 /Web 外 发 信 息 / 邮 件 过 滤, 进 入 相 应 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 关 键 字 类 别, 弹 出 < 关 键 字 类 别 > 对 话 框 3. 在 对 话 框 中, 点 击 新 建 按 钮, 弹 出 < 关 键 字 类 别 配 置 > 对 话 框 4. 在 类 别 名 称 文 本 框 中 输 入 关 键 字 类 别 名 称 5. 点 击 新 建 按 钮, 在 滑 出 区 域 指 定 关 键 字 名 称 关 键 字 类 型 ( 完 全 匹 配 / 正 则 匹 配 ) 和 信 任 值 ( 默 认 值 100) 6. 点 击 添 加 按 钮, 将 关 键 字 添 加 进 关 键 字 列 表 7. 如 需 要, 按 照 步 骤 3 至 6 添 加 其 它 关 键 字 257 第 10 章 策 略

278 8. 如 需 要 删 除 已 添 加 进 关 键 字 列 表 中 的 关 键 字, 选 中 该 关 键 字 对 应 的 复 选 框, 点 击 列 表 上 方 的 删 除 按 钮 9. 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 页 面 提 示 页 面 提 示 功 能 包 括 提 示 用 户 被 阻 断 警 告 信 息 和 提 示 用 户 被 监 控 警 告 信 息 配 置 用 户 被 阻 断 警 告 信 息 当 用 户 的 上 网 行 为 被 上 网 行 为 控 制 功 能 ( 网 页 关 键 字 过 滤 Web 外 发 信 息 控 制 邮 件 过 滤 和 应 用 行 为 控 制 ) 阻 断 时, 访 问 连 接 将 无 法 建 立 若 此 时 用 户 使 用 Web 浏 览 器 访 问 网 页, 浏 览 器 中 将 显 示 无 法 显 示 页 面 的 错 误 提 示 信 息 用 户 被 阻 断 警 告 功 能 能 够 在 用 户 的 上 网 行 为 被 阻 断 时, 反 馈 给 用 户 适 当 的 提 示 信 息 下 图 所 示 为 默 认 配 置 : 开 启 用 户 被 阻 断 警 告 功 能 后, 当 用 户 的 下 列 上 网 行 为 被 上 网 行 为 控 制 规 则 阻 断 时, 用 户 的 Web 浏 览 器 中 会 显 示 阻 断 提 示 信 息 : 对 某 类 URL 的 访 问 行 为 对 网 址 中 含 有 某 关 键 字 类 别 的 网 页 的 访 问 行 为 对 内 容 中 含 有 某 关 键 字 类 别 的 网 页 的 访 问 行 为 对 在 某 网 站 发 布 信 息 或 者 发 布 含 有 特 定 关 键 字 信 息 的 行 为 对 FTP 的 GET PUT Login 行 为 对 HTTP 的 Connect Get Put Head Options Post Trace 行 为, 以 及 下 载 ActiveX JAVA Applet EXE MSI COM BAT PIF SCR 文 件 的 行 为 默 认 情 况 下, 用 户 被 阻 断 警 告 功 能 是 开 启 的 配 置 用 户 被 阻 断 警 告 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字 /Web 外 发 信 息 / 邮 件 过 滤 / 应 用 行 为 控 制, 进 入 相 应 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 页 面 提 示, 弹 出 < 页 面 提 示 > 对 话 框 3. 选 中 用 户 被 阻 断 警 告 对 应 的 启 用 复 选 框 第 10 章 策 略 258

279 4. 指 定 用 户 被 阻 断 警 告 信 息 内 容 选 项 说 明 默 认 配 置 使 用 默 认 阻 断 警 告 信 息 重 定 向 页 面 自 定 义 内 容 重 定 向 到 指 定 的 URL 在 URL 文 本 框 中 输 入 指 定 的 URL 取 值 范 围 是 1 到 255 个 字 符 设 置 后, 可 点 击 检 测 测 试 URL 的 有 效 性 需 在 标 题 文 本 框 中 输 入 自 定 义 阻 断 警 告 信 息 标 题, 取 值 范 围 是 1 到 31 个 字 符 ; 在 详 细 内 容 文 本 框 中 输 入 自 定 义 阻 断 警 告 信 息 详 细 内 容, 取 值 范 围 是 1 到 255 个 字 符 设 置 后, 可 点 击 预 览 按 钮 预 览 用 户 被 阻 断 警 告 信 息 的 显 示 效 果 5. 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 配 置 用 户 被 监 控 警 告 信 息 开 启 用 户 被 监 控 警 告 功 能 后, 如 果 用 户 的 上 网 行 为 与 系 统 中 已 配 置 的 上 网 行 为 控 制 功 能 ( 网 页 关 键 字 过 滤 Web 外 发 信 息 控 制 邮 件 过 滤 和 应 用 行 为 控 制 ) 相 匹 配, 则 该 用 户 的 HTTP 网 页 访 问 请 求 会 被 重 定 向 到 用 户 被 监 控 警 告 提 示 页 面, 提 示 其 上 网 行 为 将 受 到 监 控, 注 意 保 护 个 人 隐 私 并 遵 守 相 关 法 律 法 规 例 如, 如 果 创 建 网 页 关 键 字 规 则 对 用 户 浏 览 某 网 页 的 行 为 进 行 监 控, 并 开 启 用 户 被 监 控 警 告 功 能, 当 用 户 浏 览 该 网 页 时, 用 户 PC 的 Web 浏 览 器 将 显 示 用 户 被 监 控 警 告 提 示 页 面 如 图 所 示 : 默 认 情 况 下, 用 户 被 监 控 警 告 功 能 是 关 闭 的 配 置 用 户 被 监 控 警 告 功 能, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字 /Web 外 发 信 息 / 邮 件 过 滤 / 应 用 行 为 控 制, 进 入 相 应 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 页 面 提 示, 弹 出 < 页 面 提 示 > 对 话 框 3. 选 中 用 户 被 监 控 警 告 对 应 的 启 用 复 选 框 4. 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 B yp ass 域 名 设 置 Bypass 域 名 后, 系 统 将 无 条 件 允 许 用 户 对 Bypass 域 名 的 访 问, 不 受 上 网 行 为 控 制 功 能 ( 网 页 关 键 字 过 滤 Web 外 发 信 息 控 制 邮 件 过 滤 和 应 用 行 为 控 制 ) 的 控 制 配 置 Bypass 域 名, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字 /Web 外 发 信 息 / 邮 件 过 滤 / 应 用 行 为 控 制, 进 入 相 应 功 能 页 面 259 第 10 章 策 略

280 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 Bypass 域 名, 弹 出 <Bypass 域 名 > 对 话 框 3. 在 文 本 框 中 输 入 所 需 域 名 4. 点 击 添 加 按 钮 将 域 名 添 加 进 系 统 被 添 加 的 域 名 将 显 示 在 下 方 的 Bypass 域 名 列 表 中 5. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 免 监 控 用 户 免 监 控 用 户 将 不 受 上 网 行 为 控 制 功 能 ( 网 页 关 键 字 过 滤 Web 外 发 信 息 控 制 邮 件 过 滤 网 络 聊 天 控 制 和 应 用 行 为 控 制 ) 的 控 制, 比 如, 可 以 将 公 司 领 导 层 或 者 某 些 特 殊 部 门 设 置 为 免 监 控 用 户 系 统 支 持 地 址 簿 IP 地 址 IP 范 围 用 户 用 户 组 和 角 色 类 型 的 免 监 控 用 户 配 置 免 监 控 用 户, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字 /Web 外 发 信 息 / 邮 件 过 滤 / 网 络 聊 天 / 应 用 行 为 控 制, 进 入 相 应 功 能 页 面 2. 在 页 面 右 上 角, 点 击 相 关 配 置, 并 在 弹 出 菜 单 中 选 择 免 监 控 用 户, 弹 出 < 免 监 控 用 户 > 对 话 框 3. 在 用 户 类 型 下 拉 菜 单 中 选 择 免 监 控 用 户 类 型 系 统 支 持 地 址 簿 IP 地 址 IP 范 围 角 色 用 户 和 用 户 组 类 型 的 免 监 控 用 户 用 户 可 根 据 需 要 指 定, 并 完 成 相 应 参 数 的 配 置 4. 点 击 添 加 按 钮 将 用 户 添 加 进 系 统 被 添 加 的 免 监 控 用 户 将 显 示 在 下 方 的 免 监 控 用 户 列 表 中 5. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 网 页 关 键 字 网 页 关 键 字 功 能 可 以 对 用 户 访 问 含 有 特 定 关 键 字 内 容 的 网 站 的 行 为 进 行 控 制, 并 能 对 访 问 行 为 进 行 日 志 记 录 比 如, 阻 止 用 户 访 问 含 赌 博 词 汇 的 网 站, 并 记 录 访 问 行 为 日 志 网 络 管 理 员 可 以 针 对 不 同 用 户 不 同 时 间 不 同 上 网 行 为 制 定 适 合 的 网 页 关 键 字 规 第 10 章 策 略 260

281 则, 系 统 将 会 对 与 规 则 相 匹 配 的 网 络 流 量 根 据 配 置 进 行 处 理 网 页 关 键 字 功 能 与 SSL 代 理 功 能 结 合 使 用, 可 以 对 用 户 访 问 含 有 特 定 关 键 字 的 HTTPS 加 密 网 站 进 行 控 制 关 于 SSL 代 理 功 能 的 详 细 信 息, 请 参 阅 "SSL 代 理 " 在 第 249 页 一 节 配 置 网 页 关 键 字 新 建 网 页 关 键 字 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字, 进 入 网 页 关 键 字 页 面 2. 点 击 新 建 按 钮, 弹 出 < 网 页 关 键 字 规 则 配 置 > 对 话 框 261 第 10 章 策 略

282 在 对 话 框 中 填 写 网 页 关 键 字 规 则 的 配 置 信 息 选 项 说 明 名 称 输 入 规 则 名 称 目 的 安 全 域 指 定 规 则 的 目 的 安 全 域 规 则 将 对 进 入 此 安 全 域 的 流 量 生 效 用 户 类 型 指 定 规 则 的 用 户 类 型 规 则 将 对 此 类 用 户 类 型 的 流 量 生 效 用 户 类 型 包 括 源 地 址 和 用 户 两 类 源 地 址 类 型 包 括 地 址 簿 地 址 IP/ 掩 码 IP 范 围 主 机 名 称 用 户 类 型 包 括 角 色 用 户 用 户 组 系 统 默 认 使 用 地 址 簿 条 目 Any, 从 而 对 任 意 IP 地 址 生 效 用 户 可 根 据 需 求 进 行 调 整 源 地 址 源 地 址 类 型 包 括 地 址 簿 IP/ 掩 码 IP 范 围 和 主 机 名 称 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 地 址 簿, 需 要 在 地 址 簿 下 拉 菜 单 中 选 中 需 要 的 地 址 簿 条 目 ; 如 果 选 中 IP/ 掩 码, 需 要 在 文 本 框 输 入 IP 地 址 和 网 络 掩 码 ; 如 果 选 中 IP 范 围, 需 要 在 文 本 框 中 输 入 IP 范 围 的 起 始 IP; 如 果 选 中 主 机 名 称, 需 要 在 文 本 框 中 输 入 主 机 名 称 输 入 完 成 后, 点 击 添 加 按 钮 用 户 用 户 类 型 包 括 角 色 用 户 和 用 户 组 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 角 色, 需 要 在 角 色 下 拉 菜 单 选 中 需 要 的 角 色 ; 如 果 选 中 用 户 组, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 组 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 组 ; 如 果 选 中 用 户, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 输 入 完 成 后, 点 击 添 加 按 钮 时 间 表 指 定 规 则 的 时 间 表, 控 制 规 则 在 指 定 时 间 内 生 效 系 统 默 认 无 时 间 表 配 置, 即 任 意 时 间 都 有 效 在 下 拉 菜 单 中 选 择 所 需 要 的 时 间 表, 或 者 在 下 拉 菜 单 中 点 击 新 建 时 间 表 按 钮 新 建 时 间 表 控 制 控 制 对 网 页 内 容 中 含 有 特 定 关 键 字 的 网 站 的 访 问 新 建 : 点 击 该 按 钮 新 建 关 键 字 类 别 关 于 新 建 关 键 字 类 别 的 详 细 信 息, 参 阅 " 配 置 上 网 行 为 控 制 对 象 " 在 第 253 页 中 的 关 键 字 类 别 部 分 编 辑 : 单 击 选 中 关 键 字 类 别 列 表 中 的 关 键 字, 点 击 该 按 钮, 编 辑 相 应 的 第 10 章 策 略 262

283 选 项 说 明 关 键 字 类 别 关 键 字 类 别 : 显 示 系 统 中 已 有 的 关 键 字 类 别 阻 止 访 问 : 选 中 复 选 框, 指 定 阻 止 访 问 网 页 中 含 有 相 应 关 键 字 的 网 站 记 录 日 志 : 选 中 复 选 框, 指 定 对 访 问 网 页 中 含 有 相 应 关 键 字 的 网 站 的 行 为 进 行 日 志 记 录 关 键 字 控 制 范 围 指 定 关 键 字 控 制 范 围 默 认 情 况 下, 系 统 会 对 所 有 网 站 进 行 关 键 字 控 制 1. 点 击 关 键 字 控 制 范 围 后 的 所 有 网 站 链 接, 弹 出 < 控 制 范 围 配 置 > 对 话 框 2. 在 该 对 话 框 中 选 中 需 要 进 行 关 键 字 控 制 的 网 站 类 别 对 应 的 复 选 框 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 3. 点 击 确 定 按 钮 完 成 配 置 如 果 需 要, 用 户 还 可 以 配 置 相 关 的 预 定 义 URL 库 自 定 义 URL 库 URL 查 询 SSL 代 理 页 面 提 示 Bypass 域 名 和 免 监 控 用 户 功 能 相 关 功 能 介 绍 如 下 : 功 能 介 绍 预 定 义 URL 库 通 过 维 护 相 应 的 URL 库, 指 定 关 键 字 规 则 的 控 制 范 围 自 定 义 URL 库 通 过 维 护 相 应 的 URL 库, 指 定 关 键 字 规 则 的 控 制 范 围 URL 查 询 通 过 URL 查 询 功 能 查 看 特 定 URL 的 具 体 信 息, 包 括 该 URL 所 属 的 URL 类 别 以 及 所 属 URL 库 的 类 型 SSL 代 理 解 密 SSL 流 量 对 用 户 访 问 含 有 特 定 关 键 字 的 HTTPS 加 密 网 站 进 行 控 制 页 面 提 示 用 户 被 阻 断 警 告 : 当 用 户 的 上 网 行 为 被 阻 断 时, 在 用 户 的 Web 浏 览 器 中 显 示 访 问 被 拒 绝 的 警 告 信 息 用 户 被 监 控 警 告 : 当 用 户 的 上 网 行 为 被 监 控 时, 在 用 户 的 Web 浏 览 器 中 显 示 行 为 被 监 控 的 警 告 信 息 Bypass 域 名 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 域 名 免 监 控 用 户 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 用 户 注 意 : 为 确 保 配 置 时 引 用 最 新 URL 类 别, 建 议 首 先 进 行 URL 库 更 新 关 于 更 新 URL 库 的 详 细 信 息, 请 参 阅 " 配 置 上 网 行 为 控 制 对 象 " 在 第 253 页 中 的 在 线 升 级 URL 库 部 分 用 户 可 以 指 定 将 日 志 信 息 输 出 到 特 定 目 的 地 关 于 日 志 信 息 输 出 配 置 的 详 细 信 息, 请 参 阅 " 日 志 管 理 " 在 第 385 页 网 页 关 键 字 规 则 配 置 后 会 立 即 生 效 启 用 / 禁 用 规 则 默 认 情 况 下, 配 置 好 的 规 则 会 在 系 统 中 立 即 生 效 用 户 可 以 通 过 配 置 禁 用 某 条 规 则, 使 其 不 对 流 量 进 行 控 制 启 用 / 禁 用 规 则, 按 照 以 下 步 骤 进 行 操 作 : 263 第 10 章 策 略

284 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字, 进 入 网 页 关 键 字 页 面 2. 选 中 列 表 中 需 要 启 用 / 禁 用 的 规 则 对 应 的 复 选 框, 然 后 点 击 启 用 或 禁 用 按 钮 调 整 优 先 级 流 量 进 入 设 备 时, 设 备 对 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 进 行 处 理 用 户 可 根 据 需 要, 移 动 规 则 的 位 置 进 而 调 整 规 则 的 优 先 级, 使 其 处 在 首 位 或 者 处 在 末 位, 也 可 以 位 于 某 个 规 则 之 前 或 之 后 调 整 规 则 的 优 先 级, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 页 关 键 字, 进 入 网 页 关 键 字 页 面 2. 点 击 规 则 列 表 上 方 的 优 先 级 按 钮, 弹 出 < 优 先 级 > 对 话 框 3. 单 击 选 中 需 要 移 动 的 规 则 名 称, 点 击 右 侧 的 按 钮 移 动 相 应 的 规 则 4. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 查 看 网 页 内 容 关 键 字 阻 断 统 计 配 置 网 页 关 键 字 功 能 后, 用 户 可 查 看 网 页 内 容 关 键 字 阻 断 统 计 结 果 点 击 监 控 > 关 键 字 阻 断 > 网 页 关 键 字, 进 入 网 页 内 容 关 键 字 阻 断 结 果 的 统 计 页 面, 该 页 面 显 示 网 页 内 容 关 键 字 阻 断 的 统 计 信 息 具 体 信 息, 参 阅 监 控 模 块 中 " 关 键 字 阻 断 " 在 第 352 页 的 网 页 关 键 字 部 分 查 看 网 页 内 容 关 键 字 日 志 查 看 网 页 关 键 字 日 志, 参 阅 监 控 模 块 中 的 "NBC 日 志 " 在 第 384 页 部 分 W eb 外 发 信 息 Web 外 发 信 息 功 能 可 以 对 用 户 在 某 网 站 发 布 信 息 或 者 发 布 含 有 特 定 关 键 字 信 息 的 行 为 进 行 控 制, 并 能 对 发 布 行 为 进 行 日 志 记 录 例 如, 阻 止 用 户 在 社 区 论 坛 类 网 站 发 布 含 有 关 键 字 舆 论 的 信 息, 并 记 录 发 布 行 为 日 志 网 络 管 理 员 可 以 针 对 不 同 用 户 不 同 时 间 不 同 信 息 发 布 行 为 制 定 适 合 的 Web 外 发 信 息 规 则, 系 统 将 会 对 与 规 则 相 匹 配 的 网 络 流 量 根 据 配 置 进 行 处 理 Web 外 发 信 息 功 能 与 SSL 代 理 功 能 结 合 使 用, 可 以 对 用 户 在 HTTPS 加 密 网 站 的 信 息 发 布 行 为 进 行 控 制 关 于 SSL 代 理 功 能 的 详 细 信 息, 请 参 阅 "SSL 代 理 " 在 第 249 页 一 节 配 置 W eb 外 发 信 息 新 建 Web 外 发 信 息 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > Web 外 发 信 息, 进 入 Web 外 发 信 息 页 面 2. 点 击 新 建 按 钮, 弹 出 <Web 外 发 信 息 规 则 配 置 > 对 话 框 第 10 章 策 略 264

285 在 对 话 框 中 填 写 Web 外 发 信 息 规 则 的 配 置 信 息 选 项 说 明 名 称 输 入 规 则 名 称 目 的 安 全 域 指 定 规 则 的 目 的 安 全 域 规 则 将 对 进 入 此 安 全 域 的 流 量 生 效 用 户 类 型 指 定 规 则 的 用 户 类 型 规 则 将 对 此 类 用 户 类 型 的 流 量 生 效 用 户 类 型 包 括 源 地 址 和 用 户 两 类 源 地 址 类 型 包 括 地 址 簿 地 址 IP/ 掩 码 IP 范 围 主 机 名 称 用 户 类 型 包 括 角 色 用 户 用 户 组 系 统 默 认 使 用 地 址 簿 条 目 Any, 从 而 对 任 意 IP 地 址 生 效 用 户 可 根 据 需 求 进 行 调 整 源 地 址 源 地 址 类 型 包 括 地 址 簿 IP/ 掩 码 IP 范 围 和 主 机 名 称 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 地 址 簿, 需 要 在 地 址 簿 下 拉 菜 单 中 选 中 需 要 的 地 址 簿 条 目 ; 如 果 选 中 IP/ 掩 码, 需 要 在 文 本 框 输 入 IP 地 址 和 网 络 掩 码 ; 如 果 选 中 IP 范 围, 需 要 在 文 本 框 中 输 入 IP 范 围 的 起 始 IP; 如 果 选 中 主 机 名 称, 需 要 在 文 本 框 中 输 入 主 机 名 称 输 入 完 成 后, 点 击 添 加 按 钮 265 第 10 章 策 略

286 选 项 用 户 说 明 用 户 类 型 包 括 角 色 用 户 和 用 户 组 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 角 色, 需 要 在 角 色 下 拉 菜 单 选 中 需 要 的 角 色 ; 如 果 选 中 用 户 组, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 组 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 组 ; 如 果 选 中 用 户, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 输 入 完 成 后, 点 击 添 加 按 钮 时 间 表 指 定 规 则 的 时 间 表, 控 制 规 则 在 指 定 时 间 内 生 效 系 统 默 认 无 时 间 表 配 置, 即 任 意 时 间 都 有 效 在 下 拉 菜 单 中 选 择 所 需 要 的 时 间 表, 或 者 在 下 拉 菜 单 中 点 击 新 建 时 间 表 按 钮 新 建 时 间 表 控 制 范 围 指 定 控 制 范 围 默 认 情 况 下, 系 统 会 对 所 有 网 站 进 行 Web 外 发 信 息 控 制 点 击 控 制 范 围 后 的 所 有 网 站 链 接, 弹 出 < 控 制 范 围 配 置 > 对 话 框 在 该 对 话 框 中 选 中 需 要 进 行 Web 外 发 信 息 控 制 的 网 站 类 别 对 应 的 复 选 框 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 控 制 内 容 对 所 有 Web 外 发 信 息 进 行 控 制 具 体 配 置 选 项 包 括 : 阻 止 外 发 : 选 中 复 选 框, 指 定 阻 止 所 有 信 息 发 布 行 为 记 录 日 志 : 选 中 复 选 框, 指 定 对 所 有 信 息 发 布 行 为 进 行 日 志 记 录 指 定 的 关 键 字 对 含 有 特 定 关 键 字 的 Web 外 发 信 息 进 行 控 制 具 体 配 置 选 项 包 括 : 新 建 : 点 击 该 按 钮 新 建 关 键 字 类 别 关 于 新 建 关 键 字 类 别 的 详 细 信 息, 参 阅 " 配 置 上 网 行 为 控 制 对 象 " 在 第 253 页 中 的 关 键 字 类 别 部 分 编 辑 : 单 击 选 中 关 键 字 类 别 列 表 中 的 关 键 字, 点 击 该 按 钮, 编 辑 相 应 的 关 键 字 类 别 关 键 字 类 别 : 显 示 系 统 中 已 有 的 关 键 字 类 别 阻 止 外 发 : 选 中 复 选 框, 指 定 阻 止 发 布 含 有 特 定 关 键 字 的 信 息 记 录 日 志 : 选 中 复 选 框, 指 定 对 发 布 含 有 特 定 关 键 字 信 息 的 行 为 进 行 日 志 记 录 3. 点 击 确 定 完 成 配 置 如 果 需 要, 用 户 还 可 以 配 置 相 关 的 预 定 义 URL 库 自 定 义 URL 库 URL 查 询 SSL 代 理 页 面 提 示 Bypass 域 名 和 免 监 控 用 户 功 能 相 关 功 能 介 绍 如 下 : 功 能 介 绍 预 定 义 URL 库 通 过 维 护 相 应 的 URL 库, 指 定 Web 外 发 信 息 规 则 的 控 制 范 围 自 定 义 URL 库 通 过 维 护 相 应 的 URL 库, 指 定 Web 外 发 信 息 规 则 的 控 制 范 围 URL 查 询 通 过 URL 查 询 功 能 查 看 特 定 URL 的 具 体 信 息, 包 括 该 URL 所 属 的 URL 类 别 以 及 所 属 URL 库 的 类 型 第 10 章 策 略 266

287 功 能 介 绍 SSL 代 理 解 密 SSL 流 量 对 用 户 在 HTTPS 加 密 网 站 的 信 息 发 布 行 为 进 行 控 制 页 面 提 示 用 户 被 阻 断 警 告 : 当 用 户 的 上 网 行 为 被 阻 断 时, 在 用 户 的 Web 浏 览 器 中 显 示 访 问 被 拒 绝 的 警 告 信 息 用 户 被 监 控 警 告 : 当 用 户 的 上 网 行 为 被 监 控 时, 在 用 户 的 Web 浏 览 器 中 显 示 行 为 被 监 控 的 警 告 信 息 Bypass 域 名 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 域 名 免 监 控 用 户 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 用 户 注 意 : 为 确 保 配 置 时 引 用 最 新 URL 类 别, 建 议 首 先 进 行 URL 库 更 新 关 于 更 新 URL 库 的 详 细 信 息, 请 参 阅 " 配 置 上 网 行 为 控 制 对 象 " 在 第 253 页 中 的 在 线 升 级 URL 库 部 分 如 果 Web 外 发 信 息 规 则 中 既 配 置 对 所 有 Web 外 发 信 息 进 行 控 制, 又 配 置 对 指 定 关 键 字 的 Web 外 发 信 息 进 行 控 制, 且 控 制 动 作 有 阻 断 和 允 许, 当 流 量 都 能 匹 配 时, 对 应 控 制 动 作 为 阻 断 的 优 先 匹 配 用 户 可 以 指 定 将 日 志 信 息 输 出 到 特 定 目 的 地 关 于 日 志 信 息 输 出 配 置 的 详 细 信 息, 请 参 阅 " 日 志 管 理 " 在 第 385 页 Web 外 发 信 息 规 则 配 置 后 会 立 即 生 效 启 用 / 禁 用 规 则 默 认 情 况 下, 配 置 好 的 规 则 会 在 系 统 中 立 即 生 效 用 户 可 以 通 过 配 置 禁 用 某 条 规 则, 使 其 不 对 流 量 进 行 控 制 启 用 / 禁 用 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > Web 外 发 信 息, 进 入 Web 外 发 信 息 页 面 2. 选 中 列 表 中 需 要 启 用 / 禁 用 的 规 则 对 应 的 复 选 框, 然 后 点 击 启 用 或 禁 用 按 钮 调 整 优 先 级 流 量 进 入 设 备 时, 设 备 对 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 进 行 处 理 用 户 可 根 据 需 要, 移 动 规 则 的 位 置 进 而 调 整 规 则 的 优 先 级, 使 其 处 在 首 位 或 者 处 在 末 位, 也 可 以 位 于 某 个 规 则 之 前 或 之 后 调 整 规 则 的 优 先 级, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > Web 外 发 信 息, 进 入 Web 外 发 信 息 页 面 2. 点 击 规 则 列 表 上 方 的 优 先 级 按 钮, 弹 出 < 优 先 级 > 对 话 框 3. 单 击 选 中 需 要 移 动 的 规 则 名 称, 点 击 右 侧 的 按 钮 移 动 相 应 的 规 则 4. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 查 看 W eb 外 发 信 息 关 键 字 阻 断 统 计 配 置 Web 外 发 信 息 关 键 字 功 能 后, 用 户 可 查 看 Web 外 发 信 息 关 键 字 阻 断 统 计 结 果 点 击 监 控 > 关 键 字 阻 断 > Web 外 发 信 息, 进 入 Web 外 发 关 键 字 阻 断 结 果 的 统 计 页 面, 该 页 面 显 示 Web 外 发 信 息 关 键 字 阻 断 的 统 计 信 息 具 体 信 息, 参 阅 监 控 模 块 中 " 关 键 字 阻 断 " 在 第 352 页 的 Web 外 发 信 息 部 分 查 看 W eb 外 发 信 息 关 键 字 日 志 查 看 Web 外 发 信 息 关 键 字 日 志, 参 阅 监 控 模 块 中 的 "NBC 日 志 " 在 第 384 页 部 分 267 第 10 章 策 略

288 邮 件 过 滤 邮 件 过 滤 功 能 主 要 用 于 当 用 户 通 过 SMTP 或 者 Web 邮 箱 ( 包 括 Gmail 加 密 邮 箱 ) 发 送 邮 件 时, 根 据 邮 件 的 发 件 人 收 件 人 和 内 容 对 邮 件 的 发 送 行 为 进 行 控 制, 并 能 记 录 发 送 行 为 日 志 网 络 管 理 员 可 以 针 对 不 同 用 户 不 同 时 间 不 同 邮 件 发 送 行 为 制 定 适 合 的 邮 件 过 滤 规 则, 系 统 将 会 对 与 规 则 相 匹 配 的 网 络 流 量 根 据 配 置 进 行 处 理 邮 件 过 滤 功 能 与 SSL 代 理 功 能 结 合 使 用, 可 以 对 用 户 通 过 Gmail 加 密 邮 箱 发 送 邮 件 的 行 为 进 行 控 制 关 于 SSL 代 理 功 能 的 详 细 信 息, 请 参 阅 "SSL 代 理 " 在 第 249 页 一 节 配 置 邮 件 过 滤 新 建 邮 件 过 滤 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 邮 件 过 滤, 进 入 邮 件 过 滤 页 面 2. 点 击 新 建 按 钮, 弹 出 < 邮 件 过 滤 规 则 配 置 > 对 话 框 在 对 话 框 中 填 写 邮 件 过 滤 规 则 的 配 置 信 息 选 项 说 明 名 称 输 入 规 则 名 称 目 的 安 全 域 指 定 规 则 的 目 的 安 全 域 规 则 将 对 进 入 此 安 全 域 的 流 量 生 效 用 户 类 型 指 定 规 则 的 用 户 类 型 规 则 将 对 此 类 用 户 类 型 的 流 量 生 效 用 户 类 型 包 括 源 地 址 和 用 户 两 类 源 地 址 类 型 包 括 地 址 簿 地 址 IP/ 掩 码 IP 范 围 主 机 名 称 用 户 类 型 包 括 角 色 用 户 用 户 组 系 统 默 认 使 用 地 址 簿 条 目 Any, 从 而 对 任 意 IP 地 址 生 效 用 户 可 根 据 需 求 进 行 调 整 源 地 址 源 地 址 类 型 包 括 地 址 簿 IP/ 掩 码 IP 范 围 和 主 机 名 称 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 地 址 簿, 需 要 在 地 址 簿 下 拉 菜 单 中 选 中 需 要 的 地 址 簿 第 10 章 策 略 268

289 选 项 说 明 条 目 ; 如 果 选 中 IP/ 掩 码, 需 要 在 文 本 框 输 入 IP 地 址 和 网 络 掩 码 ; 如 果 选 中 IP 范 围, 需 要 在 文 本 框 中 输 入 IP 范 围 的 起 始 IP; 如 果 选 中 主 机 名 称, 需 要 在 文 本 框 中 输 入 主 机 名 称 输 入 完 成 后, 点 击 添 加 按 钮 用 户 用 户 类 型 包 括 角 色 用 户 和 用 户 组 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 角 色, 需 要 在 角 色 下 拉 菜 单 选 中 需 要 的 角 色 ; 如 果 选 中 用 户 组, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 组 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 组 ; 如 果 选 中 用 户, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 输 入 完 成 后, 点 击 添 加 按 钮 时 间 表 指 定 规 则 的 时 间 表, 控 制 规 则 在 指 定 时 间 内 生 效 系 统 默 认 无 时 间 表 配 置, 即 任 意 时 间 都 有 效 在 下 拉 菜 单 中 选 择 所 需 要 的 时 间 表, 或 者 在 下 拉 菜 单 中 点 击 新 建 时 间 表 按 钮 新 建 时 间 表 控 制 类 型 指 定 控 制 类 型 所 有 邮 件 - 对 所 有 外 发 邮 件 进 行 控 制 用 户 需 要 在 控 制 动 作 部 分 选 择 记 录 日 志 按 钮 对 所 有 外 发 邮 件 行 为 进 行 日 志 记 录 指 定 邮 件 控 制 内 容 - 对 指 定 条 件 下 的 外 发 邮 件 进 行 控 制 用 户 需 要 在 控 制 动 作 部 分 指 定 相 应 的 动 作 指 定 邮 件 控 制 内 容 阻 断 / 审 计 发 件 人 选 中 复 选 框, 指 定 对 外 发 邮 件 的 发 件 人 进 行 控 制 配 置 方 法 如 下 : 1. 点 击 发 件 人 链 接, 弹 出 < 发 件 人 > 对 话 框 2. 在 发 件 人 文 本 框 输 入 需 要 控 制 的 发 件 人 邮 箱 帐 号 3. 点 击 添 加 按 钮, 将 发 件 人 邮 箱 帐 号 添 加 进 下 方 的 发 件 人 列 表 中 4. 在 发 件 人 列 表 中 选 中 需 要 进 行 控 制 的 邮 箱 帐 号 对 应 的 控 制 动 作 复 选 框, 包 括 阻 止 发 送 和 记 录 日 志 如 需 要 删 除 发 件 人, 单 击 选 中 发 件 人 邮 箱 帐 号, 点 击 删 除 按 钮 将 发 件 人 从 列 表 中 删 除 5. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 阻 断 / 审 计 收 件 人 选 中 复 选 框, 指 定 对 外 发 邮 件 的 收 件 人 进 行 控 制 配 置 方 法 如 下 : 269 第 10 章 策 略

290 选 项 说 明 1. 点 击 收 件 人 链 接, 弹 出 < 收 件 人 > 对 话 框 2. 在 收 件 人 文 本 框 输 入 需 要 控 制 的 收 件 人 邮 箱 帐 号 3. 点 击 添 加 按 钮, 将 收 件 人 邮 箱 帐 号 添 加 进 下 方 的 收 件 人 列 表 中 4. 在 收 件 人 列 表 中 选 中 需 要 进 行 控 制 的 邮 箱 帐 号 对 应 的 控 制 动 作 复 选 框, 包 括 阻 止 发 送 和 记 录 日 志 如 需 要 删 除 收 件 人, 单 击 选 中 收 件 人 邮 箱 帐 号, 点 击 删 除 按 钮 将 收 件 人 从 列 表 中 删 除 5. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 阻 断 / 审 计 邮 件 内 容 选 中 复 选 框, 指 定 对 外 发 邮 件 的 内 容 关 键 字 进 行 控 制 配 置 方 法 如 下 : 1. 点 击 邮 件 内 容 链 接, 弹 出 < 邮 件 内 容 > 对 话 框 2. 点 击 新 建 按 钮, 弹 出 < 关 键 字 类 别 > 对 话 框, 在 该 对 话 框 配 置 需 要 进 行 控 制 的 邮 件 内 容 关 键 字 关 于 新 建 关 键 字 类 别 的 详 细 信 息, 参 阅 " 配 置 上 网 行 为 控 制 对 象 " 在 第 253 页 中 的 关 键 字 类 别 一 节 3. 在 关 键 字 类 别 列 表 中 选 中 需 要 进 行 控 制 的 关 键 字 对 应 的 控 制 动 作 复 选 框, 包 括 阻 止 发 送 和 记 录 日 志 4. 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 上 述 配 置 外 邮 件 对 上 述 配 置 不 包 含 的 邮 件, 指 定 控 制 动 作, 包 括 阻 止 发 送 和 记 录 日 志 3. 如 需 要, 可 以 配 置 例 外 邮 箱 帐 号, 指 定 不 受 邮 件 过 滤 规 则 控 制 的 邮 箱 帐 号 点 击 例 外 按 钮, 弹 出 < 例 外 > 对 话 框 4. 在 例 外 文 本 框 中 输 入 不 受 邮 件 过 滤 规 则 控 制 的 邮 箱 帐 号, 可 以 为 发 件 人 帐 号 或 者 收 件 人 帐 号 5. 点 击 添 加 按 钮, 将 帐 号 添 加 进 下 方 的 例 外 帐 号 列 表 中 6. 在 例 外 帐 号 列 表 中 选 中 需 要 进 行 编 辑 / 删 除 的 帐 号, 点 击 编 辑 / 删 除 按 钮, 编 辑 / 删 除 相 应 的 帐 号 7. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 如 果 需 要, 用 户 还 可 以 配 置 相 关 的 SSL 代 理 页 面 提 示 Bypass 域 名 和 免 监 控 用 户 功 能 相 关 功 能 介 绍 如 下 : 功 能 介 绍 SSL 代 理 解 密 SSL 流 量 对 用 户 对 用 户 通 过 SSL 加 密 邮 箱 发 送 邮 件 的 行 为 进 行 控 制 页 面 提 示 用 户 被 阻 断 警 告 : 当 用 户 的 上 网 行 为 被 阻 断 时, 在 用 户 的 Web 浏 览 器 中 显 示 访 问 被 拒 绝 的 警 告 信 息 用 户 被 监 控 警 告 : 当 用 户 的 上 网 行 为 被 监 控 时, 在 用 户 的 Web 浏 览 器 中 显 示 行 为 被 监 控 的 警 告 信 息 Bypass 域 名 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 域 名 免 监 控 用 户 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 用 户 第 10 章 策 略 270

291 注 意 : 如 果 一 条 邮 件 过 滤 规 则 中 同 时 配 置 阻 断 / 审 计 发 件 人 阻 断 / 审 计 收 件 人 或 者 阻 断 / 审 计 邮 件 内 容 这 三 个 控 制 动 作 中 的 两 个 或 者 两 个 以 上 的 控 制 动 作, 只 要 系 统 流 量 匹 配 其 中 一 个 控 制 动 作, 该 条 规 则 就 会 生 效 用 户 可 以 指 定 将 日 志 信 息 输 出 到 特 定 目 的 地 关 于 日 志 信 息 输 出 配 置 的 详 细 信 息, 请 参 阅 " 日 志 管 理 " 在 第 385 页 邮 件 过 滤 规 则 配 置 后 会 立 即 生 效 启 用 / 禁 用 规 则 默 认 情 况 下, 配 置 好 的 规 则 会 在 系 统 中 立 即 生 效 用 户 可 以 通 过 配 置 禁 用 某 条 规 则, 使 其 不 对 流 量 进 行 控 制 启 用 / 禁 用 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 邮 件 过 滤, 进 入 邮 件 过 滤 页 面 2. 选 中 列 表 中 需 要 启 用 / 禁 用 的 规 则 对 应 的 复 选 框, 然 后 点 击 启 用 或 禁 用 按 钮 调 整 优 先 级 流 量 进 入 设 备 时, 设 备 对 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 进 行 处 理 用 户 可 根 据 需 要, 移 动 规 则 的 位 置 进 而 调 整 规 则 的 优 先 级, 使 其 处 在 首 位 或 者 处 在 末 位, 也 可 以 位 于 某 个 规 则 之 前 或 之 后 调 整 规 则 的 优 先 级, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 邮 件 过 滤, 进 入 邮 件 过 滤 页 面 2. 点 击 规 则 列 表 上 方 的 优 先 级 按 钮, 弹 出 < 优 先 级 > 对 话 框 3. 单 击 选 中 需 要 移 动 的 规 则 名 称, 点 击 右 侧 的 按 钮 移 动 相 应 的 规 则 4. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 查 看 邮 件 内 容 关 键 字 阻 断 统 计 配 置 邮 件 过 滤 功 能 后, 用 户 可 查 看 邮 件 内 容 关 键 字 阻 断 统 计 结 果 点 击 监 控 > 关 键 字 阻 断 > 邮 件 内 容, 进 入 邮 件 内 容 关 键 字 阻 断 结 果 的 统 计 页 面, 该 页 面 显 示 邮 件 内 容 关 键 字 阻 断 的 统 计 信 息 具 体 信 息, 参 阅 监 控 模 块 中 " 关 键 字 阻 断 " 在 第 352 页 的 邮 件 内 容 部 分 查 看 邮 件 过 滤 关 键 字 日 志 查 看 邮 件 内 容 关 键 字 日 志, 参 阅 监 控 模 块 中 的 "NBC 日 志 " 在 第 384 页 部 分 网 络 聊 天 网 络 聊 天 功 能 可 以 控 制 用 户 使 用 MSN QQ 和 雅 虎 通 聊 天 的 行 为, 并 记 录 上 下 线 日 志 网 络 管 理 员 可 以 针 对 不 同 用 户 不 同 时 间 不 同 聊 天 行 为 制 定 适 合 的 网 络 聊 天 规 则, 系 统 将 会 对 与 规 则 相 匹 配 的 网 络 流 量 根 据 配 置 进 行 处 理 配 置 网 络 聊 天 规 则 配 置 网 络 聊 天 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 络 聊 天, 进 入 网 络 聊 天 页 面 271 第 10 章 策 略

292 2. 点 击 新 建 按 钮, 弹 出 < 网 络 聊 天 控 制 规 则 > 对 话 框 在 对 话 框 中 填 写 网 络 聊 天 控 制 规 则 的 配 置 信 息 选 项 说 明 名 称 输 入 规 则 名 称 目 的 安 全 域 指 定 规 则 的 目 的 安 全 域 规 则 将 对 进 入 此 安 全 域 的 流 量 生 效 用 户 类 型 指 定 规 则 的 用 户 类 型 规 则 将 对 此 类 用 户 类 型 的 流 量 生 效 用 户 类 型 包 括 源 地 址 和 用 户 两 类 源 地 址 类 型 包 括 地 址 簿 地 址 IP/ 掩 码 IP 范 围 主 机 名 称 用 户 类 型 包 括 角 色 用 户 用 户 组 系 统 默 认 使 用 地 址 簿 条 目 Any, 从 而 对 任 意 IP 地 址 生 效 用 户 可 根 据 需 求 进 行 调 整 源 地 址 源 地 址 类 型 包 括 地 址 簿 IP/ 掩 码 IP 范 围 和 主 机 名 称 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 地 址 簿, 需 要 在 地 址 簿 下 拉 菜 单 中 选 中 需 要 的 地 址 簿 条 目 ; 如 果 选 中 IP/ 掩 码, 需 要 在 文 本 框 输 入 IP 地 址 和 网 络 掩 码 ; 如 果 选 中 IP 范 围, 需 要 在 文 本 框 中 输 入 IP 范 围 的 起 始 IP; 如 果 选 中 主 机 名 称, 需 要 在 文 本 框 中 输 入 主 机 名 称 输 入 完 成 后, 点 击 添 加 按 钮 第 10 章 策 略 272

293 选 项 用 户 说 明 用 户 类 型 包 括 角 色 用 户 和 用 户 组 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 角 色, 需 要 在 角 色 下 拉 菜 单 选 中 需 要 的 角 色 ; 如 果 选 中 用 户 组, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 组 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 组 ; 如 果 选 中 用 户, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 输 入 完 成 后, 点 击 添 加 按 钮 时 间 表 指 定 规 则 的 时 间 表, 控 制 规 则 在 指 定 时 间 内 生 效 系 统 默 认 无 时 间 表 配 置, 即 任 意 时 间 都 有 效 在 下 拉 菜 单 中 选 择 所 需 要 的 时 间 表, 或 者 在 下 拉 菜 单 中 点 击 新 建 时 间 表 按 钮 新 建 时 间 表 控 制 MSN 对 使 用 MSN 聊 天 进 行 控 制 配 置 方 法 如 下 : 1. 在 账 号 文 本 框 中 输 入 MSN 账 号 2. 点 击 添 加 按 钮, 将 账 号 添 加 进 下 方 的 账 号 列 表 3. 选 中 列 表 中 账 号, 并 选 择 相 应 的 控 制 动 作, 包 括 阻 止 使 用 和 记 录 日 志 阻 止 使 用 : 选 中 复 选 框, 指 定 阻 止 使 用 相 应 的 MSN 帐 号 记 录 日 志 : 选 中 复 选 框, 指 定 记 录 相 应 MSN 帐 号 的 上 下 线 日 志 4. 如 需 要, 在 列 表 外 的 所 有 MSN 账 号 部 分 对 使 用 列 表 外 的 MSN 账 号 进 行 控 制 QQ 对 使 用 QQ 聊 天 进 行 控 制 配 置 方 法 如 下 : 1. 在 账 号 文 本 框 输 入 QQ 账 号 2. 点 击 添 加 按 钮, 将 账 号 添 加 进 下 方 的 账 号 列 表 3. 选 中 列 表 中 账 号, 并 选 择 相 应 的 的 控 制 动 作, 包 括 阻 止 使 用 和 记 录 日 志 阻 止 使 用 : 选 中 复 选 框, 指 定 阻 止 使 用 相 应 的 QQ 帐 号 记 录 日 志 : 选 中 复 选 框, 指 定 记 录 相 应 QQ 帐 号 的 上 下 线 日 志 4. 如 需 要, 在 列 表 外 的 所 有 QQ 账 号 部 分 对 使 用 列 表 外 的 QQ 账 号 进 行 控 制 雅 虎 通 对 使 用 雅 虎 通 聊 天 进 行 控 制 配 置 方 法 如 下 : 273 第 10 章 策 略

294 选 项 说 明 1. 在 账 号 文 本 框 输 入 雅 虎 通 账 号 2. 点 击 添 加 按 钮, 将 账 号 添 加 进 下 方 的 账 号 列 表 3. 选 中 列 表 中 账 号, 并 选 择 相 应 的 控 制 动 作, 包 括 阻 止 使 用 和 记 录 日 志 阻 止 使 用 : 选 中 复 选 框, 指 定 阻 止 使 用 相 应 的 雅 虎 通 帐 号 记 录 日 志 : 选 中 复 选 框, 指 定 记 录 相 应 雅 虎 通 帐 号 的 上 下 线 日 志 4. 如 需 要, 在 列 表 外 的 所 有 雅 虎 通 账 号 部 分 对 使 用 列 表 外 的 雅 虎 通 账 号 进 行 控 制 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 如 果 需 要, 用 户 还 可 以 配 置 免 监 控 用 户 功 能, 设 置 不 受 网 络 聊 天 控 制 规 则 控 制 的 特 殊 用 户 注 意 : 用 户 可 以 指 定 将 日 志 信 息 输 出 到 特 定 目 的 地 关 于 日 志 信 息 输 出 配 置 的 详 细 信 息, 请 参 阅 " 日 志 管 理 " 在 第 385 页 网 络 聊 天 规 则 配 置 后 会 立 即 生 效 启 用 / 禁 用 规 则 默 认 情 况 下, 配 置 好 的 规 则 会 在 系 统 中 立 即 生 效 用 户 可 以 通 过 配 置 禁 用 某 条 规 则, 使 其 不 对 流 量 进 行 控 制 启 用 / 禁 用 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 络 聊 天, 进 入 网 络 聊 天 页 面 2. 选 中 列 表 中 需 要 启 用 / 禁 用 的 规 则 对 应 的 复 选 框, 然 后 点 击 启 用 或 禁 用 按 钮 调 整 优 先 级 流 量 进 入 设 备 时, 设 备 对 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 进 行 处 理 用 户 可 根 据 需 要, 移 动 规 则 的 位 置 进 而 调 整 规 则 的 优 先 级, 使 其 处 在 首 位 或 者 处 在 末 位, 也 可 以 位 于 某 个 规 则 之 前 或 之 后 调 整 规 则 的 优 先 级, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 网 络 聊 天, 进 入 网 络 聊 天 页 面 2. 点 击 规 则 列 表 上 方 的 优 先 级 按 钮, 弹 出 < 优 先 级 > 对 话 框 3. 单 击 选 中 需 要 移 动 的 规 则 名 称, 点 击 右 侧 的 按 钮 移 动 相 应 的 规 则 4. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 查 看 网 络 聊 天 日 志 查 看 网 络 聊 天 日 志, 参 阅 监 控 模 块 中 的 "NBC 日 志 " 在 第 384 页 部 分 应 用 行 为 控 制 应 用 行 为 控 制 功 能 可 以 对 FTP 和 HTTP 应 用 程 序 行 为 进 行 控 制 和 审 计 ( 记 录 日 志 ), 包 括 : 第 10 章 策 略 274

295 对 FTP 的 Login Get Put 行 为 进 行 行 为 控 制 和 行 为 审 计 ; 对 HTTP 的 Connect Get Put Head Options Post Trace Delete 行 为 进 行 行 为 控 制 和 行 为 审 计 阻 止 下 载 指 定 类 型 的 文 件 ( 如.bat.com 等 ) 以 及 ActiveX 和 Java Applet 对 象 网 络 管 理 员 可 以 针 对 不 同 用 户 不 同 时 间 不 同 应 用 程 序 行 为 制 定 适 合 的 应 用 行 为 控 制 规 则, 系 统 将 会 对 与 规 则 相 匹 配 的 网 络 流 量 根 据 配 置 进 行 处 理 配 置 应 用 行 为 控 制 规 则 配 置 应 用 行 为 控 制 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 应 用 行 为 控 制, 进 入 应 用 行 为 控 制 页 面 2. 点 击 新 建 按 钮, 弹 出 < 应 用 行 为 控 制 规 则 配 置 > 对 话 框 在 对 话 框 中 填 写 应 用 行 为 控 制 规 则 的 配 置 信 息 选 项 说 明 名 称 输 入 规 则 名 称 目 的 安 全 域 指 定 规 则 的 目 的 安 全 域 规 则 将 对 进 入 此 安 全 域 的 流 量 生 效 用 户 类 型 指 定 规 则 的 用 户 类 型 规 则 将 对 此 类 用 户 类 型 的 流 量 生 效 用 户 类 型 包 括 源 地 址 和 用 户 两 类 源 地 址 类 型 包 括 地 址 簿 地 址 IP/ 掩 码 IP 范 围 主 机 名 称 用 户 类 型 包 括 角 色 用 户 用 户 组 系 统 默 认 使 用 地 址 簿 条 目 Any, 从 而 对 任 意 IP 地 址 生 效 用 户 可 根 据 需 求 进 行 调 整 源 地 址 源 地 址 类 型 包 括 地 址 簿 IP/ 掩 码 IP 范 围 和 主 机 名 称 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 275 第 10 章 策 略

296 选 项 说 明 如 果 选 中 地 址 簿, 需 要 在 地 址 簿 下 拉 菜 单 中 选 中 需 要 的 地 址 簿 条 目 ; 如 果 选 中 IP/ 掩 码, 需 要 在 文 本 框 输 入 IP 地 址 和 网 络 掩 码 ; 如 果 选 中 IP 范 围, 需 要 在 文 本 框 中 输 入 IP 范 围 的 起 始 IP; 如 果 选 中 主 机 名 称, 需 要 在 文 本 框 中 输 入 主 机 名 称 输 入 完 成 后, 点 击 添 加 按 钮 用 户 用 户 类 型 包 括 角 色 用 户 和 用 户 组 之 间 的 任 意 组 合 在 配 置 类 型 中 选 中 需 要 的 类 型 如 果 选 中 角 色, 需 要 在 角 色 下 拉 菜 单 选 中 需 要 的 角 色 ; 如 果 选 中 用 户 组, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 组 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 组 ; 如 果 选 中 用 户, 需 要 在 AAA 服 务 器 下 拉 菜 单 选 中 服 务 器 并 在 用 户 下 拉 菜 单 / 文 本 框 中 选 中 / 输 入 用 户 输 入 完 成 后, 点 击 添 加 按 钮 时 间 表 指 定 规 则 的 时 间 表, 控 制 规 则 在 指 定 时 间 内 生 效 系 统 默 认 无 时 间 表 配 置, 即 任 意 时 间 都 有 效 在 下 拉 菜 单 中 选 择 所 需 要 的 时 间 表, 或 者 在 下 拉 菜 单 中 点 击 新 建 时 间 表 按 钮 新 建 时 间 表 控 制 FTP 控 制 对 FTP 的 Login Get Put 行 为 进 行 控 制 点 击 FTP 控 制 对 应 的 展 开 按 钮 ( + 号 ), 在 滑 出 区 域 进 行 如 下 配 置 : 1. 在 第 一 个 下 拉 菜 单 中 指 定 需 要 控 制 的 FTP 应 用 程 序 行 为, 包 括 GET PUT 和 Login 2. 在 文 本 框 中 输 入 相 应 的 文 件 名 ( 应 用 程 序 行 为 为 GET 或 者 PUT 时 ) 或 者 用 户 名 ( 应 用 程 序 行 为 为 Login 时 ) 3. 在 第 二 个 下 拉 菜 单 中 指 定 控 制 动 作, 包 括 阻 止 和 允 许 4. 在 第 三 个 下 拉 菜 单 中 指 定 日 志 记 录 类 型, 包 括 不 记 录 和 记 录 日 志 5. 点 击 添 加 按 钮, 将 控 制 配 置 条 目 添 加 进 下 方 的 列 表 6. 如 需 要, 按 照 步 骤 1 和 5 添 加 其 它 控 制 配 置 条 目 如 需 要 编 辑 / 删 除 控 制 配 置, 单 击 选 中 列 表 中 的 控 制 配 置 条 目, 点 击 列 表 右 侧 的 编 辑 / 删 除 按 钮, 编 辑 / 删 除 相 应 的 控 制 配 置 条 目 HTTP 控 制 对 HTTP 的 Connect Get Put Head Options Post Trace 行 为 进 行 控 制 点 击 HTTP 控 制 对 应 的 展 开 按 钮 ( + 号 ), 在 滑 出 区 域 进 行 如 下 第 10 章 策 略 276

297 选 项 说 明 配 置 : 1. 在 第 一 个 下 拉 菜 单 中 指 定 需 要 控 制 的 HTTP 应 用 程 序 行 为, 包 括 Connect GET PUT Head Options Post 和 Trace 2. 在 文 本 框 中 输 入 相 应 的 域 名 3. 在 第 二 个 下 拉 菜 单 中 指 定 控 制 动 作, 包 括 阻 止 和 允 许 4. 在 第 三 个 下 拉 菜 单 中 指 定 日 志 记 录 类 型, 包 括 不 记 录 和 记 录 日 志 5. 点 击 添 加 按 钮, 将 控 制 配 置 条 目 添 加 进 下 方 的 列 表 6. 如 需 要, 按 照 步 骤 1 和 5 添 加 其 它 控 制 配 置 条 目 如 需 要 编 辑 / 删 除 控 制 配 置, 单 击 选 中 列 表 中 的 控 制 配 置 条 目, 点 击 列 表 右 侧 的 编 辑 / 删 除 按 钮, 编 辑 / 删 除 相 应 的 控 制 配 置 条 目 HTTP 阻 止 下 载 阻 止 下 载 制 定 的 文 件 类 型 ( 如.bat.com 等 ) 以 及 ActiveX 和 Java Applet 对 象 点 击 HTTP 阻 止 下 载 对 应 的 展 开 按 钮 ( + 号 ), 在 滑 出 区 域 选 中 阻 止 下 载 对 象 所 对 应 的 复 选 框 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 如 果 需 要, 用 户 还 可 以 配 置 相 关 的 页 面 提 示 Bypass 域 名 和 免 监 控 用 户 功 能 相 关 功 能 介 绍 如 下 : 功 能 页 面 提 示 介 绍 用 户 被 阻 断 警 告 : 当 用 户 的 上 网 行 为 被 阻 断 时, 在 用 户 的 Web 浏 览 器 中 显 示 访 问 被 拒 绝 的 警 告 信 息 用 户 被 监 控 警 告 : 当 用 户 的 上 网 行 为 被 监 控 时, 在 用 户 的 Web 浏 览 器 中 显 示 行 为 被 监 控 的 警 告 信 息 Bypass 域 名 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 域 名 免 监 控 用 户 设 置 不 受 上 网 行 为 控 制 规 则 控 制 的 特 殊 用 户 注 意 : 用 户 可 以 指 定 将 日 志 信 息 输 出 到 特 定 目 的 地 关 于 日 志 信 息 输 出 配 置 的 详 细 信 息, 请 参 阅 " 日 志 管 理 " 在 第 385 页 应 用 行 为 控 制 规 则 配 置 后 会 立 即 生 效 启 用 / 禁 用 规 则 默 认 情 况 下, 配 置 好 的 规 则 会 在 系 统 中 立 即 生 效 用 户 可 以 通 过 配 置 禁 用 某 条 规 则, 使 其 不 对 流 量 进 行 控 制 启 用 / 禁 用 规 则, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 应 用 行 为 控 制, 进 入 应 用 行 为 控 制 页 面 2. 选 中 列 表 中 需 要 启 用 / 禁 用 的 规 则 对 应 的 复 选 框, 然 后 点 击 启 用 或 禁 用 按 钮 277 第 10 章 策 略

298 调 整 优 先 级 流 量 进 入 设 备 时, 设 备 对 规 则 进 行 顺 序 查 找, 然 后 按 照 查 找 到 的 相 匹 配 的 第 一 条 规 则 对 流 量 进 行 处 理 用 户 可 根 据 需 要, 移 动 规 则 的 位 置 进 而 调 整 规 则 的 优 先 级, 使 其 处 在 首 位 或 者 处 在 末 位, 也 可 以 位 于 某 个 规 则 之 前 或 之 后 调 整 规 则 的 优 先 级, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 上 网 行 为 控 制 > 应 用 行 为 控 制, 进 入 应 用 行 为 控 制 页 面 2. 点 击 规 则 列 表 上 方 的 优 先 级 按 钮, 弹 出 < 优 先 级 > 对 话 框 3. 单 击 选 中 需 要 移 动 的 规 则 名 称, 点 击 右 侧 的 按 钮 移 动 相 应 的 规 则 4. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 查 看 应 用 行 为 控 制 日 志 查 看 应 用 行 为 控 制 日 志, 参 阅 监 控 模 块 中 的 "NBC 日 志 " 在 第 384 页 部 分 第 10 章 策 略 278

299 黑 名 单 将 IP 或 者 服 务 添 加 到 黑 名 单 后, 系 统 将 对 黑 名 单 中 的 IP 或 者 服 务 执 行 阻 断 操 作, 直 到 阻 断 时 间 结 束 加 入 到 黑 名 单 的 IP 或 者 服 务 分 两 种, 即 用 户 手 动 加 入 和 系 统 自 动 加 入 系 统 自 动 加 入 指 在 功 能 模 块 ( 例 如 IPS) 中 配 置 了 IP 或 者 服 务 阻 断 的 动 作 后,IP 或 者 服 务 匹 配 到 相 关 策 略 后 被 阻 断, 系 统 将 自 动 把 被 阻 断 的 IP 或 者 服 务 添 加 到 黑 名 单 中 黑 名 单 配 置 包 括 IP 阻 断 配 置 以 及 服 务 阻 断 配 置 配 置 I P 阻 断 配 置 IP 阻 断, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 黑 名 单, 进 入 黑 名 单 页 面 2. 在 <IP 阻 断 > 标 签 页, 点 击 新 建 按 钮, 弹 出 < 阻 断 的 IP 配 置 > 对 话 框 在 对 话 框 中 填 写 配 置 信 息 选 项 说 明 虚 拟 路 由 器 在 下 拉 菜 单 中 选 择 被 阻 断 IP 所 属 的 虚 拟 路 由 器 输 入 IP 地 址 阻 断 时 长 在 文 本 框 中 输 入 需 要 被 阻 断 的 IP 此 IP 地 址 既 可 以 为 发 起 访 问 的 源 IP 地 址, 也 可 以 为 被 访 问 的 目 的 IP 地 址 在 文 本 框 中 输 入 IP 地 址 将 被 阻 断 的 时 长, 单 位 为 秒, 范 围 是 60 到 3600 秒 默 认 为 60 秒 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 配 置 服 务 阻 断 配 置 服 务 阻 断, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 策 略 > 黑 名 单, 进 入 黑 名 单 页 面 2. 在 < 服 务 阻 断 > 标 签 页, 点 击 新 建 按 钮, 弹 出 < 阻 断 的 服 务 配 置 > 对 话 框 279 第 10 章 策 略

300 在 对 话 框 中 填 写 配 置 信 息 选 项 说 明 虚 拟 路 由 器 在 下 拉 菜 单 中 选 择 被 阻 断 IP 所 属 的 虚 拟 路 由 器 源 IP 指 定 被 阻 断 服 务 的 源 IP 服 务 阻 断 功 能 将 阻 止 从 源 IP 访 问 目 的 IP 的 服 务 目 的 IP 指 定 被 阻 断 服 务 的 目 的 IP 目 的 端 口 指 定 被 阻 断 服 务 的 目 的 端 口 协 议 指 定 被 阻 断 服 务 的 协 议 阻 断 时 长 在 文 本 框 中 输 入 IP 地 址 将 被 阻 断 的 时 长, 单 位 为 秒, 范 围 是 60 到 3600 秒 默 认 为 60 秒 3. 点 击 确 定 按 钮, 保 存 所 做 配 置 并 返 回 上 一 级 对 话 框 / 页 面 第 10 章 策 略 280

301 第 11 章 威 胁 防 护 该 功 能 在 不 同 平 台 上 的 呈 现 方 式 有 所 差 异, 请 以 实 际 页 面 为 准 威 胁 防 护, 即 设 备 可 检 测 并 阻 断 网 络 威 胁 的 发 生 通 过 配 置 威 胁 防 护 功 能,Hillstone 设 备 可 防 御 外 部 攻 击, 减 少 对 内 网 安 全 造 成 的 损 失 威 胁 防 护 包 括 : 病 毒 过 滤 : 可 检 测 最 易 携 带 病 毒 的 文 件 类 型 和 常 用 的 协 议 类 型 (POP3 HTTP SMTP IMAP4 以 及 FTP) 并 对 其 进 行 病 毒 防 护 可 扫 描 文 件 类 型 包 括 存 档 文 件 ( 包 含 压 缩 存 档 文 件, 支 持 压 缩 类 型 有 GZIP BZIP2 TAR ZIP 和 RAR) PE HTML MAIL RIFF 和 JPEG 入 侵 防 御 : 可 检 测 并 防 护 针 对 主 流 应 用 层 协 议 (DNS FTP HTTP POP3 SMTP TELNET MYSQL MSSQL ORACLE NETBIOS 等 ) 的 入 侵 攻 击 基 于 Web 的 攻 击 行 为 以 及 常 见 的 木 马 攻 击 攻 击 防 护 : 可 检 测 各 种 类 型 的 网 络 攻 击, 从 而 采 取 相 应 的 措 施 保 护 内 部 网 络 免 受 恶 意 攻 击, 以 保 证 内 部 网 络 及 系 统 正 常 运 行 异 常 行 为 检 测 : 根 据 特 征 库 中 的 异 常 行 为 检 测 规 则 检 测 会 话 流 量, 当 检 测 对 象 的 多 个 参 量 发 生 异 常 时, 系 统 将 分 析 其 参 量 异 常 的 关 联 关 系, 判 断 检 测 对 象 是 否 产 生 了 异 常 行 为 边 界 流 量 过 滤 : 通 过 对 基 于 已 知 的 IP 地 址 黑 白 名 单 对 流 量 进 行 过 滤, 并 对 命 中 黑 名 单 的 恶 意 流 量 采 取 阻 断 措 施 进 行 处 理 高 级 威 胁 检 测 : 通 过 对 基 于 主 机 的 可 疑 流 量 进 行 智 能 分 析, 判 断 是 否 为 恶 意 软 件 设 备 支 持 基 于 安 全 域 和 基 于 策 略 的 威 胁 防 护 方 式 为 安 全 域 配 置 威 胁 防 护 后, 系 统 将 会 对 以 绑 定 安 全 域 为 目 的 安 全 域 / 源 安 全 域 的 流 量 根 据 威 胁 防 护 配 置 进 行 检 查 并 做 相 应 的 动 作 响 应 为 策 略 配 置 威 胁 防 护 后, 系 统 将 会 对 与 策 略 规 则 相 匹 配 的 流 量 根 据 威 胁 防 护 配 置 进 行 检 查 和 响 应 若 安 全 域 和 策 略 中 均 配 置 了 威 胁 防 护, 策 略 中 的 配 置 项 将 有 更 高 的 优 先 权 ; 在 安 全 域 配 置 中, 目 的 安 全 域 的 优 先 权 将 高 于 源 安 全 域 注 意 : 基 于 策 略 的 威 胁 防 护 方 式, 系 统 目 前 仅 支 持 配 置 病 毒 过 滤 功 能 和 入 侵 防 御 功 能 威 胁 防 护 功 能 受 许 可 证 控 制, 即 为 支 持 威 胁 防 护 功 能 的 设 备 安 装 许 可 证 后, 功 能 才 可 使 用 如 需 使 用, 请 先 申 请 并 正 确 安 装 威 胁 防 护 (TP) 许 可 证 病 毒 过 滤 (AV) 许 可 证 或 入 侵 防 御 (IPS) 许 可 证 威 胁 防 护 特 征 库 威 胁 防 护 特 征 库 包 括 病 毒 过 滤 特 征 库 入 侵 防 御 特 征 库 边 界 流 量 过 滤 特 征 库 异 常 行 为 检 测 特 征 库 和 高 级 威 胁 检 测 特 征 库 默 认 情 况 下, 设 备 会 每 日 自 动 更 新 威 胁 防 护 特 征 库, 目 前 支 持 在 线 更 新 和 本 地 更 新 两 种 方 式 Hillstone 提 供 两 个 默 认 特 征 库 更 新 服 务 器, 分 别 是 update1.hillstonenet.com 和 update2.hillstonenet.com 用 户 可 以 根 据 需 要 更 改 特 征 库 更 新 配 置 特 征 根 据 严 重 程 度 分 为 三 个 级 别 ( 安 全 级 别 ), 分 别 为 严 重 (Critical) 警 告 (Warning) 和 信 息 (Informational), 各 级 别 说 明 如 下 用 户 可 根 据 特 征 严 重 程 度, 设 置 系 统 对 该 特 征 攻 击 所 将 采 取 的 行 为 严 重 (Critical): 严 重 的 攻 击 事 件, 例 如 缓 冲 区 溢 出 警 告 (Warning): 具 有 一 定 攻 击 性 的 事 件, 例 如 超 长 的 URL 信 息 (Informational): 一 般 事 件, 例 如 登 录 失 败 第 11 章 威 胁 防 护 281

302 病 毒 过 滤 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 系 统 的 病 毒 过 滤 功 能 能 够 为 用 户 提 供 高 速 高 性 能 以 及 低 延 迟 的 病 毒 过 滤 解 决 方 案 配 置 病 毒 过 滤 功 能 后, 设 备 能 够 探 测 各 种 病 毒 威 胁, 例 如 恶 意 软 件 恶 意 网 站 等, 并 且 根 据 配 置 对 发 现 的 病 毒 进 行 处 理 病 毒 过 滤 功 能 可 检 测 最 易 携 带 病 毒 的 文 件 类 型 和 常 用 的 协 议 类 型 (POP3 HTTP SMTP IMAP4 以 及 FTP) 并 对 其 进 行 病 毒 防 护 可 扫 描 文 件 类 型 包 括 存 档 文 件 ( 包 含 压 缩 存 档 文 件, 支 持 压 缩 类 型 有 GZIP BZIP2 TAR ZIP 和 RAR) PE HTML MAIL RIFF 和 JPEG 系 统 的 病 毒 过 滤 特 征 库 包 含 万 余 种 病 毒 特 征, 支 持 病 毒 过 滤 特 征 库 的 每 日 自 动 升 级, 也 可 以 手 动 实 时 升 级, 请 参 阅 " 升 级 管 理 " 在 第 421 页 的 升 级 特 征 库 部 分 注 意 : 病 毒 过 滤 功 能 受 许 可 证 控 制, 即 为 支 持 病 毒 过 滤 功 能 的 设 备 安 装 病 毒 过 滤 (AV) 许 可 证 或 威 胁 防 护 (TP) 许 可 证 后, 功 能 才 可 使 用 282 第 11 章 威 胁 防 护

303 配 置 病 毒 过 滤 病 毒 过 滤 配 置 准 备 工 作 使 用 病 毒 过 滤 功 能 前, 必 须 完 成 以 下 准 备 工 作 : 1. 确 认 系 统 版 本 支 持 病 毒 过 滤 功 能 2. 安 装 威 胁 防 护 (TP) 许 可 证 或 者 病 毒 过 滤 (AV) 许 可 证, 然 后 重 启 设 备 设 备 成 功 重 启 后, 病 毒 过 滤 功 能 即 处 于 开 启 状 态 注 意 : 初 次 使 用 病 毒 过 滤 功 能, 需 要 首 先 更 新 病 毒 过 滤 特 征 库 为 保 证 能 够 正 常 连 接 到 默 认 更 新 服 务 器, 请 在 更 新 前 为 设 备 配 置 DNS 服 务 器 除 部 分 设 备 (M8860/M8260/M7860/M7360/M7260) 以 外, 其 他 设 备 开 启 病 毒 过 滤 功 能 后, 系 统 的 最 大 并 发 连 接 数 将 会 减 半 配 置 病 毒 过 滤 功 能 系 统 支 持 基 于 安 全 域 和 基 于 策 略 的 病 毒 过 滤 配 置 方 式 : 为 安 全 域 配 置 病 毒 过 滤 规 则 后, 系 统 将 会 对 以 绑 定 安 全 域 为 目 的 安 全 域 / 源 安 全 域 的 流 量 根 据 病 毒 过 滤 规 则 配 置 进 行 病 毒 过 滤 检 查 为 策 略 配 置 病 毒 过 滤 规 则 后, 系 统 将 会 对 与 策 略 规 则 相 匹 配 的 流 量 根 据 规 则 配 置 进 行 病 毒 过 滤 检 查 若 安 全 域 和 策 略 中 均 配 置 了 病 毒 过 滤 规 则, 策 略 中 的 配 置 项 将 有 更 高 的 优 先 权 ; 在 安 全 域 配 置 中, 目 的 安 全 域 的 优 先 权 将 高 于 源 安 全 域 基 于 安 全 域 和 基 于 策 略 的 病 毒 过 滤 配 置 方 式, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 创 建 安 全 域 / 策 略 安 全 域 配 置 请 参 考 " 安 全 域 " 在 第 39 页 ; 策 略 配 置 请 参 考 " 安 全 策 略 " 在 第 205 页 配 置 策 略 规 则 一 节 2. 在 < 安 全 域 配 置 > 对 话 框 中, 选 择 < 威 胁 防 护 > 标 签 页 在 < 策 略 配 置 > 对 话 框 中, 选 择 < 高 级 配 置 > 标 签 页 3. 勾 选 病 毒 过 滤 后 的 启 用 复 选 框 ; 并 可 根 据 自 身 需 要, 点 击 模 板 下 拉 菜 单 选 择 已 配 置 好 的 病 毒 过 滤 规 则 或 默 认 规 则 ; 也 可 点 击 模 板 下 拉 菜 单 中 新 建 配 置 按 钮, 新 建 病 毒 过 滤 规 则 关 于 配 置 病 毒 过 滤 规 则, 请 参 阅 配 置 病 毒 过 滤 规 则 配 置 病 毒 过 滤 规 则 配 置 病 毒 过 滤 规 则, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 病 毒 过 滤 2. 点 击 新 建 按 钮 第 11 章 威 胁 防 护 283

304 在 < 病 毒 过 滤 规 则 配 置 > 对 话 框, 填 写 病 毒 过 滤 规 则 配 置 信 息 选 项 说 明 规 则 名 称 指 定 病 毒 过 滤 规 则 名 称 扫 描 文 件 类 型 指 定 系 统 将 扫 描 的 文 件 类 型, 可 以 是 GZIP JPEG MAIL RAR HTML 等 扫 描 协 议 类 型 指 定 系 统 将 扫 描 的 协 议 类 型 (HTTP SMTP POP3 IMAP4 FTP) 以 及 发 现 病 毒 后 的 处 理 动 作 填 充 魔 术 数 - 使 用 文 件 填 充 的 方 式 处 理 病 毒 文 件, 即 从 文 件 中 被 病 毒 感 染 部 分 的 起 始 位 置 起 使 用 魔 术 字 (Virus is found, cleaned) 进 行 填 充, 一 直 到 被 感 染 部 分 结 束 只 记 录 日 志 - 系 统 发 现 病 毒 后 仅 记 录 日 志 信 息 警 告 - 弹 出 警 告 提 示 页 面, 提 示 用 户 发 现 病 毒 用 户 可 在 警 告 提 示 页 面 点 击 忽 略 此 警 告 链 接, 跳 过 该 页 面, 继 续 访 问 跳 过 警 告 提 示 页 面 后, 若 用 户 一 小 时 之 内 再 次 访 问 该 网 站, 将 不 会 收 到 警 告 提 示 该 选 项 只 对 通 过 HTTP 协 议 传 输 的 信 息 进 行 病 毒 扫 描 时 有 效 重 置 连 接 - 发 现 病 毒 后, 重 置 病 毒 连 接 抓 包 勾 选 抓 包 复 选 框, 启 用 分 析 取 证 功 能 恶 意 网 站 访 问 控 制 勾 选 复 选 框, 开 启 策 略 或 安 全 域 的 恶 意 网 站 访 问 控 制 功 能 行 为 指 定 系 统 发 现 恶 意 链 接 后 的 处 理 动 作 : 只 记 录 日 志 - 系 统 发 现 恶 意 链 接 后 仅 记 录 日 志 信 息 重 置 连 接 - 发 现 恶 意 链 接 后, 重 置 恶 意 链 接 连 接 返 回 告 警 页 面 - 弹 出 警 告 提 示 页 面, 提 示 用 户 发 现 恶 意 网 站 点 击 忽 略 此 警 告 链 接, 跳 过 警 告 提 示 页 面 继 续 访 问 跳 过 警 告 提 示 页 面 后, 若 用 户 一 小 时 之 内 再 次 访 问 该 网 站, 将 不 会 收 到 警 告 提 示 启 用 标 签 邮 件 如 果 选 择 对 通 过 SMTP 协 议 传 输 的 邮 件 进 行 病 毒 扫 描, 则 用 户 可 以 对 发 出 的 电 子 邮 件 开 启 标 签 邮 件 功 能, 即 系 统 对 邮 件 及 其 附 件 进 行 扫 描, 扫 描 病 毒 的 结 果 会 包 含 在 邮 件 的 主 体 中, 随 邮 件 一 起 发 送 如 果 没 有 发 现 病 毒, 则 提 示 No virus found ; 如 发 现 病 毒, 则 显 示 邮 件 中 病 毒 相 关 信 息, 包 括 系 统 扫 描 文 件 的 名 称 扫 描 结 果 以 及 对 该 病 毒 的 执 行 动 作 在 文 本 框 内 指 定 邮 件 结 尾 内 容, 范 围 是 个 字 符 3. 点 击 确 定 按 钮 保 存 所 做 配 置 并 返 回 病 毒 过 滤 规 则 页 面 284 第 11 章 威 胁 防 护

305 注 意 : 默 认 情 况 下, 根 据 病 毒 过 滤 的 防 护 级 别, 系 统 自 带 三 条 默 认 病 毒 过 滤 规 则 :predef_low predef_ middle predef_high, 默 认 规 则 不 允 许 执 行 编 辑 或 删 除 操 作 病 毒 过 滤 全 局 配 置 关 于 病 毒 过 滤 全 局 配 置, 请 参 阅 " 威 胁 防 护 全 局 配 置 " 在 第 317 页 第 11 章 威 胁 防 护 285

306 入 侵 防 御 入 侵 防 御 系 统 (Intrusion Prevention System) 简 称 IPS, 能 够 实 时 监 控 多 种 网 络 攻 击 并 根 据 配 置 对 网 络 攻 击 进 行 阻 断 等 操 作 系 统 的 入 侵 防 御 功 能 能 够 实 现 完 整 的 基 于 状 态 的 检 查, 从 而 极 大 降 低 误 报 率 当 设 备 开 启 多 项 应 用 层 数 据 检 测 功 能 时, 启 用 入 侵 防 御 功 能 不 会 导 致 设 备 性 能 的 明 显 下 降 另 外, 系 统 每 天 通 过 特 征 服 务 器 自 动 更 新 特 征 库, 保 证 特 征 的 完 整 性 和 正 确 性 系 统 的 入 侵 防 御 功 能 对 协 议 的 检 测 流 程 包 括 两 部 分, 分 别 是 协 议 解 析 和 引 擎 匹 配 协 议 解 析 过 程 对 协 议 进 行 分 析, 发 现 协 议 异 常 后, 系 统 会 根 据 配 置 处 理 数 据 包 ( 记 录 日 志 阻 断 屏 蔽 ), 并 产 生 日 志 信 息 报 告 给 管 理 员, 系 统 生 成 的 威 胁 日 志 信 息 详 情 中 包 含 " 威 胁 ID, 即 为 协 议 异 常 的 特 征 ID, 用 户 可 以 威 胁 日 志 页 面 查 看 日 志 的 详 细 信 息 ; 引 擎 匹 配 是 在 分 析 过 程 中 提 取 感 兴 趣 的 协 议 元 素 交 给 引 擎 进 行 准 确 和 快 速 的 特 征 匹 配 检 测, 发 现 与 特 征 库 中 特 征 相 匹 配 的 数 据 包 后, 系 统 根 据 配 置 处 理 数 据 包 ( 记 录 日 志 重 置 屏 蔽 ), 并 产 生 日 志 信 息 报 告 给 管 理 员 系 统 生 成 的 威 胁 日 志 信 息 详 情 中 包 含 " 威 胁 ID, 即 为 特 征 库 中 的 特 征 ID, 用 户 可 以 根 据 该 ID 查 看 错 误 的 具 体 信 息 注 意 : 入 侵 防 御 功 能 受 许 可 证 控 制, 即 为 支 持 入 侵 防 御 功 能 的 设 备 安 装 入 侵 防 御 (IPS) 许 可 证 或 威 胁 防 护 (TP) 许 可 证 后, 功 能 才 可 使 用 特 征 介 绍 入 侵 防 御 特 征 库 包 含 多 种 攻 击 特 征, 当 前 版 本 的 特 征 库 包 含 的 特 征 约 有 3000 多 条 特 征 根 据 协 议 进 行 分 类, 以 特 征 ID 作 为 特 征 的 唯 一 标 识 特 征 ID 由 两 部 分 构 成, 分 别 为 协 议 ID( 第 1 位 或 者 第 1 和 第 2 位 ) 和 攻 击 特 征 ID( 后 5 位 ), 例 如 ID 中, 6 表 示 Telnet 协 议, 表 示 攻 击 特 征 ID 攻 击 特 征 ID 的 第 1 位 是 6 的 为 协 议 异 常 特 征, 其 余 为 攻 击 特 征 协 议 ID 与 协 议 的 对 应 关 系 下 表 所 示 : 协 议 ID 协 议 协 议 ID 协 议 协 议 ID 协 议 协 议 ID 协 议 1 DNS 7 Other-TCP 13 TFTP 19 NetBIOS 2 FTP 8 Other-UDP 14 SNMP 20 DHCP 3 HTTP 9 IMAP 15 MySQL 21 LDAP 4 POP3 10 Finger 16 MSSQL 22 VoIP 5 SMTP 11 SUNRPC 17 Oracle Telnet 12 NNTP 18 MSRPC - - 上 表 中, Other-TCP 表 示 除 表 中 已 列 出 的 标 准 TCP 协 议 以 外 的 其 他 TCP 协 议 ; Other-UDP 表 示 除 表 中 已 列 出 的 标 准 UDP 协 议 以 外 的 其 他 UDP 协 议 特 征 根 据 严 重 程 度 分 为 三 个 级 别 ( 安 全 级 别 ), 分 别 为 严 重 (Critical) 警 告 (Warning) 和 信 息 (Informational), 各 级 别 说 明 如 下 : 严 重 (Critical): 严 重 的 攻 击 事 件, 例 如 缓 冲 区 溢 出 警 告 (Warning): 具 有 一 定 攻 击 性 的 事 件, 例 如 超 长 的 URL 信 息 (Informational): 一 般 事 件, 例 如 登 录 失 败 286 第 11 章 威 胁 防 护

307 配 置 入 侵 防 御 入 侵 防 御 配 置 准 备 工 作 使 用 入 侵 防 御 功 能 前, 必 须 完 成 以 下 准 备 工 作 : 1. 确 认 系 统 版 本 支 持 入 侵 防 御 功 能 ; 2. 安 装 入 侵 防 御 (IPS) 许 可 证 或 威 胁 防 护 (TP) 许 可 证, 然 后 重 启 设 备 设 备 成 功 重 启 后, 入 侵 防 御 功 能 即 处 于 开 启 状 态 注 意 : 除 部 分 设 备 (M8860/M8260/M7860/M7360/M7260) 以 外, 其 他 设 备 开 启 入 侵 防 御 功 能 后, 系 统 的 最 大 并 发 连 接 数 将 会 减 半 配 置 入 侵 防 御 功 能 系 统 支 持 基 于 安 全 域 和 基 于 策 略 的 入 侵 防 御 配 置 方 式, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 创 建 安 全 域 / 策 略 安 全 域 配 置 请 参 考 " 安 全 域 " 在 第 39 页 ; 策 略 配 置 请 参 考 " 安 全 策 略 " 在 第 205 页 配 置 策 略 规 则 一 节 2. 在 < 安 全 域 配 置 > 对 话 框 中, 选 择 < 威 胁 防 护 > 标 签 页 在 < 策 略 配 置 > 对 话 框 中, 选 择 < 高 级 配 置 > 标 签 页 3. 勾 选 入 侵 防 御 后 的 启 用 复 选 框 ; 并 可 根 据 自 身 需 要, 点 击 模 板 下 拉 菜 单 选 择 已 配 置 好 的 入 侵 防 御 规 则 或 默 认 规 则 ; 也 可 点 击 下 拉 菜 单 中 新 建 配 置 按 钮, 新 建 入 侵 防 御 规 则 关 于 配 置 入 侵 防 御 规 则, 请 参 阅 配 置 入 侵 防 御 规 则 4. 在 配 置 基 于 安 全 域 的 入 侵 防 御 功 能 时, 可 以 在 防 护 方 向 下 拉 菜 单 中 选 择 方 向 ( 流 入 流 出 或 者 双 向 ), 使 入 侵 防 御 规 则 对 指 定 安 全 域 指 定 方 向 的 流 量 生 效 配 置 入 侵 防 御 规 则 用 户 可 使 用 系 统 默 认 的 入 侵 防 御 规 则, 也 可 自 行 创 建 规 则 系 统 提 供 两 个 默 认 的 入 侵 防 御 规 则, 分 别 为 predef_default 和 predef_ loose predef_default 规 则 包 含 所 有 IPS 特 征, 对 检 测 效 果 要 求 严 格, 且 处 理 行 为 默 认 为 重 置 ;predef_loose 规 则 仅 包 含 大 部 分 严 重 程 度 比 较 高 或 流 行 度 比 较 高 的 IPS 特 征, 检 测 效 率 较 高, 且 处 理 行 为 默 认 为 只 记 录 日 志 配 置 入 侵 防 御 规 则, 请 按 照 以 下 步 骤 进 行 : 1. 点 击 对 象 > 入 侵 防 御 2. 点 击 新 建 按 钮 3. 在 规 则 名 称 文 本 框 输 入 新 建 规 则 的 名 称 4. 根 据 需 要, 勾 选 抓 包 后 的 启 用 复 选 框, 将 该 规 则 下 的 所 有 协 议 都 启 用 抓 包 5. 在 防 护 类 型 中 勾 选 需 要 防 护 的 协 议 类 型 复 选 框, 可 以 选 择 全 选 或 全 不 选 具 体 协 议 特 征 库 的 相 关 配 置 选 项, 请 参 阅 配 置 协 议 特 征 库 第 11 章 威 胁 防 护 287

308 配 置 协 议 特 征 库 协 议 特 征 库 的 配 置 包 括 协 议 配 置 和 特 征 配 置 两 部 分 指 定 特 征 库 下 不 同 级 别 攻 击 特 征 对 应 的 行 为 ( 记 录 日 志 阻 断 屏 蔽 攻 击 者 ) 以 及 具 体 攻 击 特 征 对 应 的 行 为 ( 优 先 级 高 于 协 议 下 配 置 的 行 为 ) 对 于 HTTP 协 议 特 征 库, 可 以 配 置 Web 服 务 器, 来 检 测 并 防 护 基 于 Web 的 攻 击 行 为, 如 :SQL 注 入 攻 击 XSS 攻 击 协 议 异 常 分 析 CC 攻 击 等 具 体 配 置 相 关 选 项, 请 参 阅 WebServer 防 护 配 置 协 议 配 置 如 果 需 要 对 协 议 特 征 库 进 行 编 辑, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 从 入 侵 防 御 规 则 列 表 中 规 则 对 应 的 协 议 类 型 栏 点 击 协 议 名 称, 打 开 指 定 协 议 特 征 库 对 话 框 2. 点 击 < 协 议 配 置 > 标 签 页, 配 置 当 协 议 的 安 全 级 别 分 别 在 严 重 警 告 信 息 下 的 系 统 响 应 动 作 在 < 协 议 配 置 > 标 签 页, 配 置 不 同 级 别 攻 击 特 征 对 应 的 行 为 信 息 选 项 说 明 抓 包 : 启 用 在 线 抓 包 工 具 行 为 : 为 不 同 级 别 的 特 征 指 定 处 理 行 为 选 中 需 要 的 行 为 的 单 选 按 钮 : 只 记 录 日 志 - 系 统 发 现 攻 击 后 仅 记 录 日 志 信 息 在 严 重 / 警 告 / 信 息 级 别 攻 击 下 阻 断 配 置 重 置 - 发 现 攻 击 后 重 置 连 接 (TCP) 或 者 发 送 目 标 不 可 达 包 (UDP) 并 且 记 录 日 志 信 息 屏 蔽 攻 击 者 : 选 中 启 用 复 选 框 并 设 置 屏 蔽 对 象 和 屏 蔽 时 间 : 阻 断 IP - 屏 蔽 攻 击 者 的 IP 地 址 并 设 置 屏 蔽 时 间 取 值 范 围 为 60 至 3600 秒, 默 认 值 60 秒 阻 断 服 务 - 屏 蔽 攻 击 者 的 服 务 并 设 置 屏 蔽 时 间 取 值 范 围 为 60 至 3600 秒, 默 认 值 60 秒 其 他 配 置 对 协 议 的 一 些 相 关 选 项 进 行 配 置 不 同 协 议 类 型 的 配 置 选 项 不 同, 具 体 说 明 请 参 阅 " 其 他 配 置 选 项 具 体 说 明 不 同 协 议 类 型 的 配 置 选 项 不 同," 其 他 配 置 选 项 具 体 说 明 协 议 DNS 说 明 协 议 异 常 检 查 : 为 特 征 配 置 协 议 合 法 性 检 查 的 严 格 性 严 格 : 配 置 协 议 合 法 性 检 查 为 严 格 配 置 为 严 格 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 根 据 错 误 的 安 全 级 别, 按 照 特 征 配 置 的 288 第 11 章 威 胁 防 护

309 协 议 说 明 相 应 级 别 对 应 的 动 作 对 攻 击 包 进 行 操 作 宽 松 : 配 置 协 议 合 法 性 检 查 为 松 散 配 置 为 松 散 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 仅 记 录 日 志 信 息 然 后 调 用 引 擎 进 行 特 征 匹 配 检 查 在 暴 力 破 解 下 阻 断 配 置 : 配 置 暴 力 破 解 功 能, 即 如 果 一 分 钟 内 指 定 次 数 尝 试 登 录 均 失 败, 系 统 会 判 定 为 攻 击, 并 根 据 配 置 做 出 相 应 每 分 钟 登 录 上 限 值 : 指 定 允 许 的 一 分 钟 内 认 证 / 登 录 失 败 的 次 数 取 值 范 围 是 1 到 , 默 认 值 为 900 屏 蔽 对 象 : 指 定 对 超 出 限 定 认 证 / 登 录 失 败 频 率 的 攻 击 者 的 IP 地 址 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 屏 蔽 时 间 : 指 定 对 攻 击 者 IP 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 的 时 长, 单 位 为 秒, 默 认 值 为 60 秒, 范 围 是 60 到 3600 秒 协 议 异 常 检 查 : 为 特 征 配 置 协 议 合 法 性 检 查 的 严 格 性 严 格 : 配 置 协 议 合 法 性 检 查 为 严 格 配 置 为 严 格 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 根 据 错 误 的 安 全 级 别, 按 照 特 征 集 配 置 的 相 应 级 别 对 应 的 动 作 对 攻 击 包 进 行 操 作 FTP 宽 松 : 配 置 协 议 合 法 性 检 查 为 松 散 配 置 为 松 散 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 仅 记 录 日 志 信 息 然 后 调 用 引 擎 进 行 特 征 匹 配 检 查 Banner 防 护 : 选 中 该 选 项 的 启 用 复 选 框 开 启 FTP 服 务 器 banner 信 息 保 护 功 能 Banner 信 息 : 开 启 banner 防 护 功 能 后, 在 该 文 本 框 中 输 入 新 信 息 替 换 原 有 服 务 器 banner 信 息 命 令 行 最 大 长 度 : 指 定 FTP 命 令 行 的 最 大 长 度 ( 包 含 回 车 换 行 ), 单 位 为 字 节 取 值 范 围 是 5 到 1024 字 节 安 全 级 别 : 指 定 超 过 限 定 命 令 行 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 响 应 行 最 大 长 度 : 指 定 FTP 最 大 响 应 长 度, 单 位 为 字 节 安 全 级 别 : 指 定 超 过 限 定 响 应 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 协 议 异 常 检 查 : 为 特 征 配 置 协 议 合 法 性 检 查 的 严 格 性 严 格 : 配 置 协 议 合 法 性 检 查 为 严 格 配 置 为 严 格 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 根 据 错 误 的 安 全 级 别, 按 照 特 征 集 配 置 的 相 应 级 别 对 应 的 动 作 对 攻 击 包 进 行 操 作 HTTP 宽 松 : 配 置 协 议 合 法 性 检 查 为 松 散 配 置 为 松 散 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 仅 记 录 日 志 信 息 然 后 调 用 引 擎 进 行 特 征 匹 配 检 查 Banner 防 护 : 选 中 该 选 项 的 启 用 复 选 框 开 启 HTTP 服 务 器 banner 信 息 保 护 功 能 Banner 信 息 : 开 启 banner 防 护 功 能 后, 在 该 文 本 框 中 输 入 新 信 息 替 换 原 有 服 务 器 banner 信 息 URI 最 大 长 度 : 指 定 系 统 允 许 的 HTTP 协 议 URL 的 最 大 长 度, 单 位 为 字 节 范 围 为 64 到 4096 字 节 安 全 级 别 : 指 定 超 过 限 定 URL 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 第 11 章 威 胁 防 护 289

310 协 议 说 明 级 别 确 定 相 应 的 动 作 允 许 HTTP 方 法 : 指 定 系 统 允 许 的 HTTP 方 法 在 暴 力 破 解 下 阻 断 配 置 : 配 置 暴 力 破 解 功 能, 即 如 果 一 分 钟 内 指 定 次 数 尝 试 登 录 均 失 败, 系 统 会 判 定 为 攻 击, 并 根 据 配 置 做 出 相 应 每 分 钟 登 录 上 限 值 : 指 定 允 许 的 一 分 钟 内 认 证 / 登 录 失 败 的 次 数 取 值 范 围 是 1 到 , 默 认 值 为 900 屏 蔽 对 象 : 指 定 对 超 出 限 定 认 证 / 登 录 失 败 频 率 的 攻 击 者 的 IP 地 址 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 屏 蔽 时 间 : 指 定 对 攻 击 者 IP 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 的 时 长, 单 位 为 秒, 默 认 值 为 60 秒, 范 围 是 60 到 3600 秒 协 议 异 常 检 查 : 为 特 征 配 置 协 议 合 法 性 检 查 的 严 格 性 严 格 : 配 置 协 议 合 法 性 检 查 为 严 格 配 置 为 严 格 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 根 据 错 误 的 安 全 级 别, 按 照 特 征 集 配 置 的 相 应 级 别 对 应 的 动 作 对 攻 击 包 进 行 操 作 POP3 宽 松 : 配 置 协 议 合 法 性 检 查 为 松 散 配 置 为 松 散 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 仅 记 录 日 志 信 息 然 后 调 用 引 擎 进 行 特 征 匹 配 检 查 Banner 防 护 : 选 中 该 选 项 的 启 用 复 选 框 开 启 POP3 服 务 器 banner 信 息 保 护 功 能 Banner 信 息 : 开 启 banner 防 护 功 能 后, 在 该 文 本 框 中 输 入 新 信 息 替 换 原 有 服 务 器 banner 信 息 命 令 行 最 大 长 度 : 指 定 POP3 命 令 行 的 最 大 长 度 ( 包 含 回 车 换 行 ), 单 位 为 字 节 取 值 范 围 是 5 到 1024 字 节 安 全 级 别 : 指 定 超 过 限 定 命 令 行 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 参 数 最 大 长 度 : 指 定 POP3 客 户 端 命 令 参 数 的 最 大 长 度, 单 位 为 字 节 安 全 级 别 : 指 定 超 过 限 定 命 令 参 数 行 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 失 败 最 大 次 数 : 指 定 系 统 允 许 的 POP3 服 务 器 返 回 错 误 的 最 大 次 数 ( 同 一 个 POP3 会 话 中 ) 范 围 为 0 到 512 安 全 级 别 : 指 定 超 过 限 定 失 败 次 数 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 在 暴 力 破 解 下 阻 断 配 置 : 配 置 暴 力 破 解 功 能, 即 如 果 一 分 钟 内 指 定 次 数 尝 试 登 录 均 失 败, 系 统 会 判 定 为 攻 击, 并 根 据 配 置 做 出 相 应 每 分 钟 登 录 上 限 值 : 指 定 允 许 的 一 分 钟 内 认 证 / 登 录 失 败 的 次 数 取 值 范 围 是 1 到 , 默 认 值 为 900 SMTP 屏 蔽 对 象 : 指 定 对 超 出 限 定 认 证 / 登 录 失 败 频 率 的 攻 击 者 的 IP 地 址 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 屏 蔽 时 间 : 指 定 对 攻 击 者 IP 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 的 时 长, 单 位 为 秒, 默 认 值 为 60 秒, 范 围 是 60 到 3600 秒 协 议 异 常 检 查 : 为 特 征 配 置 协 议 合 法 性 检 查 的 严 格 性 严 格 : 配 置 协 议 合 法 性 检 查 为 严 格 配 置 为 严 格 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 根 据 错 误 的 安 全 级 别, 按 照 特 征 集 配 置 290 第 11 章 威 胁 防 护

311 协 议 说 明 的 相 应 级 别 对 应 的 动 作 对 攻 击 包 进 行 操 作 宽 松 : 配 置 协 议 合 法 性 检 查 为 松 散 配 置 为 松 散 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 仅 记 录 日 志 信 息 然 后 调 用 引 擎 进 行 特 征 匹 配 检 查 Banner 防 护 : 选 中 该 选 项 的 启 用 复 选 框 开 启 SMTP 服 务 器 banner 信 息 保 护 功 能 Banner 信 息 : 开 启 banner 防 护 功 能 后, 在 该 文 本 框 中 输 入 新 信 息 替 换 原 有 服 务 器 banner 信 息 命 令 行 最 大 长 度 : 指 定 SMTP 命 令 行 的 最 大 长 度 ( 包 含 回 车 换 行 ), 单 位 为 字 节 取 值 范 围 是 5 到 1024 字 节 安 全 级 别 : 指 定 超 过 限 定 命 令 行 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 路 径 最 大 长 度 : 指 定 系 统 允 许 的 SMTP 客 户 端 命 令 中 reverse-path 和 forwardpath 的 最 大 长 度, 单 位 为 字 节 范 围 为 16 到 512( 含 标 点 符 号 ) 安 全 级 别 : 指 定 超 过 限 定 SMTP 服 务 器 端 响 应 的 最 大 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 回 复 行 最 大 长 度 : 指 定 系 统 允 许 的 SMTP 服 务 器 端 响 应 的 最 大 长 度, 单 位 为 字 节, 范 围 为 64 到 1024( 含 回 车 换 行 ) 安 全 级 别 : 指 定 超 过 限 定 SMTP 服 务 器 端 响 应 的 最 大 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 文 本 行 最 大 长 度 : 指 定 系 统 允 许 的 SMTP 客 户 端 邮 件 文 本 的 最 大 长 度, 单 位 为 字 节, 范 围 为 64 到 2048( 含 回 车 换 行 ) 安 全 级 别 : 指 定 超 过 限 定 SMTP 客 户 端 邮 件 文 本 的 最 大 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 内 容 类 型 最 大 长 度 : 指 定 SMTP 协 议 Content-Type 值 的 最 大 长 度, 单 位 为 字 节 取 值 范 围 是 6 到 1024 字 节 安 全 级 别 : 指 定 超 过 限 定 Content-Type 值 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 内 容 文 件 名 最 大 长 度 : 指 定 SMTP 协 议 邮 件 附 件 名 称 的 最 大 长 度, 单 位 为 字 节 取 值 范 围 是 64 到 1024 字 节 安 全 级 别 : 指 定 超 过 限 定 SMTP 协 议 邮 件 附 件 名 称 最 大 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 失 败 最 大 次 数 : 指 定 系 统 允 许 的 SMTP 服 务 器 返 回 错 误 的 最 大 次 数 ( 同 一 个 SMTP 会 话 中 ) 范 围 为 0 到 512 安 全 级 别 : 指 定 超 过 限 定 失 败 次 数 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 在 暴 力 破 解 下 阻 断 配 置 : 配 置 暴 力 破 解 功 能, 即 如 果 一 分 钟 内 指 定 次 数 尝 试 登 录 均 失 败, 系 统 会 判 定 为 攻 击, 并 根 据 配 置 做 出 相 应 Telnet 每 分 钟 登 录 上 限 值 : 指 定 允 许 的 一 分 钟 内 认 证 / 登 录 失 败 的 次 数 取 值 范 围 是 1 到 , 默 认 值 为 900 屏 蔽 对 象 : 指 定 对 超 出 限 定 认 证 / 登 录 失 败 频 率 的 攻 击 者 的 IP 地 址 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 屏 蔽 时 间 : 指 定 对 攻 击 者 IP 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 的 时 长, 单 位 为 秒, 默 认 值 为 60 秒, 范 围 是 60 到 3600 秒 第 11 章 威 胁 防 护 291

312 协 议 说 明 协 议 异 常 检 查 : 为 特 征 配 置 协 议 合 法 性 检 查 的 严 格 性 IMAP/Finger/ NNTP/TFTP/ SNMP/MYSQL/ MSSQL/ORACLE/ NETBIOS/DHCP/ LDAP/VoIP /Other-TCP/ Other-UDP 严 格 : 配 置 协 议 合 法 性 检 查 为 严 格 配 置 为 严 格 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 根 据 错 误 的 安 全 级 别, 按 照 特 征 集 配 置 的 相 应 级 别 对 应 的 动 作 对 攻 击 包 进 行 操 作 宽 松 : 配 置 协 议 合 法 性 检 查 为 松 散 配 置 为 松 散 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 仅 记 录 日 志 信 息 然 后 调 用 引 擎 进 行 特 征 匹 配 检 查 用 户 名 / 密 码 最 大 长 度 : 指 定 Telnet 用 户 名 和 密 码 的 最 大 长 度, 单 位 为 字 节, 范 围 为 6 到 1024 安 全 级 别 : 指 定 超 过 限 定 Telnet 用 户 名 和 密 码 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 扫 描 最 大 长 度 : 指 定 最 大 扫 描 长 度, 单 位 为 字 节 在 暴 力 破 解 下 阻 断 配 置 : 配 置 暴 力 破 解 功 能, 即 如 果 一 分 钟 内 指 定 次 数 尝 试 登 录 均 失 败, 系 统 会 判 定 为 攻 击, 并 根 据 配 置 做 出 相 应 每 分 钟 登 录 上 限 值 : 指 定 允 许 的 一 分 钟 内 认 证 / 登 录 失 败 的 次 数 取 值 范 围 是 1 到 , 默 认 值 为 900 屏 蔽 对 象 : 指 定 对 超 出 限 定 认 证 / 登 录 失 败 频 率 的 攻 击 者 的 IP 地 址 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 SUNRPC 屏 蔽 时 间 : 指 定 对 攻 击 者 IP 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 的 时 长, 单 位 为 秒, 默 认 值 为 60 秒, 范 围 是 60 到 3600 秒 协 议 异 常 检 查 : 为 特 征 配 置 协 议 合 法 性 检 查 的 严 格 性 严 格 : 配 置 协 议 合 法 性 检 查 为 严 格 配 置 为 严 格 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 根 据 错 误 的 安 全 级 别, 按 照 特 征 集 配 置 的 相 应 级 别 对 应 的 动 作 对 攻 击 包 进 行 操 作 宽 松 : 配 置 协 议 合 法 性 检 查 为 松 散 配 置 为 松 散 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 仅 记 录 日 志 信 息 然 后 调 用 引 擎 进 行 特 征 匹 配 检 查 在 暴 力 破 解 下 阻 断 配 置 : 配 置 暴 力 破 解 功 能, 即 如 果 一 分 钟 内 指 定 次 数 尝 试 登 录 均 失 败, 系 统 会 判 定 为 攻 击, 并 根 据 配 置 做 出 相 应 每 分 钟 登 录 上 限 值 : 指 定 允 许 的 一 分 钟 内 认 证 / 登 录 失 败 的 次 数 取 值 范 围 是 1 到 , 默 认 值 为 900 MSRPC 屏 蔽 对 象 : 指 定 对 超 出 限 定 认 证 / 登 录 失 败 频 率 的 攻 击 者 的 IP 地 址 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 屏 蔽 时 间 : 指 定 对 攻 击 者 IP 或 者 协 议 / 源 IP/ 目 的 IP/ 目 的 端 口 进 行 阻 断 的 时 长, 单 位 为 秒, 默 认 值 为 60 秒, 范 围 是 60 到 3600 秒 协 议 异 常 检 查 : 为 特 征 配 置 协 议 合 法 性 检 查 的 严 格 性 严 格 : 配 置 协 议 合 法 性 检 查 为 严 格 配 置 为 严 格 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 根 据 错 误 的 安 全 级 别, 按 照 特 征 集 配 置 292 第 11 章 威 胁 防 护

313 协 议 说 明 的 相 应 级 别 对 应 的 动 作 对 攻 击 包 进 行 操 作 宽 松 : 配 置 协 议 合 法 性 检 查 为 松 散 配 置 为 松 散 后, 当 系 统 在 协 议 解 析 过 程 中 发 现 协 议 解 析 错 误 时, 系 统 将 仅 记 录 日 志 信 息 然 后 调 用 引 擎 进 行 特 征 匹 配 检 查 Bind 最 大 长 度 : 指 定 系 统 允 许 的 MSRPC 协 议 绑 定 报 文 的 最 大 长 度, 单 位 为 字 节 取 值 范 围 是 16 到 字 节 安 全 级 别 : 指 定 超 过 限 定 绑 定 报 文 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 Request 最 大 长 度 : 指 定 系 统 允 许 的 MSRCP 协 议 请 求 报 文 的 最 大 长 度, 单 位 为 字 节 取 值 范 围 是 16 到 字 节 安 全 级 别 : 指 定 超 过 限 定 请 求 报 文 长 度 的 事 件 的 安 全 级 别 系 统 将 根 据 该 安 全 级 别 确 定 相 应 的 动 作 3. 点 击 具 体 协 议 的 < 特 征 列 表 > 标 签 页, 查 看 或 配 置 特 征 库 中 所 有 特 征 的 具 体 信 息 请 参 阅 特 征 配 置 4. 点 击 保 存 按 钮 完 成 配 置 特 征 配 置 在 具 体 协 议 的 < 特 征 列 表 > 标 签 页, 用 户 可 以 查 看 或 配 置 入 侵 防 御 特 征 库 中 针 对 指 定 协 议 的 特 征 具 体 信 息, 配 置 具 体 攻 击 特 征 的 行 为 启 用 / 禁 用 某 指 定 攻 击 特 征 用 户 可 在 搜 索 栏 设 置 搜 索 条 件, 查 看 符 合 需 求 的 特 征 点 击 搜 索 按 键 搜 索 特 定 的 特 征 条 目 点 击 重 置 按 键 重 置 所 有 过 滤 条 件 查 看 特 征 库 中 指 定 特 征 的 详 情, 请 按 照 以 下 步 骤 进 行 操 作 : 第 11 章 威 胁 防 护 293

314 1. 在 具 体 协 议 的 < 特 征 列 表 > 标 签 页, 点 击 特 征 列 表 中 的 指 定 的 特 征 ID 链 接, 打 开 特 征 详 情 对 话 框 2. 在 该 对 话 框 查 看 特 征 的 具 体 详 细 信 息 对 具 体 攻 击 特 征 的 行 为 进 行 配 置, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 从 特 征 列 表 中 选 中 需 要 配 置 的 特 征 的 复 选 框, 然 后 编 辑 按 钮 在 < 特 征 列 表 编 辑 > 对 话 框, 配 置 具 体 攻 击 特 征 的 行 为 信 息 选 项 说 明 抓 包 启 用 在 线 抓 包 工 具 行 为 屏 蔽 攻 击 者 选 择 特 征 响 应 行 为 若 选 择 由 对 应 攻 击 级 别 配 置 行 为 决 定, 表 示 由 特 征 的 攻 击 级 别 的 行 为 配 置 决 定 该 特 征 的 响 应 行 为 设 置 屏 蔽 对 象 和 屏 蔽 时 间 若 选 择 由 对 应 攻 击 级 别 配 置 行 为 决 定, 表 示 由 特 征 的 攻 击 级 别 的 行 为 配 置 决 定 该 特 征 的 屏 蔽 设 置 W e bs e r ve r 防 护 配 置 对 于 HTTP 协 议 特 征 库, 用 户 可 以 新 建 Web 服 务 器 并 对 其 进 行 防 护 配 置 启 用 或 禁 用 指 定 的 Web 服 务 器 新 建 Web 服 务 器, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 从 入 侵 防 御 规 则 列 表 中 规 则 对 应 的 协 议 类 型 栏 点 击 HTTP 协 议 名 称, 打 开 <HTTP 特 征 库 > 对 话 框 2. 点 击 <WebServer 防 护 配 置 > 标 签 页, 进 入 WebServer 防 护 页 面 294 第 11 章 威 胁 防 护

315 3. 点 击 新 建 按 钮 在 <Web 服 务 器 配 置 > 对 话 框 中 新 建 Web 服 务 器 并 对 其 进 行 防 护 配 置 选 项 说 明 Web 服 务 器 名 称 在 文 本 框 中 输 入 需 要 创 建 的 Web 服 务 器 名 称 域 名 设 置 点 击 域 名 设 置 链 接, 弹 出 < 域 名 设 置 > 对 话 框, 在 该 对 话 框 为 Web 服 务 器 配 置 域 名 每 个 Web 服 务 器 最 多 允 许 配 置 5 个 域 名 Web 服 务 器 域 名 遵 循 从 后 往 前 的 最 长 匹 配 原 则, 例 如, 配 置 Web 服 务 器 web_server1 和 web_server2, 且 web_server1 的 域 名 为 abc.com,web_server2 的 域 名 为 .abc.com 完 成 配 置 后, 访 问 news.abc.com 的 流 量 将 匹 配 web_server1; 访 问 的 流 量 将 匹 配 web_server2; 访 问 的 流 量 将 匹 配 默 认 Web 服 务 器 SQL 注 入 检 查 选 中 启 用 复 选 框 开 启 Web 服 务 器 SQL 注 入 检 查 功 能 抓 包 : 启 用 在 线 抓 包 工 具 行 为 : 为 Web 服 务 器 SQL 注 入 检 查 指 定 相 应 的 动 作, 可 以 为 仅 记 录 日 志 或 者 重 置 仅 记 录 日 志 指 定 发 现 SQL 注 入 攻 击 后 仅 记 录 日 志 信 息 重 置 指 定 发 现 SQL 注 入 攻 击 后 重 置 连 接 (TCP) 或 者 发 送 目 标 不 可 达 包 (UDP) 并 且 记 录 日 志 信 息 屏 蔽 攻 击 者 : 选 中 启 用 复 选 框, 并 选 择 屏 蔽 类 型 指 定 阻 断 SQL 注 入 攻 击 者 的 IP 地 址 或 者 服 务 在 文 本 框 中 输 入 时 间, 指 定 对 攻 击 者 IP 或 者 服 务 进 行 阻 断 的 时 长, 单 位 为 秒, 范 围 是 60 到 3600 秒 敏 感 度 : 为 Web 服 务 器 SQL 注 入 检 查 指 定 检 测 敏 感 度, 可 以 为 高 中 或 者 低 默 认 为 低 敏 感 度 越 高, 漏 报 率 越 低 检 查 点 : 为 Web 服 务 器 SQL 注 入 检 查 指 定 检 查 点, 可 以 为 URI Cookie Cookie2 Referer 或 者 Post XSS 注 入 检 查 选 中 启 用 复 选 框 开 启 Web 服 务 器 XSS 注 入 检 查 功 能 抓 包 : 启 用 在 线 抓 包 工 具 第 11 章 威 胁 防 护 295

316 选 项 说 明 行 为 : 为 Web 服 务 器 XSS 注 入 检 查 指 定 相 应 的 动 作, 可 以 为 仅 记 录 日 志 或 者 重 置 仅 记 录 日 志 指 定 发 现 XSS 注 入 攻 击 后 仅 记 录 日 志 信 息 重 置 指 定 发 现 XSS 注 入 攻 击 后 重 置 连 接 (TCP) 或 者 发 送 目 标 不 可 达 包 (UDP) 并 且 记 录 日 志 信 息 屏 蔽 攻 击 者 : 选 中 启 用 复 选 框, 并 选 择 屏 蔽 类 型 指 定 阻 断 XSS 注 入 攻 击 者 的 IP 地 址 或 者 服 务 在 文 本 框 中 输 入 时 间, 指 定 对 攻 击 者 IP 或 者 服 务 进 行 阻 断 的 时 长, 单 位 为 秒, 范 围 是 60 到 3600 秒 敏 感 度 : 为 Web 服 务 器 XSS 注 入 检 查 指 定 检 测 敏 感 度, 可 以 为 高 中 或 者 低 默 认 为 低 敏 感 度 越 高, 漏 报 率 越 低 检 查 点 : 为 Web 服 务 器 XSS 注 入 检 查 指 定 检 查 点, 可 以 为 URI Cookie Cookie2 Referer 或 者 Post 外 链 检 查 选 中 启 用 复 选 框 开 启 Web 服 务 器 站 点 外 链 检 查 功 能, 控 制 Web 服 务 器 对 其 它 站 点 资 源 的 引 用 抓 包 : 启 用 在 线 抓 包 工 具 外 链 特 例 : 点 击 外 链 特 例 链 接, 弹 出 < 外 链 特 例 配 置 > 对 话 框, 在 该 对 话 框 配 置 的 URL 都 可 以 被 Web 服 务 器 引 用 ( 被 外 链 ) 每 个 Web 服 务 器 最 多 配 置 32 个 URL 行 为 : 为 Web 站 点 外 链 行 为 指 定 相 应 的 动 作, 可 以 为 仅 记 录 日 志 或 者 重 置 仅 记 录 日 志 指 定 发 现 Web 站 点 外 链 行 为 后 仅 记 录 日 志 信 息 重 置 指 定 发 现 Web 站 点 外 链 行 为 后 重 置 连 接 (TCP) 或 者 发 送 目 标 不 可 达 包 (UDP) 并 且 记 录 日 志 信 息 访 问 控 制 选 中 启 用 复 选 框 开 启 Web 服 务 器 访 问 控 制 功 能, 即 对 Web 站 点 进 行 上 传 路 径 检 查, 防 止 攻 击 者 利 用 上 传 漏 洞 向 Web 服 务 器 上 传 恶 意 代 码 访 问 控 制 路 径 : 点 击 访 问 控 制 路 径 链 接, 弹 出 < 访 问 控 制 配 置 > 对 话 框, 在 该 对 话 框 配 置 Web 站 点 路 径 并 指 定 其 属 性, 该 路 径 为 Web 服 务 器 的 相 对 路 径 静 态 属 性 Web 站 点 路 径 下 的 资 源 只 能 按 照 静 态 资 源 ( 图 片 和 普 通 文 本 ) 进 行 访 问, 否 则, 将 按 照 控 制 动 作 配 置 ( 仅 记 录 日 志 / 重 置 ) 进 行 处 理 ; 禁 止 属 性 Web 站 点 路 径 下 的 资 源 不 允 许 访 问 行 为 : 为 Web 站 点 上 传 行 为 指 定 相 应 的 动 作, 可 以 为 仅 记 录 日 志 或 者 重 置 仅 记 录 日 志 指 定 发 现 Web 站 点 上 传 行 为 后 仅 记 录 日 志 信 息 重 置 指 定 发 现 Web 站 点 上 传 行 为 后 重 置 连 接 (TCP) 或 者 发 送 目 标 不 可 达 包 (UDP) 并 且 记 录 日 志 信 息 CC 防 护 选 中 启 用 复 选 框 开 启 HTTP 协 议 CC 防 护 功 能 请 求 阈 值 : 指 定 开 启 HTTP 协 议 CC 防 护 功 能 的 请 求 阈 值 当 HTTP 连 接 请 求 速 率 达 到 设 定 阈 值 时, 即 判 断 为 发 生 CC 攻 击, 并 启 动 CC 防 护 功 能 认 证 方 法 : 为 CC 防 护 功 能 配 置 认 证 方 法 系 统 通 过 认 证 判 断 HTTP 请 求 的 源 IP 是 否 合 法, 从 而 识 别 攻 击 流 量 并 进 行 防 护 如 果 某 个 源 IP 认 证 失 败, 系 统 将 阻 断 该 源 IP 发 起 的 本 次 HTTP 请 求 从 下 拉 菜 单 中 选 择 合 适 的 认 证 方 法, 包 括 : 自 动 (JS Cookie), 该 认 证 方 法 由 浏 览 器 自 动 完 成 认 证 交 互 ; 自 动 ( 重 定 向 ), 该 认 证 方 法 由 浏 览 器 自 动 完 成 认 证 交 互 ; 手 动 ( 访 问 确 认 ), 该 认 证 方 法 需 要 HTTP 请 求 发 起 者 点 击 返 回 提 示 框 上 的 确 认 按 钮 进 行 认 证 ; 手 动 ( 验 证 码 ), 该 认 证 方 法 需 要 请 求 发 起 者 输 入 验 证 码 进 行 认 证 爬 虫 友 好 : 选 中 复 选 框, 指 定 不 对 爬 虫 进 行 认 证 访 问 限 速 : 选 中 启 用 复 选 框, 为 CC 防 护 功 能 配 置 访 问 限 速 配 置 访 问 限 速 后, 系 统 会 根 据 配 置 对 每 个 源 IP 进 行 请 求 速 率 限 制 在 阈 值 文 本 框 中 指 定 访 问 速 率 阈 值, 如 果 收 到 的 请 求 速 率 超 过 该 指 定 值 且 CC 防 护 功 能 296 第 11 章 威 胁 防 护

317 选 项 说 明 已 开 启, 系 统 会 对 超 出 的 请 求 数 做 相 应 的 限 制 操 作 取 值 范 围 为 0 到 次 / 秒 ; 在 下 拉 菜 单 中 选 择 系 统 对 超 出 请 求 速 率 阈 值 的 请 求 数 的 限 制 操 作, 可 以 为 阻 断 IP 或 者 重 置 阻 断 IP 指 定 对 攻 超 出 的 请 求 数 的 源 IP 进 行 阻 断, 并 在 时 长 文 本 框 中 指 定 阻 断 时 长, 单 位 为 秒, 范 围 是 60 到 3600 秒 重 置 指 定 重 置 超 出 的 请 求 数 的 请 求 连 接 ; 选 中 记 录 日 志 复 选 框, 指 定 记 录 日 志 信 息 代 理 限 速 : 选 中 启 用 复 选 框, 为 CC 防 护 功 能 配 置 代 理 限 速 配 置 代 理 限 速 后, 系 统 会 检 查 每 个 源 IP 是 否 属 于 代 理 服 务 器, 若 属 于, 则 根 据 配 置 进 行 请 求 速 率 限 制 在 阈 值 文 本 框 中 指 定 请 求 速 率 阈 值, 如 果 收 到 的 请 求 速 率 超 过 该 指 定 值 且 CC 防 护 功 能 已 开 启, 系 统 会 对 超 出 的 请 求 数 做 相 应 的 限 制 操 作 取 值 范 围 为 0 到 次 / 秒 ; 在 下 拉 菜 单 中 选 择 系 统 对 超 出 请 求 速 率 阈 值 的 请 求 数 的 限 制 操 作, 可 以 为 阻 断 IP 或 者 重 置 阻 断 IP 指 定 对 攻 超 出 的 请 求 数 的 源 IP 进 行 阻 断, 并 在 时 长 文 本 框 中 指 定 阻 断 时 长, 单 位 为 秒, 范 围 是 60 到 3600 秒 重 置 指 定 重 置 超 出 的 请 求 数 的 请 求 连 接 ; 选 中 记 录 日 志 复 选 框, 指 定 记 录 日 志 信 息 白 名 单 : 为 CC 防 护 功 能 配 置 白 名 单 添 加 到 白 名 单 中 的 源 IP 地 址 不 做 CC 防 护 检 查 在 下 拉 菜 单 中 选 择 需 要 的 地 址 条 目, 地 址 条 目 不 能 为 域 名 和 IPv6 地 址 如 果 白 名 单 中 源 IP 地 址 的 流 量 超 出 CC 防 护 请 求 阈 值, 则 会 触 发 CC 防 护 功 能 的 开 启 注 意 : 新 建 HTTP 协 议 特 征 库 时, 系 统 会 自 动 创 建 一 个 名 称 为 default 的 默 认 Web 服 务 器, 默 认 Web 服 务 器 缺 省 为 开 启 状 态, 且 不 能 被 禁 用 和 删 除 每 个 特 征 库 最 多 配 置 32 个 Web 服 务 器, 不 包 括 默 认 服 务 器 入 侵 防 御 全 局 配 置 关 于 入 侵 防 御 全 局 配 置, 请 参 阅 " 威 胁 防 护 全 局 配 置 " 在 第 317 页 第 11 章 威 胁 防 护 297

318 攻 击 防 护 网 络 中 存 在 多 种 防 不 胜 防 的 攻 击, 如 侵 入 或 破 坏 网 络 上 的 服 务 器 盗 取 服 务 器 的 敏 感 数 据 破 坏 服 务 器 对 外 提 供 的 服 务, 或 者 直 接 破 坏 网 络 设 备 导 致 网 络 服 务 异 常 甚 至 中 断 作 为 网 络 安 全 设 备 的 安 全 网 关, 必 须 具 备 攻 击 防 护 功 能 来 检 测 各 种 类 型 的 网 络 攻 击, 从 而 采 取 相 应 的 措 施 保 护 内 部 网 络 免 受 恶 意 攻 击, 以 保 证 内 部 网 络 及 系 统 正 常 运 行 系 统 提 供 基 于 安 全 域 的 攻 击 防 护 功 能, 能 够 对 网 络 攻 击 进 行 合 理 处 理 从 而 保 证 用 户 网 络 系 统 的 安 全 I CMP Flood 和 UDP Flood 攻 击 这 种 攻 击 在 短 时 间 内 向 被 攻 击 目 标 发 送 大 量 的 ICMP 消 息 ( 如 ping) 和 UDP 报 文, 请 求 回 应, 致 使 被 攻 击 目 标 负 担 过 重 而 不 能 完 成 正 常 的 传 输 任 务 AR P 欺 骗 攻 击 局 域 网 的 网 络 流 通 根 据 MAC 地 址 进 行 传 输 ARP 欺 骗 攻 击 是 通 过 填 写 错 误 的 发 送 端 MAC 地 址 和 IP 地 址, 使 目 标 主 机 的 ARP 缓 存 表 中 IP 地 址 和 MAC 地 址 对 应 关 系 错 误 导 致 目 标 主 机 后 续 将 IP 数 据 报 文 时 发 给 错 误 主 机, 目 标 网 络 不 通 且 报 文 资 源 被 窃 取 SYN Flood 攻 击 由 于 资 源 的 限 制, 服 务 器 只 能 允 许 有 限 个 TCP 连 接 而 SYN Flood 攻 击 正 是 利 用 这 一 点, 它 伪 造 一 个 SYN 报 文, 将 其 源 地 址 设 置 成 伪 造 的 或 者 不 存 在 的 地 址, 然 后 向 服 务 器 发 起 连 接 服 务 器 在 收 到 报 文 后 用 SYN-ACK 应 答, 而 此 应 答 发 出 去 后, 不 会 收 到 ACK 报 文, 从 而 造 成 半 连 接 如 果 攻 击 者 发 送 大 量 这 样 的 报 文, 会 在 被 攻 击 主 机 上 出 现 大 量 的 半 连 接, 直 到 半 连 接 超 时, 从 而 消 耗 尽 其 资 源, 使 正 常 的 用 户 无 法 访 问 在 连 接 不 受 限 制 的 环 境 里,SYN Flood 会 消 耗 掉 系 统 的 内 存 等 资 源 W inn uke 攻 击 WinNuke 攻 击 通 常 向 装 有 Windows 系 统 的 特 定 目 标 的 NetBIOS 端 口 (139) 发 送 OOB(out-of-band) 数 据 包, 引 起 一 个 NetBIOS 片 断 重 叠, 致 使 被 攻 击 主 机 崩 溃 还 有 一 种 是 IGMP 分 片 报 文 一 般 情 况 下,IGMP 报 文 是 不 会 分 片 的, 所 以, 不 少 系 统 对 IGMP 分 片 报 文 的 处 理 有 问 题 如 果 收 到 IGMP 分 片 报 文, 则 基 本 可 判 定 受 到 了 攻 击 I P 地 址 欺 骗 (I P Spoof ing) 攻 击 IP 地 址 欺 骗 攻 击 是 一 种 获 取 对 计 算 机 未 经 许 可 的 访 问 的 技 术, 即 攻 击 者 通 过 伪 IP 地 址 向 计 算 机 发 送 报 文, 并 显 示 该 报 文 来 自 于 真 实 主 机 对 于 基 于 IP 地 址 进 行 验 证 的 应 用, 此 攻 击 方 法 能 够 使 未 被 授 权 的 用 户 访 问 被 攻 击 系 统 即 使 响 应 报 文 不 能 到 达 攻 击 者, 被 攻 击 系 统 也 会 遭 到 破 坏 地 址 扫 描 与 端 口 扫 描 攻 击 这 种 攻 击 运 用 扫 描 工 具 探 测 目 标 地 址 和 端 口, 对 此 作 出 响 应 的 表 示 其 存 在, 从 而 确 定 哪 些 目 标 系 统 确 实 存 活 着 并 且 连 接 在 目 标 网 络 上, 这 些 主 机 使 用 哪 些 端 口 提 供 服 务 Ping of Deat h 攻 击 Ping of Death 就 是 利 用 一 些 尺 寸 超 大 的 ICMP 报 文 对 系 统 进 行 的 一 种 攻 击 IP 报 文 的 字 段 长 度 为 16 位, 这 表 明 一 个 IP 报 文 的 最 大 长 度 为 字 节 对 于 ICMP 回 应 请 求 报 文, 如 果 数 据 长 度 大 于 字 节, 就 会 使 ICMP 数 据 IP 头 长 度 (20 字 节 ) 和 ICMP 头 长 度 (8 字 节 ) 的 总 合 大 于 字 节 一 些 路 由 器 或 系 统 在 接 收 到 这 样 一 个 报 文 后 会 由 于 处 理 不 当, 造 成 系 统 崩 溃 死 机 或 重 启 T eardrop 攻 击 防 护 Teardrop 攻 击 是 一 种 拒 绝 服 务 攻 击 是 基 于 UDP 的 病 态 分 片 数 据 包 的 攻 击 方 法, 其 工 作 原 理 是 向 被 攻 击 者 发 送 多 个 分 片 的 IP 包 (IP 分 片 数 据 包 中 包 括 该 分 片 数 据 包 属 于 哪 个 数 据 包 以 及 在 数 据 包 中 的 位 置 等 信 息 ), 某 些 操 作 系 统 收 到 含 有 重 叠 偏 移 的 伪 造 分 片 数 据 包 时 将 会 出 现 系 统 崩 溃 重 启 等 现 象 Sm urf 攻 击 Smurf 攻 击 分 简 单 和 高 级 两 种 简 单 Smurf 攻 击 用 来 攻 击 一 个 网 络 方 法 是 将 ICMP 应 答 请 求 包 的 目 标 地 址 设 置 为 被 攻 击 网 络 的 广 播 地 址, 这 样 该 网 络 的 所 有 主 机 都 会 对 此 ICMP 应 答 请 求 作 出 答 复, 从 而 导 致 网 络 阻 塞 高 级 Smurf 攻 击 主 要 用 来 攻 击 目 标 主 机 方 法 是 将 ICMP 应 答 请 求 包 的 源 地 址 更 改 为 被 攻 击 主 机 的 地 址, 最 终 导 致 被 攻 击 主 机 崩 溃 理 论 上 讲, 网 络 的 主 机 越 多, 攻 击 的 效 果 越 明 显 Fraggle 攻 击 Fraggle 攻 击 与 Smurf 攻 击 为 同 种 类 型 攻 击 不 同 之 处 在 于 Fraggle 攻 击 使 用 UDP 包 形 成 攻 击 298 第 11 章 威 胁 防 护

319 L and 攻 击 在 Land 攻 击 中, 攻 击 者 将 一 个 特 别 打 造 的 数 据 包 的 源 地 址 和 目 标 地 址 都 设 置 成 被 攻 击 服 务 器 地 址 这 样 被 攻 击 服 务 器 向 它 自 己 的 地 址 发 送 消 息, 结 果 这 个 地 址 又 发 回 消 息 并 创 建 一 个 空 连 接, 每 一 个 这 样 的 连 接 都 将 保 留 直 到 超 时 在 这 种 Land 攻 击 下, 许 多 服 务 器 将 崩 溃 第 11 章 威 胁 防 护 299

320 配 置 攻 击 防 护 配 置 基 于 安 全 域 的 攻 击 防 护 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 创 建 安 全 域 安 全 域 配 置 请 参 考 " 安 全 域 " 在 第 39 页 ; 2. 在 < 安 全 域 配 置 > 对 话 框 中, 选 择 < 威 胁 防 护 > 标 签 页 3. 勾 选 攻 击 防 护 后 的 启 用 复 选 框, 点 击 设 置 打 开 < 攻 击 防 护 > 对 话 框 在 < 攻 击 防 护 > 对 话 框, 配 置 各 功 能 的 参 数 信 息 选 项 说 明 白 名 单 中 的 地 址 或 地 址 段 不 受 攻 击 防 护 功 能 的 检 查 点 击 设 置, 弹 出 < 白 名 单 配 置 > 对 话 框 白 名 单 IP/ 掩 码 - 指 定 添 加 到 白 名 单 中 的 IP 地 址 和 网 络 掩 码 地 址 条 目 - 指 定 添 加 到 白 名 单 中 的 地 址 条 目 全 选 全 部 启 用 : 选 中 该 复 选 框 开 启 所 有 的 攻 击 防 护 功 能 300 第 11 章 威 胁 防 护

321 选 项 说 明 行 为 : 为 所 有 的 攻 击 防 护 功 能 指 定 默 认 操 作, 即 受 到 攻 击 后 设 备 的 防 护 措 施 : 丢 弃 - 系 统 的 默 认 行 为 丢 弃 攻 击 包 告 警 - 发 出 警 报 但 是 允 许 包 通 过 不 指 定 全 局 行 为 ICMP 洪 水 攻 击 防 护 : 选 中 该 复 选 框 开 启 ICMP 洪 水 攻 击 防 护 功 能 警 戒 值 - 指 定 安 全 设 备 收 到 的 ICMP 包 个 数 的 警 戒 值 如 果 同 一 个 目 的 IP 地 址 在 一 秒 钟 内 收 到 的 ICMP 包 的 个 数 超 过 该 警 戒 值, 设 备 就 判 断 为 受 到 ICMP 洪 水 攻 击, 从 而 采 取 相 应 的 处 理 默 认 值 是 1500 个, 取 值 范 围 是 1 到 行 为 - 指 定 受 到 ICMP 洪 水 攻 击 而 进 行 的 处 理 行 为 如 果 选 择 默 认 行 为 丢 弃, 系 统 将 在 发 生 攻 击 的 当 前 秒 和 下 一 秒 这 段 时 间 内, 仅 允 许 指 定 个 数 ( 警 戒 值 ) 的 ICMP 包 通 过, 并 且 发 出 警 报, 在 这 段 时 间 内 的 其 它 同 类 包 将 会 被 丢 弃 UDP 洪 水 攻 击 防 护 : 选 中 该 复 选 框 开 启 UDP 洪 水 攻 击 防 护 功 能 源 警 戒 值 - 指 定 安 全 设 备 发 送 的 UDP 包 个 数 的 警 戒 值 如 果 同 一 个 源 IP 地 址 在 一 秒 钟 内 发 送 的 UDP 包 的 个 数 超 过 该 警 戒 值, 设 备 就 判 断 为 受 到 UDP 洪 水 攻 击, 从 而 采 取 相 应 的 处 理 默 认 值 是 1500 个, 取 值 范 围 是 1 到 目 的 警 戒 值 - 指 定 设 备 收 到 的 UDP 包 个 数 的 警 戒 值 如 果 同 一 个 目 的 IP 地 址 的 同 一 个 端 口 号 在 一 秒 钟 内 收 到 的 UDP 包 的 个 数 超 过 该 警 戒 值, 设 备 就 判 断 为 受 到 UDP 洪 水 攻 击, 从 而 采 取 相 应 的 处 理 默 认 值 是 1500 个, 取 值 范 围 是 1 到 Flood 防 护 行 为 - 指 定 受 到 UDP 洪 水 攻 击 而 进 行 的 处 理 行 为 如 果 选 择 默 认 行 为 丢 弃, 系 统 将 在 发 生 攻 击 的 当 前 秒 和 下 一 秒 这 段 时 间 内, 仅 允 许 指 定 个 数 ( 警 戒 值 ) 的 UDP 包 通 过, 并 且 发 出 警 报, 在 这 段 时 间 内 的 其 它 同 类 包 将 会 被 丢 弃 ARP 欺 骗 攻 击 防 护 : 选 中 该 复 选 框 开 启 ARP 欺 骗 攻 击 防 护 功 能 每 个 MAC 最 大 IP 数 - 指 定 是 否 检 查 ARP 表 中 一 个 MAC 地 址 对 应 的 IP 地 址 数 如 果 该 选 项 值 为 0, 则 不 检 查 ; 如 果 非 0, 则 进 行 检 查, 并 且 如 果 每 个 MAC 地 址 对 应 的 IP 地 址 数 多 于 该 参 数 的 值, 系 统 将 按 照 行 为 选 项 的 配 置 进 行 处 理 该 参 数 值 的 范 围 是 0 到 1024 免 费 ARP 包 发 送 速 率 - 指 定 安 全 设 备 是 否 发 出 免 费 ARP 包 如 果 该 参 数 值 是 0, 则 不 发 送 免 费 ARP 包 ( 参 数 的 默 认 值 ); 如 果 非 0, 则 发 出, 并 且 每 秒 钟 发 出 包 的 个 数 为 该 参 数 的 值 该 参 数 的 取 值 范 围 是 0 到 10 反 向 查 询 - 选 中 该 复 选 框 开 启 ARP 反 向 查 询 功 能 当 设 备 收 到 ARP 请 求 后, 会 记 录 IP 地 址 并 且 发 送 ARP 请 求, 检 查 是 否 会 收 到 不 同 MAC 地 址 的 返 回 包 或 者 返 回 包 的 MAC 地 址 与 ARP 请 求 包 的 MAC 地 址 是 否 相 同 SYN 洪 水 攻 击 防 护 : 选 中 该 复 选 框 开 启 SYN 洪 水 攻 击 防 护 功 能 源 警 戒 值 - 指 定 一 秒 钟 内 从 一 个 源 IP 地 址 发 出 的 SYN 包 的 个 数, 无 论 目 标 IP 地 址 和 端 口 号 是 什 么 如 果 安 全 设 备 探 测 到 一 秒 钟 内 从 同 一 个 源 IP 地 址 发 出 的 SYN 包 多 于 该 指 定 数, 就 判 断 为 受 到 了 SYN 洪 水 攻 击 默 认 值 是 1500 个 取 值 范 围 是 0 到 个 0 表 示 不 对 源 警 戒 值 进 行 检 测 目 的 警 戒 值 - 指 定 一 秒 钟 内 基 于 IP 或 基 于 端 口 的 收 SYN 包 个 数 基 于 IP - 选 中 基 于 IP 单 选 按 钮 并 在 对 应 文 本 框 中 输 入 需 要 的 数 第 11 章 威 胁 防 护 301

322 选 项 说 明 值, 指 定 一 秒 钟 内 同 一 个 目 的 IP 地 址 收 到 的 SYN 包 个 数 如 果 安 全 网 关 探 测 到 一 秒 钟 同 一 个 目 的 IP 地 址 收 到 的 SYN 包 多 于 该 指 定 数, 就 认 为 是 受 到 了 SYN 洪 水 攻 击 默 认 值 是 1500 个 取 值 范 围 是 0 到 个 0 表 示 不 对 目 的 警 戒 值 进 行 检 测 基 于 端 口 - 选 中 基 于 端 口 单 选 按 钮 并 在 对 应 文 本 框 中 输 入 需 要 的 数 值, 指 定 一 秒 钟 内 同 一 目 的 IP 的 同 一 个 目 的 端 口 收 到 的 SYN 包 个 数 如 果 安 全 网 关 探 测 到 一 秒 钟 同 一 目 的 IP 的 同 一 个 目 的 端 口 收 到 的 SYN 包 多 于 该 指 定 数, 就 认 为 是 受 到 了 SYN 洪 水 攻 击 默 认 值 是 1500 个 取 值 范 围 是 0 到 个 0 表 示 不 对 目 的 警 戒 值 进 行 检 测 选 中 基 于 端 口 单 选 按 钮 并 在 目 的 地 址 组 合 框 中 输 入 或 选 中 IP 地 址 或 者 地 址 条 目, 指 定 开 启 特 定 网 段 的 基 于 目 的 端 口 的 SYN 洪 水 攻 击 防 护 功 能, 其 它 网 段 做 基 于 目 的 IP 地 址 的 SYN 洪 水 攻 击 防 护 目 的 IP 地 址 掩 码 取 值 范 围 是 24 到 32 行 为 - 指 定 受 到 SYN 洪 水 攻 击 而 进 行 的 处 理 行 为 如 果 选 择 默 认 行 为 丢 弃, 系 统 将 在 发 生 攻 击 的 当 前 秒 和 下 一 秒 这 段 时 间 内, 仅 允 许 指 定 个 数 ( 源 警 戒 值 或 者 目 的 警 戒 值 ) 的 SYN 包 通 过, 并 且 发 出 警 报, 在 这 段 时 间 内 的 其 它 同 类 包 将 会 被 丢 弃 ; 如 果 同 时 配 置 了 源 和 目 的 警 戒 值, 系 统 会 先 检 查 其 是 否 为 目 的 SYN 洪 水 攻 击, 如 果 是, 则 丢 弃 并 报 警, 如 果 不 是, 再 检 查 其 是 否 为 源 SYN 洪 水 攻 击, 是 则 丢 弃 并 报 警 MS-Windows 防 护 WinNuke 攻 击 防 护 : 选 中 该 复 选 框 开 启 WinNuke 攻 击 防 护 功 能 当 设 备 发 现 受 到 WinNuke 攻 击 后, 会 丢 弃 攻 击 包 并 且 发 出 警 报 通 知 IP 地 址 欺 骗 攻 击 防 护 : 选 中 该 复 选 框 开 启 IP 地 址 欺 骗 攻 击 防 护 功 能 当 设 备 发 现 受 到 IP 地 址 欺 骗 攻 击 后, 会 丢 弃 攻 击 包 并 且 发 出 警 报 通 知 IP 地 址 扫 描 攻 击 防 护 : 选 中 该 复 选 框 开 启 IP 地 址 扫 描 攻 击 防 护 功 能 警 戒 值 - 指 定 地 址 扫 描 的 时 间 警 戒 值 如 果 设 备 探 测 到 在 该 指 定 时 间 内 有 10 个 以 上 来 自 同 一 个 源 IP 地 址 的 ICMP 包 发 往 不 同 的 主 机, 设 备 就 认 为 是 受 到 IP 地 址 扫 描 攻 击 默 认 值 是 1, 单 位 是 毫 秒, 取 值 范 围 是 1 到 5000 毫 秒 扫 描 / 欺 骗 防 护 行 为 - 指 定 受 到 IP 地 址 扫 描 攻 击 而 进 行 的 处 理 行 为 如 果 选 择 默 认 行 为 丢 弃, 系 统 在 指 定 时 间 内 ( 警 戒 值 ), 仅 允 许 10 个 来 自 同 一 个 源 IP 地 址 的 发 往 不 同 主 机 的 ICMP 包 通 过, 并 且 发 出 警 报, 指 定 时 间 内 的 其 它 同 类 包 将 会 被 丢 弃 端 口 扫 描 防 护 : 选 中 该 复 选 框 开 启 端 口 扫 描 攻 击 防 护 功 能 警 戒 值 - 指 定 端 口 扫 描 的 时 间 警 戒 值 如 果 设 备 探 测 到 在 该 指 定 时 间 内 有 10 个 以 上 TCP SYN 包 发 往 同 一 目 标 的 不 同 端 口, 设 备 就 认 为 是 受 到 了 端 口 扫 描 攻 击 默 认 值 是 1, 单 位 是 毫 秒, 取 值 范 围 是 1 到 5000 毫 秒 行 为 : 指 定 受 到 端 口 扫 描 攻 击 而 进 行 的 处 理 行 为 如 果 选 择 默 认 行 为 丢 弃, 系 统 在 指 定 时 间 内 ( 警 戒 值 ), 仅 允 许 10 个 发 往 同 一 目 标 的 不 同 端 口 的 TCP SYN 包 通 过, 并 且 发 出 警 报, 指 定 时 间 内 的 其 它 同 类 包 将 会 被 丢 弃 Ping of Death 攻 击 防 护 : 选 中 其 复 选 框 开 启 Ping of Death 攻 击 防 护 功 能 当 设 备 发 现 受 到 Ping of Death 攻 击 后, 会 丢 弃 攻 击 包 并 且 发 出 警 报 通 知 拒 绝 服 务 防 护 Teardrop 攻 击 防 护 : 选 中 其 复 选 框 开 启 Teardrop 攻 击 防 护 功 能 当 设 备 发 现 受 到 Teardrop 攻 击 后, 会 丢 弃 攻 击 包 并 且 发 出 警 报 通 知 IP 分 片 防 护 : 选 中 其 复 选 框 开 启 IP 分 片 攻 击 防 护 功 能 行 为 - 指 定 受 到 IP 分 片 攻 击 而 进 行 的 处 理 行 为 默 认 为 丢 弃 IP 选 项 : 选 中 其 复 选 框 开 启 IP 选 项 攻 击 防 护 功 能 系 统 会 对 以 下 IP 选 项 类 型 进 行 防 护 :Security Loose Source Route Record Route Stream ID Strict 302 第 11 章 威 胁 防 护

323 选 项 说 明 Source Route 和 Timestamp 行 为 - 指 定 受 到 IP 选 项 攻 击 而 进 行 的 处 理 行 为 默 认 为 丢 弃 Smurf 或 者 Fraggle 攻 击 防 护 : 选 中 其 复 选 框 开 启 Smurf 或 者 Fraggle 攻 击 防 护 功 能 行 为 - 指 定 受 到 Smurf 或 者 Fraggle 攻 击 而 进 行 的 处 理 行 为 默 认 为 丢 弃 Land 攻 击 防 护 : 选 中 其 复 选 框 开 启 Land 攻 击 防 护 功 能 行 为 - 指 定 受 到 Land 攻 击 而 进 行 的 处 理 行 为 默 认 为 丢 弃 ICMP 大 包 攻 击 防 护 : 选 中 其 复 选 框 开 启 ICMP 大 包 攻 击 防 护 功 能 警 戒 值 - 指 定 ICMP 包 的 大 小 的 警 戒 值 如 果 收 到 的 ICMP 包 的 大 小 大 于 该 指 定 值, 系 统 就 判 断 为 受 到 大 ICMP 包 攻 击, 从 而 采 取 相 应 的 处 理 措 施 默 认 值 是 1024 字 节, 取 值 范 围 是 1 到 字 节 行 为 : 指 定 受 到 ICMP 大 包 攻 击 而 进 行 的 处 理 行 为 默 认 为 丢 弃 SYN 代 理 : 选 中 其 复 选 框 开 启 SYN 代 理 功 能 SYN 代 理 功 能 配 合 SYN 洪 水 攻 击 防 护 功 能 来 共 同 防 护 SYN 洪 水 攻 击 当 SYN 洪 水 攻 击 防 护 功 能 和 SYN 代 理 功 能 都 开 启 时,SYN 代 理 功 能 对 已 经 通 过 SYN 洪 水 攻 击 防 护 功 能 检 测 的 数 据 包 起 效 最 小 代 理 速 率 - 指 定 激 活 SYN 代 理 机 制 或 者 SYN-Cookie 机 制 ( 选 中 Cookie 复 选 框 ) 的 最 小 SYN 包 个 数 值 如 果 一 个 目 的 IP 地 址 的 同 一 个 端 口 在 一 秒 钟 内 收 到 的 SYN 包 个 数 多 于 该 选 项 的 指 定 值, 就 会 激 活 SYN 代 理 机 制 或 者 SYN-Cookie 机 制 默 认 值 是 1000 个 每 秒, 取 值 范 围 是 0 到 代 理 Cookie - 选 中 该 复 选 框 开 启 SYN-Cookie 功 能 SYN-Cookie 是 一 种 无 状 态 的 SYN 代 理 机 制 该 功 能 开 启 后, 能 够 在 功 能 上 扩 大 设 备 处 理 多 个 SYN 包 的 能 力, 因 此 用 户 可 以 适 当 的 增 大 最 小 代 理 速 率 和 最 大 代 理 速 率 两 个 选 项 之 间 的 范 围 最 大 代 理 速 率 - 指 定 SYN 代 理 机 制 或 者 SYN-Cookie 机 制 ( 选 中 Cookie 复 选 框 ) 在 指 定 时 间 内 允 许 通 过 的 最 大 SYN 包 个 数 如 果 一 个 目 的 IP 地 址 的 同 一 个 端 口 在 一 秒 钟 内 收 到 的 SYN 包 个 数 多 于 该 参 数 的 指 定 值, 系 统 会 在 当 前 秒 和 下 一 秒 内 仅 允 许 该 指 定 数 值 的 SYN 包 通 过, 其 它 同 类 包 将 会 被 丢 弃 默 认 值 是 3000 个 每 秒, 取 值 范 围 是 1 到 代 理 超 时 - 指 定 半 连 接 的 超 时 时 间 值, 单 位 为 秒 半 连 接 达 到 该 超 时 值 后 会 被 丢 弃 默 认 值 是 30 秒 取 值 范 围 是 1 到 180 秒 协 议 异 常 报 告 DNS 查 询 洪 水 防 护 TCP 异 常 : 选 中 其 复 选 框 开 启 TCP 异 常 攻 击 防 护 功 能 行 为 - 指 定 受 到 TCP 异 常 攻 击 而 进 行 的 处 理 行 为 默 认 为 丢 弃 DNS 查 询 洪 水 防 护 : 选 中 其 复 选 框 开 启 DNS 查 询 洪 水 防 护 功 能 源 警 戒 值 - 指 定 设 备 发 送 的 DNS 查 询 报 文 的 警 戒 值 如 果 一 秒 钟 内 同 一 个 源 IP 地 址 发 送 的 DNS 查 询 报 文 个 数 超 过 该 警 戒 值, 设 备 就 判 断 为 受 到 DNS 查 询 洪 水 攻 击, 从 而 采 取 相 应 的 处 理 措 施 目 的 警 戒 值 - 指 定 设 备 收 到 的 DNS 查 询 报 文 的 个 数 的 警 戒 值 如 果 一 秒 钟 内 设 备 收 到 的 到 达 同 一 个 目 的 IP 地 址 且 相 同 端 口 号 的 DNS 查 询 报 文 个 数 超 过 该 警 戒 值, 设 备 就 判 断 为 受 到 DNS 查 询 洪 水 攻 击, 从 而 采 取 相 应 的 处 理 措 施 行 为 - 指 定 设 备 对 DNS 查 询 洪 水 攻 击 采 取 的 行 为 如 果 选 择 默 认 行 为 丢 第 11 章 威 胁 防 护 303

324 选 项 说 明 弃, 在 发 生 攻 击 的 当 前 秒 和 下 一 秒 这 段 时 间 内, 设 备 仅 允 许 指 定 个 数 ( 警 戒 值 ) 的 DNS 查 询 报 文 通 过, 并 且 发 出 警 报, 在 这 段 时 间 内 的 其 它 同 类 包 将 会 被 丢 弃 ; 如 果 选 择 告 警, 系 统 将 在 发 现 DNS 查 询 洪 水 攻 击 后 发 出 警 报 但 是 允 许 DNS 查 询 报 文 通 过 DNS 递 归 查 询 洪 水 攻 击 防 护 : 选 中 其 复 选 框 开 启 安 全 域 的 DNS 递 归 查 询 洪 水 防 护 功 能 源 警 戒 值 - 指 定 设 备 发 送 的 DNS 递 归 查 询 报 文 的 警 戒 值 如 果 一 秒 钟 内 同 一 个 源 IP 地 址 发 送 的 DNS 查 询 报 文 个 数 超 过 该 警 戒 值, 设 备 就 判 断 为 受 到 DNS 查 询 洪 水 攻 击, 从 而 采 取 相 应 的 处 理 措 施 目 的 警 戒 值 - 指 定 设 备 收 到 的 DNS 递 归 查 询 报 文 的 个 数 的 警 戒 值 如 果 一 秒 钟 内 设 备 收 到 的 到 达 同 一 个 目 的 IP 地 址 且 相 同 端 口 号 的 DNS 查 询 报 文 个 数 超 过 该 警 戒 值, 设 备 就 判 断 为 受 到 DNS 查 询 洪 水 攻 击, 从 而 采 取 相 应 的 处 理 措 施 行 为 - 指 定 设 备 对 DNS 递 归 查 询 洪 水 攻 击 采 取 的 行 为 如 果 选 择 默 认 行 为 丢 弃, 在 发 生 攻 击 的 当 前 秒 和 下 一 秒 这 段 时 间 内, 设 备 仅 允 许 指 定 个 数 ( 警 戒 值 ) 的 DNS 递 归 查 询 报 文 通 过, 并 且 发 出 警 报, 在 这 段 时 间 内 的 其 它 同 类 包 将 会 被 丢 弃 ; 如 果 选 择 告 警, 系 统 将 在 发 现 DNS 递 归 查 询 洪 水 攻 击 后 发 出 警 报 但 是 允 许 DNS 查 询 报 文 通 过 4. 如 果 需 要 恢 复 系 统 的 默 认 配 置, 点 击 恢 复 缺 省 按 钮 5. 点 击 确 定 按 钮 保 存 所 做 配 置 304 第 11 章 威 胁 防 护

325 边 界 流 量 过 滤 边 界 流 量 过 滤 (Perimeter Traffic Filtering) 功 能 是 基 于 已 知 的 IP 地 址 黑 白 名 单 对 流 量 进 行 过 滤, 并 对 命 中 黑 名 单 的 恶 意 流 量 采 取 阻 断 措 施 进 行 处 理, 从 而 阻 断 已 知 恶 意 IP 地 址 的 流 量 黑 白 名 单 包 括 以 下 三 种 类 型 : 预 定 义 黑 名 单 : 通 过 更 新 系 统 的 边 界 流 量 过 滤 特 征 库, 从 云 端 同 步 的 IP 地 址 黑 名 单 自 定 义 黑 白 名 单 : 用 户 根 据 实 际 需 求, 把 指 定 的 IP 地 址 添 加 到 自 定 义 黑 白 名 单 第 三 方 黑 名 单 : 与 趋 势 TDA 进 行 联 动, 定 期 从 趋 势 TDA 设 备 上 获 取 黑 名 单 注 意 : 使 用 该 功 能 前, 用 户 需 要 首 先 更 新 边 界 流 量 过 滤 特 征 库 默 认 情 况 下, 系 统 会 每 日 自 动 更 新 特 征 库, 用 户 可 以 根 据 需 要 更 改 边 界 流 量 过 滤 特 征 库 更 新 配 置 升 级 方 式 请 参 阅 " 升 级 管 理 " 在 第 421 页 边 界 流 量 过 滤 特 征 库 受 许 可 证 控 制, 即 为 支 持 边 界 流 量 过 滤 功 能 的 设 备 安 装 威 胁 防 护 (TP) 许 可 证 后, 升 级 特 征 库 功 能 才 可 使 用 启 用 边 界 流 量 过 滤 功 能 启 用 基 于 安 全 域 的 边 界 流 量 过 滤 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 创 建 安 全 域 安 全 域 配 置 请 参 考 " 安 全 域 " 在 第 39 页 ; 2. 在 < 安 全 域 配 置 > 对 话 框 中, 选 择 < 威 胁 防 护 > 标 签 页 3. 勾 选 边 界 流 量 过 滤 后 的 启 用 复 选 框, 开 启 该 功 能 4. 对 于 命 中 黑 名 单 的 恶 意 流 量 指 定 处 理 行 为, 选 中 需 要 的 行 为 的 单 选 按 钮 记 录 日 志 : 系 统 命 中 黑 名 单 的 恶 意 流 量 后 仅 记 录 日 志 信 息 丢 弃 : 系 统 命 中 黑 名 单 的 恶 意 流 量 后 丢 弃 数 据 包 配 置 自 定 义 黑 白 名 单 配 置 边 界 流 量 过 滤 自 定 义 黑 白 名 单, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 边 界 流 量 过 滤, 进 入 边 界 流 量 过 滤 页 面 2. 点 击 列 表 上 方 新 建 按 钮, 打 开 < 边 界 流 量 过 滤 配 置 > 对 话 框 第 11 章 威 胁 防 护 305

326 在 < 边 界 流 量 过 滤 配 置 > 对 话 框, 配 置 自 定 义 黑 白 名 单 信 息 选 项 说 明 IP 指 定 需 要 添 加 到 黑 白 名 单 的 IP 地 址 掩 码 指 定 IP 地 址 的 网 络 掩 码 黑 / 白 名 单 选 中 单 选 按 钮, 将 该 IP 地 址 添 加 到 黑 名 单 / 白 名 单 3. 点 击 确 定 按 钮 完 成 配 置, 将 指 定 的 IP 地 址 添 加 到 自 定 义 黑 白 名 单 配 置 第 三 方 黑 名 单 配 置 与 第 三 方 趋 势 TDA 进 行 联 动, 从 而 获 取 黑 名 单, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 边 界 流 量 过 滤, 进 入 边 界 流 量 过 滤 页 面 2. 点 击 页 面 右 上 角 第 三 方 联 动 按 钮, 打 开 < 第 三 方 联 动 > 对 话 框 在 < 第 三 方 联 动 > 对 话 框, 配 置 相 关 联 动 信 息 选 项 说 明 开 启 与 趋 势 TDA 的 互 动 选 中 该 复 选 框, 开 启 与 趋 势 TDA 联 动 功 能 TDA 设 备 地 址 指 定 设 备 与 TDA 设 备 联 动 的 交 互 地 址 TDA 设 备 端 口 指 定 设 备 与 TDA 设 备 联 动 的 交 互 端 口 号 范 围 是 1 到 互 动 请 求 周 期 指 定 设 备 与 TDA 设 备 联 动 的 互 动 请 求 周 期, 即 获 取 黑 名 单 的 周 期 范 围 是 1-60 分 钟 开 启 沙 箱 互 动 选 择 该 复 选 框, 即 获 取 TDA 设 备 沙 箱 分 析 的 黑 名 单 查 询 黑 白 名 单 查 询 黑 白 名 单 条 目, 请 按 照 以 下 步 骤 进 行 操 作 : 306 第 11 章 威 胁 防 护

327 1. 点 击 对 象 > 边 界 流 量 过 滤, 进 入 边 界 流 量 过 滤 页 面 2. 点 击 页 面 右 上 角 查 询 按 钮, 打 开 < 查 询 > 对 话 框 3. 输 入 需 要 查 询 的 IP 地 址, 点 击 查 询 按 钮, 结 果 将 显 示 在 对 话 框 中 第 11 章 威 胁 防 护 307

328 异 常 行 为 检 测 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 异 常 行 为 检 测 (Abnormal Behavior Detection) 功 能 对 检 测 对 象 的 会 话 特 征 进 行 多 维 度 监 控 统 计, 根 据 特 征 库 中 的 异 常 行 为 检 测 规 则 检 测, 当 检 测 对 象 的 多 个 参 量 发 生 异 常 时, 系 统 将 分 析 其 参 量 异 常 的 关 联 关 系, 判 断 检 测 对 象 是 否 产 生 了 异 常 行 为 若 判 定 存 在 异 常 行 为, 系 统 会 发 出 行 为 异 常 告 警, 产 生 相 关 的 威 胁 日 志 异 常 行 为 功 能 相 关 概 念 解 释 如 下 : 检 测 对 象 : 可 配 置 的 异 常 行 为 检 测 对 象, 当 前 支 持 2 种 检 测 对 象 : 子 网 和 服 务 器 参 量 : 会 话 的 基 本 统 计 指 标, 例 如 每 秒 内 的 连 入 流 量 参 量 统 计 值 是 判 断 特 定 检 测 对 象 是 否 有 异 常 行 为 的 基 本 条 件 参 量 异 常 : 当 参 量 值 高 于 上 限 值 或 者 低 于 下 限 值 时, 参 考 值 即 被 判 断 为 异 常 此 时 系 统 发 出 异 常 告 警, 产 生 威 胁 日 志 上 下 限 值 根 据 历 史 数 据 的 学 习 生 成 异 常 行 为 检 测 特 征 库 : 异 常 行 为 检 测 特 征 库 包 含 异 常 相 关 信 息, 包 括 异 常 行 为 检 测 规 则 异 常 描 述 异 常 原 因 以 及 异 常 建 议 等 异 常 行 为 检 测 特 征 库 帮 助 用 户 分 析 以 及 解 决 异 常 默 认 情 况 下, 系 统 会 每 日 自 动 更 新 异 常 行 为 检 测 特 征 库, 用 户 可 以 根 据 需 要 更 改 异 常 行 为 检 测 特 征 库 更 新 配 置 升 级 方 式 请 参 阅 " 升 级 管 理 " 在 第 421 页 注 意 : 异 常 行 为 检 测 功 能 受 许 可 证 控 制, 即 为 支 持 异 常 行 为 检 测 功 能 的 设 备 安 装 StoneShield 许 可 证 后, 功 能 才 可 使 用 配 置 异 常 行 为 检 测 配 置 基 于 安 全 域 的 异 常 行 为 检 测 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 创 建 安 全 域 安 全 域 配 置 请 参 考 " 安 全 域 " 在 第 39 页 ; 2. 在 < 安 全 域 配 置 > 对 话 框 中, 选 择 < 威 胁 防 护 > 标 签 页 3. 勾 选 异 常 行 为 检 测 后 的 启 用 复 选 框, 系 统 会 自 动 生 成 一 个 IP 为 的 异 常 行 为 检 测 对 象 默 认 对 此 安 全 域 下 整 体 的 网 络 进 行 防 护 4. 点 击 设 置, 在 弹 出 的 对 话 框 中 查 看 搜 索 以 及 管 理 异 常 行 为 检 测 对 象 条 目 5. 点 击 新 建 按 钮, 打 开 < 异 常 行 为 检 测 对 象 配 置 > 对 话 框 在 < 异 常 行 为 检 测 对 象 配 置 > 对 话 框, 配 置 异 常 行 为 检 测 对 象 信 息 308 第 11 章 威 胁 防 护

329 选 项 说 明 名 称 指 定 检 测 对 象 的 名 称 类 型 指 定 检 测 对 象 的 类 型 系 统 当 前 支 持 2 种 检 测 对 象 : 子 网 和 服 务 器 IP 指 定 子 网 或 者 服 务 器 的 IP 地 址 Web Server 高 级 防 护 勾 选 复 选 框, 开 启 Web Server 高 级 防 护 功 能 关 于 Web Server 高 级 防 护 功 能, 请 参 阅 WebServer 高 级 防 护 掩 码 当 选 择 子 网 类 型 时, 该 选 项 用 于 指 定 子 网 的 掩 码 协 议 当 选 择 服 务 器 类 型 时, 该 选 项 用 于 指 定 服 务 器 的 协 议 类 型 端 口 当 选 择 服 务 器 类 型 时, 该 选 项 用 于 指 定 服 务 器 的 端 口 号 例 外 时 间 表 描 述 为 检 测 对 象 指 定 描 述 信 息 为 检 测 对 象 指 定 例 外 时 间 表 系 统 将 忽 略 该 对 象 在 时 间 表 时 间 范 围 内 产 生 的 异 常 点 击 下 拉 菜 单, 选 择 已 有 时 间 表 移 入 例 外 时 间 表, 或 者 点 击 新 建 按 钮, 配 置 时 间 表 6. 如 果 用 户 需 要 重 新 建 立 指 定 检 测 对 象 的 学 习 模 型 数 据, 选 择 以 下 两 种 方 式 中 的 一 种 重 新 学 习 选 中 指 定 检 测 对 象 条 目, 点 击 列 表 上 方 编 辑 按 钮, 在 < 异 常 行 为 检 测 对 象 配 置 > 对 话 框 中 点 击 重 置 按 钮 点 击 指 定 检 测 对 象 条 目 设 置 栏 重 置 按 钮 W eb Server 高 级 防 护 Web Server 高 级 防 护 功 能 用 来 检 测 HTTP 协 议 类 型 的 服 务 器 的 Web 攻 击, 能 够 及 时 准 确 的 发 现 异 常 行 为 当 配 置 服 务 器 类 型 的 检 测 对 象 时, 开 启 该 功 能, 能 够 检 测 以 下 类 型 的 攻 击 和 行 为 : Web Vulnerability Scan: 通 过 尝 试 各 种 访 问 方 式 和 输 入, 探 测 web 应 用 系 统 是 否 存 在 某 些 已 知 的 安 全 漏 洞 Http-based DoS Attack: 基 于 HTTP 协 议 的 DoS 攻 击, 利 用 HTTP 协 议 本 身 的 漏 洞, 使 目 标 Server 不 能 提 供 正 常 的 服 务, 典 型 的 如 http request flood 攻 击 Web Spider :Web 爬 虫 是 指 定 期 收 集 网 站 内 容 的 自 动 机, 可 用 于 搜 索 引 擎 或 其 它 目 的, 一 些 不 友 好 的 Spider 不 遵 守 相 关 标 准, 会 造 成 网 站 敏 感 信 息 泄 露 或 较 大 的 性 能 消 耗 主 机 防 护 用 户 可 以 对 指 定 安 全 域 启 用 主 机 防 护 功 能, 即 对 此 安 全 域 下 的 每 一 台 识 别 到 主 机 名 称 的 主 机, 建 立 学 习 模 型, 来 检 测 分 析 主 机 是 否 出 现 异 常 行 为 开 启 主 机 防 护 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 创 建 安 全 域 安 全 域 配 置 请 参 考 " 安 全 域 " 在 第 39 页 ; 2. 在 < 安 全 域 配 置 > 对 话 框 中, 选 择 < 威 胁 防 护 > 标 签 页 3. 勾 选 异 常 行 为 检 测 后 的 启 用 复 选 框, 系 统 会 自 动 生 成 一 个 IP 为 的 异 常 行 为 检 测 对 象 默 认 对 此 安 全 域 下 整 体 的 网 络 进 行 防 护 4. 勾 选 主 机 防 护 复 选 框, 系 统 会 自 动 生 成 一 个 类 型 为 主 机 的 异 常 行 为 检 测 对 象 默 认 对 此 安 全 域 下 识 别 到 HostID 的 主 机 进 行 防 护 查 看 异 常 行 为 检 测 信 息 异 常 行 为 检 测 信 息 包 括 检 测 对 象 参 量 趋 势 图 产 生 异 常 行 为 的 威 胁 相 关 信 息 查 看 具 体 异 常 行 为 检 测 信 息, 请 按 照 以 下 步 骤 进 行 操 作 : 第 11 章 威 胁 防 护 309

330 1. 点 击 icenter 进 入 icenter 页 面 2. 点 击 < 威 胁 > 标 签 页, 在 下 方 威 胁 列 表 中 选 中 某 个 检 测 引 擎 为 异 常 行 为 检 测 的 威 胁 条 目, 然 后 点 击 威 胁 名 称 链 接, 打 开 该 威 胁 的 < 详 细 信 息 > 对 话 框 3. 点 击 < 详 细 信 息 > 标 签 页, 查 看 该 威 胁 的 异 常 行 为 检 测 信 息 参 量 实 际 值 预 测 值 ( 或 实 际 值 基 线 值 上 下 限 值 ) 趋 势 图 310 第 11 章 威 胁 防 护

331 风 险 减 缓 措 施 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 风 险 减 缓 措 施, 即 系 统 能 够 动 态 识 别 网 络 中 潜 在 的 风 险 和 攻 击, 针 对 符 合 规 则 触 发 条 件 的 风 险 作 出 相 应 的 行 为 限 制 系 统 支 持 自 动 风 险 减 缓 措 施 和 用 户 自 定 义 风 险 减 缓 措 施 自 动 风 险 减 缓 措 施 自 动 风 险 减 缓, 即 针 对 符 合 触 发 条 件 的 风 险, 系 统 自 动 下 发 限 制 行 为, 从 而 减 缓 风 险 和 阻 止 威 胁 攻 击 自 动 风 险 减 缓 规 则 包 括 以 下 两 类 : 预 定 义 规 则 : 该 规 则 是 根 据 系 统 的 风 险 减 缓 规 则 特 征 库, 从 云 端 同 步 的 风 险 减 缓 规 则 随 着 风 险 减 缓 规 则 特 征 库 版 本 的 不 同, 预 定 义 规 则 不 同 特 征 库 升 级 请 参 阅 升 级 管 理 自 定 义 规 则 : 用 户 根 据 需 求, 配 置 自 动 风 险 减 缓 规 则, 指 定 符 合 的 触 发 条 件 以 及 限 制 行 为 注 意 : 自 动 风 险 减 缓 规 则 仅 对 Scan Dos 以 及 Spam 类 型 的 威 胁 适 用 不 允 许 用 户 编 辑 或 删 除 自 动 风 险 减 缓 规 则 的 预 定 义 规 则 配 置 自 动 风 险 减 缓 规 则 配 置 自 动 风 险 减 缓 规 则, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 icenter> 风 险 减 缓 措 施 > 风 险 减 缓 措 施 规 则 2. 点 击 列 表 左 上 角 的 新 建 按 钮 在 < 风 险 减 缓 配 置 > 对 话 框, 填 写 自 动 风 险 减 缓 规 则 配 置 信 息 触 发 条 件 日 志 类 型 指 定 符 合 触 发 风 险 减 缓 规 则 的 威 胁 日 志 类 型 包 括 Scan Dos 以 及 Spam 严 重 级 别 指 定 符 合 触 发 风 险 减 缓 规 则 的 威 胁 严 重 级 别 发 生 次 数 指 定 符 合 触 发 风 险 减 缓 规 则 的 威 胁 发 生 次 数 角 色 当 日 志 类 型 为 Dos 时, 可 指 定 角 色, 包 括 攻 击 者 和 受 害 者 行 为 当 日 志 类 型 为 Scan 和 Spam 时, 角 色 默 认 为 攻 击 者 行 为 类 型 对 符 合 触 发 条 件 的 威 胁 指 定 风 险 减 缓 行 为 类 型 会 话 限 制 : 通 过 限 制 威 胁 攻 击 者 的 新 建 连 接 数 或 并 发 连 接 数, 从 而 降 低 攻 击 者 消 耗 的 资 源, 减 缓 对 受 害 者 的 攻 击 第 11 章 威 胁 防 护 311

332 带 宽 限 制 : 通 过 限 制 威 胁 攻 击 者 的 流 量, 减 少 威 胁 占 用 的 带 宽 CPU 资 源 等 阻 断 : 通 过 阻 断 与 攻 击 者 的 连 接, 从 而 切 断 对 受 害 者 的 威 胁 攻 击 会 话 限 制 会 话 类 型 指 定 会 话 限 制 类 型, 限 制 新 建 连 接 或 并 发 连 接 阈 值 每 IP 阈 值 指 定 会 话 限 制 的 阈 值, 即 当 风 险 攻 击 流 量 满 足 触 发 条 件 且 角 色 为 攻 击 者 时, 超 过 该 阈 值 后 对 应 的 限 制 动 作 生 效 单 位 为 个, 范 围 是 指 定 每 个 与 受 害 者 连 接 的 IP 的 会 话 限 制 阈 值, 即 当 风 险 攻 击 流 量 满 足 触 发 条 件 且 角 色 为 受 害 者 时, 超 过 该 阈 值 后 对 应 的 限 制 动 作 生 效 单 位 为 个, 范 围 是 丢 弃 比 例 指 定 丢 弃 会 话 连 接 数 据 包 的 比 例 范 围 是 1-100% 生 效 时 长 指 定 丢 弃 会 话 连 接 数 据 包 的 时 长 单 位 为 秒, 范 围 是 带 宽 限 制 阈 值 每 IP 数 量 指 定 带 宽 限 制 的 阈 值, 即 当 风 险 攻 击 流 量 满 足 触 发 条 件 且 角 色 为 攻 击 者 时, 超 过 该 阈 值 后 对 应 的 限 制 动 作 生 效 单 位 为 Kbps, 范 围 是 指 定 每 个 与 受 害 者 连 接 的 IP 的 带 宽 限 制 阈 值, 即 当 风 险 攻 击 流 量 满 足 触 发 条 件 且 角 色 为 受 害 者 时, 超 过 该 阈 值 后 对 应 的 限 制 动 作 生 效 单 位 为 Kbps, 范 围 是 丢 弃 比 例 指 定 丢 弃 带 宽 流 量 数 据 包 的 比 例 范 围 是 1-100% 生 效 时 长 指 定 丢 弃 带 宽 流 量 数 据 包 的 时 长 单 位 为 秒, 范 围 是 阻 断 生 效 时 长 指 定 阻 断 与 威 胁 攻 击 者 的 连 接 生 效 时 长 单 位 为 秒, 范 围 是 描 述 描 述 指 定 自 定 义 风 险 减 缓 规 则 的 描 述 信 息 3. 点 击 " 确 定 " 按 钮 完 成 配 置 开 启 自 动 风 险 减 缓 在 开 启 自 动 风 险 减 缓 功 能 后, 自 定 义 风 险 减 缓 规 则 才 能 够 生 效 开 启 自 动 风 险 减 缓 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 icenter> 风 险 减 缓 措 施 > 风 险 减 缓 措 施 规 则 2. 勾 选 列 表 右 上 角 的 开 启 自 动 风 险 减 缓 复 选 框 自 定 义 风 险 减 缓 措 施 自 定 义 风 险 减 缓 措 施, 即 用 户 可 以 针 对 某 个 特 定 的 威 胁 自 定 义 减 缓 措 施 动 作, 对 带 宽 会 话 或 者 阻 断 进 行 控 制, 从 而 减 缓 风 险 和 阻 止 威 胁 攻 击 自 定 义 风 险 减 缓 措 施, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 icenter 2. 点 击 风 险 主 机 列 表 中 的 某 一 个 主 机 名 称 链 接, 在 打 开 的 < 威 胁 > 对 话 框 中, 点 击 某 个 威 胁 名 称 链 接, 打 开 该 威 胁 的 < 详 细 信 息 > 对 话 框 或 者 点 击 icenter> 威 胁 ", 并 点 击 下 方 威 胁 列 表 中 某 个 威 胁 名 称 链 接, 打 开 该 威 胁 的 < 详 细 信 息 > 对 话 框 312 第 11 章 威 胁 防 护

333 3. 点 击 < 减 缓 措 施 > 标 签 页, 查 看 该 威 胁 的 减 缓 措 施 行 为 自 动 减 缓 措 施 : 显 示 系 统 根 据 自 动 风 险 减 缓 规 则 触 发 的 限 制 行 为 结 果 详 细 信 息 用 户 自 定 义 减 缓 措 施 : 显 示 系 统 根 据 用 户 自 定 义 的 风 险 减 缓 行 为 执 行 的 结 果 详 细 信 息 4. 在 该 标 签 页 下 方 用 户 自 定 义 减 缓 措 施 列 表 中, 选 择 < 带 宽 控 制 >/< 会 话 控 制 >/< 阻 断 控 制 > 标 签 页, 点 击 新 建 在 < 减 缓 措 施 动 作 > 对 话 框, 填 写 自 定 义 风 险 减 缓 行 为 配 置 信 息 选 项 说 明 攻 击 者 显 示 所 选 择 的 威 胁 攻 击 者 IP 地 址 受 害 者 显 示 所 选 择 的 威 胁 受 害 者 IP 地 址 带 宽 控 制 阈 值 指 定 带 宽 限 制 的 阈 值, 即 当 风 险 攻 击 流 量 满 足 触 发 条 件 且 角 色 为 攻 击 者 时, 超 过 该 阈 值 后 对 应 的 限 制 动 作 生 效 单 位 为 Kbps, 范 围 是 丢 弃 比 例 指 定 丢 弃 带 宽 流 量 数 据 包 的 比 例 范 围 是 1-100% 生 效 时 长 指 定 丢 弃 带 宽 流 量 数 据 包 的 时 长 单 位 为 秒, 范 围 是 会 话 控 制 会 话 类 型 指 定 会 话 限 制 类 型, 限 制 新 建 连 接 或 并 发 连 接 阈 值 指 定 会 话 限 制 的 阈 值, 即 当 风 险 攻 击 流 量 满 足 触 发 条 件 且 角 色 为 攻 击 者 时, 超 过 该 阈 值 后 对 应 的 限 制 动 作 生 效 单 位 为 个, 范 围 是 丢 弃 比 例 指 定 丢 弃 会 话 连 接 数 据 包 的 比 例 范 围 是 1-100% 生 效 时 长 指 定 丢 弃 会 话 连 接 数 据 包 的 时 长 单 位 为 秒, 范 围 是 阻 断 控 制 生 效 时 长 指 定 阻 断 与 威 胁 攻 击 者 的 连 接 生 效 时 长 单 位 为 秒, 范 围 是 点 击 " 确 定 " 按 钮 完 成 配 置 查 看 已 触 发 的 风 险 减 缓 措 施 详 细 信 息 查 看 所 有 已 经 触 发 的 风 险 减 缓 措 施 ( 包 括 自 动 风 险 减 缓 措 施 和 用 户 自 定 义 减 缓 措 施 ) 详 情, 请 按 照 以 下 步 骤 进 行 操 作 : 第 11 章 威 胁 防 护 313

334 1. 点 击 icenter> 风 险 减 缓 措 施 > 风 险 减 缓 措 施 配 置 2. 根 据 需 要, 用 户 可 以 点 击 威 胁 名 称 栏 中 对 应 的 威 胁 名 称 链 接, 查 看 对 应 的 威 胁 详 细 信 息 314 第 11 章 威 胁 防 护

335 高 级 威 胁 检 测 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 高 级 威 胁 检 测 (Advanced Threat Detection) 功 能 在 学 习 高 级 威 胁 检 测 特 征 库 的 基 础 上, 对 基 于 主 机 的 可 疑 流 量 进 行 智 能 分 析, 来 检 测 恶 意 行 为 进 而 识 别 APT(Advanced Persistent Threat) 攻 击, 并 产 生 相 关 威 胁 日 志 注 意 : 使 用 该 功 能 前, 用 户 需 要 首 先 更 新 高 级 威 胁 检 测 特 征 库 默 认 情 况 下, 系 统 会 每 日 自 动 更 新 高 级 威 胁 检 测 特 征 库, 用 户 可 以 根 据 需 要 更 改 高 级 威 胁 检 测 特 征 库 更 新 配 置 升 级 方 式 请 参 阅 " 升 级 管 理 " 在 第 421 页 高 级 威 胁 检 测 功 能 受 许 可 证 控 制, 即 为 支 持 高 级 威 胁 检 测 功 能 的 设 备 安 装 StoneShield 许 可 证 后, 功 能 才 可 使 用 配 置 高 级 威 胁 检 测 配 置 基 于 安 全 域 的 高 级 威 胁 检 测 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 创 建 安 全 域 安 全 域 配 置 请 参 考 " 安 全 域 " 在 第 39 页 ; 2. 在 < 安 全 域 配 置 > 对 话 框 中, 选 择 < 威 胁 防 护 > 标 签 页 3. 勾 选 高 级 威 胁 检 测 后 的 启 用 复 选 框, 开 启 该 功 能 4. 如 果 用 户 需 要 抓 取 证 据 报 文, 勾 选 抓 包 复 选 框, 系 统 将 保 存 相 关 证 据 报 文 并 支 持 用 户 下 载 报 文 查 看 高 级 威 胁 检 测 信 息 查 看 高 级 威 胁 检 测 信 息 和 证 据 报 文, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 icenter 进 入 icenter 页 面 2. 点 击 < 威 胁 > 标 签 页, 在 下 方 威 胁 列 表 中 选 中 某 个 检 测 引 擎 为 高 级 威 胁 检 测 的 威 胁 条 目, 然 后 点 击 威 胁 名 称 链 接, 打 开 该 威 胁 的 < 详 细 信 息 > 对 话 框 3. 点 击 < 详 细 信 息 > 标 签 页, 查 看 该 威 胁 的 高 级 威 胁 检 测 信 息 恶 意 软 件 可 信 度 判 断 信 息 等 第 11 章 威 胁 防 护 315

336 4. 点 击 证 据 报 文 按 钮, 打 开 < 报 文 > 对 话 框, 查 看 报 文 的 数 据 信 息 协 议 属 性 5. 点 击 下 载 按 钮, 可 以 将 数 据 报 文 下 载 到 本 地 6. 点 击 请 标 记 下 拉 菜 单, 标 记 该 威 胁 的 状 态 误 报 : 标 记 误 报 的 威 胁 条 目, 系 统 将 会 上 传 至 云 端, 下 次 检 测 时 将 不 会 再 次 呈 现 报 出 已 解 决 : 标 记 已 解 决 的 威 胁 条 目, 将 不 会 参 与 到 网 络 风 险 指 数 的 评 分 中 316 第 11 章 威 胁 防 护

337 威 胁 防 护 全 局 配 置 该 功 能 在 不 同 平 台 上 的 呈 现 方 式 有 所 差 异, 请 以 实 际 页 面 为 准 启 用 应 用 层 强 制 检 查 功 能 系 统 支 持 应 用 层 强 制 检 查 功 能 开 启 该 功 能 后, 系 统 将 对 应 用 层 入 侵 防 御 病 毒 过 滤 内 容 过 滤 应 用 层 行 为 控 制 进 行 强 制 检 查 默 认 情 况 下, 该 功 能 为 开 启 状 态 若 关 闭 该 功 能, 仅 当 设 备 的 CPU 使 用 率 超 过 68% 时, 系 统 将 对 新 建 会 话 的 转 发 报 文, 随 机 性 地 不 做 应 用 层 检 查, 来 控 制 应 用 层 功 能 对 设 备 的 CPU 利 用, 从 而 不 会 影 响 到 其 他 功 能 模 块 启 用 应 用 层 强 制 检 查 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 威 胁 防 护, 进 入 威 胁 防 护 全 局 配 置 页 面 2. 勾 选 应 用 层 强 制 检 查 后 的 启 用 复 选 框, 启 用 该 功 能 入 侵 防 御 全 局 配 置 配 置 入 侵 防 御 全 局 配 置 选 项, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 威 胁 防 护, 进 入 威 胁 防 护 全 局 配 置 页 面 点 击 < 威 胁 防 护 全 局 配 置 > 标 签 页, 在 入 侵 防 御 全 局 配 置 部 分 配 置 全 局 配 置 信 息 选 项 说 明 入 侵 防 御 选 中 / 取 消 选 中 启 用 复 选 框 开 启 / 关 闭 设 备 的 入 侵 防 御 防 护 功 能 聚 合 类 型 系 统 可 将 符 合 聚 合 规 则 ( 协 议 ID 相 同 VSYS ID 相 同 特 征 规 则 ID 相 同 日 志 信 息 ID 相 同 聚 合 类 型 相 同 ) 的 IPS 日 志 信 息 进 行 聚 合, 从 而 减 少 日 志 数 量, 避 免 日 志 服 务 器 接 受 冗 余 的 日 志 信 息 该 功 能 默 认 为 关 闭 状 态 在 聚 合 类 型 下 拉 菜 单 中 选 择 聚 合 类 型, 可 以 是 : 不 聚 合 日 志 源 IP - 将 相 同 源 IP 并 符 合 其 他 聚 合 规 则 的 IPS 日 志 进 行 聚 合 目 的 IP - 将 相 同 目 的 IP 并 符 合 其 他 聚 合 规 则 的 IPS 的 日 志 进 行 聚 合 源 IP, 目 的 IP - 将 相 同 源 IP 相 同 目 的 IP 并 符 合 其 他 聚 合 规 则 的 IPS 日 志 进 行 聚 合 模 式 指 定 系 统 的 入 侵 防 御 工 作 模 式, 可 以 是 : 入 侵 防 御 - 在 该 模 式 下, 系 统 在 提 供 协 议 异 常 和 网 络 攻 击 行 为 的 告 警 日 志 功 能 的 同 时, 还 对 检 出 攻 击 做 重 置 和 阻 断 操 作 该 模 式 为 系 统 默 认 模 式 只 记 录 日 志 - 在 该 模 式 下, 系 统 提 供 协 议 异 常 和 网 络 攻 击 行 为 的 告 警 日 志 功 能, 不 对 检 出 攻 击 做 重 置 和 阻 断 操 作 强 制 检 查 选 中 启 用 复 选 框 开 启 入 侵 防 御 强 制 检 查 功 能 入 侵 防 御 强 制 检 查 功 能 开 启 后, 当 入 侵 防 御 功 能 不 能 正 常 检 测 时 ( 例 如 特 征 库 升 级 或 者 配 置 更 新 ), 系 统 将 会 丢 弃 需 要 进 行 入 侵 防 御 检 测 的 流 量 默 认 情 况 下, 该 功 能 为 关 闭 状 态, 即 当 入 侵 防 御 功 能 不 能 正 常 检 测 时, 需 要 进 行 入 侵 防 御 检 测 的 流 量 仍 可 正 常 通 过 设 备 2. 配 置 完 成, 点 击 确 定 按 钮 病 毒 过 滤 全 局 配 置 配 置 病 毒 过 滤 全 局 配 置 选 项, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 威 胁 防 护, 进 入 威 胁 防 护 全 局 配 置 页 面 点 击 < 威 胁 防 护 全 局 配 置 > 标 签 页, 在 病 毒 过 滤 全 局 配 置 部 分 配 置 全 局 配 置 信 息 第 11 章 威 胁 防 护 317

338 选 项 说 明 病 毒 过 滤 选 中 / 取 消 选 中 启 用 复 选 框 开 启 / 关 闭 设 备 的 病 毒 过 滤 功 能 最 大 压 缩 层 默 认 情 况 下, 系 统 可 以 对 最 多 5 层 压 缩 嵌 套 的 文 件 进 行 扫 描 ( 含 5 层 ), 用 户 可 以 通 过 该 选 项 对 可 扫 描 压 缩 层 数 进 行 配 置 从 下 拉 菜 单 中 选 择 需 要 的 层 数 范 围 是 1-5 层 超 出 行 为 指 定 对 超 出 限 制 的 压 缩 文 件 的 处 理 动 作 从 下 拉 菜 单 中 进 行 选 择, 可 以 是 : 只 记 录 日 志 - 只 生 成 相 关 日 志 信 息 该 行 为 是 系 统 默 认 行 为 重 置 连 接 - 发 现 病 毒 后, 重 置 病 毒 连 接 加 密 压 缩 文 件 指 定 对 加 密 压 缩 文 件 的 处 理 方 式, 可 以 是 : 2. 配 置 完 成, 点 击 确 定 按 钮 威 胁 防 护 全 局 列 表 不 对 加 密 压 缩 文 件 进 行 病 毒 过 滤 特 殊 处 理, 根 据 配 置, 系 统 可 能 会 继 续 扫 描 只 记 录 日 志 - 只 生 成 相 关 日 志 信 息, 不 对 加 密 压 缩 文 件 进 行 扫 描 重 置 连 接 - 重 置 加 密 压 缩 文 件 连 接 威 胁 防 护 全 局 列 表 用 来 显 示 入 侵 防 御 特 征 库 中 所 有 特 征 的 具 体 信 息 启 用 / 禁 用 某 指 定 攻 击 特 征 ; 用 户 也 可 根 据 需 要 自 定 义 入 侵 防 御 特 征 库 用 户 可 在 搜 索 栏 设 置 搜 索 条 件, 查 看 符 合 需 求 的 特 征 点 击 搜 索 按 键 搜 索 特 定 的 特 征 条 目 点 击 重 置 按 键 重 置 所 有 过 滤 条 件 点 击 保 存 本 次 筛 选 设 置 按 钮, 并 在 < 保 存 筛 选 名 称 > 对 话 框 指 定 名 称, 将 本 次 搜 索 条 件 保 存 到 系 统 中 在 保 存 本 次 筛 选 设 置 后 的 下 拉 菜 单 中, 选 择 已 保 存 的 筛 选 名 称, 搜 索 特 定 的 特 征 条 目 点 击 加 载 数 据 库, 威 胁 防 护 全 局 列 表 将 重 新 加 载 新 的 数 据 查 看 特 征 库 中 指 定 特 征 的 详 情, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 特 征 列 表 中 的 指 定 的 特 征 ID 链 接, 打 开 特 征 详 情 对 话 框 2. 在 该 对 话 框 查 看 特 征 的 具 体 详 细 信 息 新 建 入 侵 防 御 特 征 规 则 新 建 入 侵 防 御 特 征 规 则, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 对 象 > 威 胁 防 护, 进 入 威 胁 防 护 全 局 配 置 页 面 2. 在 < 威 胁 防 护 全 局 列 表 > 标 签 页, 点 击 新 建 按 钮 318 第 11 章 威 胁 防 护

339 在 < 自 定 义 特 征 > 对 话 框, 配 置 入 侵 防 御 特 征 规 则 选 项 < 基 本 配 置 > 标 签 页 说 明 名 称 指 定 特 征 的 名 称 描 述 指 定 特 征 的 描 述 信 息 协 议 指 定 特 征 支 持 的 协 议 方 向 指 定 该 特 征 的 匹 配 方 向 To_Server 表 示 攻 击 特 征 的 报 文 是 服 务 器 发 给 客 户 端 的 ; To_Client 表 示 特 征 的 报 文 是 客 户 端 发 给 服 务 器 的 ; Both 表 示 双 向 源 端 口 指 定 该 特 征 的 源 端 口 号 Any - 任 意 端 口 目 的 端 口 指 定 该 特 征 的 目 的 端 口 号 Included - 特 征 的 源 端 口 需 包 含 该 端 口 号 ; 可 以 是 一 个, 多 个, 或 者 是 一 个 范 围 在 其 后 的 文 本 框 中 输 入 端 口 号, 用, 隔 开 Excluded - 排 除 指 定 的 端 口 ; 可 以 是 一 个, 多 个, 或 者 是 一 个 范 围 在 其 后 的 文 本 框 中 输 入 端 口 号, 用, 隔 开 Any - 任 意 端 口 Included - 特 征 的 目 的 端 口 需 包 含 该 端 口 号 ; 可 以 是 一 个, 多 个, 或 者 是 一 个 范 围 在 其 后 的 文 本 框 中 输 入 端 口 号, 用, 隔 开 Excluded - 排 除 指 定 的 端 口 ; 可 以 是 一 个, 多 个, 或 者 是 一 个 范 围 在 其 后 的 文 本 框 中 输 入 端 口 号, 用, 隔 开 包 净 荷 尺 寸 值 指 定 报 文 数 据 (payload) 包 的 大 小 从 下 拉 框 中 选 择 ---- > < 或 =, 并 在 其 后 的 文 本 框 中 输 入 数 值 大 小 ---- 表 示 不 指 定 该 参 数 严 重 程 度 指 定 攻 击 的 严 重 级 别, 包 括 严 重 警 告 和 信 息 攻 击 类 型 从 下 拉 菜 单 中 选 择 攻 击 的 类 型 服 务 类 型 从 下 拉 菜 单 中 选 择 服 务 的 类 型 ---- 表 示 所 有 服 务 操 作 系 统 从 下 拉 菜 单 中 选 择 操 作 系 统 的 名 称 ---- 表 示 所 有 操 作 系 统 检 测 过 滤 指 定 特 征 规 则 发 生 的 频 率 跟 踪 - 从 下 拉 菜 单 中 选 择 跟 踪 的 类 型, 可 以 是 源 IP, 也 可 以 是 目 的 IP 指 定 后, 系 统 将 依 据 源 IP 或 目 的 IP 的 统 计, 匹 配 当 前 规 则 的 攻 击 次 数 - 指 定 在 规 定 时 间 内, 该 规 则 发 生 的 最 大 次 数 攻 击 若 超 过 指 定 次 数, 系 统 就 会 触 发 规 则 并 按 指 定 的 动 作 进 行 操 作 秒 数 - 指 定 该 特 征 规 则 发 生 的 时 间 间 隔 < 内 容 > 标 签 页 : 点 击 新 建 按 钮, 弹 出 < 新 增 内 容 > 对 话 框, 创 建 特 征 的 内 容 内 容 指 定 新 增 特 征 的 内 容 勾 选 HEX 表 示 该 内 容 为 十 六 进 制 ; 勾 选 忽 略 大 小 写 表 示 该 内 容 输 入 时 可 忽 略 字 母 大 小 写 ; 勾 选 URI 表 示 内 容 需 要 匹 配 HTTP 请 求 中 的 URI 字 段 相 对 位 置 指 定 该 内 容 的 位 置 如 选 择 头 部, 表 示 在 应 用 层 报 文 头 部 的 位 置 开 始 搜 索 如 选 择 前 一 个 内 容, 表 示 在 前 一 个 内 容 结 束 位 置 开 始 搜 索 搜 索 偏 移 指 定 偏 移 值, 系 统 将 在 应 用 层 报 文 头 偏 移 指 定 字 节 之 后 开 始 搜 索 第 11 章 威 胁 防 护 319

340 选 项 说 明 搜 索 距 离 指 定 搜 索 距 离 值, 系 统 将 在 前 一 个 内 容 结 束 位 置 偏 移 指 定 字 节 之 后 开 始 搜 索 搜 索 深 度 3. 配 置 完 成, 点 击 确 定 按 钮 如 相 对 位 置 指 定 为 头 部, 指 定 搜 索 深 度 值, 搜 索 限 制 将 在 应 用 层 报 文 头 偏 移 该 字 节 之 前 如 相 对 位 置 指 定 为 前 一 个 内 容, 指 定 搜 索 深 度 值, 搜 索 限 制 将 在 前 一 个 内 容 结 束 位 置 偏 移 该 字 节 之 前 320 第 11 章 威 胁 防 护

341 第 12 章 监 控 系 统 监 控 部 分 包 含 如 下 功 能 : 监 控 : 对 设 备 数 据 进 行 统 计, 并 以 柱 状 图 折 线 图 表 格 等 方 式 呈 现 出 来, 帮 助 用 户 通 过 统 计 数 据 掌 握 设 备 状 况, 排 查 问 题 告 警 : 对 产 生 的 告 警 信 息 进 行 分 析 统 计, 并 且 以 分 布 图 和 时 间 轴 相 结 合 的 方 式 展 示 分 析 结 果 WAP 智 能 分 流 : 展 示 历 史 ( 过 去 24 小 时 以 及 过 去 30 天 ) 的 WAP 智 能 分 流 统 计 数 据 结 果, 包 括 请 求 统 计 数 据 以 及 响 应 统 计 数 据 报 表 : 通 过 对 设 备 流 量 信 息 流 量 管 理 情 况 威 胁 防 护 情 况 设 备 监 控 情 况 以 及 设 备 资 源 使 用 情 况 的 相 关 数 据 的 统 计 和 综 合 分 析, 为 用 户 提 供 全 方 位 多 角 度 的 统 计 报 告 日 志 : 记 录 并 输 出 设 备 的 各 种 日 志 信 息, 分 别 是 设 备 系 统 威 胁 会 话 NAT 以 及 URL 第 12 章 监 控 321

342 监 控 系 统 提 供 多 种 监 控 方 式, 包 括 : 用 户 监 控 : 展 现 指 定 时 间 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 自 定 义 时 间 ) 不 同 用 户 的 各 类 统 计 信 息, 包 括 指 定 接 口 / 安 全 域 下 的 用 户 应 用 个 数 用 户 带 宽 流 量 和 用 户 并 发 连 接 个 数 应 用 监 控 : 展 现 指 定 时 间 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 自 定 义 时 间 ) 不 同 应 用 的 各 类 统 计 信 息, 包 括 指 定 接 口 / 安 全 域 下 的 应 用 用 户 个 数 应 用 带 宽 流 量 和 用 户 并 发 连 接 个 数 威 胁 监 控 : 展 现 指 定 时 间 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 自 定 义 时 间 ) 的 设 备 受 到 的 威 胁 统 计 信 息 管 道 监 控 : 展 现 指 定 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 自 定 义 时 间 ) 的 管 道 流 量 统 计 信 息 服 务 网 络 监 控 : 展 现 指 定 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 自 定 义 时 间 ) 的 服 务 网 络 节 点 丢 包 率 和 延 迟 时 间 统 计 信 息 设 备 监 控 : 展 现 指 定 时 间 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 自 定 义 时 间 ) 包 括 整 机 流 量 接 口 流 量 安 全 域 在 线 IP 数 新 建 / 并 发 连 接 NAT 以 及 硬 件 状 态 统 计 信 息 应 用 阻 断 : 系 统 配 置 " 安 全 策 略 " 在 第 205 页 阻 断 应 用 功 能 后, 展 现 被 阻 断 的 应 用 以 及 用 户 /IP 统 计 信 息 关 键 字 阻 断 : 系 统 配 置 上 网 行 为 控 制 的 " 网 页 关 键 字 " 在 第 260 页 " 邮 件 过 滤 " 在 第 268 页 "Web 外 发 信 息 " 在 第 264 页 功 能 后, 展 现 网 页 关 键 字 邮 件 内 容 关 键 字 Web 外 发 信 息 关 键 字 阻 断 次 数 统 计 信 息 以 及 用 户 /IP 统 计 信 息 认 证 用 户 : 系 统 配 置 "Web 认 证 " 在 第 105 页 " 单 点 登 录 " 在 第 109 页 "802.1x 认 证 " 在 第 114 页 "SSL VPN" 在 第 137 页 "L2TP VPN" 在 第 169 页 等 功 能 后, 统 计 认 证 登 录 的 用 户 信 息 监 控 配 置 : 开 启 或 者 关 闭 指 定 监 控 项 目 自 定 义 监 控 : 配 置 自 定 义 监 控 统 计 集 为 用 户 提 供 更 加 灵 活 的 统 计 信 息 查 看 方 法 322 第 12 章 监 控

343 用 户 监 控 该 功 能 在 不 同 平 台 上 的 呈 现 方 式 有 所 差 异, 请 以 实 际 页 面 为 准 用 户 监 控 页 面 展 现 指 定 时 间 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 自 定 义 时 间 ) 不 同 用 户 的 各 类 统 计 信 息, 包 括 指 定 接 口 / 安 全 域 下 的 用 户 应 用 个 数 用 户 带 宽 流 量 用 户 新 建 连 接 和 用 户 并 发 连 接 个 数 概 览 概 览 页 面 为 用 户 展 示 指 定 时 间 周 期 内 指 定 排 序 方 式 指 定 接 口 / 安 全 域 的 用 户 应 用 个 数 / 带 宽 流 量 / 新 建 数 / 并 发 数 排 名 点 击 监 控 > 用 户 监 控 > 概 览 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 图 标 用 于 立 即 刷 新 概 页 面 监 控 数 据 鼠 标 悬 停 在 某 用 户 对 应 的 柱 状 图 上, 查 看 该 用 户 的 应 用 个 数 流 量 或 者 新 建 连 接 并 发 链 接 总 个 数 平 均 值 TOP 下 拉 菜 单 用 于 指 定 显 示 的 用 户 排 名 数 量 包 括 TOP10 TOP20 以 及 TOP30 用 户 排 序 下 拉 菜 单 用 于 指 定 显 示 监 控 概 览 的 类 型 : 应 用 个 数 流 量 新 建 或 并 发 点 击 接 口 安 全 域 : 全 部 接 口 / 安 全 域 下 拉 菜 单, 中 指 定 统 计 用 户 所 属 的 接 口 和 安 全 域 系 统 最 多 允 许 指 定 6 个 接 口 或 者 3 个 安 全 域, 默 认 为 所 有 接 口 或 者 所 有 安 全 域 列 表 按 钮 用 于 将 统 计 图 在 图 形 和 列 表 之 间 切 换 第 12 章 监 控 323

344 配 置 监 控 地 址 按 钮 用 于 配 置 系 统 中 储 存 需 要 统 计 的 用 户 地 址 条 目 请 参 阅 配 置 监 控 地 址 当 显 示 用 户 流 量 统 计 结 果 时, 上 行 下 行 选 项 用 于 指 定 柱 状 图 的 流 量 统 计 对 象 用 户 详 情 点 击 监 控 > 用 户 监 控 > 用 户 详 情, 进 一 步 查 看 指 定 接 口 / 安 全 域 的 所 有 用 户 的 详 细 统 计 信 息 ( 应 用 数 量 带 宽 并 发 连 接 数 以 及 威 胁 数 量 ) 点 击 接 口 安 全 域 : 全 部 接 口 / 安 全 域 下 拉 菜 单, 指 定 统 计 用 户 所 属 的 接 口 和 安 全 域 系 统 最 多 允 许 指 定 6 个 接 口 或 者 3 个 安 全 域, 默 认 为 所 有 接 口 或 者 所 有 安 全 域 在 列 表 右 上 方 文 本 框 中 输 入 用 户 名 称 或 IP, 然 后 点 击, 系 统 将 显 示 被 搜 索 的 用 户 统 计 信 息 配 置 监 控 地 址 按 钮 用 于 配 置 系 统 中 储 存 需 要 统 计 的 用 户 地 址 条 目 请 参 阅 配 置 监 控 地 址 在 用 户 列 表 中 选 定 某 一 用 户 条 目, 列 表 下 方 显 示 所 选 用 户 名 称, 并 且 可 以 进 一 步 查 看 该 用 户 的 详 细 统 计 信 息 应 用 : 点 击 列 表 下 方 < 应 用 > 标 签 页, 显 示 所 选 用 户 使 用 的 各 应 用 的 上 行 下 行 总 流 量 并 发 连 接 以 及 新 建 连 接 统 计 详 细 信 息 点 击 列 表 中 详 情, 查 看 指 定 统 计 周 期 对 应 的 趋 势 图 流 量 : 点 击 列 表 下 方 < 流 量 > 标 签 页, 显 示 所 选 用 户 的 流 量 趋 势 图 324 第 12 章 监 控

345 并 发 : 点 击 列 表 下 方 < 并 发 > 标 签 页, 显 示 所 选 用 户 的 并 发 连 接 统 计 趋 势 图 新 建 : 点 击 列 表 下 方 < 新 建 > 标 签 页, 显 示 所 选 用 户 的 新 建 连 接 统 计 趋 势 图 鼠 标 框 选 趋 势 图 中 某 一 区 域, 可 以 放 大 显 示 的 时 间 段 范 围, 点 击 趋 势 图 右 上 角 按 钮, 恢 复 趋 势 图 默 认 大 小 地 址 簿 详 情 点 击 监 控 > 用 户 监 控 > 地 址 簿 详 情, 进 一 步 查 看 需 要 统 计 的 监 控 地 址 簿 的 详 细 统 计 信 息 用 户 组 详 情 点 击 监 控 > 用 户 监 控 > 用 户 组 详 情, 进 一 步 查 看 指 定 AAA 服 务 器 指 定 接 口 / 安 全 域 的 所 有 用 户 组 ( 即 监 控 地 址 簿 ) 的 详 细 统 计 信 息 AAA 服 务 器 下 拉 菜 单 用 来 指 定 显 示 的 AAA 服 务 器 下 的 用 户 组 第 12 章 监 控 325

346 点 击 接 口 安 全 域 : 全 部 接 口 / 安 全 域 下 拉 菜 单, 在 弹 出 的 对 话 框 中 指 定 统 计 用 户 组 所 属 的 接 口 和 安 全 域 系 统 最 多 允 许 指 定 6 个 接 口 或 者 3 个 安 全 域, 默 认 为 所 有 接 口 或 者 所 有 安 全 域 在 列 表 右 上 方 文 本 框 中 输 入 用 户 组 名 称, 然 后 点 击, 系 统 将 显 示 被 搜 索 的 用 户 组 详 细 统 计 信 息 用 于 配 置 系 统 中 储 存 需 要 统 计 的 用 户 地 址 条 目 请 参 阅 配 置 监 控 地 址 在 用 户 列 表 中 选 定 某 一 用 户 组 条 目, 列 表 下 方 显 示 所 选 用 户 组 名 称, 并 且 可 以 进 一 步 查 看 该 用 户 组 的 详 细 统 计 信 息 应 用 : 点 击 列 表 下 方 < 应 用 > 标 签 页, 显 示 所 选 用 户 组 使 用 的 各 应 用 的 上 行 下 行 总 流 量 并 发 连 接 以 及 新 建 连 接 统 计 详 细 信 息 点 击 列 表 中 详 情, 查 看 对 应 的 趋 势 图 流 量 : 点 击 列 表 下 方 < 流 量 > 标 签 页, 显 示 所 选 用 户 组 的 流 量 趋 势 图 并 发 : 点 击 列 表 下 方 < 并 发 > 标 签 页, 显 示 所 选 用 户 组 的 并 发 统 计 趋 势 图 新 建 : 点 击 列 表 下 方 < 新 建 > 标 签 页, 显 示 所 选 用 户 组 的 新 建 连 接 统 计 趋 势 图 鼠 标 框 选 趋 势 图 中 某 一 区 域, 可 以 放 大 显 示 的 时 间 段 范 围, 点 击 趋 势 图 右 上 角 按 钮, 恢 复 趋 势 图 默 认 大 小 配 置 监 控 地 址 此 地 址 簿 用 来 储 存 需 要 统 计 的 用 户 地 址 条 目, 即 在 全 局 地 址 簿 中 选 择 需 要 统 计 的 地 址 条 目 点 击 < 概 览 > 页 面 < 用 户 详 情 > 页 面 或 < 用 户 组 详 情 > 页 面 右 上 角 配 置 监 控 地 址 按 钮 在 < 配 置 地 址 簿 > 对 话 框, 可 以 实 现 以 下 操 作 : 326 第 12 章 监 控

347 在 左 侧 地 址 簿 中, 勾 选 需 要 统 计 的 地 址 条 目 复 选 框, 点 击 右 侧 移 入 按 钮, 将 地 址 条 目 添 加 到 已 选 地 址 条 目 列 表 中 在 右 侧 已 选 地 址 条 目 列 表 中, 选 中 需 要 移 出 的 地 址 条 目, 点 击 移 出 按 钮, 此 地 址 条 目 将 不 会 被 统 计 列 表 下 方 显 示 选 中 的 地 址 条 目 详 细 信 息 注 意 : 该 监 控 地 址 簿 最 多 允 许 添 加 32 个 地 址 条 目 监 控 地 址 簿 此 监 控 地 址 簿 用 来 储 存 需 要 统 计 的 用 户 地 址 条 目, 即 在 全 局 地 址 簿 中 选 择 需 要 统 计 的 地 址 条 目 点 击 < 地 址 簿 详 情 > 页 面 左 上 角 按 钮 在 < 请 选 择 地 址 条 目 > 对 话 框, 可 以 实 现 以 下 操 作 : 统 计 周 期 系 统 支 持 预 定 义 统 计 周 期 用 户 可 以 通 过 监 控 页 面 右 上 角 的 统 计 周 期 下 拉 菜 单 ( ) 指 定 统 计 周 期 : 实 时 : 显 示 当 前 的 统 计 信 息 最 近 1 小 时 : 显 示 最 近 1 小 时 的 统 计 信 息 最 近 1 天 : 显 示 最 近 1 天 的 统 计 信 息 最 近 1 周 : 显 示 最 近 1 周 的 统 计 信 息 最 近 1 月 : 显 示 最 近 1 月 的 统 计 信 息 自 定 义 : 自 定 义 统 计 周 期 选 中 该 选 项, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 用 户 最 远 可 以 指 定 从 当 前 时 间 起 往 前 30 天 的 时 间 周 期 第 12 章 监 控 327

348 应 用 监 控 该 功 能 在 不 同 平 台 上 的 呈 现 方 式 有 所 差 异, 请 以 实 际 页 面 为 准 应 用 监 控 页 面 展 现 指 定 时 间 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 自 定 义 时 间 ) 不 同 应 用 的 各 类 统 计 信 息, 包 括 指 定 接 口 / 安 全 域 下 的 应 用 用 户 个 数 应 用 带 宽 流 量 用 户 新 建 连 接 和 用 户 并 发 连 接 个 数 概 览 概 览 页 面 为 用 户 展 示 指 定 时 间 周 期 内 指 定 排 序 方 式 指 定 接 口 / 安 全 域 的 应 用 的 用 户 个 数 / 带 宽 流 量 / 新 建 数 / 并 发 数 排 名 点 击 监 控 > 应 用 监 控 > 概 览 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 图 标 用 于 立 即 刷 新 页 面 监 控 数 据 鼠 标 悬 停 在 某 应 用 对 应 的 柱 状 图 上, 查 看 该 应 用 的 应 用 个 数 流 量 新 建 连 接 或 者 并 发 链 接 总 个 数 平 均 值 TOP 下 拉 菜 单 用 于 指 定 显 示 应 用 排 名 数 量 包 括 TOP10 TOP20 以 及 TOP30 应 用 排 序 下 拉 菜 单 用 于 指 定 显 示 监 控 概 览 的 类 型 : 应 用 个 数 流 量 新 建 或 并 发 点 击 接 口 安 全 域 : 全 部 接 口 / 安 全 域 下 拉 菜 单, 指 定 统 计 应 用 所 属 的 接 口 和 安 全 域 系 统 最 多 允 许 指 定 6 个 接 口 或 者 3 个 安 全 域, 默 认 为 所 有 接 口 或 者 所 有 安 全 域 328 第 12 章 监 控

349 应 用 详 情 按 钮 用 于 将 统 计 图 在 图 形 和 列 表 之 间 切 换 点 击 监 控 > 应 用 监 控 > 应 用 详 情, 进 一 步 查 看 所 有 应 用 的 详 细 统 计 信 息 第 12 章 监 控 329

350 点 击 接 口 安 全 域 : 全 部 接 口 / 安 全 域 下 拉 菜 单, 在 弹 出 的 对 话 框 中 指 定 统 计 应 用 所 属 的 接 口 和 安 全 域 系 统 最 多 允 许 指 定 6 个 接 口 或 者 3 个 安 全 域, 默 认 为 所 有 接 口 或 者 所 有 安 全 域 在 列 表 右 上 方 文 本 框 中 输 入 应 用 名 称, 然 后 点 击, 系 统 将 显 示 被 搜 索 的 应 用 统 计 信 息 在 应 用 列 表 中 选 定 某 一 应 用 条 目, 列 表 下 方 显 示 所 选 应 用 名 称, 并 且 可 以 进 一 步 查 看 该 应 用 的 详 细 统 计 信 息 描 述 : 点 击 列 表 下 方 < 描 述 > 标 签 页, 显 示 所 选 应 用 的 描 述 详 细 信 息 用 户 : 点 击 列 表 下 方 < 用 户 > 标 签 页, 显 示 使 用 所 选 应 用 的 用 户 的 上 行 下 行 总 流 量 并 发 连 接 以 及 新 建 连 接 统 计 详 细 信 息 点 击 列 表 中 详 情, 查 看 对 应 的 趋 势 图 流 量 : 点 击 列 表 下 方 < 带 宽 > 标 签 页, 显 示 所 选 应 用 的 流 量 趋 势 图 并 发 : 点 击 列 表 下 方 < 并 发 > 标 签 页, 显 示 所 选 应 用 的 并 发 统 计 趋 势 图 新 建 : 点 击 列 表 下 方 < 新 建 > 标 签 页, 显 示 所 选 应 用 的 新 建 统 计 趋 势 图 鼠 标 框 选 趋 势 图 中 某 一 区 域, 可 以 放 大 显 示 的 时 间 段 范 围, 点 击 趋 势 图 右 上 角 按 钮, 恢 复 趋 势 图 默 认 大 小 应 用 组 详 情 点 击 监 控 > 应 用 监 控 > 应 用 组 详 情, 进 一 步 查 看 所 有 应 用 组 的 详 细 统 计 信 息 330 第 12 章 监 控

351 点 击 接 口 安 全 域 : 全 部 接 口 / 安 全 域 下 拉 菜 单, 在 弹 出 的 对 话 框 中 指 定 统 计 应 用 组 所 属 的 接 口 和 安 全 域 系 统 最 多 允 许 指 定 6 个 接 口 或 者 3 个 安 全 域, 默 认 为 所 有 接 口 或 者 所 有 安 全 域 在 列 表 右 上 方 文 本 框 中 输 入 应 用 组 名 称, 然 后 点 击, 系 统 将 显 示 被 搜 索 的 应 用 组 统 计 信 息 在 应 用 组 列 表 中 选 定 某 一 应 用 组 条 目, 列 表 下 方 显 示 所 选 应 用 组 名 称, 并 且 可 以 进 一 步 查 看 该 用 户 组 的 详 细 统 计 信 息 用 户 : 点 击 列 表 下 方 < 用 户 > 标 签 页, 显 示 使 用 所 选 应 用 组 的 用 户 的 上 行 下 行 总 流 量 并 发 连 接 以 及 新 建 连 接 的 统 计 详 细 信 息 点 击 列 表 中 详 情, 查 看 指 定 统 计 周 期 对 应 的 趋 势 图 流 量 : 点 击 列 表 下 方 < 流 量 > 标 签 页, 显 示 所 选 应 用 组 的 流 量 趋 势 图 并 发 : 点 击 列 表 下 方 < 并 发 > 标 签 页, 显 示 所 选 应 用 组 的 并 发 统 计 趋 势 图 新 建 : 点 击 列 表 下 方 < 新 建 > 标 签 页, 显 示 所 选 应 用 组 的 新 建 统 计 趋 势 图 鼠 标 框 选 趋 势 图 中 某 一 区 域, 可 以 放 大 显 示 的 时 间 段 范 围, 点 击 趋 势 图 右 上 角 按 钮, 恢 复 趋 势 图 默 认 大 小 统 计 周 期 系 统 支 持 预 定 义 统 计 周 期 用 户 可 以 通 过 监 控 页 面 右 上 角 的 统 计 周 期 下 拉 菜 单 ( ) 指 定 统 计 周 期 : 实 时 : 显 示 当 前 的 统 计 信 息 最 近 1 小 时 : 显 示 最 近 1 小 时 的 统 计 信 息 最 近 1 天 : 显 示 最 近 1 天 的 统 计 信 息 最 近 1 周 : 显 示 最 近 1 周 的 统 计 信 息 最 近 1 月 : 显 示 最 近 1 月 的 统 计 信 息 自 定 义 : 自 定 义 统 计 周 期 选 中 该 选 项, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 用 户 最 远 可 以 指 定 从 当 前 时 间 起 往 前 30 天 的 时 间 周 期 第 12 章 监 控 331

352 威 胁 监 控 威 胁 监 控 页 面 展 现 指 定 时 间 周 期 内 的 设 备 受 到 的 威 胁 统 计 信 息 概 览 概 览 页 面 为 用 户 展 示 指 定 时 间 周 期 内 的 威 胁 / 攻 击 者 / 受 害 者 前 十 排 名 信 息 点 击 监 控 > 威 胁 监 控 > 概 览 详 情 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 TOP 下 拉 菜 单 用 于 指 定 显 示 的 统 计 类 型 包 括 威 胁 攻 击 者 以 及 受 害 者 鼠 标 悬 停 在 某 威 胁 / 攻 击 者 / 受 害 者 对 应 的 柱 状 图 上, 查 看 该 威 胁 / 攻 击 者 / 受 害 者 的 出 现 个 数 统 计 信 息 并 可 以 点 击 详 情, 可 以 进 入 详 情 页 面, 进 一 步 查 看 详 细 统 计 信 息 点 击 监 控 > 威 胁 监 控 > 详 情, 在 详 情 页 面 可 以 进 一 步 查 看 所 有 威 胁 / 攻 击 者 / 受 害 者 的 详 细 统 计 信 息 在 列 表 上 方 指 定 查 询 过 滤 条 件, 点 击 查 询 按 钮, 列 表 下 方 将 显 示 所 查 询 的 威 胁 信 息 过 滤 条 件 如 下 : 威 胁 类 型 : 点 击 下 拉 菜 单, 选 择 指 定 的 威 胁 类 型 或 威 胁 子 类 型 受 害 主 机 ( 用 户 ): 指 定 受 害 主 机 ( 用 户 ) 的 地 址 攻 击 主 机 ( 用 户 ): 指 定 攻 击 主 机 ( 用 户 ) 的 地 址 统 计 周 期 系 统 支 持 预 定 义 统 计 周 期 用 户 可 以 通 过 监 控 页 面 右 上 角 的 统 计 周 期 下 拉 菜 单 ( ) 指 定 统 计 周 期 : 实 时 : 显 示 当 前 的 统 计 信 息 最 近 1 小 时 : 显 示 最 近 1 小 时 的 统 计 信 息 最 近 1 天 : 显 示 最 近 1 天 的 统 计 信 息 最 近 1 周 : 显 示 最 近 1 周 的 统 计 信 息 最 近 1 月 : 显 示 最 近 1 月 的 统 计 信 息 自 定 义 : 自 定 义 统 计 周 期 选 中 该 选 项, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 用 户 最 远 可 以 指 定 从 当 前 时 间 起 往 前 30 天 的 时 间 周 期 332 第 12 章 监 控

353 管 道 监 控 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 管 道 监 控 页 面 展 示 排 名 前 10/20/30 管 道 的 历 史 流 量 信 息 点 击 监 控 > 管 道 监 控 在 下 拉 菜 单 中 选 择 当 前 视 图 所 显 示 的 内 容, 即 管 道 流 量 信 息 或 管 道 丢 弃 流 量 信 息 选 中 第 一 层 流 控 或 第 二 层 流 控 单 选 按 钮, 系 统 将 显 示 该 层 流 控 的 管 道 流 量 信 息 点 击 或, 显 示 该 层 流 控 下 的 管 道 信 息 在 下 拉 菜 单 中 勾 选 启 用 禁 用 不 可 用 复 选 框, 系 统 将 显 示 指 定 状 态 的 管 道 流 量 信 息 在 下 拉 菜 单 中 选 择 正 向 流 量 反 向 流 量, 系 统 将 显 示 指 定 方 向 流 量 的 管 道 流 量 信 息 在 下 拉 菜 单 中 选 择 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 或 自 定 义, 系 统 将 显 示 指 定 时 间 内 的 管 道 流 量 信 息 若 选 择 自 定 义, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 用 户 最 远 可 以 指 定 从 当 前 时 间 起 往 前 30 天 的 时 间 周 期 在 下 拉 菜 单 中 选 择 TOP10 TOP20 TOP30, 系 统 将 显 示 指 定 数 量 的 管 道 流 量 排 名 在 下 拉 菜 单 中 选 择 柱 状 图 饼 图, 系 统 将 按 照 指 定 方 式 显 示 管 道 流 量 信 息 鼠 标 悬 停 在 管 道 对 应 的 柱 状 图 或 者 饼 图 上 并 选 择 详 细 信 息, 可 以 进 入 管 道 详 细 信 息 页 面, 进 一 步 查 看 该 管 道 详 细 的 流 量 统 计 信 息 鼠 标 悬 停 在 管 道 对 应 的 柱 状 图 或 者 饼 图 上 并 选 择 上 钻 或 下 钻, 查 看 该 管 道 上 一 级 别 管 道 流 量 信 息 或 下 一 级 别 管 道 流 量 信 息 鼠 标 悬 停 在 管 道 对 应 的 柱 状 图 或 者 饼 图 上 并 选 择 加 入 对 比, 可 以 将 该 管 道 信 息 加 入 到 对 比 列 表 中, 然 后 在 弹 出 的 趋 势 对 比 窗 口 对 不 同 统 计 对 象 进 行 趋 势 比 较 管 道 详 细 信 息 页 面 鼠 标 悬 停 在 监 控 统 计 结 果 中 管 道 对 应 的 柱 状 图 或 者 饼 图 上 并 选 择 详 细 信 息 第 12 章 监 控 333

354 该 页 面 显 示 如 下 信 息 : 管 道 正 向 流 量 反 向 流 量 总 流 量 的 历 史 趋 势 图 管 道 正 向 丢 弃 流 量 反 向 丢 弃 流 量 总 丢 弃 流 量 的 历 史 趋 势 图 管 道 的 用 户 的 流 量 丢 弃 流 量 排 名 柱 状 图 或 饼 图 管 道 的 应 用 的 流 量 丢 弃 流 量 排 名 柱 状 图 或 饼 图 鼠 标 悬 停 在 用 户 流 量 统 计 结 果 柱 状 图 或 饼 图 上, 可 查 看 该 用 户 的 总 流 量 和 上 下 行 流 量 ; 点 击 " 流 量 管 理 " 进 入 管 道 详 情 页 面 查 看 管 道 配 置 信 息 ; 点 击 " 详 细 信 息 " 查 看 该 管 道 下 的 用 户 的 流 量 丢 弃 流 量 趋 势 图 以 及 管 道 下 用 户 所 使 用 的 应 用 流 量 排 名 柱 状 图 或 饼 图 在 管 道 下 用 户 所 使 用 的 应 用 流 量 排 名 柱 状 图 或 饼 图 中, 可 点 击 " 流 量 管 理 " 进 入 管 道 详 情 页 面 查 看 管 道 配 置 信 息 点 击 " 历 史 趋 势 " 查 看 该 用 户 的 流 量 历 史 趋 势 鼠 标 悬 停 在 应 用 流 量 统 计 结 果 柱 状 图 或 饼 图 上, 可 查 看 该 应 用 的 总 流 量 和 上 下 行 流 量 ; 点 击 " 流 量 管 理 " 进 入 管 道 详 情 页 面 查 看 管 道 配 置 信 息 ; 点 击 " 详 细 信 息 " 查 看 该 管 道 下 的 用 户 的 流 量 丢 弃 流 量 趋 势 图 以 及 管 道 下 使 用 该 应 用 的 用 户 流 量 排 名 柱 状 图 或 饼 图 334 第 12 章 监 控

355 趋 势 对 比 窗 口 管 道 下 使 用 该 应 用 的 用 户 流 量 排 名 柱 状 图 或 饼 图 中, 可 点 击 " 流 量 管 理 " 进 入 管 道 详 情 页 面 查 看 管 道 配 置 信 息 点 击 " 历 史 趋 势 " 查 看 该 应 用 的 流 量 历 史 趋 势 用 户 可 根 据 需 要, 选 择 多 个 管 道 统 计 信 息 加 入 对 比 通 过 将 多 个 管 道 统 计 信 息 显 示 在 一 个 趋 势 对 比 图 中, 用 户 可 比 较 历 史 某 个 时 间 段 的 管 道 流 量 或 管 道 丢 弃 流 量 进 行 管 道 流 量 趋 势 对 比 / 管 道 丢 弃 流 量 趋 势 对 比, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 将 鼠 标 悬 停 在 管 道 对 应 的 柱 状 图 或 者 饼 图 上 并 选 择 加 入 对 比, 将 该 管 道 添 加 到 对 比 列 表 2. 重 复 上 述 操 作, 添 加 多 个 对 比 管 道 统 计 信 息 如 需 删 除 已 添 加 的 对 比 管 道, 点 击 该 管 道 对 应 的 删 除 即 可 3. 点 击 进 入 对 比, 弹 出 < 趋 势 对 比 > 窗 口, 系 统 会 通 过 不 同 颜 色 的 曲 线 图 表 示 不 同 管 道 的 历 史 趋 势 统 计 数 据 若 需 隐 藏 该 管 道 的 历 史 趋 势 统 计 数 据, 取 消 勾 选 该 管 道 前 的 复 选 框 4. 如 需 要, 用 户 可 点 击 选 择 更 多 管 道, 添 加 多 个 管 道 到 对 比 图 表 中 如 需 删 除 已 添 加 的 对 比 管 道, 点 击 图 表 上 方 该 管 道 对 应 的 x 即 可 如 需 搜 索 管 道, 在 搜 索 文 本 框 中 输 入 关 键 字 然 后 点 击 搜 索 第 12 章 监 控 335

356 服 务 网 络 监 控 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 服 务 网 络 监 控 统 计 与 当 前 设 备 相 连 的 服 务 节 点 的 延 迟 时 间, 以 及 网 络 节 点 的 延 迟 时 间 和 丢 包 率 点 击 监 控 > 服 务 网 络 监 控 通 过 列 表 方 式 查 看 各 节 点 各 个 节 点 的 名 称 探 测 类 型 接 口 当 前 延 迟 时 间 丢 包 率 ( 仅 网 络 节 点 可 查 看 丢 包 率 ) 健 康 状 态 点 击 新 建 按 钮 在 < 节 点 配 置 > 标 签 页 填 写 服 务 网 络 监 控 节 点 的 基 本 信 息 选 项 说 明 名 称 指 定 需 要 创 建 的 服 务 监 控 节 点 或 网 络 监 控 节 点 的 名 称 地 址 指 定 服 务 监 控 节 点 或 网 络 监 控 节 点 的 地 址 接 口 指 定 该 节 点 与 设 备 相 连 的 接 口 探 测 频 率 指 定 探 测 一 次 数 据 的 时 间 间 隔 取 值 范 围 为 15 至 120 秒, 默 认 值 为 30 秒 探 测 类 型 指 定 探 测 类 型, 可 以 是 : 自 定 义 若 指 定 了 该 种 类 型 的 探 测, 用 户 仍 可 根 据 需 要, 选 择 TCP 或 UDP 单 选 按 钮, 并 指 定 相 应 的 端 口 值 ICMP DNS 若 指 定 了 该 种 类 型 的 探 测, 用 户 仍 可 根 据 需 要, 在 端 口 文 本 框 中 指 定 端 口 号, 并 在 域 名 文 本 框 中 输 入 域 名 地 址 336 第 12 章 监 控

357 选 项 说 明 FTP 若 指 定 了 该 种 类 型 的 探 测, 用 户 仍 可 根 据 需 要, 在 端 口 文 本 框 中 指 定 端 口 号 ; 勾 选 高 级 复 选 框 后, 在 用 户 名 和 密 码 文 本 框 中 输 入 登 录 该 FTP 服 务 器 的 用 户 名 和 所 需 密 码, 并 在 路 径 / 文 件 名 文 本 框 中 指 定 FTP 服 务 器 路 径 或 文 件 的 名 称 IMAP4 若 指 定 了 该 种 类 型 的 探 测, 用 户 仍 可 根 据 需 要, 在 端 口 文 本 框 中 指 定 端 口 号 POP3 若 指 定 了 该 种 类 型 的 探 测, 用 户 仍 可 根 据 需 要, 在 端 口 文 本 框 中 指 定 端 口 号 SMTP 若 指 定 了 该 种 类 型 的 探 测, 用 户 仍 可 根 据 需 要, 在 端 口 文 本 框 中 指 定 端 口 号 LDAP 若 指 定 了 该 种 类 型 的 探 测, 用 户 仍 可 根 据 需 要, 在 端 口 文 本 框 中 指 定 端 口 号 ; 勾 选 高 级 复 选 框 后, 在 用 户 名 和 密 码 文 本 框 中 输 入 登 录 该 LDAP 服 务 器 的 用 户 名 和 所 需 密 码 HTTP 若 指 定 了 该 种 类 型 的 探 测, 用 户 仍 可 根 据 需 要, 在 端 口 文 本 框 中 指 定 端 口 号, 并 在 URL 文 本 框 中 输 入 URL 地 址 测 试 点 击 测 试 按 钮, 测 试 该 节 点 是 否 可 达 或 服 务 是 否 可 用 点 击 下 拉 菜 单 选 择 全 部 监 控 节 点 网 络 监 控 节 点 或 服 务 监 控 节 点, 在 搜 索 文 本 框 中 输 入 节 点 名 称 /IP 地 址 / 域 名, 然 后 点 击 搜 索 按 钮, 页 面 将 显 示 符 合 搜 索 条 件 的 节 点 信 息 通 过 列 表 下 方 趋 势 图 查 看 服 务 网 络 监 控 信 息 网 络 监 控 节 点 健 康 状 态 说 明 健 康 状 态 颜 色 说 明 红 色 危 险, 即 网 络 基 本 不 可 用 延 迟 时 间 >600ms 或 丢 包 率 >20% 黄 色 亚 健 康 150ms<= 延 迟 时 间 <=600ms 或 5%<= 丢 包 率 <=20% 绿 色 健 康 延 迟 时 间 <150ms 且 丢 包 率 <5% 黑 色 未 知 如 刚 配 置 节 点 后, 暂 无 探 测 数 据 返 回, 即 为 黑 色 服 务 监 控 节 点 健 康 状 态 说 明 健 康 状 态 颜 色 说 明 红 色 危 险 延 迟 时 间 >4000ms 黄 色 亚 健 康 2000ms<= 延 迟 时 间 <=4000ms 绿 色 健 康 延 迟 时 间 <2000ms 黑 色 未 知 如 刚 配 置 节 点 后, 暂 无 探 测 数 据 返 回, 即 为 黑 色 注 意 : 目 前 系 统 支 持 最 多 添 加 100 个 节 点 查 看 服 务 网 络 监 控 信 息 在 服 务 网 络 监 控 页 面, 通 过 以 下 方 式 查 看 监 控 统 计 结 果 在 页 面 上 方 监 控 节 点 列 表 中, 选 中 某 节 点, 然 后 在 页 面 下 方 查 看 其 最 近 一 小 时 的 延 迟 / 丢 包 率 趋 势 图 点 击 趋 势 图 右 上 角 的, 放 大 查 看 该 节 点 的 趋 势 图 统 计 信 息 第 12 章 监 控 337

358 放 大 页 面 后, 用 户 可 根 据 需 要, 执 行 以 下 操 作 : 在 下 拉 菜 单 中 选 择 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 或 自 定 义, 系 统 将 显 示 指 定 时 间 内 的 统 计 信 息 若 选 择 自 定 义, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 用 户 最 长 可 以 指 定 从 当 前 时 间 起 往 前 30 天 的 时 间 周 期 点 击 进 行 对 比, 弹 出 < 趋 势 对 比 > 对 话 框 在 添 加 对 比 对 象 下 拉 菜 单 中 勾 选 想 要 对 比 的 时 间 段 前 面 的 复 选 框, 系 统 将 显 示 今 日 的 趋 势 曲 线 与 勾 选 时 间 段 的 趋 势 曲 线 对 比 图 338 第 12 章 监 控

359 设 备 监 控 该 功 能 在 不 同 平 台 上 的 呈 现 方 式 有 所 差 异, 请 以 实 际 页 面 为 准 设 备 监 控 页 面 展 现 指 定 时 间 周 期 内 ( 实 时 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 自 定 义 时 间 ) 包 括 整 机 流 量 接 口 流 量 新 建 / 并 发 连 接 NAT 以 及 硬 件 状 态 统 计 信 息 概 览 概 览 页 面 为 用 户 展 示 最 近 1 天 的 设 备 统 计 信 息 点 击 监 控 > 设 备 监 控 > 概 览 整 机 流 量 : 显 示 设 备 最 近 1 天 内 的 整 机 流 量 信 息 鼠 标 悬 停 在 曲 线 图 上, 查 看 对 应 时 刻 的 流 量 统 计 信 息 接 口 流 量 : 显 示 设 备 所 使 用 的 接 口 最 近 1 天 内 的 上 行 下 行 以 及 总 流 量 信 息 鼠 标 悬 停 在 柱 形 图 上, 查 看 对 应 设 备 接 口 的 流 量 统 计 信 息 平 均 值 安 全 域 : 显 示 设 备 各 安 全 域 最 近 1 天 内 的 上 行 下 行 以 及 总 流 量 信 息 鼠 标 悬 停 在 柱 形 图 上, 查 看 对 应 设 备 安 全 域 的 流 量 统 计 信 息 平 均 值 源 NAT: 显 示 设 备 的 SNAT 信 息 点 击 列 表 中 源 NAT 的 ID, 跳 转 到 详 情 页 面, 查 看 SNAT 的 详 细 信 息 用 户 需 要 先 配 置 源 NAT 的 探 测 规 则 硬 件 状 态 : 显 示 设 备 的 实 时 硬 件 状 态, 包 括 CPU 利 用 率 内 存 利 用 率 磁 盘 空 间 利 用 率 CPU 温 度 机 箱 温 度 和 风 扇 状 态 新 建 连 接 ( 最 近 1 天 ): 显 示 设 备 最 近 1 天 内 的 新 建 连 接 数 鼠 标 悬 停 在 曲 线 图 上, 查 看 对 应 的 新 建 连 接 统 计 信 息 并 发 连 接 ( 最 近 1 天 ): 显 示 设 备 最 近 1 天 内 的 并 发 连 接 数 鼠 标 悬 停 在 曲 线 图 上, 查 看 对 应 的 并 发 连 接 统 计 信 息 接 口 : 显 示 设 备 所 有 接 口 的 统 计 信 息, 包 括 接 口 状 态 主 IP 上 行 下 行 以 及 总 流 量 接 口 : 显 示 设 备 的 实 时 接 口 状 态 IP 及 流 量 信 息 点 击 各 图 表 右 上 角 图 标, 进 入 对 应 的 详 情 页 面 第 12 章 监 控 339

360 整 机 流 量 点 击 < 整 机 流 量 > 标 签 页 或 者 点 击 概 览 页 面 整 机 流 量 图 表 右 上 角 的 整 机 流 量 历 史 趋 势 图 标, 进 入 整 机 流 量 页 面 该 页 面 通 过 曲 线 图 展 现 指 定 统 计 周 期 鼠 标 悬 停 在 曲 线 图 上, 查 看 对 应 时 刻 的 整 机 流 量 信 息 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 点 击 页 面 右 上 角 进 行 对 比, 可 以 在 弹 出 的 趋 势 对 比 窗 口 对 不 同 统 计 对 象 进 行 趋 势 比 较 接 口 流 量 点 击 < 接 口 流 量 > 标 签 页 或 者 点 击 概 览 页 面 接 口 流 量 图 表 右 上 角 信 息, 页 面 下 方 以 列 表 方 式 列 出 接 口 流 量 及 其 他 相 关 信 息 图 标, 进 入 接 口 流 量 页 面 该 页 面 上 方 通 过 柱 状 图 显 示 接 口 流 量 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 TOP 10 下 拉 菜 单 用 于 指 定 显 示 的 接 口 排 名 数 量 包 括 TOP10 TOP20 以 及 TOP30 页 面 右 上 角 图 标 用 于 将 统 计 图 在 柱 状 图 和 饼 状 图 之 间 切 换 上 行 流 量 和 下 行 流 量 选 项 用 于 指 定 柱 状 图 的 统 计 对 象 340 第 12 章 监 控

361 鼠 标 悬 停 在 某 接 口 对 应 的 柱 状 图 上, 查 看 该 接 口 的 流 量 信 息 并 可 以 点 击 详 细 信 息, 可 以 进 入 详 细 信 息 页 面, 进 一 步 查 看 该 接 口 的 详 细 统 计 信 息 将 鼠 标 悬 停 在 监 控 统 计 结 果 的 柱 状 图 上 并 选 择 加 入 对 比, 可 以 将 统 计 对 象 加 入 到 对 比 列 表 中, 然 后 点 击 进 入 对 比, 即 可 在 弹 出 的 趋 势 对 比 窗 口 对 不 同 统 计 对 象 进 行 趋 势 比 较 点 击 页 面 下 方 接 口 列 表 右 上 角 的 更 多 接 口, 进 入 全 部 接 口 信 息 页 面, 查 看 所 有 接 口 的 统 计 信 息 新 建 / 并 发 连 接 点 击 < 新 建 / 并 发 连 接 > 标 签 页 或 者 点 击 概 览 页 面 新 建 / 并 发 连 接 图 表 右 上 角 线 图 显 示 新 建 连 接 历 史 趋 势, 页 面 下 方 通 过 曲 线 图 显 示 并 发 连 接 历 史 趋 势 图 标, 进 入 新 建 / 并 发 连 接 页 面 该 页 面 上 方 通 过 曲 鼠 标 悬 停 在 曲 线 图 上, 查 看 对 应 的 新 建 / 并 发 连 接 信 息 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 点 击 页 面 右 上 角 进 行 对 比, 可 以 在 弹 出 的 趋 势 对 比 窗 口 对 不 同 统 计 对 象 进 行 趋 势 比 较 源 N A T 点 击 < 源 NAT> 标 签 页 或 者 点 击 概 览 页 面 源 NAT 图 表 右 上 角 图 标, 进 入 源 NAT 页 面 该 页 面 上 方 通 过 曲 线 图 显 示 SNAT 端 口 使 用 状 况 历 史 趋 势, 页 面 下 方 以 列 表 方 式 列 出 SNAT 的 详 细 信 息 第 12 章 监 控 341

362 鼠 标 悬 停 在 曲 线 图 上, 查 看 对 应 的 端 口 使 用 数 信 息 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 安 全 域 点 击 < 安 全 域 > 标 签 页 或 者 点 击 概 览 页 面 安 全 域 流 量 图 表 右 上 角 图 标, 进 入 安 全 域 流 量 页 面 该 页 面 上 方 通 过 柱 状 图 显 示 前 10 安 全 域 总 流 量 或 并 发 连 接 信 息, 页 面 下 方 以 列 表 方 式 列 出 安 全 域 流 量 及 并 发 连 接 相 关 信 息 硬 件 状 态 点 击 < 硬 件 状 态 > 标 签 页 或 者 点 击 概 览 页 面 硬 件 状 态 图 表 右 上 角 图 标, 进 入 硬 件 状 态 页 面 该 页 面 通 过 柱 状 图 显 示 CPU 利 用 率 内 存 利 用 率 以 及 温 度, 通 过 饼 图 显 示 存 储 空 间 会 话 利 用 率, 通 过 列 表 显 示 风 扇 运 行 情 况 鼠 标 悬 停 在 对 应 的 图 表 上, 查 看 相 应 的 硬 件 状 态 信 息 并 可 以 点 击 详 细 信 息, 可 以 进 入 详 细 信 息 页 面, 进 一 步 查 看 历 史 趋 势 图 点 击 历 史 趋 势 页 面 右 上 角 进 行 对 比, 可 以 在 弹 出 的 趋 势 对 比 窗 口 对 不 同 统 计 对 象 进 行 趋 势 比 较 统 计 周 期 系 统 支 持 预 定 义 统 计 周 期 用 户 可 以 通 过 监 控 页 面 右 上 角 的 统 计 周 期 下 拉 菜 单 ( ) 指 定 统 计 周 期 : 实 时 : 显 示 当 前 的 统 计 信 息 最 近 1 小 时 : 显 示 最 近 1 小 时 的 统 计 信 息 342 第 12 章 监 控

363 最 近 1 天 : 显 示 最 近 1 天 的 统 计 信 息 最 近 1 周 : 显 示 最 近 1 周 的 统 计 信 息 最 近 1 月 : 显 示 最 近 1 月 的 统 计 信 息 自 定 义 : 自 定 义 统 计 周 期 选 中 该 选 项, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 用 户 最 远 可 以 指 定 从 当 前 时 间 起 往 前 30 天 的 时 间 周 期 详 细 信 息 页 面 在 详 细 信 息 页 面 可 以 进 一 步 查 看 某 对 象 的 详 细 统 计 信 息 另 外, 在 详 细 信 息 页 面 中, 鼠 标 悬 停 在 某 统 计 对 象 对 应 的 柱 状 图 或 者 饼 图 上, 可 以 进 一 步 查 看 该 统 计 对 象 的 历 史 趋 势 统 计 信 息 及 其 它 信 息 例 如, 在 < 接 口 流 量 > 标 签 页, 鼠 标 悬 停 在 接 口 ethernet0/1 对 应 的 柱 状 图 上 并 选 择 详 细 信 息, 进 入 ethernet0/1 对 应 的 详 细 信 息 页 面 该 页 面 通 过 趋 势 图 和 堆 叠 图 展 现 接 口 ethernet0/1 的 流 量 并 发 连 接 历 史 趋 势 统 计 信 息 ; 通 过 柱 状 图 和 饼 图 展 现 接 口 ethernet0/1 的 用 户 流 量 应 用 流 量 统 计 信 息 点 击 页 面 右 上 角 的 返 回, 返 回 < 接 口 流 量 > 标 签 页 在 用 户 流 量 统 计 结 果 部 分, 鼠 标 悬 停 在 某 用 户 对 应 的 柱 状 图 上 并 点 击 历 史 趋 势, 系 统 会 弹 出 窗 口, 显 示 接 口 下 选 定 的 用 户 的 实 时 流 量 趋 势 第 12 章 监 控 343

364 在 应 用 流 量 排 名 部 分, 鼠 标 悬 停 在 某 个 应 用 的 柱 状 图 上 并 点 击 < 历 史 趋 势 >, 系 统 会 弹 出 窗 口 显 示 该 应 用 的 实 时 流 量 趋 势 趋 势 对 比 窗 口 趋 势 对 比 窗 口 用 于 对 不 同 统 计 对 象 进 行 趋 势 比 较 有 以 下 两 种 操 作 和 展 现 方 式 : 点 击 < 整 机 流 量 > < 新 建 / 并 发 连 接 > 标 签 页 硬 件 状 态 历 史 趋 势 页 面 右 上 角 的 进 行 对 比, 打 开 趋 势 对 比 窗 口 例 如, 进 行 新 建 连 接 趋 势 对 比, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 在 < 新 建 / 并 发 连 接 > 标 签 页, 点 击 进 行 对 比, 弹 出 < 趋 势 对 比 > 窗 口 2. 在 添 加 对 比 对 象 下 拉 菜 单 中 勾 选 需 要 进 行 对 比 的 统 计 对 象 ( 以 统 计 时 间 表 示 ), 系 统 会 通 过 不 同 颜 色 的 曲 线 图 表 示 不 同 统 计 对 象 的 历 史 趋 势 统 计 数 据 3. 如 需 删 除 已 添 加 的 对 比 统 计 对 象, 点 击 窗 口 上 方 该 统 计 对 象 对 应 的 x 即 可 在 < 接 口 流 量 > 标 签 页, 将 鼠 标 悬 停 在 监 控 统 计 结 果 的 柱 状 图 上 并 选 择 加 入 对 比, 可 以 将 统 计 对 象 加 入 到 对 比 列 表 中, 然 后 点 击 进 入 对 比, 即 可 打 开 趋 势 对 比 窗 口 例 如, 对 设 备 的 不 同 接 口 流 量 趋 势 进 行 对 比 请 按 照 以 下 步 骤 进 行 操 作 : 1. 在 < 接 口 流 量 > 标 签 页, 将 鼠 标 悬 停 在 某 接 口 对 应 的 柱 状 图 上 并 选 择 加 入 对 比, 将 该 接 口 添 加 到 对 比 列 表 中 2. 重 复 上 述 操 作, 添 加 多 个 对 比 接 口 如 需 删 除 已 添 加 的 对 比 接 口, 在 对 比 列 表 中 点 击 该 接 口 对 应 的 删 除 即 可 3. 在 对 比 列 表 中 点 击 进 入 对 比, 弹 出 < 趋 势 对 比 > 窗 口, 系 统 会 通 过 不 同 颜 色 的 曲 线 图 表 示 不 同 接 口 的 流 量 历 史 趋 势 并 发 连 接 历 史 趋 势 以 及 新 建 链 接 历 史 趋 势 统 计 数 据 4. 如 需 要, 取 消 勾 选 < 趋 势 对 比 > 窗 口 上 方 某 接 口 对 应 的 复 选 框 或 者 点 击 该 接 口 对 应 的 x, 可 以 取 消 对 该 接 口 的 统 计 对 比 配 置 探 测 规 则 对 设 备 各 资 源 进 行 监 控 探 测 配 置 配 置 后, 系 统 会 对 设 备 各 资 源 进 行 监 控 探 测, 并 按 照 探 测 间 隔 对 监 控 值 进 行 采 样 默 认 情 况 下, 设 备 的 CPU/ 内 存 利 用 率 新 建 / 并 发 连 接 磁 盘 空 间 利 用 率 以 及 CPU/ 机 箱 温 度 的 监 控 探 测 功 能 是 永 久 开 启 的 ( 接 口 流 量 及 源 NAT 除 外 ) 配 置 探 测 规 则, 请 按 照 以 下 步 骤 进 行 操 作 : 344 第 12 章 监 控

365 1. 点 击 监 控 > 设 备 监 控 2. 点 击 页 面 右 上 角 配 置 探 测 规 则 按 钮 在 < 配 置 探 测 规 则 > 对 话 框, 配 置 监 控 探 测 规 则 信 息 选 项 说 明 CPU 指 定 CPU 探 测 间 隔 值, 范 围 为 5 至 30 秒, 默 认 为 10 秒 内 存 指 定 内 存 探 测 间 隔 值, 范 围 为 30 至 300 秒, 默 认 为 30 秒 新 建 连 接 指 定 新 建 连 接 探 测 间 隔 值, 范 围 为 1 至 10 秒, 默 认 为 5 秒 并 发 连 接 指 定 并 发 连 接 探 测 间 隔 值, 范 围 为 5 至 30 秒, 默 认 为 10 秒 磁 盘 空 间 指 定 磁 盘 空 间 探 测 间 隔 值, 范 围 为 1 至 15 分 钟, 默 认 为 5 分 钟 温 度 指 定 CPU 及 机 箱 温 度 探 测 间 隔 值, 范 围 为 30 至 300 秒, 默 认 为 60 秒 接 口 点 击 设 置 在 < 接 口 > 对 话 框, 点 击 添 加 按 钮 接 口 : 在 < 接 口 > 下 拉 菜 单 指 定 需 要 启 用 监 控 探 测 功 能 的 接 口 探 测 间 隔 : 指 定 探 测 间 隔 值, 范 围 为 5 至 30 秒, 默 认 为 10 秒 上 行 带 宽 : 指 定 接 口 的 最 大 上 行 带 宽 值, 范 围 为 1 至 Kbps, 默 认 为 Kbps 下 行 带 宽 : 指 定 接 口 的 最 大 下 行 带 宽 值, 范 围 为 1 至 Kbps, 默 认 为 Kbps 源 NAT 点 击 设 置 在 < 源 NAT> 对 话 框, 点 击 添 加 按 钮 第 12 章 监 控 345

366 选 项 说 明 虚 拟 路 由 器 : 在 < 虚 拟 路 由 器 > 下 拉 菜 单 指 定 SNAT 所 属 的 虚 拟 路 由 器 SNAT ID: 指 定 需 要 启 用 探 测 功 能 的 SNAT ID, 范 围 为 1 至 4096 探 测 间 隔 : 指 定 探 测 间 隔 值, 范 围 为 30 至 180 秒, 默 认 为 60 秒 恢 复 缺 省 点 击 恢 复 缺 省 值 按 钮, 恢 复 默 认 值 3. 点 击 确 定 按 钮 完 成 配 置 在 线 用 户 数 点 击 监 控 > 设 备 监 控 > 在 线 IP 数 用 户 可 在 该 页 面 查 看 指 定 时 间 周 期 内 ( 最 近 1 小 时 最 近 1 天 最 近 1 月 ) 的 在 线 用 户 数 的 历 史 趋 势 统 计 信 息 346 第 12 章 监 控

367 UR L 访 问 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 系 统 配 置 "URL 过 滤 " 在 第 238 页 功 能 后,URL 访 问 页 面 展 现 前 用 户 /IP URL 访 问 以 及 URL 类 别 统 计 信 息 概 览 概 览 页 面 为 用 户 展 示 指 定 时 间 周 期 内 前 10 用 户 /IP 前 10URL 以 及 前 10URL 类 统 计 信 息 点 击 监 控 >URL 访 问 > 概 览 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 鼠 标 悬 停 在 某 用 户 /IP URL 或 URL 类 别 对 应 的 柱 状 图 上, 查 看 该 用 户 /IP URL 或 URL 类 别 的 访 问 次 数 点 击 各 图 表 右 上 角 图 标, 进 入 对 应 的 详 情 页 面 用 户 /IP 各 图 表 右 上 角 图 标 用 于 将 统 计 图 在 柱 状 图 和 饼 状 图 之 间 切 换 点 击 监 控 >URL 访 问 > 用 户 /IP 或 者 点 击 概 览 页 面 前 10 位 用 户 /IP 访 问 情 况 图 表 右 上 角 图 标, 进 入 用 户 /IP 详 情 统 计 页 面 该 页 面 上 方 以 列 表 方 式 列 出 用 户 /IP 的 以 及 具 体 访 问 次 数 数 据 通 过 选 中 列 表 中 不 同 的 用 户 /IP, 可 在 页 面 下 方 查 看 相 应 的 用 户 /IP 的 访 问 次 数 趋 势 图 以 及 URL 详 情 列 表 点 击 列 表 操 作 栏 中, 跳 转 到 对 应 的 详 情 页 面 在 页 面 上 方 用 户 /IP 后 文 本 框 中 输 入 需 要 搜 索 的 用 户 /IP, 列 表 将 显 示 对 应 用 户 /IP 的 访 问 次 数 数 据 第 12 章 监 控 347

368 UR L 点 击 监 控 >URL 访 问 >URL 或 者 点 击 概 览 页 面 前 10 位 URL 访 问 情 况 图 表 右 上 角 图 标, 进 入 URL 访 问 统 计 页 面 该 页 面 上 方 以 列 表 方 式 列 出 URL 的 名 称 以 及 具 体 访 问 次 数 数 据 通 过 选 中 列 表 中 不 同 的 URL, 可 在 页 面 下 方 查 看 相 应 的 URL 访 问 次 数 统 计 信 息 趋 势 图 以 及 对 应 的 用 户 /IP 趋 势 图 : 点 击 趋 势 图 标 签 页, 查 看 所 选 URL 的 趋 势 图 包 括 即 时 趋 势 1 小 时 趋 势 24 小 时 趋 势 以 及 30 天 趋 势 用 户 /IP: 点 击 用 户 /IP", 标 签 页, 查 看 访 问 所 选 URL 的 用 户 /IP 的 详 细 统 计 信 息 从 列 表 中 点 击 选 中 用 户 /IP, 系 统 将 打 开 <URL 详 情 > 对 话 框, 显 示 所 选 用 户 /IP 的 URL 访 问 趋 势 图 点 击 列 表 操 作 栏 中, 跳 转 到 对 应 的 用 户 /IP 页 面 在 页 面 上 方 URL 后 文 本 框 中 输 入 需 要 搜 索 的 URL, 列 表 将 显 示 对 应 的 URL 访 问 次 数 信 息 点 击 列 表 下 方 的 刷 新 按 钮 实 时 刷 新 列 表 信 息 UR L 类 别 点 击 监 控 >URL 访 问 >URL 类 别 或 者 点 击 概 览 页 面 前 10 位 URL 类 别 情 况 图 表 右 上 角 图 标, 进 入 URL 类 别 统 计 页 面 页 面 说 明 见 URL 说 明 348 第 12 章 监 控

369 统 计 周 期 系 统 支 持 预 定 义 统 计 周 期 用 户 可 以 通 过 统 计 周 期 下 拉 菜 单 ( ) 指 定 统 计 周 期 : 实 时 : 显 示 当 前 的 统 计 信 息 最 近 1 小 时 : 显 示 最 近 1 小 时 的 统 计 信 息 最 近 1 天 : 显 示 最 近 1 天 的 统 计 信 息 最 近 1 月 : 显 示 最 近 1 月 的 统 计 信 息 第 12 章 监 控 349

370 应 用 阻 断 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 系 统 配 置 " 安 全 策 略 " 在 第 205 页 阻 断 应 用 功 能 后, 应 用 阻 断 页 面 展 现 被 阻 断 的 应 用 以 及 用 户 /IP 统 计 信 息 概 览 概 览 页 面 为 用 户 展 示 指 定 时 间 周 期 内 被 阻 断 次 数 最 多 的 前 10 应 用 以 及 前 10 用 户 /IP 统 计 信 息 点 击 监 控 > 应 用 阻 断 > 概 览 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 鼠 标 悬 停 在 某 应 用 或 用 户 /IP 对 应 的 柱 状 图 上, 查 看 该 应 用 或 用 户 /IP 的 被 阻 断 次 数 点 击 各 图 表 右 上 角 图 标, 进 入 对 应 的 详 情 页 面 应 用 各 图 表 右 上 角 图 标 用 于 将 统 计 图 在 柱 状 图 和 饼 状 图 之 间 切 换 点 击 监 控 > 应 用 阻 断 > 应 用 或 者 点 击 概 览 页 面 前 10 应 用 图 表 右 上 角 图 标 该 页 面 上 方 以 列 表 方 式 列 出 应 用 的 名 称 以 及 具 体 阻 断 数 据 通 过 选 中 列 表 中 不 同 的 应 用, 可 在 页 面 下 方 查 看 相 应 的 应 用 阻 断 统 计 信 息 趋 势 图 以 及 对 应 的 用 户 /IP 趋 势 图 : 点 击 趋 势 图 标 签 页, 查 看 所 选 应 用 的 趋 势 图 包 括 即 时 趋 势 1 小 时 趋 势 24 小 时 趋 势 以 及 30 天 趋 势 用 户 /IP: 点 击 用 户 /IP", 标 签 页, 查 看 所 选 应 用 被 阻 断 的 用 户 /IP 的 详 细 统 计 信 息 从 列 表 中 点 击 选 中 用 户 /IP, 系 统 将 打 开 < 应 用 阻 断 详 情 > 对 话 框, 显 示 所 选 用 户 /IP 的 实 时 阻 断 趋 势 图 点 击 列 表 操 作 栏 中 面, 跳 转 到 对 应 的 用 户 /IP 页 350 第 12 章 监 控

371 在 页 面 上 方 应 用 后 文 本 框 中 输 入 需 要 搜 索 的 应 用 名 称, 列 表 将 显 示 对 应 的 应 用 阻 断 信 息 用 户 /IP 点 击 列 表 下 方 的 刷 新 按 钮 实 时 刷 新 列 表 信 息 点 击 监 控 > 应 用 阻 断 > 用 户 /IP 或 者 点 击 概 览 页 面 前 10 用 户 /IP 访 问 情 况 图 表 右 上 角 图 标 该 页 面 上 方 以 列 表 方 式 列 出 用 户 /IP 的 以 及 具 体 阻 断 数 据 通 过 选 中 列 表 中 不 同 的 用 户 /IP, 可 在 页 面 下 方 查 看 相 应 的 用 户 /IP 的 阻 断 统 计 信 息 趋 势 图 以 及 应 用 阻 断 详 情 列 表 点 击 列 表 操 作 栏 中, 跳 转 到 对 应 的 详 情 页 面 统 计 周 期 系 统 支 持 预 定 义 统 计 周 期 用 户 可 以 通 过 统 计 周 期 下 拉 菜 单 ( ) 指 定 统 计 周 期 : 实 时 : 显 示 当 前 的 统 计 信 息 最 近 1 小 时 : 显 示 最 近 1 小 时 的 统 计 信 息 最 近 1 天 : 显 示 最 近 1 天 的 统 计 信 息 最 近 1 月 : 显 示 最 近 1 月 的 统 计 信 息 第 12 章 监 控 351

372 关 键 字 阻 断 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 系 统 配 置 上 网 行 为 控 制 的 " 网 页 关 键 字 " 在 第 260 页 " 邮 件 过 滤 " 在 第 268 页 "Web 外 发 信 息 " 在 第 264 页 功 能 后, 关 键 字 阻 断 页 面 展 现 网 页 关 键 字 邮 件 内 容 关 键 字 Web 外 发 信 息 关 键 字 阻 断 次 数 统 计 信 息 以 及 用 户 /IP 统 计 信 息 概 览 概 览 页 面 为 用 户 展 示 指 定 时 间 周 期 内 被 阻 断 次 数 最 多 的 前 10 网 站 内 容 关 键 字 前 10 邮 件 内 容 关 键 字 前 10 Web 外 发 信 息 关 键 字 以 及 前 10 用 户 /IP 访 问 情 况 统 计 信 息 点 击 监 控 > 关 键 字 阻 断 > 概 览 通 过 选 择 不 同 的 统 计 周 期, 可 以 查 看 不 同 时 间 范 围 内 的 统 计 信 息 鼠 标 悬 停 在 某 关 键 字 对 应 的 柱 状 图 上, 查 看 该 关 键 字 的 被 阻 断 次 数 点 击 各 图 表 右 上 角 图 标, 进 入 对 应 的 详 情 页 面 各 图 表 右 上 角 图 标 用 于 将 统 计 图 在 柱 状 图 和 饼 状 图 之 间 切 换 网 页 关 键 字 点 击 监 控 > 关 键 字 阻 断 > 网 页 关 键 字 或 者 点 击 概 览 页 面 前 10 网 站 内 容 关 键 字 图 表 右 上 角 面 图 标, 进 入 网 页 关 键 字 统 计 页 352 第 12 章 监 控

373 该 页 面 上 方 以 列 表 方 式 列 出 网 站 关 键 字 的 名 称 以 及 具 体 阻 断 数 据 通 过 选 中 列 表 中 不 同 的 网 页 关 键 字, 可 在 页 面 下 方 查 看 相 应 的 关 键 字 阻 断 统 计 信 息 趋 势 图 以 及 对 应 的 用 户 /IP 趋 势 图 : 点 击 趋 势 图 标 签 页, 查 看 所 选 关 键 字 的 趋 势 图 包 括 即 时 趋 势 1 小 时 趋 势 24 小 时 趋 势 以 及 30 天 趋 势 用 户 /IP: 点 击 用 户 /IP", 标 签 页, 查 看 所 选 关 键 字 被 阻 断 的 用 户 /IP 的 详 细 统 计 信 息 从 列 表 中 点 击 选 中 用 户 /IP, 系 统 将 打 开 < 关 键 字 阻 断 详 情 > 对 话 框, 显 示 所 选 用 户 /IP 的 实 时 阻 断 趋 势 图 点 击 列 表 操 作 栏 中 /IP 页 面, 跳 转 到 对 应 的 用 户 在 页 面 上 方 关 键 字 后 文 本 框 中 输 入 需 要 搜 索 的 关 键 字, 列 表 将 显 示 对 应 的 关 键 字 信 息 点 击 列 表 下 方 的 刷 新 按 钮 实 时 刷 新 列 表 信 息 邮 件 内 容 点 击 监 控 > 关 键 字 阻 断 > 邮 件 内 容 或 者 点 击 概 览 页 面 前 10 邮 件 内 容 关 键 字 图 表 右 上 角 图 标, 进 入 邮 件 内 容 统 计 页 面 页 面 说 明 见 网 页 关 键 字 说 明 W eb 外 发 信 息 点 击 监 控 > 关 键 字 阻 断 >Web 外 发 信 息 或 者 点 击 概 览 页 面 前 10Web 外 发 信 息 关 键 字 图 表 右 上 角 息 统 计 页 面 页 面 说 明 见 网 页 关 键 字 说 明 图 标, 进 入 Web 外 发 信 用 户 /IP 点 击 监 控 > 关 键 字 阻 断 > 用 户 /IP 或 者 点 击 概 览 页 面 前 10 用 户 /IP 访 问 情 况 图 表 右 上 角 图 标, 进 入 用 户 /IP 详 情 统 计 页 面 该 页 面 上 方 以 列 表 方 式 列 出 用 户 的 以 及 具 体 阻 断 数 据 通 过 选 中 列 表 中 不 同 的 用 户 /IP, 可 在 页 面 下 方 查 看 相 应 的 用 户 /IP 的 阻 断 统 计 信 息 趋 势 图 网 站 内 容 阻 断 详 情 列 表 邮 件 内 容 阻 断 详 情 列 表 以 及 Web 外 发 信 息 阻 断 详 情 点 击 列 表 操 作 栏 中, 跳 转 到 对 应 的 详 情 页 面 第 12 章 监 控 353

374 统 计 周 期 系 统 支 持 预 定 义 统 计 周 期 用 户 可 以 通 过 统 计 周 期 下 拉 菜 单 ( ) 指 定 统 计 周 期 : 实 时 : 显 示 当 前 的 统 计 信 息 最 近 1 小 时 : 显 示 最 近 1 小 时 的 统 计 信 息 最 近 1 天 : 显 示 最 近 1 天 的 统 计 信 息 最 近 1 月 : 显 示 最 近 1 月 的 统 计 信 息 354 第 12 章 监 控

375 认 证 用 户 系 统 配 置 "Web 认 证 " 在 第 105 页 " 单 点 登 录 " 在 第 109 页 "802.1x 认 证 " 在 第 114 页 "SSL VPN" 在 第 137 页 "L2TP VPN" 在 第 169 页 等 功 能 后, 认 证 用 户 页 面 统 计 认 证 登 录 的 用 户 信 息 认 证 用 户 页 面 显 示 系 统 当 前 登 录 的 用 户 信 息 点 击 监 控 > 认 证 用 户 通 过 列 表 上 方 的 AAA 服 务 器 认 证 类 型 选 项 可 以 过 滤 列 表 中 的 用 户 信 息 ; 在 列 表 右 上 方 文 本 框 中 输 入 用 户 名 称, 然 后 点 击 搜 索 ", 系 统 将 显 示 被 搜 索 的 认 证 用 户 信 息 在 列 表 中 操 作 栏 点 击 踢 出 可 以 把 对 应 的 用 户 踢 出 系 统 点 击 列 表 下 方 的 刷 新 按 钮 实 时 刷 新 列 表 信 息 第 12 章 监 控 355

376 监 控 配 置 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 用 户 可 以 根 据 需 要 开 启 或 者 关 闭 部 分 监 控 项 目 认 证 用 户 监 控 项 目 会 根 据 配 置 自 动 开 启 开 启 或 者 关 闭 监 控 项 目, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 监 控 > 监 控 配 置 2. 选 中 监 控 项 目 对 应 的 复 选 框 开 启 对 应 的 监 控 项 目 ; 取 消 选 中 监 控 项 目 的 复 选 框 关 闭 对 应 的 监 控 项 目 3. 配 置 完 成, 点 击 确 定 按 钮 保 存 所 做 配 置 356 第 12 章 监 控

377 自 定 义 监 控 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 自 定 义 监 控 统 计 集 为 用 户 提 供 更 加 灵 活 的 统 计 信 息 查 看 方 法, 用 户 可 以 根 据 需 要 查 看 相 关 的 统 计 信 息 根 据 所 选 数 据 类 型 的 不 同, 可 统 计 的 数 据 信 息 也 不 同 基 于 IP 数 据 类 型 的 统 计 数 据 信 息 表 统 计 数 据 类 型 方 式 条 件 流 量 会 话 新 建 会 话 速 率 URL 访 问 次 数 关 键 字 阻 断 次 数 应 用 阻 断 次 数 发 起 者 (initiator) 统 计 发 起 会 话 IP 的 流 量 统 计 发 起 会 话 IP 的 会 话 个 数 统 计 发 起 会 话 IP 的 新 建 会 话 速 率 回 应 者 (responder) 统 计 接 收 会 话 IP 的 流 量 统 计 接 收 会 话 IP 的 会 话 个 数 统 计 接 收 会 话 IP 的 新 建 会 话 速 率 属 于 安 全 域 (belong to zone) 统 计 属 于 某 安 全 域 的 IP 的 流 量 统 计 属 于 某 安 全 域 的 IP 的 会 话 数 统 计 属 于 某 安 全 域 的 IP 的 新 建 会 话 速 率 无 方 向 不 属 于 安 全 域 (not belong to zone) 统 计 不 属 于 某 安 全 域 的 IP 的 流 量 统 计 不 属 于 某 安 全 域 的 IP 的 会 话 数 统 计 不 属 于 某 安 全 域 的 IP 的 新 建 会 话 速 率 属 于 接 口 (belong to interface) 统 计 属 于 某 接 口 的 IP 的 流 量 统 计 属 于 某 接 口 的 IP 的 会 话 数 统 计 属 于 某 接 口 的 IP 的 新 建 会 话 速 率 统 计 IP 的 URL 命 中 次 数 统 计 IP 的 关 键 字 阻 断 次 数 统 计 IP 的 应 用 阻 断 次 数 不 属 于 接 口 (not belong to interface) 统 计 不 属 于 某 接 口 的 IP 的 流 量 统 计 不 属 于 某 接 口 的 IP 的 会 话 数 统 计 不 属 于 某 接 口 的 IP 的 新 建 会 话 速 率 发 起 者 (initiator) 统 计 发 起 会 话 IP 的 上 行 和 下 行 流 量 统 计 发 起 会 话 IP 的 接 收 和 发 送 会 话 个 数 统 计 发 起 会 话 IP 的 接 收 和 发 送 新 建 会 话 速 率 双 向 回 应 者 (responder) 统 计 接 收 会 话 IP 的 上 行 和 下 行 流 量 统 计 接 收 会 话 IP 的 接 收 和 发 送 会 话 个 数 统 计 接 收 会 话 IP 的 接 收 和 发 送 新 建 会 话 速 率 属 于 安 全 域 (belong to zone) 统 计 属 于 某 安 全 域 的 IP 的 上 统 计 属 于 某 安 全 域 的 IP 的 接 统 计 属 于 某 安 全 域 的 IP 的 接 第 12 章 监 控 357

378 统 计 数 据 类 型 方 式 条 件 流 量 会 话 新 建 会 话 速 率 URL 访 问 次 数 关 键 字 阻 断 次 数 应 用 阻 断 次 数 行 和 下 行 流 量 收 和 发 送 会 话 个 数 收 和 发 送 新 建 会 话 速 率 不 属 于 安 全 域 (not belong to zone) 统 计 不 属 于 某 安 全 域 的 IP 的 上 行 和 下 行 流 量 统 计 不 属 于 某 安 全 域 的 IP 的 接 收 和 发 送 会 话 个 数 统 计 不 属 于 某 安 全 域 的 IP 的 接 收 和 发 送 新 建 会 话 速 率 属 于 接 口 (belong to interface) 统 计 属 于 某 接 口 的 IP 的 上 行 和 下 行 流 量 统 计 属 于 某 接 口 的 IP 的 接 收 和 发 送 会 话 个 数 统 计 属 于 某 接 口 的 IP 的 接 收 和 发 送 新 建 会 话 速 率 不 属 于 接 口 (not belong to interface) 统 计 不 属 于 某 接 口 的 IP 的 上 行 和 下 行 流 量 统 计 不 属 于 某 接 口 的 IP 的 接 收 和 发 送 会 话 个 数 统 计 不 属 于 某 接 口 的 IP 的 接 收 和 发 送 新 建 会 话 速 率 基 于 安 全 域 接 口 用 户 应 用 的 统 计 数 据 信 息 表 统 计 数 据 类 型 组 织 方 式 方 式 流 量 会 话 新 建 会 话 速 率 URL 命 中 次 数 关 键 字 阻 断 应 用 阻 断 次 数 安 全 域 无 方 向 双 向 统 计 安 全 域 的 流 量 统 计 安 全 域 的 上 行 和 下 行 流 量 统 计 安 全 域 的 会 话 个 数 统 计 安 全 域 的 接 收 和 发 送 会 话 个 数 统 计 安 全 域 的 新 建 会 话 速 率 统 计 安 全 域 的 接 收 和 发 送 新 建 会 话 速 率 统 计 安 全 域 的 URL 命 中 次 数 N/A N/A 接 口 无 方 向 双 向 统 计 接 口 的 流 量 统 计 接 口 的 上 行 和 下 行 流 量 统 计 接 口 的 会 话 个 数 统 计 接 口 的 接 收 和 发 送 会 话 个 数 统 计 接 口 的 新 建 会 话 速 率 统 计 接 口 的 接 收 和 发 送 新 建 会 话 速 率 统 计 接 口 的 URL 命 中 次 数 N/A N/A 应 用 N/A 统 计 应 用 的 流 量 统 计 应 用 的 会 话 个 数 统 计 应 用 的 新 建 会 话 速 率 N/A N/A 统 计 应 用 的 应 用 阻 断 次 数 用 户 无 方 向 统 计 用 户 统 计 用 户 统 计 用 户 统 计 用 户 统 计 用 户 统 计 用 户 358 第 12 章 监 控

379 统 计 数 据 类 型 组 织 方 式 方 式 流 量 会 话 新 建 会 话 速 率 URL 命 中 次 数 关 键 字 阻 断 应 用 阻 断 次 数 的 流 量 双 向 统 计 用 户 的 上 行 和 下 行 流 量 的 会 话 个 数 的 新 建 会 话 速 率 的 URL 命 中 次 数 的 关 键 字 阻 断 次 数 的 应 用 阻 断 次 数 用 户 可 以 为 统 计 集 配 置 过 滤 条 件, 以 统 计 特 定 条 件 下 的 数 据 信 息, 比 如 统 计 某 个 特 定 安 全 域 的 会 话 数 统 计 某 个 特 定 目 的 IP 的 流 量 等 自 定 义 监 控 功 能 的 所 有 过 滤 条 件 类 型 表 类 型 安 全 域 (filter zone) 安 全 域 - 流 入 (filter zone zone-name ingress) 安 全 域 - 流 出 (filter zone zone-name egress) 接 口 (filter interface) 接 口 - 流 入 (filter interface if-name ingress) 接 口 - 流 出 (filter interface if-name egress) 应 用 (filter application) 地 址 条 目 (filter ip) 地 址 条 目 - 源 (filter ip add-entry source) 地 址 条 目 - 目 的 (filter ip add-entry destination) IP/ 掩 码 (filter ip A.B.C.D/M) IP/ 掩 码 - 源 (filter ip A.B.C.D/M source) IP/ 掩 码 - 目 的 (filter ip A.B.C.D/M destination) 用 户 (filter user) 用 户 组 (filter user-group) 严 重 级 别 (filter severity) 描 述 以 安 全 域 为 条 件 进 行 过 滤 以 入 安 全 域 为 条 件 进 行 过 滤 以 出 安 全 域 为 条 件 进 行 过 滤 以 接 口 为 条 件 进 行 过 滤 以 入 接 口 为 条 件 进 行 过 滤 以 出 接 口 为 条 件 进 行 过 滤 以 应 用 为 条 件 进 行 过 滤 以 地 址 条 目 为 条 件 进 行 过 滤 以 源 地 址 ( 地 址 条 目 ) 为 条 件 进 行 过 滤 以 目 的 地 址 ( 地 址 条 目 ) 为 条 件 进 行 过 滤 以 IP 为 条 件 进 行 过 滤 以 源 IP 为 条 件 进 行 过 滤 以 目 的 IP 为 条 件 进 行 过 滤 以 用 户 名 称 为 条 件 进 行 过 滤 以 用 户 组 名 称 为 条 件 进 行 过 滤 以 攻 击 特 征 的 严 重 级 别 为 条 件 进 行 过 滤 自 定 义 监 控 页 面 展 现 所 有 监 控 统 计 集 的 状 态 统 计 数 据 类 型 以 及 数 据 组 织 方 式 点 击 监 控 > 自 定 义 监 控 点 击 新 建 按 钮, 在 < 自 定 义 监 控 配 置 > 对 话 框 新 建 监 控 统 计 集 点 击 列 表 中 监 控 统 计 集 名 称 链 接, 查 看 监 控 统 计 集 信 息 新 建 监 控 统 计 集 新 建 监 控 统 计 集, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 监 控 > 自 定 义 监 控 第 12 章 监 控 359

380 2. 点 击 新 建 按 钮 在 < 自 定 义 监 控 配 置 > 对 话 框 填 写 规 则 的 基 本 信 息 选 项 说 明 监 控 集 名 称 指 定 将 要 创 建 的 统 计 集 的 名 称 统 计 数 据 类 型 选 中 需 要 的 类 型 的 单 选 按 钮 数 据 组 织 方 式 选 中 需 要 的 方 式 的 单 选 按 钮 只 统 计 根 虚 拟 系 统 选 项 如 仅 需 对 根 VSYS 的 做 数 据 统 计, 勾 选 只 统 计 根 虚 拟 系 统 前 的 复 选 框 此 选 项 仅 当 统 计 数 据 类 型 为 流 量 统 计 会 话 统 计 新 建 会 话 统 计 时 有 效 如 果 需 要 配 置 过 滤 条 件, 点 击 选 项 按 钮, 弹 出 < 高 级 配 置 > 对 话 框, 在 该 对 话 框 添 加 过 滤 条 件 过 滤 条 件 的 具 体 说 明 请 参 考 以 上 自 定 义 监 控 功 能 的 所 有 过 滤 条 件 类 型 表 3. 配 置 完 成, 点 击 确 定 按 钮 系 统 将 返 回 自 定 义 监 控 页 面 配 置 的 监 控 统 计 集 将 显 示 在 列 表 中 注 意 : 配 置 统 计 集 时 : URL 访 问 次 数 统 计 数 据 类 型 仅 对 安 装 有 URL 许 可 证 的 用 户 可 用 如 果 统 计 数 据 类 型 为 流 量 会 话 新 建 会 话 速 率 或 者 URL 访 问 次 数, 则 相 应 的 过 滤 条 件 不 能 为 攻 击 类 型 如 果 统 计 数 据 类 型 为 URL 访 问 次 数, 则 相 应 的 过 滤 条 件 不 能 为 服 务 进 行 配 置 时, 系 统 会 根 据 选 择 的 选 项 自 动 屏 蔽 不 可 用 选 项 查 看 监 控 统 计 集 信 息 查 看 监 控 统 计 集 的 统 计 信 息, 在 自 定 义 监 控 页 面 统 计 集 列 表 中 点 击 某 个 统 计 集 的 名 称, 将 打 开 对 应 的 标 签 页, 显 示 所 选 监 控 统 计 集 的 统 计 结 果 360 第 12 章 监 控

381 通 过 柱 状 图 查 看 前 十 统 计 集 数 据 的 统 计 结 果 通 过 统 计 周 期 下 拉 菜 单 指 定 统 计 周 期, 从 而 选 择 查 看 历 史 统 计 信 息 点 击 全 部 列 表, 以 列 表 方 式 查 看 该 监 控 统 计 集 的 所 有 统 计 信 息, 下 方 查 看 统 计 趋 势 图 ; 点 击 前 十 数 据 返 回 柱 状 图 显 示 页 面 第 12 章 监 控 361

382 告 警 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 告 警 功 能 按 照 告 警 规 则 的 设 定, 对 用 户 网 络 进 行 主 动 检 测, 探 测 网 络 问 题 和 设 备 故 障, 并 发 出 事 故 告 警 告 警 功 能 可 以 对 告 警 信 息 进 行 分 析 统 计, 并 且 以 分 布 图 和 时 间 轴 相 结 合 的 方 式 展 示 分 析 结 果 同 时, 系 统 还 可 以 通 过 电 子 邮 件 或 手 机 短 信 的 方 式 将 告 警 信 息 实 时 发 送 给 管 理 员, 帮 助 管 理 员 在 第 一 时 间 得 知 监 测 对 象 的 动 态 信 息, 并 根 据 告 警 内 容 对 监 测 对 象 进 行 处 理 告 警 监 控 告 警 监 控 页 面 显 示 告 警 信 息 当 发 生 符 合 告 警 规 则 的 事 件 时, 系 统 即 生 成 告 警 信 息 有 关 告 警 规 则 的 配 置, 请 参 考 告 警 规 则 配 置 告 警 监 控 页 面 包 括 < 时 间 告 警 > < 级 别 告 警 > 和 < 全 部 告 警 > 三 个 标 签 页 这 三 个 标 签 页 分 别 从 时 间 分 布 级 别 分 类 和 详 细 内 容 三 个 角 度 展 示 告 警 信 息 时 间 告 警 时 间 告 警 页 面 通 过 告 警 分 布 图 展 现 指 定 时 间 段 内 的 告 警 数 量 分 布 情 况 在 告 警 监 控 页 面, 点 击 < 时 间 告 警 > 标 签 页, 打 开 时 间 告 警 页 面 配 置 过 滤 条 件 配 置 完 成 后, 用 户 可 以 查 看 符 合 过 滤 条 件 的 告 警 数 量 信 息 过 滤 条 件 包 括 以 下 几 种 : 规 则 类 型 : 在 下 拉 菜 单 中 展 开 所 有 告 警 规 则 类 型, 并 选 中 所 需 查 看 的 类 型, 再 点 击 移 入 可 多 选 告 警 规 则 类 型 级 别 : 在 下 拉 菜 单 选 中 需 要 查 看 的 告 警 严 重 级 别 对 应 的 复 选 框, 可 多 选 严 重 级 别 从 高 到 低 为 严 重 警 告 和 信 息 状 态 : 在 下 拉 菜 单 中 选 择 需 要 查 看 的 告 警 信 息 的 状 态, 包 括 全 部 未 处 理 已 处 理 和 已 过 期 告 警 时 间 : 在 下 拉 菜 单 中 选 择 需 要 查 看 的 告 警 信 息 发 生 的 时 间 段, 包 括 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 以 及 自 定 义, 若 选 择 自 定 义, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 通 过 告 警 分 布 图 查 看 告 警 数 量 分 布 情 况 鼠 标 悬 停 在 分 布 图 中 某 统 计 点 上, 点 击 展 开 的 该 统 计 点 的 告 警 数 量 信 息, 可 跳 转 到 全 部 告 警 页 面, 查 看 该 告 警 的 详 情 信 息 拖 动 告 警 分 布 图 下 方 时 间 轴 的 两 端 到 需 要 的 起 始 和 终 止 时 间, 点 击 查 询 按 钮, 分 布 图 中 显 示 的 信 息 将 更 新 为 所 选 时 间 段 内 的 数 据 级 别 告 警 级 别 告 警 页 面 通 过 柱 状 图 展 现 不 同 严 重 级 别 的 告 警 数 量 信 息 在 告 警 监 控 页 面, 点 击 < 级 别 告 警 > 标 签 页, 打 开 级 别 告 警 页 面 362 第 12 章 监 控

383 配 置 过 滤 条 件 配 置 完 成 后, 用 户 可 以 查 看 符 合 过 滤 条 件 的 告 警 数 量 信 息 过 滤 条 件 包 括 以 下 几 种 : 规 则 类 型 : 在 下 拉 菜 单 中 展 开 所 有 告 警 规 则 类 型, 并 选 中 所 需 查 看 的 类 型, 再 点 击 移 入 可 多 选 告 警 规 则 类 型 状 态 : 在 下 拉 菜 单 中 选 择 需 要 查 看 的 告 警 信 息 的 状 态, 包 括 全 部 未 处 理 已 处 理 告 警 时 间 : 在 下 拉 菜 单 中 选 择 需 要 查 看 的 告 警 信 息 发 生 的 时 间 段, 包 括 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 以 及 自 定 义, 若 选 择 自 定 义, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 点 击 某 级 别 的 柱 状 图, 可 跳 转 到 全 部 告 警 页 面, 查 看 该 级 别 全 部 告 警 的 详 情 信 息 拖 动 告 警 分 布 图 下 方 时 间 轴 的 两 端 到 需 要 的 起 始 和 终 止 时 间, 点 击 查 询 按 钮, 分 布 图 中 显 示 的 信 息 将 更 新 为 所 选 时 间 段 内 的 数 据 全 部 告 警 全 部 告 警 页 面 以 列 表 的 方 式 展 现 告 警 事 件 的 详 细 信 息 在 告 警 监 控 页 面, 点 击 < 全 部 告 警 > 标 签 页, 打 开 全 部 告 警 页 面 配 置 过 滤 条 件 配 置 完 成 后, 点 击 查 询 按 钮, 系 统 将 显 示 符 合 过 滤 条 件 的 所 有 告 警 信 息 ; 点 击 重 置 按 钮, 恢 复 系 统 默 认 过 滤 条 件 过 滤 条 件 包 括 以 下 几 种 : 规 则 类 型 : 在 下 拉 菜 单 中 展 开 所 有 告 警 信 息 类 型, 并 选 中 所 需 查 看 的 类 型, 再 点 击 移 入 可 多 选 告 警 规 则 类 型 第 12 章 监 控 363

384 状 态 : 在 下 拉 菜 单 中 选 择 需 要 查 看 的 告 警 信 息 的 状 态, 包 括 全 部 未 处 理 已 处 理 和 已 过 期 告 警 时 间 : 在 下 拉 菜 单 中 选 择 需 要 查 看 的 告 警 信 息 发 生 的 时 间 段, 包 括 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 以 及 自 定 义, 若 选 择 自 定 义, 系 统 弹 出 < 自 定 义 时 间 > 对 话 框, 用 户 可 根 据 需 要 选 择 时 间 周 期 处 理 时 间 : 在 下 拉 菜 单 选 择 处 理 告 警 的 时 间 段, 包 括 最 近 1 小 时 最 近 1 天 最 近 1 周 最 近 1 月 以 及 自 定 义 处 理 人 : 在 下 拉 菜 单 选 择 处 理 告 警 信 息 的 管 理 员 名 称 注 释 : 在 下 拉 菜 单 选 择 告 警 信 息 是 否 有 注 释 告 警 原 因 : 在 文 本 框 中 输 入 触 发 告 警 的 原 因 的 关 键 字 处 理 告 警 : 管 理 员 可 对 告 警 信 息 进 行 处 理 并 添 加 处 理 意 见 批 量 处 理 : 选 中 多 条 要 处 理 的 告 警 信 息 对 应 的 复 选 框, 点 击 表 格 上 方 的 处 理 告 警 按 钮, 然 后 在 弹 出 的 < 处 理 告 警 > 对 话 框 输 入 处 理 意 见 完 成 处 理 后, 告 警 信 息 状 态 栏 的 状 态 由 未 处 理 变 为 已 处 理 ;" 处 理 人 " 栏 显 示 处 理 该 信 息 的 管 理 员 名 称 ; 处 理 时 间 显 示 该 信 息 的 处 理 时 间 ; 处 理 意 见 显 示 在 注 释 栏 单 个 处 理 : 鼠 标 悬 停 在 要 处 理 的 告 警 信 息 的 状 态 栏 处, 状 态 由 未 处 理 变 为 处 理, 单 击 处 理, 在 弹 出 的 处 理 告 警 对 话 框 输 入 处 理 意 见, 处 理 意 见 将 显 示 在 < 注 释 > 栏 添 加 / 修 改 注 释 : 管 理 员 可 以 为 告 警 信 息 添 加 注 释 信 息 批 量 添 加 / 修 改 : 选 中 多 条 需 要 添 加 / 修 改 注 释 信 息 的 告 警 信 息 对 应 的 复 选 框, 然 后 点 击 表 格 上 方 的 添 加 / 修 改 注 释 按 钮, 在 弹 出 的 < 添 加 注 释 > 对 话 框 输 入 注 释 内 容 单 个 添 加 / 修 改 : 点 击 需 要 添 加 / 修 改 注 释 信 息 的 告 警 对 应 注 释 栏 的 释 内 容, 在 弹 出 的 < 添 加 注 释 > 对 话 框 中 输 入 注 逐 一 查 看 告 警 时 间 : 点 击 要 查 看 的 告 警 信 息 对 应 的 发 生 次 数 一 栏 的 数 字, 系 统 弹 出 < 发 生 的 告 警 > 对 话 框, 在 该 对 话 框 内 查 看 每 一 次 告 警 发 生 的 时 间 364 第 12 章 监 控

385 告 警 规 则 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 告 警 规 则 规 定 告 警 的 生 成 条 件 当 符 合 生 成 条 件 的 事 件 发 生 时, 设 备 会 监 测 到 该 事 件, 并 产 生 一 条 告 警 信 息 告 警 规 则 按 照 类 别 分 为 设 备 告 警 规 则 应 用 告 警 规 则 和 服 务 网 络 告 警 规 则 注 意 : 在 配 置 相 关 告 警 规 则 前, 需 对 设 备 各 资 源 配 置 监 控 探 测 规 则, 当 符 合 告 警 规 则 中 设 定 的 生 成 条 件 的 事 件 发 生 时, 系 统 会 监 测 到 该 事 件, 并 产 生 一 条 告 警 信 息 二 者 缺 一 不 可, 否 则 不 会 产 生 告 警 信 息 关 于 探 测 规 则 配 置, 请 参 阅 " 设 备 监 控 " 在 第 339 页 的 配 置 探 测 规 则 一 节 新 建 告 警 规 则 新 建 告 警 规 则, 请 按 照 如 下 步 骤 进 行 操 作 : 1. 点 击 系 统 > 告 警 规 则 2. 点 击 新 建 按 钮 在 < 告 警 规 则 配 置 > 对 话 框, 填 写 告 警 规 则 配 置 信 息 选 项 说 明 规 则 名 称 指 定 告 警 规 则 的 名 称, 范 围 为 1 至 31 个 字 符 规 则 类 型 指 定 告 警 规 则 的 类 型, 包 括 设 备 应 用 和 服 务 网 络 触 发 条 件 指 定 告 警 的 生 成 条 件, 包 括 监 测 对 象 和 阈 值 高 级 设 置 时 间 表 在 下 拉 菜 单 选 择 具 体 的 监 测 对 象, 然 后 选 择 阈 值 一 般 情 况 下, 阈 值 分 为 两 类 : 一 段 时 间 内 的 阈 值 和 某 一 时 间 点 的 阈 值 管 理 员 可 同 时 选 中 这 两 类 阈 值 或 只 选 择 一 类 阈 值 如 果 选 中 两 类 阈 值, 当 监 测 项 满 足 其 中 之 一 时, 系 统 即 会 产 生 告 警 注 意 : 如 果 监 测 对 象 是 新 建 连 接 并 发 连 接 或 者 指 定 接 口 带 宽, 其 阈 值 以 百 分 比 形 式 进 行 设 定 指 定 告 警 监 测 的 时 间 在 下 拉 菜 单 选 择 / 新 建 时 间 表, 时 间 表 所 包 含 的 时 间 段 是 系 统 执 行 监 测 的 时 间 告 警 级 别 指 定 告 警 事 件 的 严 重 程 度 告 警 方 式 设 置 告 警 信 息 的 生 成 及 发 送 方 式, 包 括 : 发 送 邮 件 : 选 中 此 复 选 框, 并 在 后 面 的 下 拉 菜 单 选 择 / 新 建 收 件 人 系 统 第 12 章 监 控 365

386 选 项 说 明 将 在 发 生 告 警 事 件 时 给 收 件 人 发 送 告 警 邮 件 新 增 或 修 改 收 件 人, 请 点 击 对 象 > 发 送 对 象, 在 " 发 送 对 象 " 在 第 203 页 页 面 进 行 新 增 或 修 改 发 送 短 信 : 选 中 此 复 选 框, 并 在 后 面 的 下 拉 菜 单 选 择 / 新 建 收 信 人 系 统 将 在 发 生 告 警 事 件 时 发 送 手 机 短 信 给 收 信 人 新 增 或 修 改 收 信 人, 请 点 击 对 象 > 发 送 对 象, 在 " 发 送 对 象 " 在 第 203 页 页 面 进 行 新 增 或 修 改 发 送 Trap: 选 中 此 复 选 框, 系 统 将 发 生 告 警 事 件 时 给 Trap 主 机 配 置 Trap 主 机, 请 点 击 系 统 >SNMP, 在 设 置 SNMP 页 面 进 行 配 置 注 意 : 指 定 发 送 Trap 时, 必 须 同 时 配 置 SNMP 主 机 和 Trap 主 机 描 述 为 告 警 规 则 添 加 描 述 信 息, 范 围 为 0 至 255 个 字 符 查 询 告 警 规 则 用 户 可 以 设 置 过 滤 条 件, 然 后 点 击 搜 索 按 钮, 页 面 将 显 示 符 合 过 滤 条 件 的 告 警 规 则 过 滤 条 件 包 括 : 规 则 名 称 : 输 入 需 要 查 看 的 告 警 规 则 的 名 称 或 者 名 称 中 包 含 的 关 键 字 规 则 类 型 : 在 下 拉 菜 单 选 中 需 要 查 看 的 告 警 规 则 类 型, 可 选 择 全 部 类 型 设 备 类 型 应 用 类 型 和 服 务 网 络 类 型 时 间 表 : 在 下 拉 菜 单 选 中 告 警 规 则 的 时 间 表 时 间 表 所 包 含 的 时 间 是 系 统 对 监 测 对 象 执 行 监 控 的 时 间 366 第 12 章 监 控

387 WAP 智 能 分 流 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 系 统 配 置 WAP 智 能 分 流 监 控 功 能 后,WAP 智 能 分 流 页 面 用 来 展 示 历 史 ( 过 去 24 小 时 以 及 过 去 30 天 ) 的 WAP 智 能 分 流 统 计 数 据 结 果, 包 括 请 求 统 计 数 据 以 及 响 应 统 计 数 据 请 求 : 显 示 分 流 到 WAP 网 关 请 求 数, 分 流 到 Internet 请 求 数, 以 及 总 请 求 数 相 应 : 显 示 WAP 网 关 成 功 响 应 数,WAP 网 关 失 败 响 应 数,Internet 成 功 响 应 数, Internet 失 败 响 应 数, 以 及 总 响 应 数 第 12 章 监 控 367

388 报 表 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 设 备 支 持 报 表 功 能 该 功 能 通 过 对 设 备 流 量 信 息 流 量 管 理 情 况 威 胁 防 护 情 况 设 备 监 控 情 况 以 及 设 备 资 源 使 用 情 况 的 相 关 数 据 的 统 计 和 综 合 分 析, 为 用 户 提 供 全 方 位 多 角 度 的 统 计 报 告, 从 而 帮 助 用 户 掌 握 网 络 情 况, 分 析 网 络 问 题 统 计 报 表 结 果 即 报 表 文 件 支 持 HTML 和 PDF 格 式, 可 通 过 FTP 或 者 邮 件 发 送 给 指 定 人 员 设 备 的 统 计 报 表 功 能 包 含 4 个 主 要 概 念 : 报 表 任 务 ( 自 定 义 任 务 快 捷 任 务 ) 报 表 计 划 和 报 表 文 件 报 表 任 务 ( 自 定 义 任 务 快 捷 任 务 ): 定 义 报 表 的 内 容, 包 括 统 计 内 容 图 表 格 式 生 成 时 间 输 出 的 文 件 格 式 等 参 数 自 定 义 任 务 : 自 定 义 任 务 是 用 户 按 照 需 求 创 建 的 报 表 任 务 快 捷 任 务 : 快 捷 任 务 是 设 备 内 置 报 表 任 务, 快 捷 任 务 按 照 统 计 内 容 分 类, 具 有 近 百 种 报 表 项, 能 够 统 计 分 析 设 备 流 量 QoS 统 一 威 胁 监 控 检 测 和 系 统 参 数 等 多 个 方 面 的 数 据 报 表 计 划 : 报 表 计 划 是 报 表 任 务 执 行 情 况 的 汇 总, 包 括 所 有 报 表 任 务 的 计 划 周 期 执 行 时 间 运 行 记 录 等 报 表 文 件 : 报 表 文 件 统 计 报 表 运 行 结 果, 通 过 图 表 表 格 等 方 式 呈 现 报 表 任 务 指 定 的 相 关 统 计 信 息, 支 持 HTML 以 及 PDF 格 式 368 第 12 章 监 控

389 报 表 汇 总 用 户 可 以 在 报 表 汇 总 页 面 查 看 已 生 成 的 报 表 文 件 点 击 监 控 > 报 表 > 报 表 汇 总, 打 开 报 表 汇 总 页 面 报 表 文 件 可 以 按 照 生 成 时 间 任 务 名 称 文 件 状 态 三 种 类 别 浏 览 通 过 < 按 时 间 浏 览 > 下 拉 菜 单 选 择 显 示 类 别, 并 在 左 侧 列 表 中 选 择 过 滤 条 件, 符 合 条 件 的 报 表 文 件 将 显 示 在 右 侧 列 表 中 点 击 删 除 按 钮, 删 除 所 选 的 报 表 文 件 点 击 导 出 按 钮, 浏 览 器 启 动 默 认 的 下 载 工 具, 下 载 选 中 的 报 表 文 件 点 击 标 记 为 已 读 按 钮, 修 改 选 中 的 报 表 文 件 状 态 为 已 读 在 文 本 框 中 输 入 关 键 字 并 点 击 回 车 搜 索 特 定 的 报 表 文 件 点 击 文 件 类 型 选 项 中 的 报 表 文 件 图 标, 预 览 指 定 格 式 的 报 表 文 件, 可 以 预 览 HTML 格 式 或 者 PDF 格 式 的 报 表 第 12 章 监 控 369

390 自 定 义 任 务 用 户 可 以 在 设 备 上 按 照 需 求 配 置 自 定 义 报 表 任 务, 生 成 报 表 文 件 新 建 自 定 义 任 务 新 建 报 表 自 定 义 任 务, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 监 控 > 报 表 > 自 定 义 任 务 2. 点 击 新 建 按 钮, 弹 出 < 报 表 任 务 配 置 > 对 话 框 在 < 报 表 任 务 配 置 > 对 话 框, 填 写 自 定 义 任 务 配 置 信 息 选 项 说 明 基 本 信 息 报 表 任 务 名 称 指 定 报 表 任 务 的 名 称 公 司 名 称 指 定 公 司 的 名 称 描 述 指 定 报 表 任 务 的 描 述 信 息 生 成 语 言 指 定 生 成 报 表 文 件 的 显 示 语 言 统 计 时 间 统 计 时 间 指 定 被 统 计 数 据 的 时 间 范 围 报 表 项 选 择 选 中 相 对 时 间 单 选 按 钮, 然 后 在 下 拉 菜 单 选 择 时 间 类 型, 可 统 计 最 近 一 天 最 近 一 周 最 近 一 月 最 近 一 季 度 最 近 半 年 和 最 近 一 年 的 数 据 信 息 ; 选 中 绝 对 时 间 单 选 按 钮, 然 后 选 择 统 计 的 开 始 时 间 和 结 束 时 间 报 表 项 选 择 报 表 项 是 统 计 报 表 的 主 要 组 成 部 分, 它 规 定 统 计 的 内 容 设 备 提 供 近 百 种 类 型 的 报 表 项, 分 别 用 于 统 计 设 备 流 量 QoS 统 一 威 胁 监 控 检 测 设 备 状 态 等 多 方 面 的 信 息 一 个 报 表 模 块 可 以 包 含 多 个 报 表 项 将 报 表 项 添 加 到 报 表 任 务 中 配 置 方 法 如 下 : 1. 从 左 侧 的 所 有 类 别 列 表 中 展 开 报 表 分 类, 选 中 报 表 类 别, 可 选 的 报 表 项 显 示 该 类 别 包 含 的 报 表 项 2. 选 中 报 表 项, 点 击 添 加 按 钮 或 全 部 添 加 按 钮 被 选 中 的 报 表 项 分 类 显 示 在 已 选 择 的 报 表 项 列 表 中 若 要 将 报 表 项 从 右 侧 列 表 中 移 除, 选 中 要 删 除 的 报 表 项 ( 使 用 Ctrl 键 可 多 选 ), 然 后 点 击 删 除 按 钮 ; 或 者 点 击 全 部 删 除 按 钮 将 所 有 报 表 项 移 除 注 意 : 请 至 少 选 择 一 个 报 表 项 若 不 选 择 报 表 项, 将 无 法 进 入 下 一 步 骤 也 无 法 保 存 报 表 任 务 高 级 配 置 370 第 12 章 监 控

391 选 项 说 明 报 表 项 设 置 基 本 信 息 过 滤 参 数 报 表 项 的 标 题 和 描 述 信 息, 可 编 辑 选 中 在 图 表 上 方 显 示 描 述 复 选 框, 描 述 文 字 将 显 示 在 该 报 表 项 的 图 表 上 方 不 同 的 报 表 项, 其 过 滤 条 件 所 包 含 的 具 体 参 数 不 同 默 认 情 况 下, 统 计 已 选 择 报 表 项 的 过 滤 条 件 全 部 参 数 过 滤 条 件 参 数 说 明 如 下 : 应 用 : 默 认 情 况 下, 统 计 设 备 的 所 有 应 用 的 流 量 若 要 只 统 计 特 定 应 用 的 流 量, 选 择 特 定 的 应 用, 点 击 移 入 按 钮, 系 统 将 只 统 计 选 中 的 应 用 的 流 量 安 全 域 : 默 认 情 况 下, 统 设 备 的 所 有 安 全 域 的 流 量 若 要 只 统 计 特 定 安 全 域 的 流 量, 选 择 特 定 的 安 全 域, 点 击 移 入 按 钮, 系 统 将 只 统 计 选 中 的 安 全 域 的 流 量 接 口 : 默 认 情 况 下, 统 计 设 备 的 所 有 接 口 的 流 量 若 要 只 统 计 特 定 接 口 的 流 量, 选 择 特 定 的 接 口, 点 击 移 入 按 钮, 系 统 将 只 统 计 选 中 接 口 的 流 量 管 道 : 默 认 情 况 下, 统 计 设 备 的 所 有 管 道 的 流 量 若 要 只 统 计 特 定 管 道 的 流 量, 选 择 特 定 的 管 道, 点 击 移 入 按 钮, 系 统 将 只 统 计 选 中 管 道 的 流 量 时 间 段 : 指 定 该 报 表 项 统 计 的 时 间 范 围, 默 认 与 报 表 任 务 的 统 计 时 间 相 同 若 要 修 改 当 前 报 表 项 的 统 计 时 间, 反 选 继 承 任 务 的 统 计 时 间 复 选 框, 然 后 重 新 选 择 统 计 时 间 ( 该 时 间 只 能 在 报 表 任 务 的 统 计 时 间 范 围 之 内 ) 图 表 格 式 设 定 排 名 类 报 表 的 表 格 和 图 表 中 统 计 项 的 数 量, 最 多 显 示 前 30 名 生 成 计 划 生 成 计 划 生 成 计 划 规 定 报 表 任 务 的 生 效 时 间, 在 生 成 计 划 的 时 间 范 围 内, 系 统 会 持 续 生 成 报 表 文 件 同 一 报 表 任 务 可 以 包 含 多 个 生 成 计 划 在 < 生 成 计 划 > 标 签 页 中 可 以 查 看 新 建 编 辑 删 除 启 用 或 禁 用 生 成 计 划 为 报 表 任 务 新 建 生 成 计 划, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 新 建 按 钮, 弹 出 < 新 建 > 对 话 框 新 建 生 成 计 划, 包 括 : 生 成 周 期 : 指 定 生 成 报 表 文 件 的 频 率, 可 选 择 每 天 生 成 一 份 每 周 生 成 一 份 每 月 生 成 一 份 每 季 生 成 一 份 或 只 一 次 性 生 成 一 份 开 始 : 指 定 当 前 生 成 计 划 的 开 始 生 效 时 间 结 束 : 指 定 当 前 生 成 计 划 的 有 效 期 结 束 时 间 若 要 长 期 持 续 生 成 报 表 文 件, 选 中 持 续 生 成 按 钮 若 要 在 生 成 计 划 的 有 效 期 结 束 后 删 除 该 报 表 计 划, 选 中 结 束 后 自 动 删 除 报 表 计 划 复 选 框 生 成 时 间 : 指 定 生 成 报 表 文 件 的 时 间 2. 点 击 确 定 按 钮 完 成 配 置 注 意 : 生 成 计 划 的 默 认 状 态 为 启 用 一 个 报 表 任 务 可 以 包 含 多 个 生 成 计 划, 方 便 用 户 灵 活 的 管 理 报 表 文 件 的 时 间 计 划 最 多 可 以 新 建 5 个 生 成 计 划 输 出 方 式 报 表 格 式 选 择 报 表 文 件 的 格 式, 可 选 择 PDF 格 式 和 HTML 格 式 ( 要 至 少 选 择 一 种 报 表 格 式, 否 则 将 无 法 进 入 下 一 步 骤, 也 无 法 保 存 报 表 任 务 ) 第 12 章 监 控 371

392 选 项 说 明 启 用 邮 件 选 中 启 用 邮 件 复 选 框, 启 用 邮 件 发 送 报 表 文 件 功 能 添 加 报 表 文 件 收 件 人 邮 件 地 址, 可 以 直 接 在 邮 件 文 本 框 中 输 入 邮 件 地 址 ( 若 有 多 个 收 件 人, 邮 件 之 间 以 分 号 ; 隔 开 ), 或 者 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 管 理 按 钮, 在 弹 出 的 < 邮 件 地 址 管 理 > 对 话 框 点 击 新 建 " 按 钮, 打 开 < 添 加 > 对 话 框 2. 在 弹 出 的 < 添 加 > 对 话 框 输 入 收 件 人 的 名 称 邮 件 地 址 和 备 注 信 息, 然 后 点 击 确 定 按 钮 3. 重 复 上 述 步 骤, 添 加 多 个 收 件 人 地 址 如 需 修 改 或 删 除 已 添 加 的 收 件 人 地 址, 选 中 收 件 人, 点 击 修 改 或 删 除 按 钮 4. 关 闭 < 邮 件 地 址 管 理 > 对 话 框, 点 击 收 件 人 按 钮, 弹 出 < 收 件 人 > 对 话 框 5. 在 < 收 件 人 > 对 话 框 的 邮 件 列 表 中 选 中 要 接 收 报 表 文 件 的 收 件 人, 点 击 确 定 按 钮, 收 件 人 将 显 示 在 邮 件 文 本 框 内 启 用 FTP 选 中 启 用 FTP 复 选 框, 将 生 成 的 报 表 文 件 发 送 到 指 定 FTP 服 务 器 上 样 例 发 送 报 表 文 件 到 FTP 服 务 器 的 配 置 参 数 说 明 如 下 : 服 务 器 名 称 /IP: 输 入 FTP 服 务 器 的 名 称 或 IP 地 址 VR: 从 下 拉 菜 单 选 择 FTP 服 务 器 所 属 的 虚 拟 路 由 器 用 户 名 : 输 入 登 录 FTP 服 务 器 的 用 户 名 密 码 : 输 入 用 户 名 对 应 的 密 码 匿 名 用 户 : 选 中 匿 名 用 户 复 选 框, 则 不 需 要 使 用 用 户 名 和 密 码 就 可 登 录 FTP 服 务 器 ( 适 用 于 允 许 匿 名 登 录 的 FTP 服 务 器 ) 路 径 : 输 入 要 保 存 报 表 文 件 的 文 件 夹 路 径 样 例 样 例 是 根 据 报 表 任 务 参 数 生 成 的 一 份 报 表 文 件 示 例 3. 点 击 完 成 按 钮 完 成 配 置 生 成 报 表 文 件 查 看 报 表 文 件 样 例, 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 生 成 样 例 按 钮, 设 备 将 生 成 一 份 报 表 文 件 样 例 2. 当 提 示 生 成 成 功 时, 点 击 查 看 样 例 按 钮 查 看 该 报 表 文 件 样 例 立 即 生 成 报 表 文 件, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 监 控 > 报 表 > 自 定 义 任 务 2. 选 中 列 表 中 自 定 义 任 务 条 目, 点 击 列 表 上 方 立 即 生 成 按 钮, 系 统 将 根 据 所 选 的 报 表 任 务 立 即 生 成 报 表 文 件 372 第 12 章 监 控

393 快 捷 任 务 快 捷 任 务 是 设 备 内 置 的 报 表 任 务, 提 供 流 量 QoS 统 一 威 胁 监 控 检 测 系 统 等 多 种 类 型 的 报 表 项 以 及 默 认 配 置 信 息, 用 户 可 以 直 接 生 成 并 预 览 报 表 文 件 生 成 报 表 文 件 根 据 快 捷 任 务 生 成 报 表 文 件, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 监 控 > 报 表 > 快 捷 任 务, 打 开 快 捷 任 务 页 面 2. 用 户 可 以 在 快 捷 任 务 选 项 默 认 配 置 的 基 础 上 修 改 配 置, 生 成 并 预 览 所 需 要 的 报 表 文 件 配 置 选 项 具 体 说 明 请 参 阅 " 自 定 义 任 务 " 在 第 370 页 的 新 建 报 表 自 定 义 任 务 部 分 3. 在 左 侧 列 表 中 选 择 需 要 的 报 表 类 别 和 报 表 项, 点 击 页 面 下 方 立 即 生 成 按 钮, 生 成 并 预 览 报 表 文 件 如 需 保 存 报 表 文 件, 可 以 通 过 浏 览 器 保 存 到 电 脑 中 注 意 : 如 果 浏 览 器 设 置 了 禁 止 弹 出 窗 口, 您 将 不 能 自 动 看 到 生 成 的 报 表 请 开 启 一 直 允 许 弹 窗 功 能, 或 者 在 浏 览 器 的 阻 断 窗 口 记 录 中 查 看 生 成 的 报 表 文 件 第 12 章 监 控 373

394 报 表 计 划 报 表 计 划 是 报 表 任 务 执 行 情 况 的 汇 总, 用 户 可 以 在 报 表 计 划 页 面 查 看 所 有 报 表 任 务 执 行 情 况, 包 括 所 有 报 表 任 务 的 计 划 周 期 执 行 时 间 运 行 记 录 等 还 可 以 对 报 表 任 务 的 生 成 计 划 进 行 删 除 启 用 或 禁 用 点 击 监 控 > 报 表 > 报 表 计 划, 打 开 报 表 计 划 页 面 在 < 报 表 计 划 页 面 > 页 面, 查 看 报 表 计 划 信 息 选 项 说 明 报 表 任 务 名 称 显 示 报 表 任 务 的 名 称 计 划 周 期 显 示 生 成 报 表 文 件 的 频 率, 包 括 日 报 周 报 月 报 季 报 和 一 次 性 状 态 显 示 生 成 计 划 的 状 态, 包 括 启 用 禁 用 和 已 结 束 下 一 次 执 行 时 间 显 示 报 表 任 务 的 下 一 次 执 行 时 间 上 一 次 执 行 时 间 显 示 报 表 任 务 的 上 一 次 执 行 时 间 运 行 记 录 显 示 报 表 任 务 的 执 行 情 况 历 史 记 录, 选 项 包 括 : 描 述 : 显 示 报 表 任 务 是 否 成 功 生 成 报 表 文 件 输 出 方 式 : 显 示 报 表 文 件 的 输 出 方 式 以 及 发 送 状 态 运 行 类 型 : 显 示 生 成 计 划 的 执 行 类 型, 如 按 计 划 生 成 立 即 生 成 等 开 始 时 间 : 显 示 本 次 报 表 任 务 的 开 始 执 行 的 时 间 结 束 时 间 : 显 示 本 次 报 表 任 务 执 行 完 成 的 时 间 在 右 上 角 文 本 框 中 输 入 关 键 字 并 点 击 回 车 搜 索 特 定 报 表 任 务 的 生 成 计 划 选 中 列 表 中 报 表 任 务 条 目, 在 下 方 < 运 行 记 录 > 标 签 页 下 查 看 报 表 任 务 的 执 行 情 况 记 录 注 意 : 用 户 如 果 需 要 新 建 或 编 辑 生 成 计 划, 请 在 " 自 定 义 任 务 " 在 第 370 页 配 置 的 生 成 计 划 部 分 进 行 配 置 374 第 12 章 监 控

395 日 志 设 备 支 持 日 志 管 理 功 能 记 录 并 输 出 设 备 的 各 种 日 志 信 息, 分 别 是 设 备 系 统 威 胁 会 话 NAT 以 及 URL 设 备 系 统 - 包 含 事 件 日 志 信 息 网 络 日 志 信 息 以 及 配 置 日 志 信 息 事 件 - 包 括 错 误 警 告 通 告 信 息 调 试 紧 急 警 报 和 严 重 8 个 级 别 的 系 统 事 件 信 息 网 络 - 与 网 络 服 务 操 作 相 关 的 日 志 信 息, 例 如 PPPoE 以 及 DDNS 等 配 置 - 与 CLI 配 置 相 关 的 日 志 信 息, 例 如 接 口 配 置 等 威 胁 - 威 胁 日 志 信 息, 与 系 统 威 胁 相 关 的 日 志 信 息, 例 如 攻 击 防 护 和 应 用 安 全 等 会 话 - 会 话 日 志 信 息, 与 会 话 相 关 的 日 志 信 息, 例 如 会 话 的 协 议 源 / 目 的 IP 地 址 源 / 目 的 端 口 等 NAT - NAT 日 志 信 息, 与 NAT 行 为 相 关 的 日 志 信 息, 例 如 NAT 类 型 源 / 目 的 IP 地 址 源 / 目 的 端 口 等 URL - URL 日 志 信 息, 与 上 网 行 为 相 关 的 日 志 信 息, 例 如 用 户 的 上 网 时 间 和 网 页 访 问 情 况 URL 过 滤 等 系 统 的 多 种 日 志 信 息 能 够 有 效 的 记 录 设 备 的 运 行 情 况, 从 而 为 用 户 分 析 网 络 情 况 和 防 护 网 络 攻 击 提 供 依 据 日 志 的 严 重 等 级 系 统 的 事 件 日 志 信 息 根 据 日 志 信 息 的 严 重 程 度 区 分 的 系 统 日 志 的 严 重 等 级 可 分 为 8 级, 关 于 各 级 的 具 体 信 息, 请 参 阅 下 表 : 级 别 级 别 号 描 述 日 志 定 义 紧 急 (Emergencies) 0 系 统 不 可 用 信 息 LOG_EMERG 警 报 (Alerts) 1 需 要 立 即 处 理 的 信 息, 如 设 备 受 到 攻 击 等 LOG_ALERT 严 重 (Critical) 2 危 急 信 息, 如 硬 件 出 错 LOG_CRIT 错 误 (Errors) 3 错 误 信 息 LOG_ERR 警 告 (Warnings) 通 告 (Notifications) 信 息 (Informational) 调 试 (Debugging) 4 报 警 信 息 LOG_WARNING 5 非 错 误 信 息, 但 需 要 特 殊 处 理 LOG_NOTICE 6 通 知 信 息 LOG_INFO 7 调 试 信 息, 包 括 正 常 的 使 用 信 息 LOG_DEBUG 日 志 信 息 输 出 目 的 地 日 志 信 息 可 以 输 出 到 不 同 的 目 的 地, 设 备 支 持 以 下 7 种 日 志 信 息 输 出 目 的 地, 用 户 可 以 根 据 自 己 的 需 要 指 定 : Console - 日 志 信 息 的 默 认 输 出 目 的 地 用 户 可 以 通 过 命 令 关 闭 此 输 出. 终 端 (Remote)- 包 括 Telnet 和 SSH 两 种 终 端 内 存 缓 存 (Buffer)- 内 存 缓 存 文 件 (File)- 默 认 情 况 下, 系 统 会 生 成 一 个 文 件 记 录 日 志 信 息, 用 户 可 以 指 定 将 信 息 输 出 到 USB 口 的 文 件 中 系 统 日 志 服 务 器 (Syslog Server)- 系 统 可 以 将 日 志 信 息 发 往 UNIX 或 Windows Syslog Server 地 址 - 将 日 志 信 息 发 送 到 某 个 邮 件 地 址 本 地 数 据 库 (Localdb)- 将 日 志 信 息 发 送 到 本 地 数 据 库 本 地 数 据 库 存 在 于 硬 盘 卡 中 第 12 章 监 控 375

396 日 志 信 息 格 式 为 方 便 用 户 查 阅 和 分 析 系 统 日 志 信 息, 系 统 按 照 固 定 的 格 式 输 出 日 志 信 息 该 格 式 为 : 时 间, 级 模 块 : 日 志 描 述 请 参 阅 以 下 示 例 : :51:21, WARNING@LOGIN: Admin user "admin" logged in through console from localhost. 376 第 12 章 监 控

397 我 的 日 志 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 用 户 可 以 在 我 的 日 志 页 面 查 看 已 保 存 的 日 志 过 滤 条 件 及 根 据 特 定 过 滤 条 件 所 搜 索 到 的 日 志 条 目 点 击 监 控 > 日 志 > 我 的 日 志, 打 开 设 备 系 统 日 志 页 面 指 定 过 滤 条 件 的 名 称 添 加 时 间 描 述 关 键 字, 然 后 点 击 " 搜 索 " 按 钮 进 行 搜 索, 符 合 条 件 的 信 息 将 显 示 在 我 的 日 志 列 表 中 点 击 " 重 置 " 按 钮 重 置 搜 索 条 件 删 除 : 选 中 列 表 中 的 条 目, 点 击 该 按 钮, 删 除 所 选 的 日 志 过 滤 条 件 查 看 : 选 中 列 表 中 的 条 目, 点 击 该 按 钮, 在 弹 出 的 标 签 页 中 查 看 搜 索 删 除 或 导 出 根 据 特 定 日 志 过 滤 条 件 所 搜 索 到 的 日 志 条 目 第 12 章 监 控 377

398 设 备 系 统 日 志 用 户 可 以 在 设 备 系 统 日 志 页 面 查 看 搜 索 或 导 出 事 件 日 志 网 络 日 志 和 配 置 日 志 点 击 监 控 > 日 志 > 设 备 系 统 日 志, 打 开 设 备 系 统 日 志 页 面 点 击 < 事 件 日 志 > < 网 络 日 志 > 或 < 配 置 日 志 > 标 签, 在 日 志 列 表 中 查 看 相 应 的 日 志 信 息 指 定 时 间 级 别 和 消 息 关 键 字 过 滤 条 件, 点 击 搜 索 按 键 搜 索 特 定 的 日 志 条 目 点 击 重 置 按 键 重 置 所 有 过 滤 条 件 配 置 : 点 击 该 按 钮, 进 入 日 志 管 理 相 关 页 面 对 事 件 日 志 信 息 进 行 配 置 加 入 我 的 日 志 : 点 击 该 按 钮, 将 符 合 所 选 日 志 过 滤 条 件 的 日 志 条 目 加 入 到 " 我 的 日 志 " 在 第 377 页 中 以 便 查 看 导 出 : 点 击 该 按 钮, 以 TXT 或 CSV 格 式 导 出 全 部 或 部 分 日 志 条 目 378 第 12 章 监 控

399 威 胁 日 志 威 胁 日 志 信 息 的 产 生 需 要 满 足 以 下 条 件 : 已 经 开 启 设 备 的 威 胁 日 志 功 能 具 体 配 置 请 参 阅 " 日 志 管 理 " 在 第 385 页 已 经 配 置 " 病 毒 过 滤 " 在 第 282 页 " 入 侵 防 御 " 在 第 286 页 " 攻 击 防 护 " 在 第 298 页 或 " 边 界 流 量 过 滤 " 在 第 305 页 功 能 具 体 功 能 请 参 阅 相 关 页 面 点 击 监 控 > 日 志 > 威 胁 日 志 信 息, 打 开 威 胁 日 志 页 面 点 击 右 上 角 过 滤 器 下 拉 菜 单, 指 定 威 胁 日 志 过 滤 条 件 点 击 查 询 按 键 搜 索 特 定 的 日 志 条 目 点 击 重 置 按 键 重 置 所 有 过 滤 条 件 过 滤 条 件 如 下 : 查 询 时 间 - 显 示 指 定 时 间 段 的 威 胁 日 志 信 息 威 胁 类 型 - 显 示 指 定 威 胁 类 型 的 威 胁 日 志 信 息 级 别 - 显 示 指 定 威 胁 级 别 的 威 胁 日 志 信 息 攻 击 主 机 ( 用 户 ) - 显 示 指 定 攻 击 主 机 的 威 胁 日 志 信 息 受 害 主 机 ( 用 户 ) - 显 示 指 定 受 害 主 机 的 威 胁 日 志 信 息 检 测 引 擎 - 显 示 指 定 检 测 引 擎 的 威 胁 日 志 信 息 检 测 引 擎 包 括 入 侵 防 御 攻 击 防 护 病 毒 过 滤 以 及 边 界 流 量 过 滤 源 接 口 - 显 示 指 定 源 接 口 的 威 胁 日 志 信 息 目 的 接 口 - 显 示 指 定 目 的 接 口 的 威 胁 日 志 信 息 处 理 动 作 - 显 示 指 定 处 理 动 作 的 威 胁 日 志 信 息 聚 合 类 型 : 在 下 拉 菜 单 选 择 列 表 所 显 示 的 内 容 的 聚 合 类 型, 包 括 不 聚 合 威 胁 名 称 源 IP 以 及 目 的 IP 导 出 : 导 出 所 有 系 统 存 储 的 威 胁 日 志 日 志 信 息 或 者 搜 索 结 果 信 息 ( 先 进 行 搜 索 后 再 导 出 ) 选 中 列 表 中 的 日 志 条 目, 在 列 表 下 方 < 日 志 详 细 > 标 签 页 中 查 看 该 日 志 的 详 细 信 息 用 户 可 根 据 需 求, 点 击 处 理 动 作 后 的 报 文 下 载 按 钮 将 该 威 胁 日 志 下 载 到 本 地 第 12 章 监 控 379

400 会 话 日 志 会 话 日 志 信 息 的 产 生 需 要 满 足 以 下 两 个 条 件 : 已 经 开 启 设 备 的 会 话 日 志 功 能 具 体 配 置 请 参 阅 " 日 志 管 理 " 在 第 385 页 已 经 为 策 略 规 则 开 启 日 志 记 录 功 能 具 体 配 置 请 参 阅 " 安 全 策 略 " 在 第 205 页 页 面 点 击 监 控 > 日 志 > 会 话 日 志 信 息, 打 开 会 话 日 志 页 面 指 定 会 话 日 志 过 滤 条 件, 点 击 搜 索 按 键 搜 索 特 定 的 日 志 条 目 点 击 重 置 按 键 重 置 所 有 过 滤 条 件 过 滤 条 件 如 下 : 策 略 ID - 显 示 指 定 ID 策 略 规 则 的 会 话 日 志 信 息 源 IP - 显 示 指 定 源 IP 地 址 的 会 话 日 志 信 息 源 端 口 - 显 示 指 定 源 端 口 的 会 话 日 志 信 息 行 为 - 显 示 指 定 行 为 的 会 话 日 志 信 息 目 的 IP - 显 示 指 定 目 的 IP 的 会 话 日 志 信 息 目 的 端 口 - 显 示 指 定 目 的 端 口 的 会 话 日 志 信 息 协 议 - 显 示 指 定 协 议 的 会 话 日 志 信 息 开 始 时 间 - 显 示 以 该 时 间 为 开 始 时 间 的 会 话 日 志 信 息 结 束 时 间 - 显 示 以 该 时 间 为 结 束 时 间 的 会 话 日 志 信 息 配 置 : 点 击 该 按 钮, 进 入 " 日 志 管 理 " 在 第 385 页 相 关 页 面 对 会 话 日 志 信 息 进 行 配 置 清 除 : 点 击 该 按 钮, 清 除 所 有 系 统 存 储 会 话 日 志 信 息 导 出 : 导 出 所 有 系 统 存 储 的 会 话 日 志 信 息 或 者 搜 索 结 果 信 息 ( 先 进 行 搜 索 后 再 导 出 ) 注 意 : 对 于 ICMP 会 话, 系 统 会 在 日 志 中 记 录 ICMP 报 文 的 类 型 和 代 码 值 (ICMP type-value,codevalue) ICMP 和 12 类 型 报 文 是 由 其 他 通 讯 触 发 的, 并 未 创 建 完 整 的 ICMP 会 话, 因 此 380 第 12 章 监 控

401 会 话 日 志 不 会 记 录 这 类 ICMP 报 文 对 于 TCP 和 UDP 会 话, 设 备 首 先 会 检 查 TCP 和 UDP 报 文 的 长 度 如 果 报 文 长 度 为 20 字 节 ( 即, 只 有 IP 报 头 但 无 负 载 ), 设 备 会 判 断 为 畸 形 报 文 并 直 接 丢 弃 ; 如 果 报 文 长 度 大 于 20 字 节, 设 备 会 检 查 报 文 中 的 校 验 和 字 段 并 直 接 丢 弃 校 验 和 错 误 的 报 文 因 此, 会 话 日 志 不 会 记 录 上 述 类 型 的 畸 形 TCP 和 UDP 报 文 第 12 章 监 控 381

402 N AT 日 志 NAT 日 志 信 息 的 产 生 需 要 满 足 以 下 两 个 条 件 : 已 经 开 启 设 备 的 NAT 日 志 功 能 具 体 配 置 请 参 阅 " 日 志 管 理 " 在 第 385 页 已 经 为 NAT 规 则 开 启 NAT 日 志 功 能 具 体 配 置 请 参 阅 " 配 置 源 NAT" 在 第 220 页 以 及 " 配 置 目 的 NAT" 在 第 223 页 点 击 监 控 > 日 志 >NAT 日 志 信 息, 打 开 NAT 日 志 页 面 指 定 NAT 日 志 过 滤 条 件, 点 击 搜 索 按 键 搜 索 特 定 的 日 志 条 目 点 击 重 置 按 键 重 置 所 有 过 滤 条 件 过 滤 条 件 如 下 : NAT 类 型 - 显 示 指 定 类 型 ( 源 NAT 目 的 NAT) 的 NAT 日 志 信 息 源 IP - 显 示 指 定 源 IP 地 址 的 NAT 日 志 信 息 源 端 口 - 显 示 指 定 源 端 口 的 NAT 日 志 信 息 规 则 ID - 显 示 指 定 ID 的 NAT 日 志 信 息 目 的 IP - 显 示 指 定 目 的 IP 的 NAT 日 志 信 息 目 的 端 口 - 显 示 指 定 目 的 端 口 的 NAT 日 志 信 息 协 议 - 显 示 指 定 协 议 的 NAT 日 志 信 息 转 换 后 IP - 显 示 指 定 转 换 后 IP 地 址 的 NAT 日 志 信 息 转 换 后 端 口 - 显 示 指 定 转 换 后 端 口 号 的 NAT 日 志 信 息 开 始 时 间 - 显 示 以 该 时 间 为 开 始 时 间 的 NAT 日 志 信 息 结 束 时 间 - 显 示 以 该 时 间 为 结 束 时 间 的 NAT 日 志 信 息 配 置 : 点 击 该 按 钮, 进 入 " 日 志 管 理 " 在 第 385 页 相 关 页 面 对 NAT 日 志 信 息 进 行 配 置 清 除 : 点 击 该 按 钮, 清 除 所 有 系 统 存 储 NAT 日 志 信 息 导 出 : 导 出 所 有 系 统 存 储 的 NAT 日 志 信 息 或 者 搜 索 结 果 信 息 ( 先 进 行 搜 索 后 再 导 出 ) 382 第 12 章 监 控

403 UR L 日 志 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 URL 日 志 信 息 的 产 生 需 要 满 足 以 下 条 件 : 已 经 开 启 设 备 的 URL 日 志 功 能 具 体 配 置 请 参 阅 " 日 志 管 理 " 在 第 385 页 已 经 为 URL 过 滤 规 则 开 启 日 志 记 录 功 能 具 体 配 置 请 参 阅 "URL 过 滤 " 在 第 238 页 点 击 监 控 > 日 志 >URL 日 志 信 息, 打 开 URL 日 志 页 面 指 定 URL 日 志 过 滤 条 件, 点 击 搜 索 按 键 搜 索 特 定 的 日 志 条 目 过 滤 条 件 如 下 : 源 IP - 显 示 指 定 源 IP 地 址 的 URL 日 志 信 息 关 键 字 - 显 示 包 含 指 定 关 键 字 的 URL 日 志 信 息 配 置 : 点 击 该 按 钮, 进 入 " 日 志 管 理 " 在 第 385 页 相 关 页 面 对 URL 日 志 信 息 进 行 配 置 清 除 : 点 击 该 按 钮, 清 除 所 有 系 统 存 储 URL 日 志 信 息 导 出 : 点 击 导 出 按 钮, 指 定 分 隔 符 后, 导 出 所 有 系 统 存 储 的 URL 日 志 信 息 或 者 搜 索 结 果 信 息 ( 先 进 行 搜 索 后 再 导 出 ) 第 12 章 监 控 383

404 N BC 日 志 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 NBC 日 志 信 息 的 产 生 需 要 满 足 以 下 两 个 条 件 : 已 经 开 启 设 备 的 NBC 日 志 功 能 具 体 配 置 请 参 阅 " 日 志 管 理 " 在 第 385 页 系 统 配 置 了 " 网 页 关 键 字 " 在 第 260 页 "Web 外 发 信 息 " 在 第 264 页 " 邮 件 过 滤 " 在 第 268 页 以 及 " 上 网 行 为 控 制 " 在 第 253 页 功 能 具 体 功 能 请 参 阅 相 关 页 面 点 击 监 控 > 日 志 >NBC 日 志 信 息, 打 开 NBC 日 志 页 面 指 定 NBC 日 志 关 键 字 过 滤 条 件, 点 击 搜 索 按 键 搜 索 特 定 的 日 志 条 目 配 置 : 点 击 该 按 钮, 进 入 " 日 志 管 理 " 在 第 385 页 相 关 页 面 对 NBC 日 志 信 息 进 行 配 置 清 除 : 点 击 该 按 钮, 清 除 所 有 系 统 存 储 NBC 日 志 信 息 导 出 : 点 击 导 出 按 钮, 指 定 分 隔 符 后, 导 出 所 有 系 统 存 储 的 NBC 日 志 信 息 或 者 搜 索 结 果 信 息 ( 先 进 行 搜 索 后 再 导 出 ) 384 第 12 章 监 控

405 日 志 管 理 该 功 能 在 不 同 平 台 上 的 呈 现 方 式 有 所 差 异, 请 以 实 际 页 面 为 准 用 户 可 以 在 日 志 管 理 界 面 配 置 各 种 类 型 日 志 日 志 服 务 器 Web 邮 件 以 及 设 备 名 称 的 相 关 选 项 配 置 日 志 信 息 配 置 各 类 型 日 志 信 息, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 点 击 监 控 > 日 志 > 日 志 管 理, 打 开 日 志 管 理 页 面 2. 根 据 需 要, 选 择 < 事 件 日 志 >/< 网 络 日 志 >/< 配 置 日 志 >/< 会 话 日 志 >/<NAT 日 志 >/<URL 日 志 >/< 威 胁 日 志 > 标 签 页, 配 置 相 应 的 日 志 选 项 不 同 类 型 日 志 配 置 选 项 不 同 具 体 请 参 阅 " 日 志 管 理 " 在 第 385 页 一 节 3. 配 置 完 成 后 点 击 确 定 按 钮 日 志 配 置 选 项 说 明 该 节 介 绍 不 同 类 型 日 志 日 志 的 配 置 选 项 事 件 日 志 : 选 项 说 明 启 用 选 中 该 复 选 框, 开 启 系 统 的 事 件 日 志 功 能 Console 选 中 该 复 选 框 将 事 件 日 志 信 息 输 出 到 Console 最 小 日 志 级 别 - 指 定 输 出 事 件 日 志 信 息 的 最 小 日 志 级 别 终 端 选 中 该 复 选 框 将 事 件 日 志 信 息 输 出 到 终 端 最 小 日 志 级 别 - 指 定 输 出 事 件 日 志 信 息 的 最 小 日 志 级 别 缓 存 选 中 该 复 选 框 将 事 件 日 志 信 息 输 出 到 缓 存 最 小 日 志 级 别 - 指 定 输 出 事 件 日 志 信 息 的 最 小 日 志 级 别 最 大 缓 存 大 小 - 指 定 输 出 事 件 日 志 信 息 的 最 大 缓 存 大 小 文 件 选 中 该 复 选 框 将 事 件 日 志 信 息 输 出 到 文 件 最 小 日 志 级 别 - 指 定 输 出 事 件 日 志 信 息 的 最 小 日 志 级 别 最 大 文 件 大 小 - 指 定 日 志 信 息 文 件 的 最 大 值 范 围 是 4096 到 字 节 默 认 是 字 节 存 储 日 志 到 USB - 选 中 该 复 选 框 将 日 志 信 息 文 件 保 存 到 U 盘 从 下 拉 菜 单 中 选 择 U 盘 (USB0 或 者 USB1), 在 文 件 名 称 文 本 框 输 入 事 件 日 志 信 息 的 文 件 名 称 日 志 服 务 器 选 中 该 复 选 框 将 事 件 日 志 信 息 输 出 到 日 志 服 务 器 查 看 日 志 服 务 器 - 点 击 该 链 接 查 看 所 有 已 配 置 的 系 统 日 志 服 务 器 最 小 日 志 级 别 - 指 定 输 出 事 件 日 志 信 息 的 最 小 日 志 级 别 地 址 选 中 该 复 选 框 将 事 件 日 志 信 息 输 出 到 地 址 查 看 地 址 : 点 击 该 链 接 查 看 所 有 已 配 置 的 地 址 最 小 日 志 级 别 - 指 定 输 出 事 件 日 志 信 息 的 最 小 日 志 级 别 手 机 短 信 选 中 该 复 选 框 将 事 件 日 志 信 息 输 出 到 手 机 短 信 最 小 日 志 级 别 - 指 定 输 出 事 件 日 志 信 息 的 最 小 日 志 级 别 服 务 器 选 中 该 复 选 框 将 事 件 日 志 信 息 输 出 到 本 地 数 据 库 仅 部 分 平 台 支 持 该 功 能, 并 将 其 存 储 在 设 备 硬 盘 卡 上 第 12 章 监 控 385

406 选 项 说 明 占 用 磁 盘 空 间 - 在 文 本 框 中 输 入 事 件 日 志 信 息 占 存 储 设 备 空 间 的 百 分 比, 取 值 范 围 为 1 到 90, 系 统 默 认 值 为 10, 即 事 件 日 志 信 息 占 存 储 设 备 空 间 的 百 分 比 为 10% 磁 盘 空 间 限 制 - 若 选 择 自 动 覆 盖, 超 过 存 储 空 间 的 日 志 信 息 将 自 动 覆 盖 旧 的 日 志 信 息 若 选 择 停 止 存 储, 当 日 志 信 息 超 过 存 储 空 间 时, 系 统 将 停 止 存 储 新 的 日 志 网 络 日 志 选 项 说 明 启 用 选 中 该 复 选 框, 开 启 系 统 的 网 络 日 志 功 能 缓 存 选 中 该 复 选 框 将 网 络 日 志 信 息 输 出 到 缓 存 最 大 缓 存 大 小 - 指 定 输 出 网 络 日 志 信 息 的 最 大 缓 存 大 小 日 志 服 务 器 选 中 该 复 选 框 将 网 络 日 志 信 息 输 出 到 日 志 服 务 器 查 看 日 志 服 务 器 - 点 击 该 链 接 查 看 所 有 已 配 置 的 系 统 日 志 服 务 器 服 务 器 选 中 该 复 选 框 将 网 络 日 志 信 息 输 出 到 本 地 数 据 库 仅 部 分 平 台 支 持 该 功 能, 并 将 其 存 储 在 设 备 硬 盘 卡 上 占 用 磁 盘 空 间 - 在 文 本 框 中 输 入 网 络 日 志 信 息 占 存 储 设 备 空 间 的 百 分 比, 取 值 范 围 为 1 到 90, 系 统 默 认 值 为 10, 即 网 络 日 志 信 息 占 存 储 设 备 空 间 的 百 分 比 为 10% 磁 盘 空 间 限 制 - 若 选 择 自 动 覆 盖, 超 过 存 储 空 间 的 日 志 信 息 将 自 动 覆 盖 旧 的 日 志 信 息 若 选 择 停 止 存 储, 当 日 志 信 息 超 过 存 储 空 间 时, 系 统 将 停 止 存 储 新 的 日 志 配 置 日 志 选 项 说 明 启 用 选 中 该 复 选 框, 开 启 系 统 的 配 置 日 志 功 能 缓 存 选 中 该 复 选 框 将 配 置 日 志 信 息 输 出 到 缓 存 最 大 缓 存 大 小 - 指 定 输 出 配 置 日 志 信 息 的 最 大 缓 存 大 小 日 志 服 务 器 选 中 该 复 选 框 将 配 置 日 志 信 息 输 出 到 日 志 服 务 器 查 看 日 志 服 务 器 - 点 击 该 链 接 查 看 所 有 已 配 置 的 系 统 日 志 服 务 器 日 志 限 速 选 中 该 复 选 框 指 定 配 置 日 志 信 息 输 出 最 大 速 率 最 大 速 率 - 指 定 输 出 配 置 日 志 信 息 的 最 大 速 率 服 务 器 选 中 该 复 选 框 将 配 置 日 志 信 息 输 出 到 本 地 数 据 库 仅 部 分 平 台 支 持 该 功 能, 并 将 其 存 储 在 设 备 硬 盘 卡 上 占 用 磁 盘 空 间 - 在 文 本 框 中 输 入 配 置 日 志 信 息 占 存 储 设 备 空 间 的 百 分 比, 取 值 范 围 为 1 到 90, 系 统 默 认 值 为 10, 即 配 置 日 志 信 息 占 存 储 设 备 空 间 的 百 分 比 为 10% 磁 盘 空 间 限 制 - 若 选 择 自 动 覆 盖, 超 过 存 储 空 间 的 日 志 信 息 将 自 动 覆 盖 旧 的 日 志 信 息 若 选 择 停 止 存 储, 当 日 志 信 息 超 过 存 储 空 间 时, 系 统 将 停 止 存 储 新 的 日 志 会 话 日 志 选 项 说 明 启 用 选 中 该 复 选 框, 开 启 系 统 的 会 话 日 志 功 能 386 第 12 章 监 控

407 选 项 说 明 记 录 用 户 名 : 在 会 话 日 志 中 显 示 用 户 名 称 记 录 主 机 名 : 在 会 话 日 志 中 显 示 主 机 名 称 缓 存 选 中 该 复 选 框 将 会 话 日 志 信 息 输 出 到 缓 存 最 大 缓 存 大 小 - 指 定 输 出 会 话 日 志 信 息 的 最 大 缓 存 大 小 日 志 服 务 器 选 中 该 复 选 框 将 会 话 日 志 信 息 输 出 到 日 志 服 务 器 查 看 日 志 服 务 器 - 点 击 该 链 接 查 看 所 有 已 配 置 的 系 统 日 志 服 务 器 日 志 分 发 方 式 - 选 择 发 送 的 日 志 类 型, 包 括 明 文 日 志 和 二 进 制 日 志 使 用 分 布 式 日 志 - 将 会 话 日 志 信 息 分 布 式 发 送 到 多 个 日 志 服 务 器, 缓 解 单 台 日 志 服 务 器 的 压 力 系 统 通 过 指 定 的 算 法 选 定 日 志 服 务 器, 可 选 择 算 法 有 轮 询 方 式 外 发 和 按 源 IP Hash 方 式 外 发 NAT 日 志 选 项 说 明 启 用 选 中 该 复 选 框, 开 启 系 统 的 NAT 日 志 功 能 记 录 主 机 名 : 在 NAT 日 志 中 显 示 主 机 名 称 缓 存 选 中 该 复 选 框 将 NAT 日 志 信 息 输 出 到 缓 存 最 大 缓 存 大 小 - 指 定 输 出 NAT 日 志 信 息 的 最 大 缓 存 大 小 日 志 服 务 器 选 中 该 复 选 框 将 NAT 日 志 信 息 输 出 到 日 志 服 务 器 查 看 日 志 服 务 器 - 点 击 该 链 接 查 看 所 有 已 配 置 的 系 统 日 志 服 务 器 日 志 分 发 方 式 - 选 择 发 送 的 日 志 类 型, 包 括 明 文 日 志 和 二 进 制 日 志 使 用 分 布 式 日 志 - 将 会 话 日 志 信 息 分 布 式 发 送 到 多 个 日 志 服 务 器, 缓 解 单 台 日 志 服 务 器 的 压 力 系 统 通 过 指 定 的 算 法 选 定 日 志 服 务 器, 可 选 择 算 法 有 轮 询 方 式 外 发 和 按 源 IP Hash 方 式 外 发 URL 日 志 选 项 说 明 启 用 选 中 该 复 选 框, 开 启 系 统 的 URL 日 志 功 能 记 录 主 机 名 : 在 URL 日 志 中 显 示 主 机 名 称 缓 存 选 中 该 复 选 框 将 URL 日 志 信 息 输 出 到 缓 存 最 大 缓 存 大 小 - 指 定 输 出 URL 日 志 信 息 的 最 大 缓 存 大 小 日 志 服 务 器 选 中 该 复 选 框 将 URL 日 志 信 息 输 出 到 日 志 服 务 器 查 看 日 志 服 务 器 - 点 击 该 链 接 查 看 所 有 已 配 置 的 系 统 日 志 服 务 器 日 志 分 发 方 式 - 选 择 发 送 的 日 志 类 型, 包 括 明 文 日 志 和 二 进 制 日 志 使 用 分 布 式 日 志 - 将 会 话 日 志 信 息 分 布 式 发 送 到 多 个 日 志 服 务 器, 缓 解 单 台 日 志 服 务 器 的 压 力 系 统 通 过 指 定 的 算 法 选 定 日 志 服 务 器, 可 选 择 算 法 有 轮 询 方 式 外 发 和 按 源 IP Hash 方 式 外 发 威 胁 日 志 选 项 说 明 启 用 选 中 该 复 选 框, 开 启 系 统 的 威 胁 日 志 功 能 终 端 选 中 该 复 选 框 将 威 胁 日 志 选 项 输 出 到 终 端 第 12 章 监 控 387

408 选 项 说 明 缓 存 选 中 该 复 选 框 将 威 胁 日 志 信 息 输 出 到 缓 存 最 大 缓 存 大 小 - 指 定 输 出 威 胁 日 志 信 息 的 最 大 缓 存 大 小 文 件 选 中 该 复 选 框 将 威 胁 日 志 信 息 输 出 到 文 件 最 大 文 件 大 小 - 指 定 威 胁 日 志 信 息 文 件 的 最 大 值 范 围 是 4096 到 字 节 默 认 是 字 节 存 储 日 志 到 USB - 选 中 该 复 选 框 将 日 志 信 息 文 件 保 存 到 U 盘 从 下 拉 菜 单 中 选 择 U 盘 (USB0 或 者 USB1), 在 文 件 名 文 本 框 输 入 事 件 日 志 信 息 的 文 件 名 称 日 志 服 务 器 选 中 该 复 选 框 将 威 胁 日 志 信 息 输 出 到 日 志 服 务 器 查 看 日 志 服 务 器 - 点 击 该 链 接 查 看 所 有 已 配 置 的 系 统 日 志 服 务 器 日 志 分 发 方 式 - 选 择 发 送 的 日 志 类 型, 包 括 明 文 日 志 和 二 进 制 日 志 使 用 分 布 式 日 志 - 将 会 话 日 志 信 息 分 布 式 发 送 到 多 个 日 志 服 务 器, 缓 解 单 台 日 志 服 务 器 的 压 力 系 统 通 过 指 定 的 算 法 选 定 日 志 服 务 器, 可 选 择 算 法 有 轮 询 方 式 外 发 和 按 源 IP Hash 方 式 外 发 地 址 选 中 该 复 选 框 将 威 胁 日 志 信 息 输 出 到 地 址 查 看 地 址 : 点 击 该 链 接 查 看 所 有 已 配 置 的 地 址 服 务 器 选 中 该 复 选 框 将 威 胁 日 志 信 息 输 出 到 本 地 数 据 库 仅 部 分 平 台 支 持 该 功 能, 并 将 其 存 储 在 设 备 硬 盘 卡 上 日 志 服 务 器 配 置 占 用 磁 盘 空 间 - 在 文 本 框 中 输 入 威 胁 日 志 信 息 占 存 储 设 备 空 间 的 百 分 比, 取 值 范 围 为 1 到 90, 系 统 默 认 值 为 30, 即 威 胁 日 志 信 息 占 存 储 设 备 空 间 的 百 分 比 为 30% 磁 盘 空 间 限 制 - 若 选 择 自 动 覆 盖, 超 过 存 储 空 间 的 日 志 信 息 将 自 动 覆 盖 旧 的 日 志 信 息 若 选 择 停 止 存 储, 当 日 志 信 息 超 过 存 储 空 间 时, 系 统 将 停 止 存 储 新 的 日 志 用 户 可 以 在 < 日 志 服 务 器 配 置 > 对 话 框 新 建 编 辑 或 删 除 用 于 接 收 日 志 信 息 的 日 志 服 务 器 新 建 日 志 服 务 器 新 建 日 志 服 务 器, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 在 日 志 管 理 页 面 右 上 角 点 击 " 配 置 " 菜 单 选 择 日 志 服 务 器 配 置, 打 开 < 日 志 服 务 器 配 置 > 对 话 框 2. 点 击 新 建 按 钮, 打 开 < 日 志 服 务 器 配 置 > 对 话 框 388 第 12 章 监 控

409 在 < 日 志 服 务 器 配 置 > 对 话 框, 配 日 志 服 务 器 相 关 信 息 选 项 说 明 主 机 名 称 指 定 日 志 服 务 器 的 主 机 名 称 绑 定 方 式 协 议 用 户 可 以 通 过 选 择 虚 拟 路 由 器 或 源 接 口, 指 定 日 志 服 务 器 接 收 日 志 信 息 的 源 IP 地 址 : 虚 拟 路 由 器 : 在 < 虚 拟 路 由 器 > 下 拉 菜 单 中 选 择 日 志 服 务 器 所 属 的 虚 拟 路 由 器 源 接 口 : 在 < 源 接 口 > 下 拉 菜 单 选 择 设 备 发 送 日 志 信 息 的 源 接 口 设 备 会 以 指 定 接 口 的 IP 地 址 为 源 IP, 向 日 志 服 务 器 发 送 日 志 信 息 如 果 该 接 口 配 有 管 理 IP 地 址, 优 先 使 用 管 理 IP 地 址 选 择 系 统 日 志 服 务 器 的 协 议 类 型 若 选 择 Secure-TCP 协 议, 用 户 可 根 据 需 要 勾 选 不 验 证 服 务 器 证 书 复 选 框, 系 统 将 与 日 志 服 务 器 不 需 验 证 证 书 即 可 正 常 传 输 日 志 端 口 输 入 系 统 日 志 服 务 器 的 协 议 端 口 号 日 志 类 型 选 择 该 系 统 日 志 服 务 器 接 收 的 日 志 信 息 的 类 型 3. 点 击 确 定 按 钮, 保 存 当 前 页 面 所 做 配 置 注 意 : 用 户 最 多 允 许 配 置 3 台 日 志 服 务 器 W eb 邮 件 配 置 Web 邮 件 配 置 用 于 指 定 接 收 日 志 信 息 邮 件 的 地 址 Web 邮 件 配 置, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 在 日 志 管 理 页 面 右 上 角 点 击 " 配 置 " 菜 单 选 择 Web 邮 件 配 置, 打 开 <Web 邮 件 配 置 > 对 话 框 2. 在 < 地 址 > 文 本 框 中 输 入 用 于 接 收 日 志 信 息 邮 件 的 地 址, 点 击 按 钮, 将 地 址 添 加 到 列 表 中 3. 如 果 需 要 删 除, 在 列 表 对 应 条 目 的 操 作 栏 中 点 击 按 钮 4. 点 击 确 定 按 钮, 保 存 当 前 页 面 所 做 配 置 第 12 章 监 控 389

410 注 意 : 用 户 最 多 允 许 配 置 3 台 地 址 设 备 名 称 配 置 用 于 指 定 UNIX 日 志 服 务 器 的 名 称 该 选 项 仅 适 用 于 将 日 志 信 息 输 出 到 UNIX 日 志 服 务 器 设 备 名 称 配 置, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 在 日 志 管 理 页 面 右 上 角 点 击 " 配 置 " 菜 单 选 择 设 备 名 称 配 置, 打 开 < 设 备 名 称 配 置 > 对 话 框 2. 选 中 指 定 设 备 名 称 单 选 按 钮, 日 志 信 息 将 输 出 到 该 UNIX 日 志 服 务 器 3. 点 击 确 定 按 钮, 保 存 当 前 页 面 所 做 配 置 390 第 12 章 监 控

411 第 13 章 分 析 诊 断 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 系 统 支 持 以 下 几 种 分 析 诊 断 方 式 : 全 局 故 障 点 检 索 : 将 与 检 索 条 件 相 关 的 所 有 信 息 集 中 呈 现 在 界 面 上, 方 便 用 户 查 看 关 联 信 息 另 外, 当 用 户 网 络 出 现 问 题 时, 用 户 可 以 以 具 体 的 故 障 点 为 条 件, 搜 索 和 该 故 障 点 相 关 的 所 有 信 息, 从 而 快 速 定 位 故 障 原 因 数 据 包 路 径 检 测 : 依 据 系 统 对 数 据 包 的 处 理 流 程, 对 数 据 包 进 行 检 测, 并 通 过 图 形 化 以 及 文 字 描 述 的 方 式 将 检 测 过 程 及 检 测 结 果 呈 现 给 用 户 在 线 抓 包 工 具 : 实 时 抓 取 系 统 中 的 数 据 包, 并 能 够 将 抓 取 到 的 数 据 包 导 出 到 本 地 硬 盘, 然 后 通 过 第 三 方 抓 包 工 具 查 看 数 据 包 内 容 测 试 工 具 : 设 备 支 持 域 名 检 查, 支 持 使 用 网 络 连 接 测 试 工 具 Ping 和 Traceroute 当 网 络 出 现 问 题 时, 用 户 可 以 用 这 些 工 具 对 网 络 进 行 测 试, 查 找 故 障 原 因 第 13 章 分 析 诊 断 391

412 全 局 故 障 点 检 索 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 全 局 故 障 点 检 索 能 够 将 与 检 索 条 件 相 关 的 所 有 信 息 集 中 呈 现 在 界 面 上, 方 便 用 户 查 看 关 联 信 息 另 外, 当 用 户 网 络 出 现 问 题 时, 用 户 可 以 以 具 体 的 故 障 点 ( 比 如 某 用 户 / 用 户 组 某 IP 某 接 口 某 应 用 某 安 全 域 等 ) 为 条 件, 搜 索 和 该 故 障 点 相 关 的 所 有 信 息, 从 而 快 速 定 位 故 障 原 因 进 行 全 局 故 障 点 检 索, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 配 置 搜 索 条 件, 包 括 用 户 / 用 户 组 IP 地 址 接 口 应 用 安 全 域 及 时 间 2. 查 看 搜 索 结 果 点 击 搜 索 按 钮, 分 别 在 < 配 置 > < 网 络 服 务 检 测 > 标 签 页 查 看 搜 索 结 果 配 置 搜 索 条 件 配 置 搜 索 条 件, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 全 局 故 障 点 检 索, 进 入 全 局 故 障 点 检 索 页 面 2. 在 该 页 面 上 方 设 置 搜 索 条 件 选 项 AAA 服 务 器 IP 说 明 在 下 拉 菜 单 中 选 中 服 务 器, 若 服 务 器 类 型 为 local, 需 要 在 后 面 的 下 拉 菜 单 中 选 中 对 应 的 用 户 / 用 户 组 ; 若 服 务 器 为 非 local 类 型, 需 要 在 后 面 的 文 本 框 中 输 入 相 应 的 用 户 / 用 户 组, 然 后 点 击 添 加 按 钮 最 多 可 以 配 置 3 个 用 户 / 用 户 组 在 文 本 框 中 输 入 IP 地 址 IP 地 址 / 掩 码 或 者 IP 地 址 范 围, 然 后 点 击 添 加 按 钮 最 多 可 以 配 置 3 个, 不 同 IP 地 址 IP 地 址 / 掩 码 或 者 IP 地 址 范 围 之 间 用 逗 号 (,) 隔 开 接 口 在 下 拉 菜 单 中 选 中 接 口 最 多 可 以 配 置 3 个 接 口 应 用 在 下 拉 菜 单 中 选 中 应 用 最 多 可 以 配 置 3 个 应 用 或 者 应 用 组 安 全 域 在 下 拉 菜 单 中 选 中 安 全 域 最 多 可 以 配 置 3 个 安 全 域 时 间 在 下 拉 菜 单 中 配 置 时 间 系 统 默 认 搜 索 最 近 1 小 时 的 信 息, 最 多 支 持 搜 索 最 近 一 个 月 内 的 信 息 最 多 可 以 配 置 1 个 时 间 搜 索 条 件 注 意 : 时 间 搜 索 条 件 最 多 允 许 配 置 1 个, 其 他 每 种 搜 索 条 件 最 多 允 许 配 置 3 个 相 同 类 型 的 搜 索 条 件 之 间 为 或 的 关 系, 不 同 类 型 搜 索 条 件 之 间 为 与 的 关 系 比 如, 如 果 配 置 相 同 类 型 的 搜 索 条 件 IP A 和 IP B, 则 搜 索 结 果 会 列 出 包 含 A 和 B 中 任 意 一 个 的 条 目 ; 如 果 配 置 不 同 类 型 的 搜 索 条 件 IP A 和 应 用 B, 则 搜 索 结 果 会 列 出 既 包 含 A 又 包 含 B 的 条 目 查 看 搜 索 结 果 用 户 可 以 查 看 的 搜 索 结 果 包 括 系 统 配 置 及 网 络 服 务 等 信 息 在 < 配 置 > 标 签 页, 符 合 条 件 的 搜 索 结 果 会 按 类 别 呈 现 在 结 果 列 表 中, 类 别 包 括 策 略 会 话 限 制 流 量 控 制 PBR 策 略 SNAT DNAT 安 全 域 接 口 用 户 / 用 户 组 地 址 簿 其 他 配 置 和 配 置 日 志 信 息 点 击 类 别 名 称 ( 除 其 他 配 置 和 配 置 日 志 ), 系 统 跳 转 至 相 应 的 功 能 模 块, 用 户 可 以 查 看 各 功 能 模 块 的 详 细 配 置 信 息, 并 能 根 据 需 要 做 进 一 步 的 配 置 如 果 配 置 时 间 搜 索 条 件, 则 显 示 时 间 段 内 的 配 置 日 志 信 息 ; 否 则, 显 示 系 统 中 所 有 配 置 日 志 信 息 在 < 网 络 服 务 检 测 > 标 签 页, 用 户 可 以 查 看 符 合 条 件 的 网 络 节 点 服 务 节 点 以 及 选 中 节 点 在 指 定 时 间 段 内 的 延 迟 时 间 和 丢 包 率 历 史 趋 势 图 392 第 13 章 分 析 诊 断

413 数 据 包 路 径 检 测 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 数 据 包 路 径 检 测 功 能 依 据 系 统 对 数 据 包 的 处 理 流 程, 对 数 据 包 进 行 检 测, 并 通 过 图 形 化 以 及 文 字 描 述 的 方 式 将 检 测 过 程 及 检 测 结 果 呈 现 给 用 户 可 检 测 的 数 据 包 来 源 有 模 拟 数 据 包 实 时 在 线 数 据 包 以 及 已 有 数 据 包 ( 系 统 提 供 在 线 抓 包 功 能 方 便 用 户 获 得 数 据 包 ) 不 同 来 源 的 可 检 测 数 据 包 对 应 不 同 的 检 测 方 式, 系 统 支 持 以 下 三 种 数 据 包 检 测 方 式 : 模 拟 检 测 : 模 拟 一 个 数 据 包 并 对 该 数 据 包 在 系 统 中 的 处 理 流 程 进 行 检 测 在 线 检 测 : 实 时 检 测 系 统 中 数 据 包 的 处 理 流 程 能 够 同 时 对 多 个 数 据 包 进 行 检 测 导 入 检 测 : 导 入 已 有 数 据 包 并 对 该 数 据 包 在 系 统 中 的 处 理 流 程 进 行 检 测 能 够 同 时 对 多 个 数 据 包 进 行 检 测 配 置 数 据 包 路 径 检 测 用 户 可 以 在 数 据 包 路 径 检 测 配 置 页 面 进 行 数 据 包 路 径 检 测, 并 通 过 检 测 报 告 查 看 详 细 检 测 结 果 用 户 可 以 进 行 以 下 配 置 : 模 拟 检 测 在 线 检 测 导 入 检 测 已 有 检 测 源 模 拟 检 测 进 行 模 拟 检 测, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 数 据 包 路 径 检 测, 在 数 据 包 路 径 检 测 页 面, 选 择 选 择 检 测 源 创 建 模 拟 检 测 源 选 项 说 明 如 下 选 项 说 明 名 称 指 定 模 拟 检 测 源 的 名 称 检 测 接 口 在 下 拉 菜 单 中 选 中 检 测 源 的 入 接 口 源 地 址 指 定 检 测 源 的 源 IP 地 址 目 的 地 址 指 定 检 测 源 的 目 的 IP 地 址 协 议 在 下 拉 菜 单 中 选 中 检 测 源 的 协 议 类 型 当 选 择 TCP 或 者 UDP 时, 并 分 别 在 源 端 口 和 目 的 端 口 文 本 框 中 输 入 源 端 口 号 和 目 的 端 口 号 ; 当 选 择 ICMP 时, 分 别 在 类 型 和 数 值 文 本 框 中 输 入 ICMP 类 型 和 数 值 第 13 章 分 析 诊 断 393

414 选 项 说 明 备 注 如 有 必 要, 在 文 本 框 中 输 入 该 模 拟 检 测 源 的 描 述 信 息 2. 在 数 据 包 路 径 检 测 页 面, 点 击 开 始 检 测 按 钮 开 始 检 测 系 统 会 以 流 程 图 的 方 式 显 示 检 测 过 程, 同 时 在 流 程 图 下 方 通 过 文 字 滚 动 的 方 式 描 述 检 测 过 程 流 程 图 包 含 数 据 包 在 系 统 中 经 历 的 所 有 功 能 模 块, 已 完 成 检 测 的 功 能 模 块 上 方 将 用 指 示 灯 显 示 该 步 检 测 是 否 通 过 : 绿 灯 ( ): 表 示 该 步 骤 通 过 检 测, 系 统 会 继 续 下 个 步 骤 的 检 测 鼠 标 悬 停 在 该 步 骤 时, 显 示 该 步 骤 的 功 能 简 介 黄 灯 ( ): 表 示 该 步 骤 通 过 检 测 但 存 在 隐 患, 系 统 会 继 续 下 个 步 骤 的 检 测 鼠 标 悬 停 在 该 步 骤 时, 显 示 该 步 骤 的 功 能 简 介 及 检 测 结 果 概 述 用 户 可 以 点 击 < 检 测 结 果 > 标 签 页 中 的 查 看 结 果 链 接, 进 入 检 测 报 告 页 面 查 看 详 细 检 测 报 告 红 灯 ( ): 表 示 该 步 骤 未 通 过 检 测, 系 统 停 止 检 测 鼠 标 悬 停 在 该 步 骤 时, 显 示 该 步 骤 的 功 能 简 介 及 检 测 结 果 概 述 用 户 可 以 点 击 < 检 测 结 果 > 标 签 页 中 的 查 看 结 果 链 接, 进 入 检 测 报 告 页 面 查 看 详 细 检 测 报 告 ; 如 果 由 于 策 略 配 置 原 因 导 致 未 能 通 过 检 测, 用 户 可 在 页 面 上 查 看 匹 配 到 的 策 略 规 则 3. 检 测 完 成 后, 在 < 检 测 结 果 > 部 分 查 看 检 测 结 果 检 测 结 果 部 分 包 含 结 果 显 示 灯 以 及 检 测 结 果 概 述 用 户 可 以 点 击 查 看 报 告 详 情 链 接, 进 入 检 测 报 告 页 面 查 看 详 细 检 测 报 告, 并 可 以 将 检 测 报 文 下 载 到 指 定 路 径 检 测 结 果 显 示 灯 的 含 义 为 : 绿 灯 ( ): 表 示 检 测 源 成 功 通 过 所 有 检 测 黄 灯 ( ): 表 示 检 测 源 通 过 所 有 检 测, 但 是 在 某 个 或 者 某 些 检 测 步 骤 中 存 在 隐 患 用 户 可 以 点 击 查 看 报 告 详 情 链 接, 进 入 检 测 报 告 页 面 查 看 隐 患 原 因 和 参 考 建 议 在 线 检 测 红 灯 ( ): 表 示 检 测 源 未 能 通 过 所 有 检 测 用 户 可 以 点 击 查 看 报 告 详 情 链 接, 进 入 检 测 报 告 页 面 查 看 检 测 失 败 的 原 因 和 参 考 建 议 进 行 在 线 检 测, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 数 据 包 路 径 检 测, 在 数 据 包 路 径 检 测 页 面, 选 择 选 择 检 测 源 并 在 < 选 择 检 测 源 > 对 话 框 点 击 < 新 建 在 线 检 测 > 标 签 创 建 在 线 检 测 源 选 项 说 明 如 下 394 第 13 章 分 析 诊 断

415 选 项 说 明 名 称 指 定 在 线 检 测 源 的 名 称 检 测 接 口 在 下 拉 菜 单 中 选 中 检 测 源 的 入 接 口 源 指 定 检 测 源 的 源 地 址 或 者 源 用 户 / 用 户 组 目 的 指 定 检 测 源 的 目 的 地 址 地 址 : 选 中 该 单 选 按 钮 并 在 文 本 框 中 输 入 IP 地 址 AAA 服 务 器 : 选 中 该 单 选 按 钮, 在 AAA 服 务 器 下 拉 菜 单 中 选 中 所 需 的 服 务 器, 若 服 务 器 类 型 为 local, 需 要 在 后 面 的 下 拉 菜 单 中 选 中 对 应 的 用 户 / 用 户 组 ; 若 服 务 器 为 非 local 类 型, 需 要 在 后 面 的 文 本 框 中 输 入 相 应 的 用 户 / 用 户 组 地 址 : 选 中 该 单 选 按 钮 并 在 文 本 框 中 输 入 IP 地 址 URL: 选 中 该 单 选 按 钮 并 在 文 本 框 中 输 入 URL 协 议 指 定 检 测 源 的 协 议 类 型 或 者 协 议 号 源 端 口 指 定 检 测 源 的 源 端 口 号 目 的 端 口 指 定 检 测 源 的 目 的 端 口 号 应 用 指 定 检 测 源 的 应 用 类 型 备 注 在 文 本 框 中 输 入 该 在 线 检 测 源 的 描 述 信 息 2. 点 击 确 定 按 钮, 该 检 测 源 创 建 完 成 3. 用 户 可 根 据 需 要, 在 开 始 检 测 后 面 指 定 检 测 时 长 ; 或 是 选 中 抓 包 复 选 框 开 启 抓 包 功 能, 用 户 可 以 将 抓 包 报 文 下 载 到 指 定 路 径 开 启 该 功 能 前, 必 须 保 证 在 线 抓 包 功 能 为 关 闭 状 态 关 于 在 线 抓 包 功 能 的 详 细 信 息, 请 参 阅 " 在 线 抓 包 工 具 " 在 第 398 页 4. 点 击 开 始 检 测 按 钮 开 始 检 测 系 统 会 在 < 检 测 过 程 > 部 分 通 过 文 字 描 述 检 测 进 展 如 果 检 测 过 程 中 出 现 错 误, 系 统 会 在 流 程 图 上 方 显 示 对 应 错 误 的 名 称 等 检 测 结 束 后, 点 击 该 错 误 名 称, 页 面 将 会 显 示 对 应 的 流 程 图 每 个 检 测 过 程 最 多 弹 出 6 个 缩 略 流 程 图 5. 检 测 完 成 后, 在 < 检 测 结 果 > 部 分 查 看 检 测 结 果 检 测 结 果 部 分 包 含 结 果 显 示 灯 以 及 检 测 结 果 概 述 用 户 可 以 点 击 查 看 报 告 详 情 链 接, 进 入 检 测 报 告 页 面 查 看 详 细 检 测 报 告, 并 可 以 将 检 测 报 文 下 载 到 指 定 路 径 结 果 显 示 灯 的 含 义 请 参 见 模 拟 检 测 中 的 步 骤 3 注 意 : 检 测 过 程 中, 若 匹 配 以 下 任 意 一 条, 系 统 将 停 止 检 测 : 点 击 " 结 束 检 测 " 按 钮 ; 达 到 设 定 的 检 测 时 长 ; 或 者 未 设 定 检 测 时 长, 但 达 到 默 认 的 检 测 时 长 30 分 钟 ; 检 测 过 程 中, 相 同 类 型 的 错 误 总 数 达 到 10 个 ( 相 同 类 型 的 错 误, 比 如 被 同 一 策 略 阻 断 ) 或 者 不 同 类 型 错 误 总 数 达 到 5 个 ( 不 同 类 型 错 误 指 不 同 模 块 的 错 误 或 者 同 一 模 块 中 不 同 类 型 的 错 误 ); 开 启 抓 包 后, 抓 包 文 件 达 到 10M, 且 检 测 过 程 中 出 现 错 误 导 入 检 测 进 行 导 入 检 测, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 数 据 包 路 径 检 测, 在 数 据 包 路 径 检 测 页 面, 选 择 选 择 检 测 源 并 在 < 选 择 检 测 源 > 对 话 框 点 击 < 新 建 导 入 检 测 > 标 签 创 建 导 入 检 测 源 第 13 章 分 析 诊 断 395

416 选 项 说 明 如 下 选 项 说 明 导 入 报 文 点 击 浏 览 按 钮, 上 传 选 中 的 报 文 文 件 系 统 最 大 允 许 导 入 20M 报 文 名 称 指 定 导 入 检 测 源 的 名 称 检 测 接 口 在 下 拉 菜 单 中 选 中 检 测 源 的 入 接 口 描 述 在 文 本 框 中 输 入 该 在 线 检 测 源 的 描 述 信 息 高 级 配 置 源 地 址 指 定 检 测 源 的 源 IP 地 址 目 的 地 址 指 定 检 测 源 的 目 的 IP 地 址 协 议 指 定 检 测 源 的 协 议 类 型 或 者 协 议 号 源 端 口 指 定 检 测 源 的 源 端 口 号 目 的 端 口 指 定 检 测 源 的 目 的 端 口 号 应 用 指 定 检 测 源 的 应 用 类 型 2. 点 击 确 定 按 钮, 该 检 测 源 创 建 完 成 3. 点 击 开 始 检 测 按 钮 开 始 检 测 系 统 会 在 < 检 测 过 程 > 部 分 通 过 文 字 描 述 检 测 进 展 如 果 检 测 过 程 中 出 现 错 误, 系 统 会 在 流 程 图 上 方 显 示 对 应 错 误 的 名 称 等 检 测 结 束 后, 点 击 该 错 误 名 称, 页 面 将 会 显 示 对 应 的 流 程 图 每 个 检 测 过 程 最 多 弹 出 6 个 缩 略 流 程 图 4. 检 测 完 成 后, 在 < 检 测 结 果 > 部 分 查 看 检 测 结 果 检 测 结 果 部 分 包 含 结 果 显 示 灯 以 及 检 测 结 果 概 述 用 户 可 以 点 击 查 看 报 告 详 情 链 接, 进 入 检 测 报 告 页 面 查 看 详 细 检 测 报 告, 并 可 以 将 检 测 报 文 下 载 到 指 定 路 径 结 果 显 示 灯 的 含 义 请 参 见 模 拟 检 测 中 的 步 骤 3 注 意 : 检 测 过 程 中, 若 匹 配 以 下 任 意 一 条, 系 统 将 停 止 检 测 : 点 击 " 结 束 检 测 " 按 钮 ; 检 测 过 程 中, 相 同 类 型 的 错 误 总 数 达 到 10 个 ( 相 同 类 型 的 错 误, 比 如 被 同 一 策 略 阻 断 ) 或 者 不 同 类 型 错 误 总 数 达 到 5 个 ( 不 同 类 型 错 误 指 不 同 模 块 的 错 误 或 者 同 一 模 块 中 不 同 类 型 的 错 误 ); 导 入 的 检 测 报 文 全 部 检 测 完 成 已 有 检 测 源 已 有 检 测 源 部 分 列 出 系 统 中 已 经 存 在 的 所 有 检 测 源, 包 括 模 拟 检 测 源 在 线 检 测 源 以 及 导 入 检 测 源 396 第 13 章 分 析 诊 断

417 点 击 选 择 检 测 源 按 钮, 在 弹 出 的 < 选 择 检 测 源 > 对 话 框 中 点 击 < 已 有 检 测 源 > 标 签, 在 该 标 签 页 可 以 实 现 以 下 操 作 : 点 击 详 情 链 接, 查 看 检 测 源 的 检 测 报 告 点 击 导 出 链 接, 将 检 测 报 文 导 出 到 指 定 路 径 点 击 编 辑 链 接, 修 改 检 测 源 配 置 点 击 删 除 链 接, 删 除 检 测 源 第 13 章 分 析 诊 断 397

418 在 线 抓 包 工 具 仅 有 部 分 平 台 支 持 该 功 能, 请 以 实 际 页 面 为 准 用 户 可 以 通 过 在 线 抓 包 工 具 实 时 抓 取 系 统 中 的 数 据 包, 并 能 够 将 抓 取 到 的 数 据 包 导 出 到 本 地 硬 盘, 然 后 通 过 第 三 方 抓 包 工 具 查 看 数 据 包 内 容 配 置 在 线 抓 包 工 具 在 线 抓 包, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 在 线 抓 包 工 具, 进 入 在 线 抓 包 工 具 配 置 页 面 2. 点 击 新 建 按 钮, 在 弹 出 的 < 新 建 在 线 抓 包 > 对 话 框 中 配 置 在 线 抓 包 条 目 在 该 对 话 框 中 进 行 配 置 选 项 说 明 名 称 指 定 在 线 抓 包 条 目 的 名 称 源 指 定 需 要 抓 取 数 据 包 的 源 地 址 或 者 源 用 户 / 用 户 组 地 址 : 选 中 该 单 选 按 钮 并 在 文 本 框 中 输 入 IP 地 址 AAA 服 务 器 : 选 中 该 单 选 按 钮, 在 AAA 服 务 器 下 拉 菜 单 中 选 中 所 需 的 服 务 器, 若 服 务 器 类 型 为 local, 需 要 在 后 面 的 下 拉 菜 单 中 选 中 对 应 的 用 户 / 用 户 组 ; 若 服 务 器 为 非 local 类 型, 需 要 在 后 面 的 文 本 框 中 输 入 相 应 的 用 户 / 用 户 组 目 的 指 定 需 要 抓 取 数 据 包 的 目 的 地 址 地 址 : 选 中 该 单 选 按 钮 并 在 文 本 框 中 输 入 IP 地 址 URL: 选 中 该 单 选 按 钮 并 在 文 本 框 中 输 入 URL 应 用 在 下 拉 菜 单 中 选 中 需 要 抓 取 数 据 包 的 应 用 类 型 协 议 在 下 拉 菜 单 中 选 中 需 要 抓 取 数 据 包 的 协 议 类 型 或 者 协 议 号 源 端 口 在 文 本 框 中 输 入 需 要 抓 取 数 据 包 的 源 端 口 号 目 的 端 口 在 文 本 框 中 输 入 需 要 抓 取 数 据 包 的 目 的 端 口 号 报 文 文 件 大 小 在 文 本 框 中 输 入 需 要 抓 取 数 据 包 文 件 的 大 小 抓 取 的 数 据 包 文 件 大 小 达 到 该 设 定 值 时, 系 统 会 自 动 停 止 抓 包 取 值 范 围 为 2M 至 20M, 默 认 为 10M 备 注 在 文 本 框 中 输 入 该 抓 包 条 目 的 描 述 信 息 3. 点 击 确 定 按 钮 完 成 创 建 配 置 完 成 后, 在 线 抓 包 条 目 将 自 动 添 加 到 下 方 列 表 398 第 13 章 分 析 诊 断

419 4. 点 击 列 表 中 在 线 抓 包 条 目 对 应 的 开 始 按 钮, 开 始 抓 包 系 统 会 在 列 表 下 方 通 过 进 度 条 显 示 抓 包 进 度, 当 鼠 标 悬 停 在 进 度 条 上 时, 显 示 已 抓 取 数 据 包 的 大 小 5. 如 需 要, 点 击 进 度 条 后 的 停 止 按 钮 或 者 在 线 抓 包 条 目 对 应 的 停 止 按 钮, 停 止 抓 包 6. 抓 包 停 止 或 者 完 成 后, 点 击 下 载 按 钮, 系 统 弹 出 选 择 文 件 保 存 路 径 的 提 示 框, 点 击 确 定 按 钮 并 选 择 导 出 路 径 已 抓 取 的 数 据 包 文 件 将 会 输 出 到 指 定 路 径 注 意 : 系 统 最 多 允 许 创 建 5 条 在 线 抓 包 条 目 针 对 同 一 在 线 抓 包 条 目, 系 统 只 保 存 最 近 的 一 次 抓 包 结 果 如 果 再 次 开 启 该 条 目 进 行 抓 包, 系 统 会 弹 出 是 否 导 出 上 次 抓 包 结 果 的 提 示 对 话 框 : 点 击 覆 盖 按 钮, 新 的 抓 包 结 果 将 覆 盖 上 次 结 果 ; 点 击 导 出 按 钮, 将 上 次 抓 包 结 果 保 存 到 指 定 路 径 ; 点 击 取 消 按 钮, 取 消 抓 包 第 13 章 分 析 诊 断 399

420 测 试 工 具 设 备 支 持 域 名 检 查, 支 持 使 用 网 络 连 接 测 试 工 具 Ping 和 Traceroute 当 网 络 出 现 问 题 时, 用 户 可 以 用 这 些 工 具 对 网 络 进 行 测 试, 查 找 故 障 原 因 DN S 查 询 检 查 设 备 的 DNS 功 能 是 否 工 作 正 常, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 测 试 工 具, 进 入 测 试 工 具 页 面 2. 在 DNS 查 询 文 本 框 中 输 入 需 要 查 询 的 域 名 3. 点 击 DNS 查 询 对 应 的 测 试 按 钮, 检 测 结 果 会 显 示 在 下 方 的 文 本 框 中 Ping 使 用 工 具 Ping 进 行 网 络 连 通 测 试, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 测 试 工 具, 进 入 测 试 工 具 页 面 2. 在 Ping 文 本 框 中 输 入 网 络 对 端 的 IP 地 址 3. 点 击 Ping 对 应 的 测 试 按 钮, 检 测 结 果 会 显 示 在 下 方 的 文 本 框 中 4. 检 测 结 果 包 含 以 下 两 部 分 : T racerout e 对 每 个 Ping 报 文 的 响 应 情 况 如 果 在 超 时 时 间 到 后 仍 没 有 收 到 响 应 报 文, 则 输 出 Destination Host Not Responsed 等, 否 则 显 示 响 应 报 文 中 报 文 序 号 TTL 和 响 应 时 间 最 后 的 统 计 信 息, 包 括 发 送 报 文 数 接 收 报 文 数 未 响 应 报 文 百 分 比 和 响 应 时 间 的 最 小 平 均 和 最 大 值 Traceroute 用 于 测 试 数 据 包 从 发 送 主 机 到 目 的 地 所 经 过 的 网 关 它 主 要 用 于 检 查 网 络 连 接 是 否 可 达, 以 及 分 析 网 络 什 么 地 方 发 生 了 故 障 Traceroute 通 常 的 执 行 过 程 是 : 首 先 发 送 一 个 TTL 为 1 的 数 据 包, 因 此 第 一 跳 发 送 回 一 个 ICMP 错 误 消 息 以 指 明 此 数 据 包 不 能 被 发 送 ( 因 为 TTL 超 时 ), 之 后 此 数 据 包 被 重 新 发 送,TTL 为 2, 同 样 第 二 跳 返 回 TTL 超 时, 这 个 过 程 不 断 进 行, 直 到 到 达 目 的 地 执 行 这 些 过 程 的 目 的 是 记 录 每 一 个 ICMP TTL 超 时 消 息 的 源 地 址, 以 提 供 一 个 IP 数 据 包 到 达 目 的 地 所 经 历 的 路 径 使 用 Traceroute 命 令 测 试 数 据 包 经 过 的 网 关, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 测 试 工 具, 进 入 测 试 工 具 页 面 2. 在 Traceroute 文 本 框 中 输 入 网 络 对 端 的 IP 地 址 3. 点 击 Traceroute 对 应 的 测 试 按 钮, 检 测 结 果 会 显 示 在 下 方 的 文 本 框 中 400 第 13 章 分 析 诊 断

421 第 14 章 高 可 靠 性 高 可 靠 性 (High Availability), 简 称 为 HA, 能 够 在 通 信 线 路 或 设 备 产 生 故 障 时 提 供 备 用 方 案, 从 而 保 证 数 据 通 信 的 畅 通, 有 效 增 强 网 络 的 可 靠 性 实 现 HA 功 能, 用 户 需 要 配 置 两 台 采 用 完 全 相 同 的 硬 件 平 台 固 件 版 本, 均 启 用 VR 及 防 病 毒 功 能 安 装 防 病 毒 许 可 证 的 安 全 网 关, 组 成 HA 簇 当 一 台 设 备 不 可 用 或 者 不 能 处 理 来 自 客 户 端 的 请 求 时, 该 请 求 会 及 时 转 到 另 外 的 可 用 设 备 来 处 理, 这 样 就 保 证 了 网 络 通 信 的 不 间 断 进 行, 极 大 地 提 高 了 通 信 的 可 靠 性 安 全 网 关 支 持 HA 的 3 种 工 作 模 式 :Active-Passive(A/P) 模 式 Active-Active(A/A) 模 式 和 Peer 模 式 : Active-Passive(A/P) 模 式 : 在 HA 簇 中 配 置 两 台 设 备 组 成 一 个 HA 组, 组 内 只 有 一 台 主 设 备 主 设 备 处 于 活 动 状 态, 转 发 报 文, 同 时 将 其 所 有 网 络 和 配 置 信 息 以 及 当 前 会 话 信 息 传 递 给 备 份 设 备 当 主 设 备 出 现 故 障 时, 备 份 设 备 接 替 主 设 备 工 作, 转 发 报 文 这 种 A/P 模 式 具 有 较 强 冗 余 性, 而 且 其 网 络 结 构 简 单, 便 于 维 护 管 理 Active-Active(A/A) 模 式 : 当 安 全 设 备 处 于 NAT 模 式 路 由 模 式 或 两 者 的 组 合 时, 可 以 将 HA 簇 中 的 两 台 设 备 都 配 置 成 主 动, 使 两 台 设 备 同 时 运 行 各 自 的 工 作, 且 相 互 监 测 对 方 的 情 况 当 其 中 一 台 设 备 发 生 故 障 时, 另 外 一 台 设 备 运 行 其 自 身 的 工 作 并 且 接 管 故 障 设 备 的 工 作, 以 保 证 工 作 不 间 断, 该 模 式 称 为 Active-Active 模 式 这 种 A/A 模 式 具 有 高 性 能 以 及 负 载 均 衡 的 优 点 Peer 模 式 : 该 模 式 是 一 种 特 殊 的 HA Active-Active 模 式 处 于 Peer 模 式 下 的 两 台 设 备 都 处 于 主 动 状 态 且 同 时 运 行 各 自 的 工 作 相 互 监 测 对 方 的 情 况 当 其 中 一 台 设 备 发 生 故 障 时, 另 外 一 台 设 备 运 行 其 自 身 的 工 作 并 且 接 管 故 障 设 备 的 工 作 在 Peer 模 式 下, 只 有 处 于 主 动 状 态 的 设 备 的 接 口 可 以 正 常 收 发 报 文 ; 处 于 禁 用 状 态 的 设 备 可 使 2 台 设 备 的 配 置 信 息 保 持 一 致, 但 其 接 口 不 收 发 任 何 报 文 Peer 模 式 配 置 更 加 灵 活, 比 较 适 合 在 非 对 称 路 由 环 境 中 部 署 仅 有 部 分 平 台 支 持 HA(A/A) 模 式 和 Peer 模 式, 请 以 实 际 页 面 为 准 HA 基 础 概 念 HA 簇 HA 簇 是 实 现 HA 功 能 的 设 备 的 组 合 对 于 外 部 网 络 设 备 而 言, 一 个 HA 簇 是 一 个 单 一 的 设 备, 处 理 网 络 流 量 和 提 供 安 全 服 务 HA 簇 通 过 簇 ID 进 行 标 识 为 设 备 指 定 HA 簇 ID 后, 设 备 进 入 HA 状 态, 执 行 HA 功 能 HA 组 系 统 会 对 HA 簇 中 相 同 HA 组 ID 的 设 备, 按 照 HCMP 协 议, 根 据 设 备 的 HA 配 置, 进 行 主 备 选 举 主 设 备 处 于 活 动 状 态 处 理 网 络 流 量, 而 当 主 设 备 出 现 故 障 时, 其 它 设 备 代 替 主 设 备 继 续 工 作 当 为 安 全 设 备 设 置 簇 ID 时, 组 ID 为 0 的 HA 组 会 自 动 创 建 在 Active- Passive(A/P) 模 式 中, 设 备 仅 具 有 HA 组 0 在 Active-Active(A/A) 模 式 中, 目 前 的 版 本 支 持 用 户 创 建 2 个 HA 组, 组 0 和 组 1 HA N ode 为 区 分 HA 簇 中 的 HA 设 备, 用 户 可 使 用 HA Node( 节 点 ) 值 来 标 识 设 备 目 前 的 版 本 仅 支 持 Node 值 为 0 和 1 在 HA Peer 模 式 下, 系 统 可 通 过 标 识 HA Node 值 来 决 定 哪 个 设 备 处 于 主 动 状 态, 哪 个 处 于 禁 用 状 态 在 HA 组 0 中,HA Node 值 为 0 的 设 备 处 于 主 动 状 态, Node 值 为 1 的 设 备 处 于 禁 用 状 态 在 HA 组 1 中, Node 值 为 1 的 设 备 处 于 主 动 状 态, Node 值 为 0 的 设 备 处 于 禁 用 状 态 HA 组 接 口 和 虚 拟 MAC 在 HA 环 境 中, 每 个 HA 组 都 具 有 接 口, 流 量 通 过 接 口 进 行 传 输 每 个 HA 组 的 主 设 备 维 护 对 应 接 口 的 虚 拟 MAC(VMAC) 地 址, 流 量 通 过 这 些 具 有 VMAC 地 址 的 接 口 进 行 转 发 HA 簇 中 不 同 HA 组 之 间 不 互 相 转 发 数 据 VMAC 地 址 由 簇 ID HA 组 ID 以 及 物 理 接 口 索 引 确 定 HA 选 举 HA 簇 中, 拥 有 同 样 HA 组 ID 的 具 有 高 优 先 级 的 设 备 会 被 选 举 为 HA 组 的 主 设 备 HA 同 步 为 保 证 备 份 设 备 能 够 在 主 设 备 失 效 时 代 替 主 设 备 工 作, 主 设 备 需 要 与 备 用 设 备 进 行 同 步 同 步 的 信 息 类 型 有 三 种 : 配 置 信 息 文 件 以 及 RDO(Runtime Dynamic Object) RDO 的 具 体 内 容 主 要 包 括 : 第 14 章 高 可 靠 性 401

422 会 话 信 息 ( 以 下 类 型 会 话 信 息 不 会 同 步 : 到 设 备 本 身 的 会 话 隧 道 会 话 Deny Session ICMP 会 话 以 及 tentative 会 话 ) IPsec VPN 信 息 SCVPN 信 息 DNS 缓 存 映 射 条 目 ARP 表 PKI 信 息 DHCP 信 息 MAC 表 Web 认 证 信 息 系 统 使 用 两 种 方 法 进 行 同 步, 分 别 是 实 时 同 步 和 批 量 同 步 当 主 设 备 刚 刚 选 举 成 功 时, 系 统 会 使 用 批 量 同 步 方 法, 将 主 设 备 信 息 全 部 同 步 到 备 份 设 备 ; 当 配 置 发 生 变 化 时, 系 统 将 使 用 实 时 同 步 的 方 法 将 变 化 的 信 息 同 步 到 备 份 设 备 除 HA 相 关 配 置 和 本 地 配 置 ( 例 如, 主 机 名 称 配 置 ), 其 它 的 配 置 都 会 被 同 步 402 第 14 章 高 可 靠 性

423 配 置 HA 使 用 高 可 靠 性 功 能, 用 户 需 要 按 照 以 下 步 骤 进 行 配 置 : 1. 配 置 HA 组 的 接 口 具 体 配 置 方 式, 请 参 阅 " 配 置 接 口 " 在 第 41 页 一 节 2. 配 置 HA 连 接 包 括 HA 连 接 接 口 和 连 接 接 口 IP 的 配 置 用 于 设 备 同 步 以 及 传 输 HA 报 文 3. 配 置 HA 簇 为 设 备 指 定 HA 簇 ID, 并 且 开 启 设 备 的 HA 功 能 4. 配 置 HA 组 HA 组 的 配 置 包 括 指 定 设 备 优 先 级 ( 选 举 使 用 ) 以 及 设 备 HA 报 文 相 关 参 数 等 配 置 HA, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > HA, 进 入 HA 配 置 页 面 在 该 页 面 配 置 HA 选 项 说 明 HA 控 制 连 接 接 口 1 指 定 HA 控 制 连 接 接 口 的 名 称 控 制 连 接 同 步 两 台 设 备 间 的 所 有 数 据 HA 控 制 连 接 接 口 2 指 定 HA 控 制 连 接 接 口 的 名 称 ( 备 份 设 备 ) HA 数 据 连 接 接 口 指 定 HA 数 据 连 接 接 口 的 名 称 数 据 连 接 仅 同 步 数 据 报 文 信 息, 如 会 话 信 息 指 定 后, 会 话 信 息 将 通 过 HA 数 据 连 接 接 口 同 步 完 成 目 前 仅 支 持 将 物 理 接 口 和 集 聚 接 口 配 置 为 数 据 连 接 的 接 口 用 户 最 多 可 以 指 定 1 个 HA 数 据 连 接 接 口 IP 地 址 指 定 HA 连 接 接 口 的 IP 地 址 及 网 络 掩 码 HA 簇 ID 节 点 ID 指 定 HA 簇 ID 取 值 范 围 为 1 至 8 当 选 择 HA 簇 ID 为 无 时 表 示 关 闭 设 备 的 HA 功 能 开 启 HA 功 能 后, 用 户 需 为 设 备 指 定 节 点 ID(HA Node), 两 台 设 备 需 指 定 不 同 的 节 点 ID 范 围 是 0 到 1 如 不 指 定 该 参 数, 设 备 将 通 过 自 动 协 商 获 取 节 点 ID Peer-mode 勾 选 启 用 复 选 框 开 启 HA Peer 模 式, 并 标 识 该 设 备 在 HA 簇 中 的 角 色 范 围 是 0 到 1 默 认 情 况 下,HA 节 点 ID 为 0 的 设 备 上 的 组 0 为 主 动 状 态, 节 点 ID 为 1 的 设 备 上 的 组 0 为 禁 用 状 态 对 称 路 由 若 指 定 该 参 数, 设 备 将 工 作 在 对 称 路 由 模 式 下 新 建 默 认 情 况 下, 指 定 HA 簇 ID 后, 系 统 自 动 创 建 组 0 点 击 新 建 按 钮, 可 创 建 组 1 并 对 其 进 行 配 置 删 除 若 已 创 建 HA 组 1, 用 户 可 点 击 删 除 按 钮 将 组 1 配 置 删 除 优 先 级 指 定 当 前 设 备 在 HA 组 中 的 优 先 级 优 先 级 高 ( 数 字 小 ) 的 会 被 选 举 为 主 设 备 抢 占 时 间 Hello 报 文 间 隔 指 定 当 前 设 备 是 否 开 启 抢 占 模 式 以 及 抢 占 延 迟 时 间 如 果 将 设 备 配 置 为 抢 占 模 式, 一 旦 设 备 发 现 自 己 的 优 先 级 高 于 主 设 备, 就 会 将 自 己 升 级 为 主 设 备, 而 原 先 的 主 设 备 将 变 为 备 份 设 备 如 果 输 入 0, 则 表 示 不 开 启 抢 占 模 式 ; 即 使 设 备 的 优 先 级 高 于 主 设 备, 它 也 只 能 在 主 设 备 故 障 时 代 替 主 设 备 工 作 输 入 HA 设 备 向 HA 组 中 的 其 它 设 备 发 送 Hello 报 文 的 时 间 间 隔 同 一 个 HA 组 的 第 14 章 高 可 靠 性 403

424 选 项 说 明 Hello 报 文 警 戒 值 免 费 ARP 包 个 数 监 测 对 象 设 备 的 Hello 报 文 间 隔 时 间 必 须 相 同 输 入 HA 组 对 应 的 Hello 报 文 的 警 戒 值, 即 如 果 设 备 没 有 收 到 对 方 设 备 的 该 命 令 指 定 个 数 的 Hello 报 文, 就 判 断 对 方 无 心 跳 指 定 当 前 设 备 选 举 为 主 设 备 后, 发 送 ARP 请 求 包 的 个 数 当 备 份 设 备 升 级 为 主 设 备 时, 新 主 设 备 需 要 向 网 络 中 发 送 ARP 请 求 包, 通 知 相 关 网 络 设 备 更 新 其 ARP 表 指 定 已 配 置 的 监 测 对 象 的 名 称 系 统 利 用 监 测 对 象 监 控 设 备 的 工 作 状 态 一 旦 发 现 设 备 不 能 正 常 工 作, 立 即 采 取 相 应 措 施 描 述 指 定 该 HA 组 的 描 述 信 息 2. 点 击 发 送 按 钮, 完 成 配 置 404 第 14 章 高 可 靠 性

425 第 15 章 系 统 管 理 设 备 的 系 统 维 护 与 管 理 主 要 包 括 以 下 各 项 : " 系 统 信 息 " 在 第 406 页 " 管 理 设 备 " 在 第 407 页 " 管 理 配 置 文 件 " 在 第 414 页 " 设 置 SNMP" 在 第 416 页 " 升 级 管 理 " 在 第 421 页 " 安 装 许 可 证 " 在 第 423 页 " 配 置 邮 件 服 务 器 " 在 第 425 页 " 短 信 发 送 参 数 " 在 第 426 页 " 连 接 HSM" 在 第 427 页 " 系 统 调 试 " 在 第 429 页 " 测 试 工 具 " 在 第 430 页 " 统 一 智 能 " 在 第 431 页 " 虚 拟 系 统 " 在 第 432 页 第 15 章 系 统 管 理 405

426 系 统 信 息 用 户 可 以 在 系 统 信 息 页 面 查 看 基 本 系 统 信 息, 包 括 设 备 序 列 号 主 机 名 称 硬 件 平 台 系 统 时 间 及 运 行 时 间 软 件 版 本 特 征 库 版 本 等 查 看 系 统 信 息 查 看 系 统 信 息, 选 择 系 统 > 系 统 信 息, 系 统 相 关 信 息 如 下 : 选 项 说 明 序 列 号 显 示 该 设 备 的 序 列 号 主 机 名 称 显 示 该 设 备 的 名 称 硬 件 平 台 显 示 设 备 的 硬 件 平 台 型 号 系 统 时 间 显 示 该 设 备 的 系 统 日 期 和 时 间 系 统 运 行 时 间 显 示 系 统 已 运 行 时 长 HA 状 态 显 示 设 备 的 高 可 用 性 工 作 状 态 包 括 以 下 六 种 状 态 : Standalone: 非 HA 模 式, 表 示 设 备 没 有 开 启 HA 功 能 Init:HA 初 始 状 态 Hello:HA 协 商 状 态, 表 示 设 备 在 协 商 HA 的 主 备 关 系 Master:HA 主 状 态, 表 示 当 前 设 备 为 HA 组 的 主 设 备 Backup:HA 备 状 态, 表 示 当 前 设 备 为 HA 组 的 备 份 设 备 Failed: 故 障 状 态, 表 示 当 前 设 备 故 障 软 件 版 本 显 示 设 备 当 前 的 软 件 版 本, 以 及 上 次 更 新 时 间 应 用 特 征 库 显 示 设 备 的 应 用 特 征 库 当 前 版 本, 以 及 上 次 更 新 时 间 高 级 威 胁 检 测 特 征 库 异 常 行 为 检 测 特 征 库 显 示 设 备 的 威 胁 特 征 库 当 前 版 本, 以 及 上 次 更 新 时 间 显 示 设 备 的 异 常 分 析 库 当 前 版 本, 以 及 上 次 更 新 时 间 URL 特 征 库 显 示 设 备 的 URL 特 征 库 当 前 版 本, 以 及 上 次 更 新 时 间 边 界 流 量 过 滤 特 征 库 显 示 设 备 的 边 界 流 量 特 征 库 当 前 版 本, 以 及 上 次 更 新 时 间 病 毒 过 滤 特 征 库 显 示 设 备 的 病 毒 特 征 库 当 前 版 本, 以 及 上 次 更 新 时 间 入 侵 防 御 特 征 库 显 示 设 备 的 入 侵 防 御 特 征 库 当 前 版 本, 以 及 上 次 更 新 时 间 风 险 减 缓 规 则 特 征 库 显 示 设 备 的 风 险 减 缓 规 则 特 征 库 当 前 版 本, 以 及 上 次 更 新 时 间 注 意 : 仅 当 系 统 安 装 了 某 个 特 征 库 的 许 可 证, 系 统 信 息 才 会 显 示 该 特 征 库 的 信 息 安 装 特 征 库 的 许 可 证, 请 参 阅 " 安 装 许 可 证 " 在 第 423 页 406 第 15 章 系 统 管 理

427 管 理 设 备 介 绍 管 理 员 可 信 主 机 管 理 接 口 系 统 时 间 NTP 密 钥 和 系 统 配 置 管 理 员 Hillstone 设 备 的 管 理 员 根 据 角 色 的 不 同, 对 系 统 可 执 行 的 管 理 和 配 置 权 限 不 同 管 理 员 分 为 以 下 四 类 : 系 统 管 理 员 (Administrator): 拥 有 读 执 行 和 写 权 限, 可 以 在 任 何 模 式 下 对 设 备 所 有 功 能 模 块 进 行 配 置 系 统 操 作 员 (Operator): 可 以 修 改 除 管 理 员 配 置 以 外 的 其 他 功 能 模 块 配 置, 但 是 不 能 查 看 日 志 信 息 系 统 审 计 员 (Auditor): 只 可 以 对 日 志 信 息 进 行 操 作, 包 括 查 看 导 出 和 清 除 系 统 管 理 员 ( 只 读 )(Administrator-read-only): 拥 有 读 和 执 行 权 限, 可 查 看 当 前 或 者 历 史 配 置 信 息 注 意 : 设 备 拥 有 一 个 默 认 系 统 管 理 员 hillstone, 用 户 可 以 对 系 统 管 理 员 hillstone 进 行 编 辑 ( 只 可 编 辑 密 码 和 访 问 方 式 ), 但 是 不 能 删 除 该 管 理 员 除 了 系 统 管 理 员, 其 他 角 色 的 管 理 员 不 能 进 行 管 理 员 配 置, 只 能 修 改 自 身 密 码 系 统 审 计 员 可 以 管 理 一 种 或 多 种 日 志 信 息, 管 理 日 志 类 型 需 要 系 统 管 理 员 配 置 VS YS 管 理 员 每 个 VSYS 都 拥 有 自 己 独 立 的 管 理 员 其 角 色 分 为 系 统 管 理 员 (Administrator) 系 统 管 理 员 ( 只 读 )(Administrator-readonly) 系 统 操 作 员 (Operator) 和 系 统 审 计 员 (Auditor) 四 种 创 建 VSYS 管 理 员 并 进 行 相 关 配 置 时, 需 要 遵 循 以 下 原 则 : 管 理 员 名 称 中 不 能 包 含 \ 符 号 非 根 系 统 管 理 员 可 以 通 过 两 种 方 式 创 建 : 一 种 为 非 根 系 统 系 统 管 理 员 直 接 登 录 进 行 创 建, 另 一 种 为 由 根 系 统 管 理 员 登 录 后 进 入 非 根 VSYS 进 行 创 建 根 系 统 管 理 员 登 录 后, 进 入 根 VSYS, 可 以 切 换 到 非 根 VSYS 并 对 该 非 根 VSYS 进 行 配 置 非 根 系 统 管 理 员 登 录 后, 进 入 到 该 非 根 VSYS, 不 能 进 入 根 VSYS 每 个 VSYS 的 管 理 员 名 称 仅 在 本 VSYS 中 唯 一, 两 个 不 同 VSYS 中 可 以 有 相 同 名 称 的 管 理 员, 登 录 时, 必 须 在 用 户 名 中 指 定 所 属 VSYS, 格 式 为 vsys_name\admin_name, 如 果 不 指 定 所 属 VSYS, 默 认 为 根 VSYS 下 表 为 VSYS 管 理 员 的 详 细 权 限 列 表 功 能 根 VSYS 系 统 管 理 员 根 VSYS 系 统 管 理 员 ( 只 读 ) 根 VSYS 系 统 审 计 员 根 VSYS 系 统 操 作 员 非 根 VSYS 系 统 系 统 管 理 员 非 根 VSYS 系 统 管 理 员 ( 只 读 ) 非 根 VSYS 系 统 操 作 员 非 根 VSYS 系 统 审 计 员 配 置 ( 包 括 保 存 配 置 ) χ χ χ χ 管 理 员 配 置 χ χ χ χ χ χ 恢 复 出 场 配 置 χ χ χ χ χ χ χ 删 除 配 置 文 件 χ χ χ χ 回 退 起 始 配 置 信 息 χ χ χ χ 第 15 章 系 统 管 理 407

428 功 能 根 VSYS 系 统 管 理 员 根 VSYS 系 统 管 理 员 ( 只 读 ) 根 VSYS 系 统 审 计 员 根 VSYS 系 统 操 作 员 非 根 VSYS 系 统 系 统 管 理 员 非 根 VSYS 系 统 管 理 员 ( 只 读 ) 非 根 VSYS 系 统 操 作 员 非 根 VSYS 系 统 审 计 员 重 启 设 备 χ χ χ χ χ χ 查 看 配 置 信 息 χ 只 能 查 看 自 己 当 前 VSYS 配 置 信 息 只 能 查 看 自 己 当 前 VSYS 配 置 信 息 只 能 查 看 自 己 当 前 VSYS 配 置 信 息 查 看 日 志 信 息 χ χ 修 改 当 前 管 理 员 密 码 χ ping/traceroute χ χ 新 建 管 理 员 新 建 管 理 员, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 设 备 管 理 2. 点 击 < 管 理 员 > 标 签, 进 入 到 管 理 员 配 置 页 面 3. 点 击 新 建 按 钮, 弹 出 < 管 理 员 配 置 > 对 话 框 χ 配 置 如 下 信 息 选 项 说 明 管 理 员 在 管 理 员 文 本 框 中 输 入 管 理 员 的 名 称 管 理 员 角 色 从 下 拉 菜 单 选 择 管 理 员 的 角 色 不 同 的 管 理 员 角 色 拥 有 不 同 的 权 限 系 统 管 理 员 : 拥 有 读 执 行 和 写 权 限, 可 以 对 设 备 所 有 功 能 模 块 进 行 配 置 系 统 操 作 员 : 可 以 修 改 除 管 理 员 配 置 以 外 的 其 他 功 能 模 块 配 置, 但 是 不 能 查 看 日 志 信 息 系 统 审 计 员 : 只 可 以 对 日 志 信 息 进 行 操 作, 包 括 查 看 导 出 和 清 除 408 第 15 章 系 统 管 理

429 选 项 说 明 系 统 管 理 员 ( 只 读 ): 拥 有 读 和 执 行 权 限, 可 查 看 当 前 或 者 历 史 配 置 信 息 密 码 在 密 码 文 本 框 中 输 入 管 理 员 的 登 陆 密 码 密 码 的 设 定 需 符 合 系 统 密 码 策 略 规 则 重 新 输 入 密 码 在 重 新 输 入 密 码 文 本 框 中 再 次 输 入 管 理 员 密 码 进 行 确 认 登 录 类 型 选 择 管 理 员 的 登 录 类 型 复 选 框 管 理 员 可 以 采 用 Console Telnet SSH HTTP 和 HTTPS 的 方 式 登 录, 如 果 需 要 采 用 以 上 所 有 方 式 登 录, 可 选 择 全 选 复 选 框 描 述 用 户 可 根 据 需 要 指 定 管 理 员 的 描 述 信 息 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 管 理 员 名 称 将 会 显 示 在 管 理 员 列 表 中 可 信 主 机 设 备 使 用 可 信 主 机 来 进 一 步 保 证 系 统 安 全 管 理 员 可 以 指 定 一 个 IP 地 址 范 围, 在 该 指 定 范 围 内 的 主 机 为 可 信 主 机 只 有 可 信 主 机 才 可 以 对 设 备 进 行 管 理 注 意 : 如 果 远 程 主 机 不 能 访 问 设 备, 可 能 是 可 信 主 机 配 置 问 题, 请 进 行 相 关 检 查 新 建 可 信 主 机 新 建 可 信 主 机, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 设 备 管 理 2. 点 击 < 可 信 主 机 > 标 签, 进 入 到 可 信 主 机 配 置 页 面 3. 点 击 新 建 按 钮, 弹 出 < 可 信 主 机 配 置 > 对 话 框 配 置 如 下 信 息 选 项 说 明 类 型 指 定 可 信 主 机 地 址 类 型, 选 择 IP 地 址 和 掩 码 或 IP 地 址 范 围 单 选 按 钮 IP 地 址 和 掩 码 : 在 IP 文 本 框 中 分 别 输 入 可 信 主 机 的 IP 地 址 和 子 网 掩 码 IP 地 址 范 围 : 在 IP 文 本 框 中 分 别 输 入 可 信 主 机 的 起 始 IP 地 址 和 终 止 IP 地 址 登 录 类 型 选 择 可 信 主 机 的 登 录 类 型 复 选 框 可 信 主 机 可 以 采 用 Telnet SSH HTTP 和 HTTPS 的 方 式 登 录 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 可 信 主 机 名 称 将 会 显 示 在 可 信 主 机 列 表 中 第 15 章 系 统 管 理 409

430 管 理 接 口 设 备 支 持 Console Telnet SSH 以 及 Web 方 式 的 访 问 用 户 可 以 配 置 各 种 访 问 方 式 的 超 时 时 间 端 口 号 以 及 HTTPS 的 PKI 信 任 域 使 用 Telnet SSH HTTP 或 者 HTTPS 方 式 登 录 设 备 时, 如 果 在 一 分 钟 内 连 续 三 次 登 录 失 败, 系 统 会 将 登 录 失 败 的 IP 地 址 锁 定 两 分 钟 被 锁 定 的 IP 地 址 在 两 分 钟 内 不 能 建 立 与 设 备 的 连 接 配 置 Console Telnet SSH 以 及 Web 方 式 访 问 的 相 关 参 数, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 设 备 管 理 2. 点 击 管 理 接 口 标 签, 进 入 到 管 理 接 口 配 置 页 面 选 项 说 明 Console 配 置 使 用 Consoe 管 理 口 登 录 的 参 数 信 息 超 时 : 输 入 Console 登 录 的 超 时 时 间 单 位 为 分 钟, 取 值 范 围 为 0 到 60, 默 认 值 为 10 若 取 值 为 0, 表 示 Console 方 式 访 问 无 时 间 限 制 系 统 若 发 现 用 户 在 超 时 时 间 内 未 通 过 Console 口 进 行 任 何 配 置, 将 断 开 此 次 Console 连 接 Telnet 配 置 Telnet 登 录 的 参 数 信 息 SSH 配 置 SSH 登 录 的 参 数 信 息 超 时 : 输 入 Telnet 登 录 的 超 时 时 间 单 位 为 分 钟, 取 值 范 围 为 1 到 60, 默 认 值 为 10 端 口 : 输 入 Telnet 登 录 使 用 的 TCP 端 口 号, 取 值 范 围 为 1 到 65535, 默 认 值 为 23 超 时 : 输 入 SSH 登 录 的 超 时 时 间 单 位 为 分 钟, 取 值 范 围 为 1 到 60, 默 认 值 为 10 端 口 : 输 入 SSH 登 录 使 用 的 TCP 端 口 号, 取 值 范 围 为 1 到 65535, 默 认 值 为 22 Web 配 置 WebUI 登 录 的 参 数 信 息 3. 点 击 确 定 超 时 : 输 入 WebUI 登 录 的 超 时 时 间 单 位 为 分 钟, 取 值 范 围 为 1 到 1440, 默 认 值 为 10 HTTP 端 口 : 输 入 HTTP 登 录 使 用 的 TCP 端 口 号, 取 值 范 围 为 1 到 65535, 默 认 值 为 80 HTTPS 端 口 : 输 入 HTTPS 登 录 使 用 的 TCP 端 口 号, 取 值 范 围 为 1 到 65535, 默 认 值 为 443 HTTPS 信 任 域 : 从 下 拉 菜 单 中 选 择 HTTPS 登 录 的 PKI 信 任 域 当 使 用 HTTPS 方 式 登 录 设 备 时, 系 统 会 使 用 指 定 PKI 信 任 域 中 的 证 书 注 意 : 当 改 变 HTTP 端 口 HTTPS 端 口 HTTPS 信 任 域 时,Web 服 务 器 需 要 重 启, 这 可 能 会 导 致 浏 览 器 无 法 得 到 回 应 当 这 种 情 况 发 生 时, 请 重 新 登 录 系 统 时 间 介 绍 系 统 时 间 的 配 置, 包 括 配 置 系 统 时 间 和 通 过 NTP 服 务 器 同 步 系 统 时 间 设 置 系 统 时 间 配 置 系 统 时 间, 请 按 照 以 下 步 骤 进 行 操 作 : 410 第 15 章 系 统 管 理

431 1. 选 择 系 统 > 设 备 管 理 2. 点 击 < 系 统 时 间 > 标 签, 在 设 置 系 统 时 间 处 进 行 配 置 选 项 与 本 地 时 间 同 步 说 明 选 择 需 要 同 步 本 地 时 间 的 方 式, 选 择 仅 同 步 时 间 或 同 步 时 区 与 时 间 按 钮 指 定 系 统 时 间 配 置 系 统 时 间 的 参 数 信 息 3. 点 击 确 定 按 钮 保 存 所 做 配 置 设 置 N T P 仅 同 步 时 间 : 使 系 统 时 间 与 本 地 电 脑 时 间 同 步 同 步 时 区 与 时 间 : 使 系 统 时 区 和 时 间 与 本 地 电 脑 的 时 区 和 时 间 同 步 时 区 : 指 定 系 统 所 在 时 区 日 期 : 指 定 系 统 的 日 期 时 间 : 指 定 系 统 的 时 间 设 备 的 系 统 时 间 影 响 到 VPN 隧 道 的 建 立 和 时 间 表 的 时 间, 因 此 系 统 时 间 的 精 确 性 十 分 重 要 为 保 证 设 备 系 统 能 够 一 直 保 持 精 确 时 间, 设 备 允 许 用 户 通 过 NTP 来 使 系 统 时 间 与 网 络 上 的 NTP 服 务 器 同 步 配 置 NTP, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 设 备 管 理, 进 入 设 备 管 理 页 面 2. 点 击 < 系 统 时 间 > 标 签, 在 设 置 NTP 处 进 行 配 置 选 项 启 用 说 明 选 中 启 用 复 选 框, 开 启 NTP 功 能 默 认 情 况 下, 系 统 的 NTP 功 能 是 关 闭 的 认 证 选 中 认 证 复 选 框, 开 启 NTP 身 份 验 证 服 务 器 指 定 设 备 需 要 同 步 的 NTP 服 务 器, 用 户 最 多 可 以 指 定 3 个 NTP 服 务 器 IP: 在 文 本 框 中 输 入 服 务 器 的 IP 地 址 密 钥 : 指 定 可 以 通 过 该 服 务 器 验 证 的 密 钥 如 果 要 在 配 置 的 时 钟 服 务 器 上 使 用 NTP 身 份 验 证 功 能, 用 户 必 须 指 定 密 钥 参 数 值 虚 拟 路 由 器 : 指 定 进 行 NTP 通 信 的 接 口 所 属 的 VR 源 接 口 : 指 定 设 备 上 发 送 和 接 收 NTP 包 的 接 口 设 置 为 首 选 服 务 器 : 点 击 设 置 为 首 选 服 务 器 按 钮 将 对 应 的 服 务 器 设 置 为 首 选 服 务 器 设 备 首 先 与 首 选 服 务 器 进 行 时 间 同 步 同 步 间 隔 最 大 调 整 时 间 在 同 步 间 隔 文 本 框 中 输 入 同 步 间 隔 的 时 间 设 备 每 隔 一 个 同 步 间 隔 就 与 服 务 器 做 一 次 同 步, 以 保 证 设 备 系 统 时 间 的 准 确 在 最 大 调 整 时 间 文 本 框 中 输 入 最 大 调 整 时 间 的 值 如 果 设 备 和 NTP 时 钟 服 务 器 的 时 间 差 在 最 大 调 整 时 间 之 内, 就 能 成 功 进 行 时 间 同 步, 否 则 同 步 不 成 功 3. 点 击 确 定 按 钮 保 存 所 做 配 置 N T P 密 钥 启 用 NTP 身 份 验 证 功 能, 用 户 需 要 配 置 MD5 身 份 验 证 密 钥 ID 和 密 钥 启 动 该 功 能 后, 设 备 只 会 与 通 过 验 证 的 服 务 器 进 行 同 步 第 15 章 系 统 管 理 411

432 新 建 N T P 密 钥 新 建 NTP 密 钥, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 设 备 管 理 2. 点 击 <NTP 密 钥 > 标 签, 进 入 到 NTP 密 钥 配 置 页 面 3. 点 击 新 建 按 钮, 弹 出 <NTP 密 钥 配 置 > 对 话 框 选 项 说 明 密 钥 标 识 符 在 密 钥 标 识 符 文 本 框 中 输 入 密 钥 ID, 取 值 范 围 是 从 1 到 密 钥 在 密 钥 文 本 框 中 输 入 MD5 验 证 密 钥, 取 值 范 围 是 1 到 31 个 字 符 确 认 密 钥 在 确 认 密 钥 文 本 框 中 再 次 输 入 验 证 密 钥, 需 要 与 密 钥 指 定 的 字 符 相 一 致 4. 点 击 确 定 按 钮 保 存 所 做 配 置 系 统 将 此 条 NTP 密 钥 信 息 添 加 到 NTP 密 钥 列 表 中 设 置 及 操 作 介 绍 系 统 相 关 设 置, 包 括 设 置 系 统 语 言 配 置 管 理 员 认 证 服 务 器 配 置 主 机 名 称 设 置 密 码 策 略 和 重 启 设 备 更 改 系 统 设 置, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 设 备 管 理, 进 入 设 备 管 理 页 面 2. 点 击 < 设 置 及 操 作 > 标 签, 进 入 到 系 统 设 置 页 面 设 置 说 明 系 统 维 护 配 置 系 统 信 息 语 言 和 管 理 员 认 证 服 务 器 系 统 信 息 语 言 : 选 择 系 统 提 示 ( 如 日 志 错 误 提 示 ) 所 使 用 的 语 言, 可 选 中 文 或 者 英 文 管 理 员 认 证 服 务 器 : 在 管 理 员 认 证 服 务 器 下 拉 菜 单 中 选 择 系 统 管 理 员 认 证 服 务 器 主 机 配 置 某 些 情 况 下, 用 户 的 网 络 环 境 中 会 配 有 一 台 以 上 设 备, 为 区 分 这 些 设 备, 就 需 要 为 每 一 台 设 备 指 定 不 同 的 名 称 设 备 的 默 认 名 称 是 其 平 台 名 称 主 机 名 称 : 在 主 机 名 称 文 本 框 中 输 入 设 备 的 主 机 名 称 域 名 : 在 域 名 文 本 框 中 输 入 设 备 的 域 名 密 码 策 略 配 置 设 备 登 录 密 码 的 长 度 和 复 杂 度 3. 点 击 确 定 按 钮 保 存 所 做 配 置 密 码 最 小 长 度 : 在 密 码 最 小 长 度 文 本 框 中 输 入 密 码 的 最 小 长 度, 取 值 范 围 为 4 至 16, 默 认 值 为 4 密 码 复 杂 度 : 用 户 可 以 选 择 无 限 制 单 选 按 钮 对 密 码 复 杂 度 不 进 行 限 制, 或 者 选 择 限 制 密 码 必 须 包 括 至 少 两 个 大 写 字 母, 两 个 小 写 字 母, 两 个 数 字 和 两 个 其 它 字 符 412 第 15 章 系 统 管 理

433 重 启 系 统 安 装 许 可 证 系 统 升 级 等 操 作 需 要 设 备 重 启 才 能 生 效 重 启 设 备, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 设 备 管 理, 然 后 点 击 < 设 置 及 操 作 > 标 签 页 2. 点 击 重 启 设 备, 然 后 在 提 示 对 话 框 点 击 确 定 3. 系 统 将 重 新 启 动 第 15 章 系 统 管 理 413

434 管 理 配 置 文 件 该 功 能 在 不 同 平 台 上 的 呈 现 方 式 有 所 差 异, 请 以 实 际 页 面 为 准 设 备 的 配 置 信 息 都 被 保 存 在 系 统 的 配 置 文 件 中 配 置 文 件 以 命 令 行 的 格 式 保 存 配 置 信 息, 并 且 也 以 这 种 格 式 显 示 配 置 信 息 配 置 文 件 中 保 存 的 用 来 初 始 化 设 备 的 配 置 信 息 称 作 起 始 配 置 信 息, 设 备 通 过 读 取 起 始 配 置 信 息 进 行 启 动 时 的 初 始 化 工 作 ; 如 果 找 不 到 起 始 配 置 信 息, 则 使 用 设 备 的 缺 省 参 数 初 始 化 与 起 始 配 置 信 息 相 对 应, 设 备 运 行 过 程 中 正 在 生 效 的 配 置 称 为 当 前 配 置 信 息 系 统 起 始 配 置 信 息 包 括 系 统 的 当 前 起 始 配 置 信 息 ( 系 统 启 动 时 使 用 的 配 置 信 息 ) 和 系 统 的 备 份 起 始 信 息 系 统 纪 录 最 近 十 次 保 存 的 配 置 信 息, 最 近 一 次 保 存 的 配 置 信 息 会 纪 录 为 系 统 的 当 前 起 始 配 置 信 息, 当 前 系 统 配 置 信 息 以 Startup 作 为 标 记 前 九 次 的 配 置 信 息 按 照 保 存 时 间 的 先 后 以 数 字 0 到 8 作 为 标 记 用 户 可 以 导 出 删 除 已 创 建 的 系 统 配 置 文 件, 也 可 以 导 出 当 前 的 系 统 配 置 备 份 / 恢 复 配 置 文 件 管 理 配 置 文 件, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 配 置 文 件 管 理, 进 入 配 置 文 件 管 理 页 面 2. 选 择 < 配 置 文 件 列 表 > 标 签 页, 用 户 可 根 据 需 要, 做 如 下 配 置 : 导 出 : 选 中 需 要 导 出 的 配 置 文 件 前 的 复 选 框, 然 后 点 击 列 表 上 方 的 导 出 按 钮 删 除 : 选 中 需 要 删 除 的 配 置 文 件 前 的 复 选 框, 然 后 点 击 列 表 上 方 的 删 除 按 钮 配 置 备 份 / 恢 复 : 将 系 统 配 置 恢 复 到 已 保 存 的 配 置 文 件 或 出 厂 配 置, 也 可 以 备 份 当 前 的 系 统 配 置 信 息 配 置 信 息 如 下 选 项 备 份 当 前 配 置 说 明 在 配 置 描 述 文 本 框 中 为 备 份 的 系 统 配 置 文 件 添 加 描 述 信 息 点 击 开 始 备 份 按 钮 进 行 备 份 恢 复 配 置 恢 复 到 已 备 份 配 置 : 选 择 备 份 配 置 文 件 : 点 击 选 择 备 份 配 置 文 件 按 钮, 从 已 备 份 配 置 文 件 列 表 中 选 择 需 要 的 系 统 配 置 文 件 点 击 确 定 按 钮 本 地 上 传 配 置 文 件 : 点 击 本 地 上 传 配 置 文 件 按 钮, 在 < 导 入 配 置 文 件 > 对 话 框 中, 点 击 浏 览 按 钮, 并 选 中 需 上 传 的 本 地 配 置 文 件 如 需 要 使 配 置 立 即 生 效, 选 中 复 选 框, 点 击 确 定 按 钮 恢 复 出 厂 配 置 : 点 击 恢 复 按 钮, 弹 出 恢 复 出 厂 配 置 对 话 框, 点 击 确 定 按 钮, 设 备 自 动 重 启 用 户 根 据 需 要 选 中 同 时 清 空 历 史 数 据 复 选 框, 设 备 重 启 后 将 自 动 清 除 历 史 数 据 414 第 15 章 系 统 管 理

435 3. 选 择 < 当 前 系 统 配 置 > 标 签 页, 可 以 查 看 系 统 当 前 的 配 置 文 件 注 意 : 设 备 在 恢 复 出 厂 配 置 后, 所 有 配 置 将 被 删 除, 包 括 已 备 份 的 系 统 配 置 文 件 请 谨 慎 操 作 第 15 章 系 统 管 理 415

436 设 置 SN MP 设 备 的 SNMP 代 理 功 能, 能 够 接 受 网 络 管 理 平 台 的 操 作 请 求 并 反 馈 网 络 和 设 备 的 相 应 信 息 设 备 支 持 SNMPv1 协 议 SNMPv2 协 议 和 SNMPv3 协 议 SNMPv1 和 SNMPv2c 都 使 用 了 团 体 字 的 认 证 方 式, 可 以 限 制 网 络 管 理 平 台 获 取 设 备 信 息 SNMPv3 引 入 了 基 于 用 户 的 安 全 模 型 用 于 保 证 消 息 安 全 及 基 于 视 图 的 访 问 控 制 模 型 用 于 访 问 控 制 设 备 支 持 RFC-1213 中 定 义 的 所 有 相 关 的 管 理 信 息 库 组 和 RFC-2233 中 定 义 的 使 用 SMIv2 的 接 口 组 MIB(The Interfaces Group MIB using SMIv2:IF-MIB) 此 外, 系 统 提 供 一 个 私 有 MIB 库,MIB 库 中 包 含 设 备 的 系 统 信 息 IPSec VPN 信 息 以 及 系 统 统 计 信 息 用 户 可 以 将 其 导 入 到 管 理 主 机 的 MIB 浏 览 器, 进 行 使 用 配 置 SN MP 代 理 设 备 拥 有 一 个 SNMP 代 理, 该 SNMP 代 理 提 供 网 络 管 理, 通 过 统 计 数 据 和 接 收 重 要 系 统 事 件 通 知 监 控 网 络 和 设 备 的 运 行 情 况 配 置 SNMP 代 理, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > SNMP, 进 入 SNMP 页 面 2. 选 择 SNMP 代 理 标 签 页, 进 行 SNMP 代 理 的 配 置 选 项 说 明 SNMP 代 理 选 中 启 用 复 选 框, 开 启 SNMP 代 理 功 能 对 象 ID 显 示 系 统 的 SNMP 对 象 ID 此 ID 为 系 统 专 有, 用 户 不 能 修 改 系 统 联 络 在 文 本 框 中 输 入 设 备 SNMP 系 统 联 系 信 息 系 统 联 络, 是 MIB II 中 系 统 组 的 一 个 管 理 变 量, 内 容 为 安 全 网 关 相 关 人 员 的 标 识 及 联 系 方 法 用 户 可 以 通 过 配 置 此 参 数, 将 重 要 信 息 存 储 在 安 全 网 关 中, 以 便 出 现 紧 急 问 题 时 查 询 使 用 系 统 位 置 在 文 本 框 中 输 入 设 备 的 位 置 主 机 端 口 在 文 本 框 中 输 入 SNMP 代 理 设 备 的 端 口 号 虚 拟 路 由 器 从 下 拉 菜 单 中 选 择 所 需 的 虚 拟 路 由 器 名 称 本 地 引 擎 ID 在 文 本 框 中 输 入 SNMP 引 擎 ID 号 3. 配 置 完 成 后, 点 击 应 用 按 钮 注 意 : SNMP 引 擎 ID 唯 一 标 识 一 个 引 擎 SNMP 引 擎 是 SNMP 实 体 ( 网 络 管 理 平 台 或 者 被 管 理 网 络 设 备 ) 的 重 要 组 成 部 分, 完 成 SNMP 消 息 的 收 发 验 证 提 取 PDU 组 装 消 息 与 SNMP 应 用 程 序 通 信 等 功 能 416 第 15 章 系 统 管 理

437 新 建 SN MP 主 机 新 建 SNMP 主 机, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > SNMP, 进 入 SNMP 页 面 2. 选 择 SNMP 主 机 标 签 页, 进 行 SNMP 主 机 的 配 置 3. 点 击 新 建 按 钮, 弹 出 <SNMP 主 机 配 置 > 对 话 框 选 项 说 明 类 型 从 下 拉 菜 单 中 选 择 SNMP 主 机 的 类 型 选 择 IP 地 址 IP 地 址 范 围 IP/ 掩 码 或 主 机 IP 地 址 : 在 主 机 文 本 框 中 输 入 主 机 的 IP 地 址 IP 范 围 : 在 主 机 文 本 框 中 分 别 输 入 起 始 IP 地 址 和 终 止 IP 地 址 IP/ 掩 码 : 在 主 机 文 本 框 中 分 别 输 入 主 机 的 IP 地 址 和 网 络 掩 码 SNMP 版 本 从 下 拉 菜 单 中 选 择 SNMP 版 本 团 体 字 权 限 在 文 本 框 中 输 入 SNMP 主 机 的 团 体 字 团 体 字 是 管 理 进 程 和 代 理 进 程 之 间 的 口 令, 是 明 文 格 式 此 选 项 仅 当 版 本 为 SNMP V1 和 SNMP V2C 时 有 效 从 下 拉 菜 单 中 选 择 该 团 体 字 的 读 写 权 限 为 只 读 或 可 写, 此 选 项 仅 当 版 本 为 SNMP V1 和 SNMP V2C 时 有 效 只 读 : 表 示 此 类 团 体 字 只 可 读 取 MIB 中 的 信 息 可 写 : 表 示 此 类 团 体 字 不 仅 可 以 读 取 MIB 中 的 信 息, 还 可 以 对 信 息 进 行 修 改 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 SNMP 主 机 将 会 显 示 在 SNMP 主 机 列 表 中 T rap 主 机 用 户 可 以 配 置 SNMP Trap 主 机, 用 于 接 收 SNMP Trap 报 文 新 建 Trap 主 机, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > SNMP, 进 入 SNMP 页 面 2. 选 择 Trap 主 机 标 签 页, 进 行 Trap 主 机 的 配 置 3. 点 击 新 建 按 钮, 弹 出 <Trap 主 机 配 置 > 对 话 框 第 15 章 系 统 管 理 417

438 选 项 说 明 主 机 在 文 本 框 中 输 入 Trap 主 机 的 IP 地 址 Trap 主 机 端 口 在 文 本 框 中 输 入 Trap 主 机 的 端 口 号 SNMP 代 理 从 下 拉 菜 单 中 选 择 SNMP 版 本 为 V1 V2C 或 V3 V1 或 者 V2C: 选 择 版 本 为 V1 或 V2C 时, 在 团 体 字 文 本 框 中 输 入 SNMP 主 机 的 团 体 字 V3: 选 择 版 本 为 V3 时, 在 V3 用 户 下 拉 菜 单 中 选 择 V3 用 户 名 称, 在 引 擎 ID 文 本 框 中 输 入 Trap 主 机 的 引 擎 ID 号 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 Trap 主 机 将 会 显 示 在 Trap 主 机 列 表 中 V3 用 户 组 SNMP V3 建 议 的 安 全 模 型 是 基 于 用 户 的 安 全 模 型 当 选 择 SNMP 版 本 为 SNMP V3 时, 用 户 需 要 为 SNMP 主 机 创 建 SNMP V3 用 户 组 新 建 V3 用 户 组, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > SNMP, 进 入 SNMP 页 面 2. 选 择 V3 用 户 组 标 签 页, 进 行 V3 用 户 组 的 配 置 3. 点 击 新 建 按 钮, 弹 出 <V3 组 配 置 > 对 话 框 选 项 说 明 名 称 在 文 本 框 中 输 入 SNMP V3 用 户 组 名 称 安 全 模 式 显 示 了 SNMP V3 用 户 组 的 安 全 模 式 安 全 级 别 在 下 拉 菜 单 中 选 择 用 户 组 的 安 全 级 别 安 全 级 别 决 定 了 在 处 理 一 个 SNMP 数 据 包 时 所 采 用 的 安 全 机 制 418 第 15 章 系 统 管 理

439 选 项 可 读 视 图 写 视 图 说 明 V3 用 户 组 的 安 全 级 别 包 括 无 ( 无 认 证 和 加 密 ) 认 证 ( 提 供 基 于 MD5 或 SHA 算 法 的 认 证 ) 或 者 认 证 & 加 密 ( 提 供 基 于 MD5 或 SHA 算 法 的 认 证 和 基 于 AES 和 DES 的 报 文 加 密 ) 在 下 拉 菜 单 中 选 择 该 用 户 组 的 只 读 MIB 视 图 名 如 不 指 定 该 参 数, 系 统 默 认 为 所 有 视 图 均 为 该 用 户 组 的 只 读 MIB 视 图 在 下 拉 菜 单 中 选 择 该 用 户 组 的 可 写 MIB 视 图 名 如 不 指 定 该 参 数, 系 统 默 认 为 所 有 视 图 均 为 该 用 户 组 的 可 写 MIB 视 图 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 V3 用 户 组 将 会 显 示 在 V3 用 户 组 列 表 中 V3 用 户 如 果 使 用 的 SNMP 版 本 为 SNMP V3, 用 户 需 要 为 SNMP 主 机 创 建 SNMP V3 用 户 组, 之 后 可 以 向 用 户 组 添 加 用 户 新 建 V3 用 户, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > SNMP, 进 入 SNMP 页 面 2. 选 择 V3 用 户 标 签 页, 进 行 V3 用 户 的 配 置 3. 点 击 新 建 按 钮, 弹 出 <V3 用 户 配 置 > 对 话 框 选 项 说 明 名 称 在 文 本 框 中 输 入 SNMP V3 用 户 名 称 V3 用 户 组 在 下 拉 菜 单 中 为 所 创 建 的 用 户 选 择 已 经 配 置 好 的 用 户 组 安 全 模 式 显 示 了 SNMP V3 用 户 的 安 全 模 式 远 程 IP 文 本 框 中 输 入 远 程 管 理 主 机 的 IP 地 址 认 证 在 下 拉 菜 单 中 为 用 户 指 定 认 证 协 议 默 认 情 况 下, 该 参 数 值 为 空, 即 无 认 证, 无 加 密 模 式 认 证 密 码 在 文 本 框 中 指 定 认 证 密 码 第 15 章 系 统 管 理 419

440 选 项 说 明 重 新 输 入 密 码 在 文 本 框 中 再 次 输 入 认 证 密 码 进 行 确 认 加 密 算 法 在 下 拉 菜 单 中 指 定 用 户 加 密 协 议 加 密 密 码 在 文 本 框 中 指 定 加 密 密 码 重 新 输 入 密 码 在 文 本 框 中 再 次 输 入 加 密 密 码 进 行 确 认 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 V3 用 户 将 会 显 示 在 V3 用 户 列 表 中 420 第 15 章 系 统 管 理

441 升 级 管 理 用 户 可 以 在 版 本 升 级 配 置 页 面 将 系 统 升 级 或 降 级 到 指 定 版 本, 也 可 以 指 定 应 用 特 征 库 URL 特 征 库 病 毒 过 滤 特 征 库 入 侵 防 御 特 征 库 边 界 流 量 过 滤 特 征 库 风 险 监 测 对 象 特 征 库 异 常 行 为 检 测 特 征 库 和 高 级 威 胁 检 测 特 征 库 的 升 级 配 置 升 级 版 本 升 级 软 件 版 本, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 升 级 管 理, 进 入 升 级 管 理 页 面 2. 点 击 版 本 升 级 标 签 页, 进 入 到 版 本 升 级 页 面 升 级 版 本 备 份 配 置 文 件 在 升 级 版 本 前, 建 议 先 备 份 配 置 文 件, 点 击 备 份 配 置 文 件 按 钮 为 当 前 的 软 件 版 本 做 为 备 份, 完 成 备 份 后, 系 统 会 自 动 跳 转 到 配 置 文 件 管 理 页 面, 在 配 置 文 件 列 表 中 显 示 已 备 份 的 文 件 当 前 版 本 显 示 当 前 软 件 的 版 本 号 上 传 版 本 文 件 点 击 浏 览 按 钮 在 本 地 计 算 机 选 择 软 件 版 本 文 件 重 启 设 备 选 择 下 次 启 动 版 本 选 中 立 即 重 启, 使 新 版 本 生 效 复 选 框 并 点 击 应 用 按 钮 立 即 重 启 系 统 并 进 入 新 版 本, 或 直 接 点 击 应 用 保 存 配 置 新 版 本 将 在 下 次 重 启 时 生 效 选 择 下 次 启 动 的 版 本 重 启 设 备 从 下 拉 菜 单 选 择 下 次 启 动 时 生 效 的 软 件 版 本 选 中 立 即 重 启, 使 新 版 本 生 效 复 选 框 并 点 击 应 用 按 钮 立 即 重 启 系 统 并 进 入 新 版 本, 或 直 接 点 击 应 用 保 存 配 置 新 版 本 将 在 下 次 重 启 时 生 效 升 级 特 征 库 只 能 查 看 到 已 安 装 的 许 可 证 的 特 征 库 苦 系 统 可 以 安 装 的 特 征 库 包 括 应 用 特 征 库 URL 特 征 库 病 毒 过 滤 特 征 库 入 侵 防 御 特 征 库 边 界 流 量 过 滤 特 征 库 风 险 监 测 对 象 特 征 库 异 常 行 为 检 测 特 征 库 和 高 级 威 胁 检 测 特 征 库 各 个 特 征 库 的 升 级 操 作 相 同, 请 参 考 以 下 步 骤 : 1. 选 择 系 统 > 升 级 管 理, 进 入 升 级 管 理 页 面 2. 点 击 特 征 库 升 级 标 签 页, 进 入 到 特 征 库 升 级 页 面 选 项 说 明 当 前 版 本 显 示 当 前 特 征 库 的 版 本 号 远 程 升 级 配 置 应 用 特 征 库 URL 特 征 库 病 毒 过 滤 特 征 库 入 侵 防 御 特 征 库 或 边 界 流 量 过 滤 特 征 库 远 程 升 级 参 数 立 即 升 级 : 点 击 立 即 在 线 升 级 按 钮, 立 即 升 级 特 征 库 第 15 章 系 统 管 理 421

442 选 项 说 明 自 动 升 级 配 置 : 选 中 启 用 自 动 升 级 复 选 框 并 设 置 自 动 升 级 时 间, 点 击 保 存 按 钮, 系 统 将 按 照 设 置 的 时 间 自 动 升 级 特 征 库 升 级 服 务 器 设 置 : 设 备 提 供 两 个 默 认 特 征 库 更 新 服 务 器, 分 别 是 update1.hillstonenet.com 和 update2.hillstonenet.com 用 户 也 可 根 据 需 要 自 定 义 升 级 服 务 器 : 点 击 配 置 升 级 服 务 器 按 钮, 在 弹 出 的 < 升 级 服 务 器 设 置 > 对 话 框 中, 指 定 需 要 的 服 务 器 的 IP 地 址 或 者 域 名, 并 在 下 拉 菜 单 中 指 定 虚 拟 路 由 器 配 置 风 险 减 缓 对 象 特 征 库 异 常 行 为 检 测 特 征 库 或 者 高 级 威 胁 检 测 特 征 库 远 程 升 级 参 数 立 即 升 级 : 点 击 立 即 在 线 升 级 按 钮, 立 即 升 级 特 征 库 服 务 器 : 设 备 提 供 一 个 默 认 特 征 库 更 新 服 务 器 为 sec-cloud.hillstonenet.com 本 地 升 级 上 传 本 地 升 级 文 件 点 击 浏 览 按 钮, 选 中 本 地 特 征 库 文 件, 点 击 上 传 按 钮, 系 统 开 始 上 传 特 征 库 信 息 422 第 15 章 系 统 管 理

443 安 装 许 可 证 许 可 证 (license) 用 来 授 权 用 户 使 用 一 些 功 能 服 务, 或 者 用 来 扩 展 性 能 对 于 基 于 许 可 证 的 功 能 服 务 和 性 能 来 说, 如 果 没 有 购 买 和 安 装 相 应 的 许 可 证, 该 功 能 和 服 务 就 无 法 使 用, 或 不 能 达 到 更 高 的 性 能 山 石 网 科 StoneOS 系 统 的 许 可 证 的 分 类 和 规 则 如 下 : 平 台 许 可 证 说 明 许 可 证 过 期 平 台 试 用 许 可 证 (Platform Trial) 平 台 正 式 许 可 证 (Platform Base) 平 台 许 可 证 是 其 他 许 可 证 运 行 的 基 础, 如 果 平 台 许 可 证 无 效, 其 他 许 可 证 均 不 生 效 设 备 出 厂 时 已 预 装 15 天 的 试 用 许 可 证, 支 持 功 能 同 正 式 许 可 证 设 备 正 式 销 售 后, 可 以 安 装 平 台 正 式 许 可 证 该 许 可 证 提 供 基 础 防 火 墙 功 能 和 VPN 功 能 功 能 许 可 证 说 明 许 可 证 过 期 VSYS 许 可 证 授 权 VSYS 的 可 用 数 量 无 过 期 SSL VPN 许 可 证 授 权 SSL VPN 的 最 大 接 入 数 量 多 个 SSL VPN 许 可 证 可 以 叠 加 允 许 接 入 用 户 的 最 大 数 量 到 期 后, 已 有 的 配 置 不 能 修 改, 若 设 备 重 启, 系 统 恢 复 出 厂 配 置 到 期 后, 设 备 仍 可 正 常 使 用, 但 不 能 升 级 到 期 后 的 OS 版 本 无 过 期 iqos 许 可 证 开 启 QoS 功 能 无 过 期 WAP 分 流 许 可 证 提 供 WAP 分 流 功 能 无 过 期 服 务 许 可 证 说 明 许 可 证 过 期 病 毒 过 滤 (AV) 许 可 证 入 侵 防 御 (IPS) 许 可 证 提 供 病 毒 过 滤 功 能 和 病 毒 特 征 库 的 升 级 提 供 入 侵 防 御 功 能 和 IPS 特 征 库 升 级 过 期 后, 不 能 升 级 病 毒 特 征 库, 病 毒 过 滤 功 能 正 常 使 用 过 期 后, 不 能 升 级 IPS 特 征 库, 入 侵 防 御 功 能 正 常 使 用 URL DB 许 可 证 提 供 URL 分 类 库 和 URL 分 类 库 的 在 线 查 询 功 能 过 期 后, 不 能 提 供 URL 分 类 库 的 在 线 查 询 功 能, 自 定 义 URL 和 URL 过 滤 功 能 仍 正 常 使 用 APP DB 许 可 证 威 胁 防 护 (TP) 许 可 证 StoneShield 许 可 证 提 供 APP 库 升 级 功 能 APP DB 许 可 证 不 需 要 单 独 申 请, 随 平 台 许 可 证 一 同 发 放, 有 效 期 也 同 平 台 许 可 证 打 包 提 供 AV IPS 边 界 流 量 过 滤 (PTF) 功 能, 和 相 应 特 征 库 的 升 级 打 包 提 供 异 常 行 为 检 测 (ABD) 高 级 威 胁 检 测 (ATD) 功 能, 和 相 应 特 征 库 的 升 级 扩 展 增 强 许 可 证 说 明 许 可 证 过 期 AEL 许 可 证 申 请 许 可 证 提 高 并 发 会 话 数 量 (session) 和 处 理 能 力 (performance) 的 最 大 值 申 请 许 可 证 之 前, 用 户 需 要 先 申 请 许 可 证 请 求, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 许 可 证, 进 入 许 可 证 页 面 过 期 后 不 能 升 级 APP 特 征 库 过 期 后, 不 能 提 供 其 包 含 的 特 征 库 的 升 级, 包 含 的 功 能 仍 可 使 用 PTF 特 征 库 到 期 后, 系 统 会 自 动 删 除 该 特 征 库 过 期 后, 不 能 提 供 其 包 含 的 特 征 库 的 升 级, 包 含 的 功 能 仍 可 使 用 无 过 期 第 15 章 系 统 管 理 423

444 2. 在 许 可 证 申 请 中, 填 写 生 成 许 可 证 请 求 所 需 要 的 信 息 3. 点 击 生 成, 出 现 一 串 代 码 4. 将 生 成 的 代 码 发 送 给 销 售 人 员, 由 其 获 取 许 可 证 再 返 回 给 您 安 装 许 可 证 获 得 许 可 证 后, 用 户 需 要 将 其 装 载 到 设 备 上 使 其 生 效 安 装 许 可 证, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 许 可 证, 进 入 许 可 证 页 面 2. 在 许 可 证 申 请 中, 用 户 可 根 据 需 要, 以 下 以 下 两 种 方 式 中 的 一 种 导 入 许 可 证 上 传 许 可 证 文 件 : 选 中 上 传 许 可 证 文 件 单 选 按 钮, 点 击 浏 览 按 钮, 并 且 选 中 许 可 证 文 件 ( 许 可 证 为 纯 文 本.txt 文 件 ) 手 动 输 入 : 选 中 手 动 输 入 单 选 按 钮, 然 后 将 许 可 证 字 符 串 内 容 粘 贴 到 文 本 框 中 3. 点 击 确 定 按 钮 保 存 所 做 配 置 424 第 15 章 系 统 管 理

445 配 置 邮 件 服 务 器 用 户 可 以 在 邮 件 服 务 器 配 置 页 面 配 置 SMTP 服 务 器, 将 系 统 日 志 等 信 息 发 送 到 指 定 的 邮 箱 新 建 邮 件 服 务 器 新 建 邮 件 服 务 器, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 邮 件 服 务 器, 进 入 SMTP 服 务 器 配 置 页 面 选 项 说 明 名 称 在 文 本 框 输 入 SMTP 服 务 器 的 名 称 服 务 器 在 文 本 框 输 入 SMTP 服 务 器 的 域 名 或 者 IP 地 址 VR 验 证 从 下 拉 菜 单 中 选 择 SMTP 服 务 器 的 VR 用 户 可 根 据 需 要, 选 中 启 用 复 选 框 开 启 验 证 功 能, 并 在 之 后 的 用 户 名 密 码 和 重 新 输 入 密 码 文 本 框 中 输 入 发 送 日 志 信 息 的 用 户 名 以 及 对 应 的 密 码 在 文 本 框 中 指 定 发 送 日 志 信 息 的 地 址 2. 点 击 应 用 按 钮, 保 存 当 前 页 面 所 做 配 置 第 15 章 系 统 管 理 425

446 短 信 发 送 参 数 本 节 主 要 介 绍 短 信 发 送 参 数 的 配 置 短 信 Modem 设 备 状 态 设 备 采 用 外 置 GSM 短 信 猫 配 置 短 信 发 送 参 数 前, 请 准 备 一 张 手 机 SIM 卡 和 一 个 GSM 短 信 猫, 并 将 短 信 猫 正 确 连 接 到 设 备 上 连 接 短 信 猫 和 设 备, 首 先, 将 SIM 卡 正 确 插 入 短 信 猫 内 ; 然 后, 通 过 USB 数 据 线 将 短 信 猫 与 设 备 的 USB 接 口 连 接 起 来 系 统 会 在 短 信 Modem 设 备 状 态 部 分 显 示 短 信 猫 的 状 态, 共 包 括 三 种 : Modem 连 接 正 常 Modem 不 存 在 和 无 信 号 认 证 短 信 发 送 参 数 管 理 员 可 以 配 置 短 信 猫 每 小 时 和 每 天 最 多 发 送 的 短 信 数 量 对 超 出 数 量 限 制 的 短 信, 系 统 将 自 动 丢 弃 并 记 录 日 志 信 息 选 项 每 小 时 最 多 发 送 条 数 每 天 最 多 发 送 条 数 说 明 配 置 短 信 猫 每 小 时 最 多 发 送 的 短 信 数 量, 选 中 每 小 时 最 多 发 送 条 数 对 应 的 启 用 复 选 框, 然 后 在 后 面 的 微 调 框 中 输 入 或 者 选 择 短 信 数 量 配 置 短 信 猫 每 天 最 多 发 送 的 短 信 数 量, 选 中 每 天 最 多 发 送 条 数 对 应 的 启 用 复 选 框, 然 后 在 后 面 的 微 调 框 中 输 入 或 者 选 择 短 信 数 量 短 信 测 试 为 验 证 设 备 能 否 正 常 发 送 短 信, 管 理 员 可 以 向 指 定 手 机 号 码 发 送 测 试 短 信 向 指 定 手 机 号 码 发 送 测 试 短 信, 请 按 照 以 下 方 式 进 行 : 1. 选 择 系 统 > 短 信 发 送 参 数, 进 入 配 置 短 信 发 送 页 面 2. 在 短 信 测 试 中 的 请 输 入 手 机 号 文 本 框 输 入 接 收 测 试 短 信 的 手 机 号 码 3. 点 击 发 送 按 钮 如 果 发 送 成 功, 指 定 手 机 号 码 会 收 到 系 统 发 送 的 测 试 短 信 ; 如 果 发 送 失 败, 系 统 会 记 录 日 志 并 描 述 失 败 原 因 426 第 15 章 系 统 管 理

447 连 接 HSM Hillstone 安 全 管 理 平 台 (Hillstone Security Management, 简 称 HSM) 为 软 硬 件 一 体 化 的 多 设 备 安 全 集 中 管 理 产 品 该 产 品 基 于 WEB2.0 和 RIA(Rich Internet Application) 技 术, 支 持 可 视 化 的 策 略 配 置 管 理 设 备 状 态 监 控 设 备 流 量 监 控 设 备 安 全 事 件 监 控 以 及 设 备 实 时 告 警 功 能 ; 同 时, 为 方 便 用 户 掌 握 设 备 状 态 分 析 网 络 情 况, 该 产 品 提 供 丰 富 的 报 表 功 能 以 及 设 备 日 志 审 计 功 能 每 台 设 备 运 行 的 系 统 都 包 含 HSM 代 理 模 块, 在 设 备 上 正 确 配 置 了 HSM 代 理 功 能 后, 就 可 以 实 现 设 备 与 HSM 服 务 器 的 连 接, 进 而 实 现 服 务 器 对 设 备 的 管 理 与 控 制 注 意 : 关 于 HSM 的 详 细 信 息, 请 参 阅 Hillstone 集 中 安 全 管 理 平 台 使 用 手 册 HSM 应 用 场 景 HSM 的 主 要 应 用 场 景 有 两 种, 分 别 是 公 网 应 用 场 景 和 内 网 应 用 场 景 描 述 如 下 : 公 网 应 用 场 景 :HSM 系 统 与 被 管 理 设 备 通 过 Internet 相 连, 只 要 HSM 系 统 与 被 管 理 设 备 之 间 具 有 可 达 路 由, 用 户 就 可 以 通 过 HSM 系 统 对 属 于 不 同 网 段 的 设 备 进 行 管 理, 参 见 下 图 : 内 网 应 用 场 景 :HSM 系 统 与 被 管 理 设 备 处 于 同 一 内 网 中, 用 户 通 过 HSM 系 统 对 内 网 的 不 同 设 备 进 行 管 理, 参 见 下 图 : 连 接 HSM 配 置 设 备 的 HSM 代 理 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 第 15 章 系 统 管 理 427

448 1. 选 择 系 统 > 连 接 HSM, 进 入 配 置 HSM 代 理 页 面 2. 选 中 HSM 代 理 后 的 启 用 复 选 框, 开 启 HSM 代 理 功 能 3. 在 HSM 服 务 器 IP 文 本 框 输 入 HSM 代 理 的 IP 地 址 此 IP 地 址 不 能 为 以 及 组 播 地 址 4. 在 HSM 服 务 器 端 口 文 本 框 输 入 HSM 服 务 器 的 连 接 端 口 号 5. 点 击 确 定 按 钮 保 存 所 做 的 配 置 注 意 : : 在 日 志 服 务 器 部 分, 显 示 的 是 在 HSM 服 务 器 上 配 置 的 日 志 服 务 器 的 IP 地 址 和 端 口 号 428 第 15 章 系 统 管 理

449 系 统 调 试 设 备 具 有 调 试 功 能, 供 用 户 查 阅 与 分 析 故 障 反 馈 开 启 故 障 反 馈 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 系 统 调 试, 进 入 系 统 调 试 页 面 2. 选 中 故 障 反 馈 后 的 启 用 复 选 框, 并 点 击 确 认 按 钮 系 统 将 自 动 发 送 技 术 支 持 文 件 到 厂 商 系 统 调 试 信 息 系 统 调 试 功 能 可 以 帮 助 用 户 对 错 误 进 行 诊 断 和 定 位 设 备 的 各 种 协 议 和 功 能 基 本 上 都 具 有 相 应 的 调 试 功 能 默 认 情 况 下, 所 有 协 议 和 功 能 的 系 统 调 试 功 能 都 是 关 闭 的 用 户 只 可 以 通 过 命 令 行 界 面 对 系 统 调 试 功 能 进 行 配 置 查 看 命 令 行 手 册, 请 前 往 网 站 下 载 PDF 导 出 系 统 调 试 信 息, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 系 统 调 试, 进 入 系 统 调 试 页 面 2. 点 击 导 出 按 钮 3. 将 调 试 文 件 保 存 并 发 送 给 厂 商 进 行 诊 断 第 15 章 系 统 管 理 429

450 测 试 工 具 设 备 支 持 域 名 检 查, 支 持 使 用 网 络 连 接 测 试 工 具 Ping 和 Traceroute 当 网 络 出 现 问 题 时, 用 户 可 以 用 这 些 工 具 对 网 络 进 行 测 试, 查 找 故 障 原 因 DN S 查 询 检 查 设 备 的 DNS 功 能 是 否 工 作 正 常, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 测 试 工 具, 进 入 测 试 工 具 页 面 2. 在 DNS 查 询 文 本 框 中 输 入 需 要 查 询 的 域 名 3. 点 击 DNS 查 询 对 应 的 测 试 按 钮, 检 测 结 果 会 显 示 在 下 方 的 文 本 框 中 Ping 使 用 工 具 Ping 进 行 网 络 连 通 测 试, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 测 试 工 具, 进 入 测 试 工 具 页 面 2. 在 Ping 文 本 框 中 输 入 网 络 对 端 的 IP 地 址 3. 点 击 Ping 对 应 的 测 试 按 钮, 检 测 结 果 会 显 示 在 下 方 的 文 本 框 中 4. 检 测 结 果 包 含 以 下 两 部 分 : T racerout e 对 每 个 Ping 报 文 的 响 应 情 况 如 果 在 超 时 时 间 到 后 仍 没 有 收 到 响 应 报 文, 则 输 出 Destination Host Not Responsed 等, 否 则 显 示 响 应 报 文 中 报 文 序 号 TTL 和 响 应 时 间 最 后 的 统 计 信 息, 包 括 发 送 报 文 数 接 收 报 文 数 未 响 应 报 文 百 分 比 和 响 应 时 间 的 最 小 平 均 和 最 大 值 Traceroute 用 于 测 试 数 据 包 从 发 送 主 机 到 目 的 地 所 经 过 的 网 关 它 主 要 用 于 检 查 网 络 连 接 是 否 可 达, 以 及 分 析 网 络 什 么 地 方 发 生 了 故 障 Traceroute 通 常 的 执 行 过 程 是 : 首 先 发 送 一 个 TTL 为 1 的 数 据 包, 因 此 第 一 跳 发 送 回 一 个 ICMP 错 误 消 息 以 指 明 此 数 据 包 不 能 被 发 送 ( 因 为 TTL 超 时 ), 之 后 此 数 据 包 被 重 新 发 送,TTL 为 2, 同 样 第 二 跳 返 回 TTL 超 时, 这 个 过 程 不 断 进 行, 直 到 到 达 目 的 地 执 行 这 些 过 程 的 目 的 是 记 录 每 一 个 ICMP TTL 超 时 消 息 的 源 地 址, 以 提 供 一 个 IP 数 据 包 到 达 目 的 地 所 经 历 的 路 径 使 用 Traceroute 命 令 测 试 数 据 包 经 过 的 网 关, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 诊 断 工 具 > 测 试 工 具, 进 入 测 试 工 具 页 面 2. 在 Traceroute 文 本 框 中 输 入 网 络 对 端 的 IP 地 址 3. 点 击 Traceroute 对 应 的 测 试 按 钮, 检 测 结 果 会 显 示 在 下 方 的 文 本 框 中 430 第 15 章 系 统 管 理

451 统 一 智 能 统 一 智 能 设 备 具 有 主 动 检 测 分 析 能 力, 可 提 前 预 知 网 络 风 险 并 可 针 对 风 险 实 施 有 效 控 制 手 段 统 一 智 能 系 统 由 以 下 两 部 分 组 成 : 虚 拟 机 + 统 一 智 能 系 统 软 件 : 在 符 合 条 件 的 虚 拟 机 上 安 装 统 一 智 能 系 统 软 件, 构 成 统 一 智 能 系 统 统 一 智 能 系 统 具 备 数 据 存 储 数 据 分 析 挖 掘 以 及 主 动 检 测 等 功 能 设 备 : 升 级 设 备 到 指 定 的 系 统 固 件 升 级 后 的 设 备 具 备 数 据 转 发 和 威 胁 检 测 等 功 能 配 置 统 一 智 能 配 置 设 备 的 统 一 智 能 功 能, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 统 一 智 能 配 置, 进 入 统 一 智 能 配 置 页 面 选 项 统 一 智 能 系 统 IP 地 址 说 明 在 文 本 框 中 输 入 与 设 备 建 立 连 接 的 虚 拟 机 IP 地 址 所 属 虚 拟 路 由 器 从 所 属 虚 拟 路 由 器 下 拉 菜 单 选 择 一 个 VR, 该 VR 将 与 虚 拟 机 建 立 连 接 统 一 智 能 系 统 状 态 显 示 统 一 智 能 系 统 的 状 态, 包 括 : 2. 点 击 确 定 未 连 接 : 设 备 与 虚 拟 机 未 建 立 连 接 连 接 中 : 设 备 与 虚 拟 机 正 在 建 立 连 接 已 连 接 : 设 备 与 虚 拟 机 已 成 功 建 立 连 接 第 15 章 系 统 管 理 431

452 虚 拟 系 统 虚 拟 系 统 (Virtual System), 简 称 为 VSYS, 能 够 将 一 台 设 备 在 逻 辑 上 划 分 成 多 个 虚 拟 防 火 墙, 每 个 虚 拟 防 火 墙 系 统 都 可 以 被 看 成 是 一 台 完 全 独 立 的 设 备, 可 以 拥 有 独 立 的 系 统 资 源, 且 能 够 实 现 设 备 的 大 部 分 功 能 每 个 虚 拟 防 火 墙 系 统 之 间 相 互 独 立, 不 允 许 直 接 相 互 通 信 VSYS 具 有 以 下 特 征 : 每 个 VSYS 拥 有 独 立 的 管 理 员 ; 每 个 VSYS 拥 有 独 立 的 虚 拟 路 由 器 安 全 域 地 址 簿 服 务 簿 等 ; 每 个 VSYS 可 以 拥 有 独 立 的 物 理 接 口 或 者 逻 辑 接 口 ; 每 个 VSYS 拥 有 独 立 的 安 全 策 略 注 意 : 不 同 型 号 的 设 备 支 持 的 最 大 VSYS 个 数 不 同, 如 果 想 增 加 支 持 的 VSYS 个 数, 请 向 代 理 商 购 买 相 应 的 许 可 证 VSYS 对 象 本 节 主 要 介 绍 VSYS 的 对 象, 包 括 根 VSYS 和 非 根 VSYS VRouter VSwitch 安 全 域 和 接 口 根 VS YS 和 非 根 VS YS 系 统 默 认 有 一 个 根 VSYS(Root VSYS), 根 VSYS 不 能 被 删 除 安 装 VSYS 许 可 证 并 重 启 设 备 后, 用 户 可 以 创 建 或 者 删 除 非 根 VSYS (Non-root VSYS) 创 建 或 者 删 除 VSYS 时, 需 要 遵 循 以 下 原 则 : 只 能 在 根 VSYS 中 创 建 或 者 删 除 非 根 VSYS 只 有 根 VSYS 系 统 管 理 员 和 根 VSYS 系 统 操 作 员 才 能 创 建 或 者 删 除 VSYS 关 于 管 理 员 权 限 的 详 细 信 息, 请 参 阅 " 管 理 设 备 " 在 第 407 页 当 创 建 一 个 非 根 VSYS 时, 系 统 自 动 创 建 与 该 VSYS 相 对 应 的 下 列 对 象 : 一 个 非 根 VSYS 系 统 管 理 员, 名 称 为 admin, 密 码 为 vsys_name-admin 一 个 VRouter, 名 称 为 vsys_name-vr 一 个 三 层 安 全 域, 名 称 为 vsys_name-trust 例 如, 创 建 vsys1 时, 系 统 自 动 创 建 一 个 非 根 VSYS 系 统 管 理 员, 该 管 理 员 的 默 认 用 户 名 为 admin, 默 认 密 码 为 vsys1-admin; 一 个 名 称 为 vsys1-vr 的 默 认 VRouter 一 个 名 称 为 vsys1-trust 的 三 层 安 全 域, 该 安 全 域 自 动 绑 定 到 vsys1-vr 上 当 删 除 一 个 非 根 VSYS 时,VSYS 中 的 所 有 对 象 均 会 被 删 除 根 VSYS 拥 有 默 认 VSwitch, 即 VSwitch1, 创 建 非 根 VSYS 时, 不 会 创 建 默 认 VSwitch, 因 此, 在 非 根 VSYS 中 创 建 二 层 安 全 域 时, 需 要 先 创 建 属 于 该 VSYS 的 VSwitch 在 非 根 VSYS 中 创 建 的 第 一 个 VSwitch 即 为 该 VSYS 的 默 认 VSwitch, 该 VSYS 中 创 建 的 二 层 安 全 域 会 自 动 绑 定 到 该 默 认 VSwitch VR outer VS w itch 安 全 域 和 接 口 VSYS 中 的 VRouter VSwitch 安 全 域 和 接 口 对 象 具 有 专 有 和 共 享 属 性 具 有 专 有 属 性 的 对 象 称 为 专 有 对 象 ; 将 具 有 共 享 属 性 的 对 象 经 过 相 关 配 置 后 即 成 为 共 享 对 象 专 有 对 象 和 共 享 对 象 有 如 下 特 征 : 432 第 15 章 系 统 管 理

453 专 有 对 象 : 专 有 对 象 专 属 于 某 个 VSYS, 不 可 以 被 其 它 VSYS 引 用 根 VSYS 和 非 根 VSYS 中 均 可 包 含 专 有 对 象 共 享 对 象 : 共 享 对 象 可 被 多 个 VSYS 共 享 共 享 对 象 只 能 属 于 根 VSYS, 并 且 只 能 在 根 VSYS 中 进 行 配 置 ; 非 根 VSYS 只 能 引 用 共 享 对 象, 不 能 对 其 进 行 配 置 共 享 对 象 的 名 称 必 须 全 局 唯 一, 任 何 一 个 VSYS 中 的 对 象 都 不 可 以 与 同 类 共 享 对 象 重 名 VSYS 中 专 有 及 共 享 的 VRouter VSwitch 安 全 域 和 接 口 对 象 之 间 的 引 用 关 系 如 下 图 所 示 如 上 图 所 示, 系 统 中 包 含 三 个 VSYS: 根 VSYS(Root VSYS) VSYS-A 和 VSYS-B 根 VSYS 中 包 含 共 享 对 象 和 专 有 对 象, 共 享 对 象 包 括 共 享 VRouter(Shared VRouter) 共 享 VSwitch(Shared VSwitch) 共 享 三 层 安 全 域 (Shared L3-zone) 共 享 二 层 安 全 域 (Shared L2-zone) 和 共 享 接 口 (Shared IF1 和 Shared IF2) VSYS-A 和 VSYS-B 中 只 包 含 专 有 对 象, 但 其 专 有 对 象 可 以 引 用 根 VSYS 中 的 共 享 对 象 比 如,VSYS-A 中 的 安 全 域 A-zone2 引 用 根 VSYS 中 的 Shared Vrouter;VSYS-B 中 的 接 口 B-IF3 引 用 根 VSYS 中 的 Shared L2-zone 共 享 VRouter: 包 含 根 VSYS 中 共 享 以 及 专 有 的 三 层 域 将 具 有 共 享 属 性 的 三 层 域 绑 定 到 共 享 VRouter 中, 该 域 即 成 为 共 享 域 共 享 VSwitch: 包 含 根 VSYS 中 共 享 以 及 专 有 的 二 层 域 将 具 有 共 享 属 性 的 二 层 域 绑 定 到 共 享 VSwitch 中, 该 域 即 成 为 共 享 域 共 享 域 : 共 享 域 分 为 二 层 共 享 域 和 三 层 共 享 域, 二 层 共 享 域 需 要 将 具 有 共 享 属 性 的 域 绑 定 到 共 享 VSwitch, 三 层 共 享 域 需 要 将 具 有 共 享 属 性 的 域 绑 定 到 共 享 VRouter 共 享 域 可 以 包 含 根 VSYS 和 非 根 VSYS 中 的 接 口 所 有 功 能 域 ( 如 HA 功 能 域 ) 不 可 共 享 共 享 接 口 : 将 根 VSYS 中 的 接 口 绑 定 到 共 享 域 以 后, 该 接 口 自 动 变 为 共 享 接 口 注 意 : 只 有 系 统 管 理 员 或 者 系 统 操 作 员 才 能 创 建 或 者 删 除 接 口 接 口 及 其 子 接 口 的 创 建 和 删 除 必 须 在 同 一 个 VSYS 下 进 行 新 建 非 根 VSYS 新 建 非 根 VSYS, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 虚 拟 系 统, 进 入 虚 拟 系 统 配 置 页 面 2. 点 击 配 置 标 签, 进 入 到 VSYS 配 置 页 面 3. 点 击 新 建 按 钮, 弹 出 < 配 置 > 对 话 框 第 15 章 系 统 管 理 433

454 选 项 说 明 名 称 在 文 本 框 中 输 入 非 根 VSYS 的 名 称 接 口 绑 定 选 择 物 理 导 入 的 接 口 或 逻 辑 分 配 的 接 口 管 理 员 可 以 为 物 理 导 入 的 接 口 创 建 子 接 口, 但 不 能 为 逻 辑 分 配 的 接 口 创 建 子 接 口 物 理 导 入 : 从 左 侧 可 选 接 口 条 目 列 表 中 选 中 需 要 的 接 口, 然 后 点 击 物 理 导 入 按 钮, 选 中 的 接 口 将 出 现 在 已 选 接 口 条 目 列 表 中 逻 辑 分 配 : 从 左 侧 可 选 接 口 条 目 列 表 中 选 中 需 要 的 接 口, 然 后 点 击 逻 辑 分 配 按 钮, 选 中 的 接 口 将 出 现 在 已 选 接 口 条 目 列 表 中 释 放 : 若 想 在 已 选 接 口 条 目 列 表 中 删 除 接 口, 选 中 该 接 口 并 点 击 释 放 配 额 在 下 拉 菜 单 中 选 择 已 配 置 的 配 额 名 称 配 额 详 情 此 处 可 以 看 到 配 额 详 细 信 息 4. 点 击 确 定 按 钮 保 存 所 做 的 配 置 新 创 建 的 VSYS 将 会 显 示 在 VSYS 列 表 中 配 置 非 根 VSYS 专 有 和 共 享 属 性 VSYS 中 的 VRouter VSwitch 安 全 域 和 接 口 对 象 具 有 专 有 和 共 享 属 性 具 有 专 有 属 性 的 对 象 称 为 专 有 对 象 ; 将 具 有 共 享 属 性 的 对 象 经 过 相 关 配 置 后 即 成 为 共 享 对 象 专 有 对 象 专 属 于 某 个 VSYS, 不 可 以 被 其 它 VSYS 引 用 根 VSYS 和 非 根 VSYS 中 均 可 包 含 专 有 对 象 共 享 对 象 可 被 多 个 VSYS 共 享 共 享 对 象 只 能 属 于 根 VSYS, 并 且 只 能 在 根 VSYS 中 进 行 配 置 ; 非 根 VSYS 只 能 引 用 共 享 对 象, 不 能 对 其 进 行 配 置 共 享 对 象 的 名 称 必 须 全 局 唯 一, 任 何 一 个 VSYS 中 的 对 象 都 不 可 以 与 同 类 共 享 对 象 重 名 配 置 VSYS 共 享 属 性, 请 按 照 以 下 步 骤 进 行 操 作 : 1. 选 择 系 统 > 虚 拟 系 统, 进 入 虚 拟 系 统 配 置 页 面 2. 点 击 配 置 标 签, 进 入 到 VSYS 配 置 页 面 3. 点 击 VSYS 列 表 左 上 角 的 共 享 配 置 按 钮, 弹 出 < 共 享 配 置 > 对 话 框, 在 此 对 话 框 为 VSYS 的 虚 拟 交 换 机 虚 拟 路 由 器 和 安 全 域 配 置 属 性 434 第 15 章 系 统 管 理