【導(dǎo)讀】Copyright©2020深圳市深信服電子科技有限公司及其許可者版權(quán)所有，保留一切權(quán)利。Sinfor為深圳市深信服電子科技有限公司的商標(biāo)。對(duì)于本手冊(cè)出現(xiàn)的其他公司的商標(biāo)、產(chǎn)品標(biāo)。識(shí)和商品名稱，由各自權(quán)利人擁有。如需要獲取最新手冊(cè)，請(qǐng)聯(lián)系深信服電子科技有限公司客服服務(wù)部。第1部分AC產(chǎn)品概述。該部分主要介紹AC的外觀特點(diǎn)及功能特性和性能參數(shù)。的準(zhǔn)備和注意事項(xiàng)。第2部分SinforDlanM5100-AC的詳細(xì)配置。絡(luò)流量統(tǒng)計(jì)、策略故障排除、VPN配置、DHCP服務(wù)等的具體配置方法和注意事項(xiàng)。DLANM5100-ACclient部分做相應(yīng)的描述。第3部分SINFORAC網(wǎng)關(guān)的日志系統(tǒng)。包括對(duì)網(wǎng)絡(luò)流量、郵件監(jiān)控、網(wǎng)絡(luò)監(jiān)控、準(zhǔn)入規(guī)則、本手冊(cè)以深信服M5100-AC為例進(jìn)行配置。同時(shí)，由于缺乏信息安全意識(shí)，很多員。合要求的郵件將被退回，使得信息泄漏的幾率大大降低。的外發(fā)信息以及網(wǎng)絡(luò)使用的趨勢(shì)，從而快速直觀的了解網(wǎng)絡(luò)效能情況。

　　

【正文】 登陸到域即可自動(dòng)認(rèn)證通過(guò)，減少用戶輸入密碼的次數(shù)，降低密碼泄露的風(fēng)險(xiǎn) 網(wǎng)絡(luò)環(huán)境： 網(wǎng)絡(luò)結(jié)構(gòu)如圖： M 5 1 0 0 A CL A N ： 1 9 2 . 1 6 8 . 2 0 . 2 5 4W A N ： 2 0 0 . 2 0 0 . 2 0 . 1 5 6至InternetS W ( L 2 )P C 2P C 1域 服 務(wù) 器 ： 1 9 2 . 1 6 8 . 2 0 . 1 7 1 域服務(wù)器處于內(nèi)網(wǎng)，也就是 PC PC2 未通過(guò)認(rèn)證前可以登錄到域服務(wù)器，域服務(wù)器的 IP 地址和 AC 的 LAN 口同一網(wǎng)段 ，這樣登陸信息可以發(fā)到 AC 的 LAN 口（ WAN 口不行）。也就是要求域服務(wù)器 IP、網(wǎng)關(guān) LAN 口 IP、用戶機(jī)器 IP 至少有一個(gè) IP 地址是同一網(wǎng)段，用戶機(jī)器的第一DNS 還應(yīng)設(shè)為域服務(wù)器的 IP 地址。 操作過(guò)程： 啟用 LDAP 認(rèn)證，勾選 [單點(diǎn)登陸選項(xiàng) ]，輸入共享密鑰： 在域服務(wù)器 要 安裝單點(diǎn)登陸組件程序，安裝結(jié)束時(shí)會(huì)提示輸入 [AC 的 IP 地址 ]、 [共享密碼 ]， [確認(rèn) 密碼 ]的設(shè)置 ， 要和 AC 上 設(shè)置的共享密鑰相同，否則不能正常使用單點(diǎn)登陸功能。 要求用戶機(jī)器第一 DNS應(yīng)該設(shè)置為域服務(wù)器的 IP地址，否則加入域時(shí)可能 找不到域服務(wù)器。而且第一次登陸成功后，如果后來(lái)用戶的機(jī)器修改了 DNS 或者 IP 地址，此時(shí)用正確的密碼登陸到域，可以進(jìn)入 windows，但是實(shí)際上是沒(méi)有登陸到域，此時(shí)單點(diǎn)登陸無(wú)效，用戶上網(wǎng)仍輸入用戶名密碼才行。這主要是 windows可以記住上次輸入的正確密碼，沒(méi)有登陸到實(shí)際的域服務(wù)器也可以進(jìn)入 windows。 要求域服務(wù)器 IP、網(wǎng)關(guān) LAN口 IP、用戶機(jī)器 能互相訪問(wèn)到。 適用于啟用 LDAP認(rèn)證情況下，并且用戶的機(jī)器在登陸 windows時(shí)登陸到域服務(wù)器 。 (3)RADIUS 認(rèn)證 選擇 [RADIUS認(rèn)證 ]則需點(diǎn)擊 旁邊的按鈕設(shè)置一下 RADIUS服務(wù)器設(shè)置 。 界面如下圖： 詳細(xì)參數(shù)設(shè)置可咨詢 RADIUS 服務(wù)器系統(tǒng)管理員，需填寫(xiě) [服務(wù)器 IP 地址 ]， [認(rèn)證端口 ]， [共享密鑰 ]， [認(rèn)證超時(shí)時(shí)間 ]和采用的協(xié)議。 (4)POP3認(rèn)證 一般適應(yīng)于用戶使用內(nèi)部郵件系統(tǒng)，并且每個(gè)用戶均分配了郵件帳號(hào)，并且啟用郵件過(guò)濾。 適應(yīng)客戶使用郵件系統(tǒng)的環(huán)境，增加認(rèn)證方式的多樣化，使認(rèn)證方式更加方便快捷人性化。 設(shè)置為 POP3 認(rèn)證方式時(shí)，用戶屬于 POP3 服務(wù)器上存在的用戶。當(dāng)用戶輸入用戶名密碼時(shí)，認(rèn)證系統(tǒng)會(huì)自動(dòng)登陸到指定的 POP3 服務(wù)器，如果登陸成功，說(shuō)明該用戶名密碼是對(duì)的，認(rèn)證通過(guò)；如果登陸失敗，則認(rèn)證不通過(guò)。如果勾選了 自動(dòng)認(rèn)證 選項(xiàng)，當(dāng)用戶使用 Outlook、 Foxmail之類的客戶端登陸 POP3 服務(wù)器時(shí)，認(rèn)證系統(tǒng)會(huì)自動(dòng)識(shí)別并認(rèn)證通過(guò)該用戶，此時(shí)用戶可以直接上網(wǎng)，而不需再次輸入用戶名密碼。 網(wǎng)絡(luò)環(huán)境： 網(wǎng)絡(luò)結(jié)構(gòu)如圖 M 5 1 0 0 A C至InternetS W ( L 2 )P C 2P C 1P O P 3 服 務(wù) 器至Internet Pop3 服務(wù)器必須處于外網(wǎng) (或 WAN 口一端 )，如果 POP3 服務(wù)器處于內(nèi)網(wǎng)時(shí)，自動(dòng)認(rèn)證無(wú)效，但可以手動(dòng)認(rèn)證，即訪問(wèn)網(wǎng)頁(yè)時(shí)彈出對(duì)話框輸入用戶名和密碼進(jìn)行 認(rèn)證。 操作過(guò)程： 首先確認(rèn)啟用郵件過(guò)濾 在 WEB 認(rèn)證方式頁(yè)面選擇 POP3 認(rèn)證方式 ， 選中 [POP3 認(rèn)證 ]，如需自動(dòng)認(rèn)證，請(qǐng)勾選 [啟用 POP3 自動(dòng)認(rèn)證 ] 如果 POP3服務(wù)器處于外網(wǎng)， 要啟用自動(dòng)認(rèn)證， 則必須勾選 [未啟用通過(guò)用戶，可以訪問(wèn)基本服務(wù)（默認(rèn)組權(quán)限， HTTP 除外） ] 如果處于內(nèi)網(wǎng)，可以不勾選 [啟用 POP3 自動(dòng)認(rèn)證 ]和 [未啟用通過(guò)用戶，可以訪問(wèn)基本服務(wù)（默認(rèn)組權(quán)限， HTTP 除外） ]，但是自動(dòng)認(rèn)證無(wú)效，必須手動(dòng)認(rèn)證 點(diǎn)擊 POP3 服務(wù)器設(shè)置 ，彈出如下窗口： 在這里設(shè)置 POP3 的服務(wù)器 列表 ，可設(shè)置 [服務(wù)器 IP 地址 ]， [認(rèn)證端口 ]和 [認(rèn)證超時(shí)時(shí)間 ]。 B． WEB認(rèn)證選項(xiàng) [允許新用戶（不知 WEB 認(rèn)證用戶設(shè)置 列表中的用戶 ）認(rèn)證，并在成功認(rèn)證后將其加到列表和組中 ]：主要用于 啟用第三方認(rèn)證（ LDAP 認(rèn)證， RADIUS認(rèn)證和 POP3 認(rèn)證），又沒(méi)有在 [WEB認(rèn)證用戶設(shè)置 ]中導(dǎo)入 該第三方認(rèn)證的用戶名或新建用戶名跟第三方服務(wù)器里相同 的用戶名時(shí)，如果一個(gè)用戶認(rèn)證成功，自動(dòng)把用戶名添加到 [WEB 認(rèn)證用戶設(shè)置 ]里去，并加到某個(gè)組里。 [在用戶通過(guò)認(rèn)證之前，允許其訪問(wèn) DNS 服務(wù) ]用于允許在通過(guò)驗(yàn)證前 訪問(wèn) DNS。 [用戶認(rèn)證后（ 5）分鐘內(nèi)沒(méi)有流量，視為超時(shí) ]用于設(shè)定一個(gè)超時(shí)時(shí)間，如果多長(zhǎng)時(shí)間沒(méi)有流量就需要重新 WEB 認(rèn)證。 [只允許 以 下 IP 地址查看， 在線用戶列表 ]用于限定特定 IP 才能查看通過(guò) WEB認(rèn)證的用戶列表。如下圖： [上傳 HTML公告文件，在用戶通過(guò)認(rèn)證之前顯示 ]：用于在 WEB 認(rèn)證前彈出公告的提示頁(yè)面 。 把網(wǎng)頁(yè)的目錄打包成 zip 文件（其中要顯示的頁(yè)面命名為 ）然后上傳上去。 [未啟用通過(guò)用戶，可以訪問(wèn)基本服務(wù)（默認(rèn)組權(quán)限， HTTP 除外） ]：用于允許用戶在沒(méi)有通過(guò)認(rèn)證前 能使用出 TCP 80 端口外的缺省組的權(quán)限。 /密碼的認(rèn)證方式下，支持用戶自己修改自己的密碼，而不需網(wǎng)管來(lái)修改。如果連續(xù) 3次修改密碼失敗，則該用戶會(huì)被凍結(jié) 1分鐘。 ，地址為 ip/。 輸入要修改密碼的用戶名、舊密碼、新密碼和確認(rèn)新密碼，點(diǎn)擊提交即可。 [IPMAC 認(rèn)證用戶設(shè)置 ]和下一小節(jié)的 [WEB 認(rèn)證用戶設(shè)置 ]都 用于設(shè)定內(nèi)網(wǎng)用戶的 IP、 MAC、帳號(hào)等，以便在 [訪問(wèn)控制組 ]中，針對(duì)不同的內(nèi)網(wǎng)用戶進(jìn)行不同的控制和監(jiān)控。 1.[IPMAC認(rèn)證用戶設(shè)置 ]和 [WEB認(rèn)證用戶設(shè)置 ]是二者選其一的，當(dāng)在前面的 [用戶認(rèn)證方式設(shè)置 ]里激活了 “ WEB 認(rèn)證 ” 方式，則只有 [WEB 認(rèn)證用戶設(shè)置 ]可用， [IPMAC 認(rèn)證用戶設(shè)置 ]按鈕為灰色，不可用。反之亦然，當(dāng)關(guān)閉 WEB認(rèn)證時(shí)，則只有 [IPMAC認(rèn)證用戶設(shè)置 ]可用。 所有訪問(wèn)控制組丟失，切換前會(huì)有提示， 請(qǐng)注意。 IPMAC 認(rèn)證用戶 設(shè)置界面如下圖所示： 點(diǎn)擊 新建 按鈕，出現(xiàn) [新建 /修改內(nèi)網(wǎng)用戶 ]對(duì)話框如下： 這里可以設(shè)定 “ 某用戶名 ” 對(duì)應(yīng)的 IP/MAC地址 ，或者設(shè)定 “ 某組名 ” 所包含的一系列 IP/MAC地址?？赏ㄟ^(guò)點(diǎn)擊 新建 一個(gè)個(gè)手動(dòng)添加 IP地址，亦可以通過(guò)點(diǎn)擊 從 IP組獲得 添加一組 IP地址（ IP組可通過(guò) [對(duì)象設(shè)置 /IP組設(shè)置 ]定義好）。 見(jiàn)下圖所示： 勾選 [啟用 IP/MAC 綁定 ]，并點(diǎn)擊 自動(dòng)掃描 MAC， AC 硬件網(wǎng)關(guān)即會(huì)自動(dòng)掃描該用戶或該組IP 所對(duì)應(yīng)的 MAC，并對(duì)這些用戶啟用 [IP/MAC 綁定 ]功能。 當(dāng)點(diǎn)擊 自動(dòng)掃 描 MAC進(jìn)行 IP/MAC地址掃描時(shí)，是由 AC硬件網(wǎng)關(guān)控制臺(tái)所在電腦發(fā) ARP請(qǐng)求來(lái)實(shí)現(xiàn)的，所以被掃描的 IP 地址，必須是和控制臺(tái)電腦在同一網(wǎng)段的。因此當(dāng)控制臺(tái)是在外網(wǎng)登錄，或被掃描 IP 段跨越了三層交換機(jī)等阻隔 ARP 通信的情況下，會(huì)掃描不到 MAC 地址的。 [WEB 認(rèn)證用戶設(shè)置 ]主要用于設(shè)定進(jìn)行 WEB 認(rèn)證 時(shí)，內(nèi)網(wǎng)用戶通過(guò) WEB 認(rèn)證所用到的 用戶名 /密碼 。 AC 硬件網(wǎng)關(guān)支持手動(dòng)添加，或者通過(guò) LDAP、 RADIUS 服務(wù)器等的導(dǎo)入 用戶名 /密碼 。 點(diǎn)擊 新建 按鈕，出現(xiàn) [添加 /修 改用戶 ]對(duì)話框如下： [用戶名 ]和 [密碼 ]可根據(jù) 需要 設(shè)置。 [描述 ]用于填寫(xiě)備注信息，可隨便填寫(xiě)，以方便辨識(shí)為原則。 [綁定 IP]和 [綁定 MAC]可用于綁定該 [用戶名 /密碼 ]對(duì)應(yīng)電腦的 IP 及 MAC 地址。 勾選 [不需要 Web認(rèn)證 ]選項(xiàng)，則該用戶上網(wǎng)時(shí)不需進(jìn)行 用戶名 /密碼 驗(yàn)證，但必須為該用戶 [綁定 IP]或 [綁定 IP 范圍 ]。 也可在啟用 Web 認(rèn)證的同時(shí) [綁定 IP]或 [綁定 MAC]，也可同時(shí)綁定。 缺省情況下一個(gè)帳號(hào)只能一人使用。 如果要建立一個(gè)用戶名可讓多人登錄（比如來(lái)賓帳號(hào)），可勾上 [允許同一帳號(hào)多人同時(shí)登 錄 ]。 最后點(diǎn)擊 確定 并 設(shè)置生效 。 內(nèi)網(wǎng)一部分用戶 需 用 Web認(rèn)證，一部分 需 用 IPMAC認(rèn)證時(shí) ?？砂?AC切換到 [Web認(rèn)證 ]，要用 IPMAC認(rèn)證 的用戶可在建用戶時(shí) [綁定 IP]和 [綁定 MAC]并勾上 [不需要 Web認(rèn)證 ]。Web認(rèn)證的用戶按正常方法新建就行。 [LDAP認(rèn)證 ]、 [RADIUS認(rèn)證 ]或 [POP3認(rèn)證 ]，則用戶名 /密碼的認(rèn)證會(huì)轉(zhuǎn)向相應(yīng)的服務(wù)器進(jìn)行認(rèn)證 。 AC硬件網(wǎng)關(guān)可導(dǎo)入相應(yīng)認(rèn)證服務(wù)器的用戶名列表，或新建跟服務(wù)器里的用戶名對(duì)應(yīng)的 用戶名，這樣方便 把用戶分到不通的組管理 。 [LDAP 認(rèn)證 ]、 [RADIUS 認(rèn)證 ]或 [POP3 認(rèn)證 ]也 可不新建或?qū)胗脩簦?這樣客戶輸入用戶名的 時(shí)候， AC網(wǎng)關(guān)設(shè)備會(huì)連接 到認(rèn)證服務(wù)器去驗(yàn)證用戶名密碼。如果認(rèn)證服務(wù)器通過(guò)了用戶的認(rèn)證， AC 網(wǎng)關(guān)設(shè)備 就會(huì)讓該用戶上網(wǎng)。如果勾選 [允許新用戶（不在“ WEB 認(rèn)證用戶設(shè)置 ”列表中的用戶）認(rèn)證，并在成功認(rèn)證后將其加到列表和組中 ]， AC 網(wǎng)關(guān)設(shè)備會(huì)把通過(guò)驗(yàn)證的用戶添加到相應(yīng)的組里。 點(diǎn)擊 導(dǎo)入 按鈕，出現(xiàn)以下對(duì)話框 導(dǎo)入支持 LDAP 服務(wù)器和 TXT 文件，點(diǎn)選 TXT 文件 會(huì)出現(xiàn) TXT 文件的 選擇對(duì)話框，選好適當(dāng)?shù)?TXT 文件即可。如果選擇 LDAP 服務(wù)器 ，則出現(xiàn)如上圖的 [選擇服務(wù)器 ]對(duì)話框（這里供選擇的服務(wù)器由前面的 [用戶認(rèn)證方式設(shè)置 ]所定義設(shè)置。），選擇好服務(wù)器地址后， AC 硬件網(wǎng)關(guān)就會(huì)連接 認(rèn)證服務(wù)器 ，導(dǎo)入用戶名列表，界面如下： 最后 確定 并 設(shè)置生效 保存設(shè)置即可。 TXT文件 的用戶名列表時(shí)， TXT文本格式是，一行一個(gè)用戶名。 USER的用戶，不能導(dǎo)入 GROUP的用戶。 [訪問(wèn)監(jiān)控組 ]可以實(shí)現(xiàn)對(duì)不同的內(nèi)網(wǎng)用戶進(jìn)行各種 各樣的監(jiān)控和控制，包括網(wǎng)頁(yè)過(guò)濾、郵件過(guò)濾、上網(wǎng)權(quán)限、內(nèi)容檢測(cè)、訪問(wèn)跟蹤、流量 與 P2P 控制等功能。設(shè)置界面見(jiàn)下圖： 要對(duì)內(nèi)網(wǎng)不同的用戶進(jìn)行不同的監(jiān)控和控制，必須建立不同的訪問(wèn)控制組，右鍵點(diǎn)擊 [訪問(wèn)控制組 ]，選選菜單中的 [新建組 ]，出現(xiàn)以下對(duì)話框： 在左上角填寫(xiě) [組名 ]，然后把右邊可用的 [內(nèi)網(wǎng)用戶 ]移到到左邊，成為該組的 [成員 ]，即完成 [訪問(wèn)控制組 ]及該組 [內(nèi)網(wǎng)用戶 ]的定義，最后 確定 即可。 建立一個(gè)訪問(wèn)控制組之后，在 [訪問(wèn)控制組 ]下會(huì)顯示已經(jīng)建立的各個(gè) 訪問(wèn)控制組 的組名，點(diǎn)選不同的 訪 問(wèn)控制組 ，控制臺(tái)界面 的右邊會(huì)顯示該組的 [訪問(wèn)監(jiān)控和控制 ]各項(xiàng)的具體設(shè)定。包括網(wǎng)頁(yè)過(guò)濾、郵件過(guò)濾、上網(wǎng)權(quán)限、內(nèi)容檢測(cè)、訪問(wèn)跟蹤、流量與 P2P 控制等功能。 ， [訪問(wèn)控制組 ]中就包含了一個(gè) [默認(rèn)組 ]，這個(gè) [默認(rèn)組 ]是指那些沒(méi)有定義好的內(nèi)網(wǎng) 用戶，或其它訪問(wèn)控制組也都未包含的內(nèi)網(wǎng)用戶，則都屬于 [默認(rèn)組 ]成員，受 [默認(rèn)組 ]規(guī)則的控制和監(jiān)控。 了 [Web認(rèn)證 ]并啟用了 [準(zhǔn)入規(guī)則 ]，應(yīng)開(kāi)放 默認(rèn)組的 TCP 82端口和 UDP 667端口的上網(wǎng)權(quán)限，以便 [準(zhǔn)入規(guī)則 ]能正常工作。 [網(wǎng)頁(yè)過(guò)濾 ]功能包含 [URL 過(guò)濾 ]、 [關(guān)鍵字過(guò)濾 ]、 [文件類型 ]和 [SSL 控制 ]四 部分。 （ 1） URL過(guò)濾 左下角的 [啟用 URL 過(guò)濾 ]是整個(gè) URL 過(guò)濾功能的開(kāi)關(guān)，勾選即可激活。 上部的列表顯示了前面 [對(duì)象設(shè)置 /URL組設(shè)置 ]里 的內(nèi)置 URL庫(kù)或 已定義好的 URL組地址，選中上面的 URL 組并 通過(guò) ↓ 按鈕移動(dòng)到下部的列表，然后勾選右邊 [允許 ]或 [拒絕 ]的權(quán)限，并設(shè)置 [生效時(shí)間 ]（生效時(shí)間由前面 [對(duì)象設(shè)置 /時(shí)間計(jì)劃設(shè)置 ]定義好），最后點(diǎn)擊 設(shè)置生效 保存設(shè)置。 右下角的 [缺省允許 ]和 [缺省拒絕 ]選 項(xiàng)，代表不能匹配上面設(shè)定的 URL 過(guò)濾規(guī)則時(shí)，所執(zhí)行的操作，一般和上面所設(shè)置 的 URL 過(guò)濾規(guī)則配合使用。 1.↓↓ 可把上面所有的 URL 組 移動(dòng)到下部， ↑↑ 可把 下面所有的 URL 組移動(dòng)到上部。 ，一旦匹配了一條規(guī)則就會(huì)馬上執(zhí)行，下面的規(guī)則不再進(jìn)行匹配。因此 一般