【導(dǎo)讀】Copyright©2020深圳市深信服電子科技有限公司及其許可者版權(quán)所有，保留一切權(quán)利。Sinfor為深圳市深信服電子科技有限公司的商標(biāo)。對于本手冊出現(xiàn)的其他公司的商標(biāo)、產(chǎn)品標(biāo)。識和商品名稱，由各自權(quán)利人擁有。如需要獲取最新手冊，請聯(lián)系深信服電子科技有限公司客服服務(wù)部。第1部分AC產(chǎn)品概述。該部分主要介紹AC的外觀特點(diǎn)及功能特性和性能參數(shù)。的準(zhǔn)備和注意事項。第2部分SinforDlanM5100-AC的詳細(xì)配置。絡(luò)流量統(tǒng)計、策略故障排除、VPN配置、DHCP服務(wù)等的具體配置方法和注意事項。DLANM5100-ACclient部分做相應(yīng)的描述。第3部分SINFORAC網(wǎng)關(guān)的日志系統(tǒng)。包括對網(wǎng)絡(luò)流量、郵件監(jiān)控、網(wǎng)絡(luò)監(jiān)控、準(zhǔn)入規(guī)則、本手冊以深信服M5100-AC為例進(jìn)行配置。同時，由于缺乏信息安全意識，很多員。合要求的郵件將被退回，使得信息泄漏的幾率大大降低。的外發(fā)信息以及網(wǎng)絡(luò)使用的趨勢，從而快速直觀的了解網(wǎng)絡(luò)效能情況。

　　

【正文】 登陸到域即可自動認(rèn)證通過，減少用戶輸入密碼的次數(shù)，降低密碼泄露的風(fēng)險 網(wǎng)絡(luò)環(huán)境： 網(wǎng)絡(luò)結(jié)構(gòu)如圖： M 5 1 0 0 A CL A N ： 1 9 2 . 1 6 8 . 2 0 . 2 5 4W A N ： 2 0 0 . 2 0 0 . 2 0 . 1 5 6至InternetS W ( L 2 )P C 2P C 1域 服 務(wù) 器 ： 1 9 2 . 1 6 8 . 2 0 . 1 7 1 域服務(wù)器處于內(nèi)網(wǎng)，也就是 PC PC2 未通過認(rèn)證前可以登錄到域服務(wù)器，域服務(wù)器的 IP 地址和 AC 的 LAN 口同一網(wǎng)段 ，這樣登陸信息可以發(fā)到 AC 的 LAN 口（ WAN 口不行）。也就是要求域服務(wù)器 IP、網(wǎng)關(guān) LAN 口 IP、用戶機(jī)器 IP 至少有一個 IP 地址是同一網(wǎng)段，用戶機(jī)器的第一DNS 還應(yīng)設(shè)為域服務(wù)器的 IP 地址。 操作過程： 啟用 LDAP 認(rèn)證，勾選 [單點(diǎn)登陸選項 ]，輸入共享密鑰： 在域服務(wù)器 要 安裝單點(diǎn)登陸組件程序，安裝結(jié)束時會提示輸入 [AC 的 IP 地址 ]、 [共享密碼 ]， [確認(rèn) 密碼 ]的設(shè)置 ， 要和 AC 上 設(shè)置的共享密鑰相同，否則不能正常使用單點(diǎn)登陸功能。 要求用戶機(jī)器第一 DNS應(yīng)該設(shè)置為域服務(wù)器的 IP地址，否則加入域時可能 找不到域服務(wù)器。而且第一次登陸成功后，如果后來用戶的機(jī)器修改了 DNS 或者 IP 地址，此時用正確的密碼登陸到域，可以進(jìn)入 windows，但是實(shí)際上是沒有登陸到域，此時單點(diǎn)登陸無效，用戶上網(wǎng)仍輸入用戶名密碼才行。這主要是 windows可以記住上次輸入的正確密碼，沒有登陸到實(shí)際的域服務(wù)器也可以進(jìn)入 windows。 要求域服務(wù)器 IP、網(wǎng)關(guān) LAN口 IP、用戶機(jī)器 能互相訪問到。 適用于啟用 LDAP認(rèn)證情況下，并且用戶的機(jī)器在登陸 windows時登陸到域服務(wù)器 。 (3)RADIUS 認(rèn)證 選擇 [RADIUS認(rèn)證 ]則需點(diǎn)擊 旁邊的按鈕設(shè)置一下 RADIUS服務(wù)器設(shè)置 。 界面如下圖： 詳細(xì)參數(shù)設(shè)置可咨詢 RADIUS 服務(wù)器系統(tǒng)管理員，需填寫 [服務(wù)器 IP 地址 ]， [認(rèn)證端口 ]， [共享密鑰 ]， [認(rèn)證超時時間 ]和采用的協(xié)議。 (4)POP3認(rèn)證 一般適應(yīng)于用戶使用內(nèi)部郵件系統(tǒng)，并且每個用戶均分配了郵件帳號，并且啟用郵件過濾。 適應(yīng)客戶使用郵件系統(tǒng)的環(huán)境，增加認(rèn)證方式的多樣化，使認(rèn)證方式更加方便快捷人性化。 設(shè)置為 POP3 認(rèn)證方式時，用戶屬于 POP3 服務(wù)器上存在的用戶。當(dāng)用戶輸入用戶名密碼時，認(rèn)證系統(tǒng)會自動登陸到指定的 POP3 服務(wù)器，如果登陸成功，說明該用戶名密碼是對的，認(rèn)證通過；如果登陸失敗，則認(rèn)證不通過。如果勾選了 自動認(rèn)證 選項，當(dāng)用戶使用 Outlook、 Foxmail之類的客戶端登陸 POP3 服務(wù)器時，認(rèn)證系統(tǒng)會自動識別并認(rèn)證通過該用戶，此時用戶可以直接上網(wǎng)，而不需再次輸入用戶名密碼。 網(wǎng)絡(luò)環(huán)境： 網(wǎng)絡(luò)結(jié)構(gòu)如圖 M 5 1 0 0 A C至InternetS W ( L 2 )P C 2P C 1P O P 3 服 務(wù) 器至Internet Pop3 服務(wù)器必須處于外網(wǎng) (或 WAN 口一端 )，如果 POP3 服務(wù)器處于內(nèi)網(wǎng)時，自動認(rèn)證無效，但可以手動認(rèn)證，即訪問網(wǎng)頁時彈出對話框輸入用戶名和密碼進(jìn)行 認(rèn)證。 操作過程： 首先確認(rèn)啟用郵件過濾 在 WEB 認(rèn)證方式頁面選擇 POP3 認(rèn)證方式 ， 選中 [POP3 認(rèn)證 ]，如需自動認(rèn)證，請勾選 [啟用 POP3 自動認(rèn)證 ] 如果 POP3服務(wù)器處于外網(wǎng)， 要啟用自動認(rèn)證， 則必須勾選 [未啟用通過用戶，可以訪問基本服務(wù)（默認(rèn)組權(quán)限， HTTP 除外） ] 如果處于內(nèi)網(wǎng)，可以不勾選 [啟用 POP3 自動認(rèn)證 ]和 [未啟用通過用戶，可以訪問基本服務(wù)（默認(rèn)組權(quán)限， HTTP 除外） ]，但是自動認(rèn)證無效，必須手動認(rèn)證 點(diǎn)擊 POP3 服務(wù)器設(shè)置 ，彈出如下窗口： 在這里設(shè)置 POP3 的服務(wù)器 列表 ，可設(shè)置 [服務(wù)器 IP 地址 ]， [認(rèn)證端口 ]和 [認(rèn)證超時時間 ]。 B． WEB認(rèn)證選項 [允許新用戶（不知 WEB 認(rèn)證用戶設(shè)置 列表中的用戶 ）認(rèn)證，并在成功認(rèn)證后將其加到列表和組中 ]：主要用于 啟用第三方認(rèn)證（ LDAP 認(rèn)證， RADIUS認(rèn)證和 POP3 認(rèn)證），又沒有在 [WEB認(rèn)證用戶設(shè)置 ]中導(dǎo)入 該第三方認(rèn)證的用戶名或新建用戶名跟第三方服務(wù)器里相同 的用戶名時，如果一個用戶認(rèn)證成功，自動把用戶名添加到 [WEB 認(rèn)證用戶設(shè)置 ]里去，并加到某個組里。 [在用戶通過認(rèn)證之前，允許其訪問 DNS 服務(wù) ]用于允許在通過驗(yàn)證前 訪問 DNS。 [用戶認(rèn)證后（ 5）分鐘內(nèi)沒有流量，視為超時 ]用于設(shè)定一個超時時間，如果多長時間沒有流量就需要重新 WEB 認(rèn)證。 [只允許 以 下 IP 地址查看， 在線用戶列表 ]用于限定特定 IP 才能查看通過 WEB認(rèn)證的用戶列表。如下圖： [上傳 HTML公告文件，在用戶通過認(rèn)證之前顯示 ]：用于在 WEB 認(rèn)證前彈出公告的提示頁面 。 把網(wǎng)頁的目錄打包成 zip 文件（其中要顯示的頁面命名為 ）然后上傳上去。 [未啟用通過用戶，可以訪問基本服務(wù)（默認(rèn)組權(quán)限， HTTP 除外） ]：用于允許用戶在沒有通過認(rèn)證前 能使用出 TCP 80 端口外的缺省組的權(quán)限。 /密碼的認(rèn)證方式下，支持用戶自己修改自己的密碼，而不需網(wǎng)管來修改。如果連續(xù) 3次修改密碼失敗，則該用戶會被凍結(jié) 1分鐘。 ，地址為 ip/。 輸入要修改密碼的用戶名、舊密碼、新密碼和確認(rèn)新密碼，點(diǎn)擊提交即可。 [IPMAC 認(rèn)證用戶設(shè)置 ]和下一小節(jié)的 [WEB 認(rèn)證用戶設(shè)置 ]都 用于設(shè)定內(nèi)網(wǎng)用戶的 IP、 MAC、帳號等，以便在 [訪問控制組 ]中，針對不同的內(nèi)網(wǎng)用戶進(jìn)行不同的控制和監(jiān)控。 1.[IPMAC認(rèn)證用戶設(shè)置 ]和 [WEB認(rèn)證用戶設(shè)置 ]是二者選其一的，當(dāng)在前面的 [用戶認(rèn)證方式設(shè)置 ]里激活了 “ WEB 認(rèn)證 ” 方式，則只有 [WEB 認(rèn)證用戶設(shè)置 ]可用， [IPMAC 認(rèn)證用戶設(shè)置 ]按鈕為灰色，不可用。反之亦然，當(dāng)關(guān)閉 WEB認(rèn)證時，則只有 [IPMAC認(rèn)證用戶設(shè)置 ]可用。 所有訪問控制組丟失，切換前會有提示， 請注意。 IPMAC 認(rèn)證用戶 設(shè)置界面如下圖所示： 點(diǎn)擊 新建 按鈕，出現(xiàn) [新建 /修改內(nèi)網(wǎng)用戶 ]對話框如下： 這里可以設(shè)定 “ 某用戶名 ” 對應(yīng)的 IP/MAC地址 ，或者設(shè)定 “ 某組名 ” 所包含的一系列 IP/MAC地址?？赏ㄟ^點(diǎn)擊 新建 一個個手動添加 IP地址，亦可以通過點(diǎn)擊 從 IP組獲得 添加一組 IP地址（ IP組可通過 [對象設(shè)置 /IP組設(shè)置 ]定義好）。 見下圖所示： 勾選 [啟用 IP/MAC 綁定 ]，并點(diǎn)擊 自動掃描 MAC， AC 硬件網(wǎng)關(guān)即會自動掃描該用戶或該組IP 所對應(yīng)的 MAC，并對這些用戶啟用 [IP/MAC 綁定 ]功能。 當(dāng)點(diǎn)擊 自動掃 描 MAC進(jìn)行 IP/MAC地址掃描時，是由 AC硬件網(wǎng)關(guān)控制臺所在電腦發(fā) ARP請求來實(shí)現(xiàn)的，所以被掃描的 IP 地址，必須是和控制臺電腦在同一網(wǎng)段的。因此當(dāng)控制臺是在外網(wǎng)登錄，或被掃描 IP 段跨越了三層交換機(jī)等阻隔 ARP 通信的情況下，會掃描不到 MAC 地址的。 [WEB 認(rèn)證用戶設(shè)置 ]主要用于設(shè)定進(jìn)行 WEB 認(rèn)證 時，內(nèi)網(wǎng)用戶通過 WEB 認(rèn)證所用到的 用戶名 /密碼 。 AC 硬件網(wǎng)關(guān)支持手動添加，或者通過 LDAP、 RADIUS 服務(wù)器等的導(dǎo)入 用戶名 /密碼 。 點(diǎn)擊 新建 按鈕，出現(xiàn) [添加 /修 改用戶 ]對話框如下： [用戶名 ]和 [密碼 ]可根據(jù) 需要 設(shè)置。 [描述 ]用于填寫備注信息，可隨便填寫，以方便辨識為原則。 [綁定 IP]和 [綁定 MAC]可用于綁定該 [用戶名 /密碼 ]對應(yīng)電腦的 IP 及 MAC 地址。 勾選 [不需要 Web認(rèn)證 ]選項，則該用戶上網(wǎng)時不需進(jìn)行 用戶名 /密碼 驗(yàn)證，但必須為該用戶 [綁定 IP]或 [綁定 IP 范圍 ]。 也可在啟用 Web 認(rèn)證的同時 [綁定 IP]或 [綁定 MAC]，也可同時綁定。 缺省情況下一個帳號只能一人使用。 如果要建立一個用戶名可讓多人登錄（比如來賓帳號），可勾上 [允許同一帳號多人同時登 錄 ]。 最后點(diǎn)擊 確定 并 設(shè)置生效 。 內(nèi)網(wǎng)一部分用戶 需 用 Web認(rèn)證，一部分 需 用 IPMAC認(rèn)證時 ?？砂?AC切換到 [Web認(rèn)證 ]，要用 IPMAC認(rèn)證 的用戶可在建用戶時 [綁定 IP]和 [綁定 MAC]并勾上 [不需要 Web認(rèn)證 ]。Web認(rèn)證的用戶按正常方法新建就行。 [LDAP認(rèn)證 ]、 [RADIUS認(rèn)證 ]或 [POP3認(rèn)證 ]，則用戶名 /密碼的認(rèn)證會轉(zhuǎn)向相應(yīng)的服務(wù)器進(jìn)行認(rèn)證 。 AC硬件網(wǎng)關(guān)可導(dǎo)入相應(yīng)認(rèn)證服務(wù)器的用戶名列表，或新建跟服務(wù)器里的用戶名對應(yīng)的 用戶名，這樣方便 把用戶分到不通的組管理 。 [LDAP 認(rèn)證 ]、 [RADIUS 認(rèn)證 ]或 [POP3 認(rèn)證 ]也 可不新建或?qū)胗脩簦?這樣客戶輸入用戶名的 時候， AC網(wǎng)關(guān)設(shè)備會連接 到認(rèn)證服務(wù)器去驗(yàn)證用戶名密碼。如果認(rèn)證服務(wù)器通過了用戶的認(rèn)證， AC 網(wǎng)關(guān)設(shè)備 就會讓該用戶上網(wǎng)。如果勾選 [允許新用戶（不在“ WEB 認(rèn)證用戶設(shè)置 ”列表中的用戶）認(rèn)證，并在成功認(rèn)證后將其加到列表和組中 ]， AC 網(wǎng)關(guān)設(shè)備會把通過驗(yàn)證的用戶添加到相應(yīng)的組里。 點(diǎn)擊 導(dǎo)入 按鈕，出現(xiàn)以下對話框 導(dǎo)入支持 LDAP 服務(wù)器和 TXT 文件，點(diǎn)選 TXT 文件 會出現(xiàn) TXT 文件的 選擇對話框，選好適當(dāng)?shù)?TXT 文件即可。如果選擇 LDAP 服務(wù)器 ，則出現(xiàn)如上圖的 [選擇服務(wù)器 ]對話框（這里供選擇的服務(wù)器由前面的 [用戶認(rèn)證方式設(shè)置 ]所定義設(shè)置。），選擇好服務(wù)器地址后， AC 硬件網(wǎng)關(guān)就會連接 認(rèn)證服務(wù)器 ，導(dǎo)入用戶名列表，界面如下： 最后 確定 并 設(shè)置生效 保存設(shè)置即可。 TXT文件 的用戶名列表時， TXT文本格式是，一行一個用戶名。 USER的用戶，不能導(dǎo)入 GROUP的用戶。 [訪問監(jiān)控組 ]可以實(shí)現(xiàn)對不同的內(nèi)網(wǎng)用戶進(jìn)行各種 各樣的監(jiān)控和控制，包括網(wǎng)頁過濾、郵件過濾、上網(wǎng)權(quán)限、內(nèi)容檢測、訪問跟蹤、流量 與 P2P 控制等功能。設(shè)置界面見下圖： 要對內(nèi)網(wǎng)不同的用戶進(jìn)行不同的監(jiān)控和控制，必須建立不同的訪問控制組，右鍵點(diǎn)擊 [訪問控制組 ]，選選菜單中的 [新建組 ]，出現(xiàn)以下對話框： 在左上角填寫 [組名 ]，然后把右邊可用的 [內(nèi)網(wǎng)用戶 ]移到到左邊，成為該組的 [成員 ]，即完成 [訪問控制組 ]及該組 [內(nèi)網(wǎng)用戶 ]的定義，最后 確定 即可。 建立一個訪問控制組之后，在 [訪問控制組 ]下會顯示已經(jīng)建立的各個 訪問控制組 的組名，點(diǎn)選不同的 訪 問控制組 ，控制臺界面 的右邊會顯示該組的 [訪問監(jiān)控和控制 ]各項的具體設(shè)定。包括網(wǎng)頁過濾、郵件過濾、上網(wǎng)權(quán)限、內(nèi)容檢測、訪問跟蹤、流量與 P2P 控制等功能。 ， [訪問控制組 ]中就包含了一個 [默認(rèn)組 ]，這個 [默認(rèn)組 ]是指那些沒有定義好的內(nèi)網(wǎng) 用戶，或其它訪問控制組也都未包含的內(nèi)網(wǎng)用戶，則都屬于 [默認(rèn)組 ]成員，受 [默認(rèn)組 ]規(guī)則的控制和監(jiān)控。 了 [Web認(rèn)證 ]并啟用了 [準(zhǔn)入規(guī)則 ]，應(yīng)開放 默認(rèn)組的 TCP 82端口和 UDP 667端口的上網(wǎng)權(quán)限，以便 [準(zhǔn)入規(guī)則 ]能正常工作。 [網(wǎng)頁過濾 ]功能包含 [URL 過濾 ]、 [關(guān)鍵字過濾 ]、 [文件類型 ]和 [SSL 控制 ]四 部分。 （ 1） URL過濾 左下角的 [啟用 URL 過濾 ]是整個 URL 過濾功能的開關(guān)，勾選即可激活。 上部的列表顯示了前面 [對象設(shè)置 /URL組設(shè)置 ]里 的內(nèi)置 URL庫或 已定義好的 URL組地址，選中上面的 URL 組并 通過 ↓ 按鈕移動到下部的列表，然后勾選右邊 [允許 ]或 [拒絕 ]的權(quán)限，并設(shè)置 [生效時間 ]（生效時間由前面 [對象設(shè)置 /時間計劃設(shè)置 ]定義好），最后點(diǎn)擊 設(shè)置生效 保存設(shè)置。 右下角的 [缺省允許 ]和 [缺省拒絕 ]選 項，代表不能匹配上面設(shè)定的 URL 過濾規(guī)則時，所執(zhí)行的操作，一般和上面所設(shè)置 的 URL 過濾規(guī)則配合使用。 1.↓↓ 可把上面所有的 URL 組 移動到下部， ↑↑ 可把 下面所有的 URL 組移動到上部。 ，一旦匹配了一條規(guī)則就會馬上執(zhí)行，下面的規(guī)則不再進(jìn)行匹配。因此 一般