行为管理AC

深信服全网行为管理支持全网终端、应用、数据和流量的可视可控,智能感知终端违规接入、上网违规行为、敏感数据泄密等内部风险, 实现终端准入管控、上网管控和数据泄密管控的一体化行为安全管控。
点击可切换产品版本
知道了
不再提醒
全网AC13.0.7
{{sendMatomoQuery("行为管理AC","旁路模式")}}

旁路模式

更新时间:2022-01-19

旁路模式:实现监控控制的功能的同时,可以完全不需改变用户的网络环境,并且可以避免设备对用户网络造成中断的风险。用于把设备接在交换机的镜像口或者接在HUB上,保证内网用户上网的数据经过此交换机或者HUB,并且设置镜像口的时候需要同时镜像上下行的数据,从而实现对上网数据的监控与控制。这种模式对用户的网络环境完全没有影响,即使宕机也不会对用户的网络造成中断。常见的应用环境有以下两种:

配置举例:客户拓扑如下图所示,设备准备部署成旁路模式,客户需求:监控内网各个网段的上网数据,需要设备可以自动更新内置规则库,内网用户使用WEB认证,并且能够在内网随时登录设备控制台进行管理。

综合客户的需求和特殊的网络拓扑,采用如下部署方式:因为需要设备可以上外网,同时和内网通信正常,设备做旁路模式,通过镜像口是不能上网的,解决办法是将设备的管理网口(DMZ口)连接到内网的交换机上,并且分配一个可以使用的IP地址,设备通过此地址完成和公网和内网的通信。将DMZ接到内网的交换机上。

配置方法:

第一步:先配置设备,通过默认IP登录设备,比如通过LAN口登录设备,LAN口的默认IP是10.251.251.251/24,在电脑上配置一个此网段的IP地址,通过https://10.251.251.251登录设备,默认登录用户名/密码是:admin/admin。

第二步:在【导航菜单】页面中的『系统管理』→『网络配置』→『部署模式』,右边进入【部署模式】编辑页面,点击开始配置,出现以下页面:配置设备模式为旁路模式,

点击下一步

切换到旁路模式时会恢复默认配置,建议先手动备份一下当前配置。

第二步:配置管理网口地址:旁路模式下,管理网口默认选择eth0口,可选择修改。认证口按需配置,一般是在分支AC需要做认证托管时,将认证口发布到公网的情况,认证口为了安全部分端口不放开为WAN属性,如果是内网使用,建议只启用管理口就够了。

[IP地址]填写分配给设备管理口(DMZ接口)的IP地址,此例中需要将DMZ口接到内网交换机上,所以填写一个可以和交换机以及内网通信的IP地址。

[默认网关]指的是设备的网关,此例中填写和DMZ口连接的交换机的网口地址。在[首选DNS]和[备用DNS]中填写公网可以使用的DNS地址。

第三步:选择镜像口,配置监控网段和监控服务器列表:

『监控网段与排除IP地址列表』中填写需要监控的网段,以及需要排除监控的地址。此处填写内网网段192.168.1.0/255.255.255.0,则此时这个网段访问其他网段的数据都会被监控,这个网段之间的访问不会被监控。排除网段用“-192.168.1.1-192.168.1.10”表示,填入后表示192.168.1.1-192.168.1.10这个范围内的IP访问其他网段(外网)的数据不会被监控。

『高级配置』中用于设置[监控服务器列表],填入列表中的地址,在被监控网段中的IP访问时,数据也会被监控。例如内网有一台web服务器,用户想要记录内网用户访问这台服务器的数据,因为同一网段的访问是不会被监控的,此时,将web服务器的IP地址填写到[监控服务器列表]中即可。

以上说的是监控的设置,因为旁路模式下可以实现部分TCP控制功能,控制功能是在监控的基础上实现的,也就是说能监控的数据才能被控制。

第四步:确认配置信息,点击提交

设置完毕需要重启设备才可以生效,在弹出的提示框中点击是。

注意:
1.用户必须使用HUB或者交换机具有镜像口的情况。如果交换机没有镜像口,可以在交换机前加接HUB实现。
2.旁路模式下,流量显示、活动连接排名显示无效。
3.旁路模式下,TCP的控制是通过DMZ口发送reset包实现的,因此要保证DMZ口发送的reset包都能被PC和公网服务器收到。
4.旁路模式下很多功能不能实现,比如VPN、DHCP等。
5.旁路模式主要起监控的作用,限制的功能没有路由模式和网桥模式那么全面。只能对TCP的连接进行限制,比如URL过滤,关键字过滤,邮件过滤等。对UDP不做限制,比如P2P软件,QQ的登录等。
6.旁路模式下,只有在wan口接镜像口的情况下,网关运行状态才会显示流量图,且在接了WAN口的情况下,网络接口状态下只有接收流量没有发送流量。

口状态下只有接收流量没有发送流量。