目  录

1 系统管理

1.1 授权管理

1.1.1 授权管理概述

1.1.2 手动导入许可证

1.1.3 非经SDK配置方法

1.2 升级管理

1.2.1 升级管理概述

1.2.2 手动升级

1.2.3 自动升级

1.2.4 补丁升级

1.2.5 代理设置

1.2.6 升级记录查看

1.2.7 HTTP代理自动升级配置举例

1.7 系统重启

1.7.1 系统重启

1.7.2 恢复出厂设置

1.8 配置文件

1.9 配置管理员

1.9.1 管理员概述

1.9.2 配置管理员

1.9.3 角色管理员配置

1.9.4 查看在线信息

1.9.5 查看阻断用户

1.10 管理设定

1.10.1 管理设定配置

1.10.2 管理员外部认证

1.10.3 三权分立

1.11 时间设定

1.12 快速配置

1.12.1 快速配置概述

1.12.2 快速配置向导

1.13 网管配置

1.14 BA平台配置

1.15 系统诊断工具

1.15.1 Ping

1.15.2 Traceroute

1.15.3 TCP Syn

1.16 抓包工具

1.17 服务器管理

1.17.1 服务器管理概述

1.17.2 FTP服务器的配置

1.17.3 邮件服务器的配置

1.18 短信服务

1.18.1 概述

1.18.2 通用短信网关配置

1.18.3 通用短信网关配置举例

1. 组网需求

2. 组网图

3. 使用限制及注意事项

4. 配置步骤

1.19 典型配置举例

1.19.1 管理员认证典型配置举例

1.19.2 Ping 配置举例

1.19.3 Traceroute 配置举例

1.19.4 TCP Syn 配置举例

1.19.5 管理员分级分权配置举例

 

1 系统管理

1.1  授权管理

1.1.1  授权管理概述

可以通过手动点击导入许可证来对应用监控升级服务/URL分类库升级服务/恶意URL分类库升级服务、入侵防御/病毒防护升级服务以及非经SDK功能进行授权。如图1-1所示。

图1-1 导入许可证图

 

1.1.2  手动导入许可证

通过菜单“系统管理 > 系统维护 > 授权管理”，进入如图1-2所示页面。配置项含义如表1-1所示。

图1-2 手动导入许可证页面

 

表1-1 手动导入许可证配置项含义描述表

标题项	说明
导入许可证	对系统软件进行授权。
非经SDK功能授权	对非经SDK功能进行授权后，需要在命令行config视图下配置rzx gam-audit | (enable/disable)选择开启或关闭

1.1.3  非经SDK配置方法

为满足市场需求，增加非经SDK功能使用授权特性。对非经SDK功能进行授权后，需要在命令行config视图下配置如下命令选择开启或关闭：

rzx gam-audit | (enable/disable)

图1-3 非经SDK配置命令

 

1.2  升级管理

1.2.1  升级管理概述

可以通过手动本地升级系统软件版本和特征库，也可自动升级URL分类特征库和应用控制特征库。

对于已发布的版本，通过上传升级热补丁，可以在不影响系统运行的情况下，完成对设备版本的缺陷进行修复，热补丁正确加载后补丁文件立即生效。如图1-4所示。

图1-4 升级页面总图

 

1.2.2  手动升级

通过菜单“系统管理 > 系统维护 > 系统升级”，进入如图1-5所示页面。各个配置项含义如表1-2所示。

图1-5 手动升级页面

 

表1-2 手动升级各个配置项含义描述表

标题项	说明
系统软件	升级系统软件版本或热补丁。 升级系统软件版本，升级后需要重启设备方可生效； 升级热补丁，不需重启设备即可生效。
应用控制特征库	升级应用控制特征库
入侵防御特征库	升级入侵防御特征库
病毒防护特征库	升级病毒防护特征库
无线非经特征库	升级无线非经特征库

 

1.2.3  自动升级

通过菜单“系统管理 > 系统维护 > 系统升级”，进入如图1-6所示页面，页面中的红色圈选部分为配置项。各个配置项含义如表1-3所示。

图1-6 自动升级页面

 

表1-3 自动升级各个配置项含义描述表

标题项	说明
默认升级服务器	升级服务器设为默认升级服务器。
指定升级服务器	设置升级服务器地址。
定期升级	启用定期自动升级。
每周	按星期定期自动升级。
每月	按每月日期自动升级，日期间以“,”分隔。
时间	每次自动升级的当天时间。

 

点击<提交>按钮，提交自动升级配置。

点击<立即升级>按钮，可立即更新特征库，无需等到自动升级指定时间点，首次配置设备时建议进行一次立即升级。

 

1.2.4  补丁升级

通过菜单“系统管理>系统维护>系统升级”，进入如图1-7所示界面；单击“系统软件”中的“浏览”按钮，选择待上传的补丁文件，单击“上传”按钮上传补丁文件。

图1-7 补丁升级上传界面

 

单击“补丁升级”进入如图1-8所示界面；选中要升级的补丁版本，单击“”按钮进行补丁升级。

图1-8 补丁升级界面

 

升级成功后，版本状态显示为“已升级”，如图1-9所示界面。

图1-9 升级成功界面

 

单击“”按钮可对已升级的补丁进行卸载，热补丁卸载成功后，在补丁升级框中该补丁显示已上传。

图1-10 卸载成功界面

 

单击“”按钮可对已上传或已卸载的补丁进行删除，热补丁删除成功后，在补丁升级框中该补丁被删除；正在加载的补丁不允许删除。

 

 

1.2.5  代理设置

代理设置用于实现设备的HTTP代理升级功能，是指通过配置的代理服务器，通过代理服务器连接特征库版本服务器，进行特征库的自动升级。当设备不能访问互联网时，可以使用代理服务器升级特征库。

通过菜单“系统管理 > 系统维护 > 系统升级”，点击“代理设置”进行HTTP代理服务器的相关配置。如下图所示。

图1-11 代理设置页面

 

表1-4 代理配置各个配置项含义描述表

标题项	说明
启用代理服务器	是否启用代理服务，只支持HTTP代理。
IP地址	代理服务器的IP地址，只支持IPv4地址。
端口	代理服务器的端口，取值范围是1~65535。
验证用户	代理服务器是否需要启用验证用户，根据代理服务器的设置进行选择，启用后需要用户名密码进行代理验证。
用户	代理服务器的用户名，需要与代理服务器的配置一致，只支持输入汉字、数字、字母以及@._-()[]|:，支持的长度范围是1~63字符。
密码	代理服务器的密码，需配置为代理服务器对应用户名的密码，只支持输入数字、字母及特殊字符（除非法输入外），支持的长度范围是0~31字符。

 

 

1.2.6  升级记录查看

通过菜单“系统管理 > 系统维护 > 系统升级”，进入如图1-12所示页面，通过页面中的红色圈选部分，查看升级记录。

图1-12 查看升级记录

 

1.2.7  HTTP代理自动升级配置举例

1. 组网需求

如图1-13所示，某公司内网设备不能直接访问互联网，要通过代理服务器进行特征库升级，在设备上配置代理服务器配置。

图1-13 HTTP代理自动升级功能组网图

 

1.3  配置思路

l     配置代理服务器

l     升级特征库

1.4  配置注意事项

在升级特征库前需配置DNS服务器。

1.5  配置步骤

(1)     配置代理服务器

进入“系统管理>系统维护>系统升级”，页面上点击选择“代理设置”，输入IP、端口、用户和密码，点击“提交”。

图1-14 配置代理服务器

 

(2)     配置DNS服务器

进入“网络配置>基础网络>DNS服务>DNS服务器”，配置DNS服务器地址。

图1-15 配置DNS服务器

1.6  验证配置

在设备的Web管理页面上进入“系统管理>系统维护>系统升级”，在“自动升级”页面单击“立即升级”，如图4所示。升级成功后可以在升级历史中查看升级结果，如图5所示

 

 

 

1.7  系统重启

1.7.1  系统重启

通过菜单“系统管理 > 系统维护 > 系统重启”，进入如图1-16所示页面，选择“系统重启”。

图1-16 系统重启页面

 

 

点击<提交>按钮，重启系统。

1.7.2  恢复出厂设置

通过菜单“系统管理 > 系统维护 > 系统重启”，进入如图1-17所示页面，选择“恢复出厂设置”。

图1-17 恢复出厂设置

 

 

点击<提交>按钮，恢复出厂设置。

1.8  配置文件

通过菜单“系统管理 > 系统维护 > 配置文件”，进入如图1-18所示页面，管理配置文件。各个配置项的含义如表1-5所示。

图1-18 配置文件管理页面

 

表1-5 配置文件管理各个配置项含义描述表

标题项	说明
系统配置导入	从本地主机中选择要导入的配置文件上传至设备。
系统配置导出	将保存的配置导出至本地主机。 注：导出的文件是UTF-8编码模式。
双备份配置	可以选择拷贝主配置文件到备份配置文件，或恢复备份配置文件到主配置文件。恢复备份配置后，需重启系统配置才可生效，重启前请勿保存配置。

 

1.9  配置管理员

1.9.1  管理员概述

设备出厂的默认配置自动创建了一个超级管理员用户admin，使用这个账号，可以登录设备对设备进行配置，包括配置其它的管理员，每个管理员都有它的管理地址。

管理员角色原来只有管理员和审计员两个角色，而在一些高端场景中，可能有多个管理员同时使用一个设备，如果所有的管理员权限相同，那么一些关键配置可能被非专业管理员修改，造成网络环境的破坏，这就需要对个管理员的权限进行划分，不同级别的管理员具有不同的权限，管理员具体权限划分如下：

·     管理员实现分级管理；

·     管理员只能管理用户组织结构下属于自己的用户组；

·     可以给管理员分配不同的权限。

1.9.2  配置管理员

在导航栏中选择“系统管理 > 系统设定 > 管理员”，进入管理员页面，点击“新建”按钮，进入管理员页面，如图1-19所示。各个显示项含义如表1-6所示。

图1-19 管理员显示页面

 

表1-6 管理员显示页面详细说明

标题项	说明
用户名	管理员的名称
角色	管理员角色有内置角色（admin和audit）和自定义角色两大类。
创建者	管理员的创建者，选择内置角色创建者为空，选择自定义角色后，创建者为当前登录的管理员。
用户组	选择内置角色不绑定用户组，选择自定义角色绑定用户组。
认证类型	有三种认证类型： ·     本地认证 ·     RADIUS认证 ·     LDAP认证
描述	管理员的描述信息
管理地址	管理员的管理地址，只有在这个范围内的地址才能通过此管理员来管理设备。
操作	javascript:void(0)：修改管理员密码； http://10.0.163.51/webui/?g=sys_admin_edit&name=admin：编辑修改管理员配置； ：删除管理员，admin管理员为内置管理员不能删除。

 

点击“新建”按钮，进入管理员配置页面，如图1-20所示。如果选择自定义角色，需要绑定用户组，如图1-21所示。各个配置项的说明如表1-7所示。

图1-20 新建管理员页面

 

图1-21 新建管理员页面-自定义角色

 

表1-7 管理员配置页面详细说明

项目	说明
用户名	输入管理员的用户名。1~31字符。
描述	填写管理员的描述信息（可选）。
认证类型	选择管理员账号的认证方式，支持本地、RADIUS和LDAP三种方式。如果选择了本地认证，需同时设置登录密码；如果选择了RADIUS或LDAP认证，需同时配置相应的认证服务器。 Radius服务器不支持IPv6地址的认证。
密码	管理员对应的密码，最少8个字符，密码必须包括数字、字母以及字符（!@#$%’,-.）
确认密码	对输入的密码进行确认输入
IP/MAC	管理员绑定的IP/MAC地址列表，支持子网地址、范围地址、主机地址三种方式，最多可配置128个。 子网地址：IPv4或IPv6网段地址，例如192.168.1.1/24或2000::1/64。 范围地址：IPv4或IPv6地址范围，例如192.168.1.1-192.168.1.100或2000:2001:2002:2003::1到2000:2001:2002:2003::5。   主机地址：IPv4或IPv6主机IP地址，例如192.168.1.1或2000::100。
已添加项目	已经添加的子网地址、主机地址和范围地址。
角色	默认内置admin和audit两个角色，这两个角色不绑定用户组，如果选择自定义角色，则管理员需要绑定用户组。
用户组	管理员绑定的用户组，只支持用户组，不支持属性组。

 

 

1.9.3  角色管理员配置

在导航栏中选择“系统管理 > 系统设定 > 管理员 > 角色管理”，进入角色管理页面，如图1-22所示。

图1-22 管理员角色显示页面

 

页面的详细说明如表1-8所示。

表1-8 角色管理详细说明

项目	说明
名称	角色的名称
描述	针对角色的说明
操作	系统内置两个角色admin和audit，不能进行修改删除操作，新建角色可以进行修改和删除操作。 javascript:but_edit_handle('r1');：修改角色配置； ：删除角色，未被引用的角色可以删除，被引用的角色无法删除。

 

1.9.4  查看在线信息

在导航栏中选择“系统管理 > 系统设定 > 管理员 > 在线信息”，进入在线信息页面，可以查看当前正在管理设备的管理员，如图1-23所示。

图1-23 在线信息页面

 

页面的详细说明如表1-9所示。

表1-9 查看在线信息详细说明

项目	说明
用户名	管理员的名称
管理地址	管理员登录的IP地址
访问方式	管理员可以通过以下几种方式来管理设备： ·     WEB ·     CONSOLE ·     SSH ·     CONSOLE ·     DataCenter
登录时间	管理员登录设备的时间
操作	点击删除图标可以根据需要强制管理员下线

 

 

1.9.5  查看阻断用户

在导航栏中选择“系统管理 > 系统设定 > 管理员”，然后再点击“阻断用户”标签页，可以查看当前被阻断登录的用户信息，如图1-24所示。缺省情况下，阻断时间为一分钟，点击操作下面的删除图标可立即解除阻断。

图1-24 查看阻断用户页面

 

1.10  管理设定

1.10.1  管理设定配置

通过菜单“系统管理 > 系统设定 > 管理设定”，进入管理设定配置页面，如图1-25所示。各个配置项的含义如表1-10所示。

图1-25 管理设定配置页面

 

 

表1-10 管理设定配置项含义描述表

标题项	说明
实时保存配置	是否实时的保存配置，通过web管理方式管理时，配置修改后将自动保存。
管理员唯一性检查	是否检查管理员的唯一性，即是否只允许一个管理员登录。
管理员双因子认证	管理员双因子认证，开启后当使用https方式登录设备时需要有经过授权的Ukey+合法账号才能登录设备。 Ukey管理软件：对Ukey进行初始化激活 Ukey客户端软件：通过客户端软件将设备端生成的用户证书导入Ukey
最大登录尝试次数	允许管理员登录失败后重新登录的次数。
登录失败阻断间隔	管理员登录失败允许再次登录的间隔时间。
页面超时时间	页面超时时间，如操作时间超过该值页面将自动退出。
web在线管理员	同时web在线的管理员的最大个数。
管理员认证方式	选择管理员认证方式（本地认证或外部认证）。 ·     本地认证：使用设备本地管理员账号密码登录设备； ·     外部认证：选择外部服务器进行外部认证。
HTTPS端口	设备HTTPS管理端口，默认为443，可修改为1024-65534之间未被系统使用的端口
HTTP端口	设备HTTP管理端口，默认为80，可修改为1024-65534之间未被系统使用的端口
TELNET端口	设备TELNET管理端口，默认为23，可修改为1024-65534之间未被系统使用的端口
SSH端口	设备SSH管理端口，默认为22，可修改为1024-65534之间未被系统使用的端口
RESTful API	默认处于开启状态。开启后，设备的Restful API接口才允许被访问；关闭后，设备的RESTful API接口不允许被访问。
RESTful API信任地址	和“RESTful API”开关配合使用，在“RESTful API”开关开启的情况下，选择已存在的地址对象或新建地址对象后再选择。被选中的地址对象所对应的客户端可以访问设备的RESTful API 接口。支持配置单个IP和网段作为请求来源。
密码周期	启用复选框后及开启密码周期功能，密码周期范围1~180天。时间到期后，会提示修改密码。

 

1.10.2  管理员外部认证

1. 管理员外部认证概述

目前系统管理员支持认证方式：radius服务器认证方式、LDAP服务器认证方式，这两种认证方式都需要在设备上建立管理员账户，对于本地用户名密码校验是合理的，但是对于其他两种外部认证方式，本地保存用户名对于认证过程没有作用，不仅会增加维护复杂性，还会导致账户外泄，增加安全隐患。

为了更好的提高设备可维护性，在RADIUS服务器校验方式、LDAP服务器校验方式中，不再需要配置用户名。

本功能具有如下功能点：

·     全局设定支持管理员认证方式切换：本地认证、外部服务器认证；

·     在保留现有本地认证方式的基础上增加支持外部服务器认证。

2. 配置管理员外部认证

通过菜单“系统管理 > 系统设定 > 管理设定”，进入如图1-26所示页面。在该页面上可以配置管理员外部认证的相关功能。各个配置项含义如表1-11所示。

图1-26 管理员外部认证配置页面

 

表1-11 管理员认证方式配置项含义表

标题项	说明
管理员认证方式	选择管理员认证方式（本地认证或外部认证）。 ·     本地认证：使用设备本地管理员账号密码登录设备； ·     外部认证：选择外部服务器进行外部认证。
认证服务器	选择管理员外部登录时使用哪种认证服务器（Radius或Ldap）。
radius/ldap	选择认证服务器对象。
服务器异常开启本地认证	选择外部认证时可以选择服务器异常是否开启本地认证，默认为开启状态。

 

1.10.3  三权分立

1. 三权分立概述

设备的三权分立主要为一些资质审核公司要求管理员互相制约互相监控的功能。

启用该功能后，系统会删除所有切换前的管理员及角色，并自动生成三个账号：account、authority和audit，默认密码均为admin。三权模式下的账号权限如下：

·     account用户：创建及删除系统管理员账号，查看account账号的操作日志，修改自身的用户名和密码。

·     authority用户：对新建的管理员账号进行角色授权，查看authority账号的操作日志，修改新建管理员账号或自身账号的用户名和密码。

·     audit用户：审核管理员可对用户权限监控及操作日志查看。

 

2. 模式切换

通过菜单“系统管理>系统设定>管理设定>模式切换”，进入模式切换页面，进行普通模式到三权模式的切换，如图1-27所示。该动作不可逆，提交后，当前配置页面将退出登录状态。

图1-27 模式切换配置页面

 

 

 

(1)     account登录

account（账号管理员）登录后，进入“系统管理>系统设定>管理员”页面，点击<新建>可以创建新的系统管理员账号，或在操作列下点击图标修改已有的系统管理员账号，如图1-28所示。

图1-28 账号管理员配置页面

 

 

新建管理员账号的角色不可编辑，默认为“default”。

图1-29 新建管理员页面

 

(2)     authority登录

authority（权限管理员）登录后，进入“系统管理>系统设定>管理员>角色管理”页面，可以查看系统的角色并对角色进行授权，如图1-30所示。角色管理的配置请参考角色管理员配置。

图1-30 角色管理配置页面

 

 

对于尚未分配权限的系统管理员，在操作列下点击图标分配角色，如下图所示。

图1-31 分配管理员角色页面

如果对新建的管理员分配了管理员配置权限，如图1-32所示。使用新建的管理员账号登录设备之后可以创建新的管理员账号。

图1-32 分配管理员配置权限

 

(3)     audit登录

audit（审核员）登录后，进入“系统管理>系统设定>管理员>角色管理”页面，可以查看所有系统管理员的权限状态，也可修改新建管理员的角色权限；或在“数据中心>日志中心>操作日志”页面查看所有账号的操作日志，如图1-33、图1-34所示。同时，该账号可编辑自身账号的管理员名称及密码。

图1-33 审核员查看管理员角色权限页面

 

图1-34 审核员操作日志查看页面

 

1.11  时间设定

配置系统时间有两种方式，手动配置和通过配置NTP同步获得系统时间。通过菜单“系统管理 >系统设定 > 时间设定”进入时间设定页面，如图1-35所示。各个配置项的含义如表1-12所示。

图1-35 设置系统时间页面

 

 

表1-12 时间设定配置项描述表

标题项	子标题项	说明
系统当前时间	系统时间	显示当前系统时间。
	时区	选择系统当前时区。
手动设定系统时间	系统时间	手动设置的系统时间。
	时区	手动设置的时区。
NTP时间设定	主服务器	NTP主服务器。
	备服务器	NTP备服务器。
	同步间隔	NTP每次同步间隔，单位：分钟。

 

1.12  快速配置

1.12.1  快速配置概述

首次登录设备时会自动弹出快速配置框，也可以通过“系统管理 > 系统设定 > 快速配置”手动打开。通过快速配置向导的提示可以设置主机名称、系统时间等，根据网络拓扑以及应用场景选择工作模式，并完成接口、路由、DNS等功能的快速配置，可以在快速配置的引导下实现网关模式、网桥模式、旁路模式的快速配置。

1.12.2  快速配置向导

首次登录设备后，系统自动弹出“快速配置”页面，在欢迎界面单击“下一步”。如图1-36所示。

图1-36 快速配置向导欢迎界面

 

在系统设定中完成主机名称、时间以及默认策略的配置，并单击“下一步”。如图1-37所示。

图1-37 快速配置1-系统设定

 

根据组网需求选择工作模式，并单击“下一步”。如图1-38所示。

图1-38 快速配置2-选择工作模式

 

根据组网需求配置接口相关内容，比如接口IP，管理方式等，然后单击“下一步”。如图1-39所示。

图1-39 快速配置3-接口配置

 

在路由配置界面单击“添加”，在新建框中填写路由相关配置，单击“提交”，然后单击“下一步”。如图1-40所示。

图1-40 快速配置4-路由配置

 

在DNS配置页面配置DNS服务器地址，并根据需求选择启用DNS全局代理。如图1-41所示。

图1-41 快速配置5-DNS配置

 

核对配置信息，确认配置无误后，单击“提交”，即可完成快速配置。如图1-42所示。

图1-42 快速配置6-核对配置信息

 

 

1.13  网管配置

网管是用来管理设备的平台，以监控设备的运行状态。该功能用于设备与网管平台的联动，设备通过平台配置选择网管平台，同时通过认证配置中的设备注册名称及密码设置本设备的标识。在选择的网管平台输入相应的设备注册名称及密码即可管理该设备。

在导航栏中选择“系统管理 > 系统设定 >网管配置”，进入网管配置页面，编辑相关信息，点击“提交”。

图1-43 网管配置页面

表1-13 网管配置页面详细说明

标题项	说明
服务器地址	网管平台服务器的IP。
服务器端口	网管平台服务器使用的端口。
上传日志	上传日志有三种方式，分别是： ·     不上传日志：设备的日志不上传到网管服务器。 ·     syslog日志：设备的日志通过syslog日志端口上传到网管服务器。 ·     FTP上传：设备的日志通过FTP端口上传到网管服务器，FTP与syslog方式上传的日志格式相同。
设备注册名称	设备在网管平台注册的名称。
设备注册密码	设备在网管平台注册使用的密码。

 

1.14  BA平台配置

用户行为感知平台BA（User Behavioral Awareness and Analytics System）基于网络内上网行为管理设备产生的海量数据，对上网用户进行建模分析。根据不同上网行为建立对应的行为应用，深挖数据，分析用户上网行为，提前预知风险。通过可视化的数据呈现，极大的提升了管理员的使用体验，提高了数据分析的效率。

在导航栏中选择“系统管理 > 系统设定 > BA平台配置”，进入BA平台配置页面，编辑相关信息，点击“提交”。

图1-44 BA平台配置页面

表1-14 BA平台配置页面详细说明

标题项	说明
启用	勾选复选框在创建完成后立即启用该条策略。
BA平台地址	BA平台服务器的IP。
同步策略名	BA平台服务器中的“同步策略”的名称，系统自动读取后选择。
接入密钥	BA平台服务器中“同步策略”对应的密钥。

 

1.15  系统诊断工具

1.15.1  Ping

通过菜单“系统管理 > 系统维护 > 系统诊断工具 > Ping”，进入如图1-45所示页面。各个配置项的含义如表1-15所示。

图1-45 Ping页面

 

表1-15 Ping各个配置项含义描述表

标题项	说明
目的地址	需要ping的IP地址，或域名。
探测包数目	发送探测包的数量。
探测包大小	每个探测包的大小。
Ping结果	显示ping包返回的结果。

1.15.2  Traceroute

通过菜单“系统管理 > 系统维护 > 系统诊断工具 > Traceroute”，进入如图1-46所示页面。各个配置项的含义如表1-16所示。

图1-46 Traceroute页面

 

表1-16 Traceroute各个配置项含义描述表

标题项	说明
目的地址	需要探测的地址。
探测方式	可以选择UDP/ICMP两种探测方式。
Traceroute探测结果	显示探测结果。

 

1.15.3  TCP Syn

通过菜单“系统管理 > 系统维护 > 系统诊断工具 > TCP Syn”，进入如图1-47所示页面。各个配置项的含义如表1-17所示。

图1-47 TCP Syn页面

 

表1-17 TCP Syn各个配置项含义描述表

标题项	说明
目的地址	需要探测的地址。
端口	TCP端口号。
探测包数目	探测包的发送数量。
TCP Syn包探测结果	显示探测结果。

 

1.16  抓包工具

通过菜单“系统管理 > 系统维护 > 抓包工具”，进入如图1-48所示页面。各个配置项的含义如表1-18所示。

图1-48 抓包工具页面

 

表1-18 抓包工具各个配置项含义描述表

标题项	说明
接口	要抓取报文的接口。
协议	抓取报文的协议类型。
源IP	抓取报文的源IP地址，全零或空表示任意地址。
源端口	抓取报文的源端口号，零或空表示任意端口号。
目的IP	抓取报文的目的IP地址，全零或空表示任意地址。
目的端口	抓取报文的目的端口号，零或空表示任意端口号。
抓取新建会话	抓取新建连接的前N个报文，取值为0~1024。
应用	根据应用协议抓取报文。

 

抓取结束后，抓取的报文文件将以.pcap格式保存，在如图1-49所示的页面中显示，并提供导出。各个配置项的含义如表1-19所示。

图1-49 文件列表页面

 

表1-19 文件列表各个配置项含义描述表

标题项	说明
文件名称	抓取报文的文件名称。
文件大小	抓取报文的文件大小。
结束时间	抓取报文的结束时间。
操作	可删除或导出对应文件。

 

1.17  服务器管理

1.17.1  服务器管理概述

系统告警支持邮件外发功能，报表管理支持邮件外发和FTP外发，可通过服务器管理页面配置邮件服务器和FTP服务器来实现邮件外发及FTP外发。

1.17.2  FTP服务器的配置

通过菜单“系统管理>服务器管理>FTP服务器”，进入FTP服务器配置页面，如图1-50所示。

图1-50 FTP服务器配置页面

 

页面的详细说明如表1-20所示。

表1-20 FTP服务器配置详细说明

项目	说明
服务器地址/域名	发送的FTP服务器的IP地址或域名
FTP服务器端口	FTP服务器的端口
用户名	登录FTP服务器的用户名
密码	登录FTP服务器的密码

 

单击<验证用户和密码>验证FTP服务器的用户名和密码访问是否成功，并显示验证结果，如图1-51所示。

图1-51 FTP用户名和密码验证成功

 

1.17.3  邮件服务器的配置

通过菜单“系统管理>服务器管理>邮件服务器”，进入邮件服务器配置页面，如图1-52所示。

图1-52 邮件服务器配置页面

 

页面的详细说明如表1-21所示。

表1-21 邮箱服务器配置详细说明

项目	说明
发件人地址	发件人邮箱地址
邮箱服务器	发送地址的邮箱服务器
服务器端口	服务器端口
SSL	选中后可设置SSL协议端口号
smtp 服务器身份验证	配置smtp 服务器身份验证的用户名、密码，如果不需要验证可不选。
测试邮箱有效性	检查配置是否正确，正确则会收到测试邮件

 

1.18  短信服务

1.18.1  概述

短信网关是当终端与设备对接时，给认证终端指定的手机号下发授权验证码的设备，基于HTTP短信网关的通用框架，针对设备原短信认证功能业务扩展，整合共性方案，实现短信服务化，可解决如下问题：

·     短信服务和认证接口分离，减少相互间的耦合以及配置业务的分离；

·     解决原短信认证模块强绑定问题，为设备其它模块提供更有效短信服务接口。

1.18.2  通用短信网关配置

1. 短信服务设置

在导航栏中选择“系统管理>服务器管理>短信服务”，单击新建进入短信服务设置页面，如下图所示。

图1-53 短信服务设置页面

 

页面的详细说明如下表所示。

表1-22 短信服务配置说明

项目	说明
名称	短信服务对象的名称
描述	可输入该短信服务对象的作用等信息
厂商	通过下拉框方式选择系统内置的不同短信厂商（不同厂商需要填写信息各不相同，实际情况请根据所选厂商进行填写，此处以“亿美软通”为例说明）。
短信内容前缀	短信内容前面部分的描述信息
网关地址	短信厂商提供的通信地址
序列号	短信厂商提供的产品序列号
密码	短信厂商提供的产品密码
短信key	短信厂商提供的产品key值
扩展号段	短信厂商提供的扩展功能号码

 

2. 短信认证配置

在导航栏中选择“用户管理>认证管理>认证方式>短信认证”，进入短信认证页面，如下图所示。

图1-54 短信认证配置页面

 

短信认证配置页面的详细说明如下表所示。

表1-23 短信认证配置详细说明

项目	说明
启用短信认证	选择启用或者不启用短信认证功能
短信对象	通过下拉框选择创建的短信服务对象，只能下拉选择一个短信对象。

 

3. 配置认证策略

在导航栏中选择“用户管理>认证管理>认证策略”，单击新建进入认证策略配置页面，启用认证策略，认证方式选择“短信认证”，如下图所示。

图1-55 认证策略配置页面

 

1.18.3  通用短信网关配置举例

1. 组网需求

用户通过手机号接收上网验证码，验证码通过短信网关认证后，可以通过设备正常上网。设备接口及主机的IP地址和掩码如图1-56所示。测试用户Host通过设备正常上网，手机号可以正常接收短信验证码。

2. 组网图

图1-56 通用短信网关配置举例组网图

3. 使用限制及注意事项

(1)     短信服务对象最多只能配置32条。

(2)     短信认证中只能下拉选择一个短信对象。

(3)     在启用短信认证前，需要先创建短信服务对象，并配置DNS服务器。

4. 配置步骤

(1)     配置接口地址

配置设备的接口，进入“网络配置>接口配置”，点击操作，配置ge0的地址为：10.210.13.5/16，ge13的地址为：2.2.2.2/24。

图1-57 配置接口ge0

 

图1-58 配置接口ge13

 

(2)     配置静态路由

配置设备为路由模式，进入“网络配置>路由管理>静态路由”，点击新建。

图1-59 配置静态路由

 

(3)     配置NAT

进入“策略配置>NAT转换策略”，点击新建。

图1-60 配置源NAT

 

(4)     配置短信服务对象

进入“系统管理>服务器管理>短信服务”，点击新建，输入名称、描述以及短信厂商的相关信息，提交。

图1-61 配置短信服务

 

(5)     配置DNS服务器

进入“网络配置>基础网络>DNS服务>DNS服务器”，启用DNS全局代理，并配置一个DNS服务器地址。

图1-62 配置DNS服务器

 

(6)     配置短信认证

进入“用户管理>认证管理>认证方式>短信认证”，启用短信认证，通过短信对象下拉框选择创建的短信服务对象，提交。

图1-63 配置短信认证

 

(7)     配置认证策略

进入“用户管理>认证管理>认证策略”，点击新建，认证方式选择“短信认证”，配置完成后点击提交。

图1-64 认证策略配置

 

5. 验证配置

(1)     用户进行短信认证

如图1-65所示，填入手机号，点击“发送”，即可收到短信验证码，填入收到的验证码，勾选“我已阅并接受以下协议”后，点击登录按钮，即可登录成功。登录成功后如图1-66所示。

图1-65 短信认证页面

 

图1-66 认证登录成功

 

(2)     查看在线用户

进入“数据中心>系统监控>在线用户”在属性组中选择“认证用户>短信用户”，即可看到已认证上线的用户。

图1-67 查看在线用户

 

1.19  典型配置举例

1.19.1  管理员认证典型配置举例

1. 组网需求

管理员可以访问设备登录页面，如果配置外部认证方式，使用外部服务器内的账号可以登录设备。

·     设备到外部服务器可达。

·     如果设备到外部服务器不可达，开启服务器异常进行本地认证，使用本地账号可以登录。

2. 配置步骤

(1)     配置RADIUS服务器。如图1-68所示。

图1-68 RADIUS服务器配置页面

 

(2)     配置管理员外部radius认证。如图1-69所示。

图1-69 管理员radius认证配置

 

3. 验证配置

(1)     配置完成后，用户访问设备登录页面，使用radius服务器内的账号密码登录设备，登录成功，使用本地账号密码登录，提示账号密码错误。

(2)     “服务器异常开启本地认证”开关选择“开启”时，如果设备与服务器无法通讯，使用本地账号密码可以登录成功。

(3)     “服务器异常开启本地认证”开关选择“关闭”时，如果设备与服务器无法通讯，使用本地账号无法登录设备。

 

 

1.19.2  Ping 配置举例

1. 组网需求

检测设备网络是否畅通。

2. 配置步骤

按照图1-70所示配置。

图1-70 配置Ping

 

点击<提交>按钮，提交配置。

3. 验证配置

查看诊断结果。如图1-71所示。

图1-71 Ping结果

 

1.19.3  Traceroute 配置举例

1. 组网需求

检测设备网络是否畅通。

2. 配置步骤

按照图1-72所示配置。

图1-72 配置Traceroute

 

点击<提交>按钮，提交配置。

3. 验证配置

查看诊断结果。如图1-73所示。

图1-73 Traceroute结果

 

1.19.4  TCP Syn 配置举例

1. 组网需求

检测设备网络是否畅通。

2. 配置步骤

按照图1-74所示配置。

图1-74 配置TCP Syn

 

点击<提交>按钮，提交配置。

3. 验证配置

查看诊断结果。如图1-75所示。

图1-75 TCP Syn结果

1.19.5  管理员分级分权配置举例

1. 组网需求

PC1和PC2分别属于group1和group2组通过设备访问外网，现需在设备上创建两个管理员admin1和admin2分别绑定group1和group2用户组，通过创建的管理员登录设备分别创建各自的审计策略和控制策略对下面的用户进行审计及控制。admin1管理员可以看到admin2创建的审计策略和控制策略但不能修改，也不能看到group2组下相关用户产生的审计日志和控制日志；同样admin2管理员可以看到admin1创建的审计策略和控制策略，但不能修改，也不能看到group1用户组下相关用户产生的审计日志和控制日志。

2. 组网图

图1-76 管理员配置举例组网图

 

3. 配置步骤

(1)     配置设备接口地址

图1-77 配置设备接口地址

 

(2)     配置设备默认路由。

图1-78 配置设备默路由

 

(3)     配置出接口源NAT地址转换

图1-79 配置出接口源地址转换

 

(4)     配置用户组绑定IP网段

图1-80 配置用户组绑定IP网段

 

(5)     创建角色并分配权限

图1-81 创建角色admin1

 

图1-82 创建角色admin2

 

图1-83 创建角色完成

 

(6)     创建管理员admin1和admin2，分配角色并绑定用户组，如图1-84、图1-85所示，配置完成后单击“提交”按钮，如图1-86所示。管理员都是在admin管理员下创建的，所以创建者都是admin。

图1-84 创建管理员admin1，并绑定用户组

 

图1-85 创建管理员admin2，并绑定用户组

 

图1-86 创建管理员完成

 

(7)     使用admin1管理员登录设备创建控制策略和审计策略，在策略中用户组只能选择管理员绑定的group1组，策略创建成功之后策略的创建者为admin1。

图1-87 admin1登录设备创建控制策略

 

图1-88 admin1登录设备创建控制策略

 

图1-89 admin1登录设备创建审计策略

 

图1-90 admin1登录设备创建审计策略

 

(8)     使用admin2管理员登录设备创建控制策略和审计策略，在策略中用户组只能选择管理员绑定的group2组，策略创建成功之后策略的创建者为admin2。

图1-91 admin1登录设备创建控制策略

 

图1-92 admin1登录设备创建控制策略

 

图1-93 admin1登录设备创建审计策略

 

图1-94 admin1登录设备创建审计策略

 

4. 结果验证

(1)     使用admin1管理员登录设备可以看到admin2管理员创建的策略，但是无法编辑修改操作。

图1-95 admin1登录设备修改admin2创建的控制策略

 

图1-96 admin1登录设备修改admin2创建的审计策略

 

(2)     使用admin1管理员登录设备只能看到group1组下用户产生的控制日志和审计日志。

图1-97 admin1登录设备查看控制日志

 

图1-98 admin1登录设备查看审计日志

 

(3)     使用admin2管理员登录设备可以看到admin1管理员创建的策略，但是无法编辑修改操作。

图1-99 admin2登录设备修改admin1创建的控制策略

 

图1-100 admin2登录设备修改admin1创建的审计策略

 

(4)     使用admin2管理员登录设备只能看到group2组下用户产生的控制日志和审计日志。

图1-101 admin2登录设备查看控制日志

 

图1-102 admin2登录设备查看审计日志

1.19.6