策略中心

本章包含如下内容：

·     安全策略

·     IP地址对象组

·     MAC地址对象组

·     服务对象组

·     时间段

·     入侵防御（IPS）

·     防病毒

·     安全域

·     VRF

·     IPSec策略

·     IKE提议

·     IPSec参数

·     配置管理

特性简介

安全策略通过指定源/目的安全域、源IP/MAC地址、目的IP地址、服务、应用、终端、用户和时间段等过滤条件匹配出特定的报文，并根据预先设定的策略动作对此报文进行处理；若报文未匹配上任何策略，则丢弃该报文。当安全策略中未配置过滤条件时，则该策略将匹配所有报文。

安全策略的名称

设备上可以配置多个安全策略，每个策略均由名称和类型两类要素唯一标识。

配置指南

安全策略配置思路

安全策略的配置思路如下图所示：

图-1 安全策略配置指导图

新建策略

具体步骤如下：

1.     选择“策略中心 > 安全策略 > 安全策略”。

2.     在“安全策略”页面单击<新建>按钮，弹出“新建安全策略”弹出框。

3.     安全策略的具体配置内容如下表所示。

表-1 安全策略配置参数表

4.     在“新建安全策略”弹出框中单击<确定>按钮。新建安全策略成功，并会在安全策略页面中显示。

安全策略模板配置思路

安全策略模板的配置思路如下图所示：

图-2 安全策略模板配置指导图

新建策略模板

具体步骤如下：

1.     选择“策略中心 > 安全策略 > 安全策略模板”。

2.     在“安全策略模板”页面单击<新建>按钮，跳到“新建安全策略模板”页面。

3.     安全策略模板的具体配置内容如下表所示。

表-2 安全策略模板配置参数表

4.     在“新建安全策略模板”页面中单击<确定>按钮。新建安全策略模板成功，并会在安全策略模板页面中显示。

安全策略部署配置思路

安全策略部署的配置思路如下图所示：

图-3 安全策略部署配置指导图

新建安全策略部署任务

具体步骤如下：

1.     选择“策略中心 > 安全策略 > 安全策略部署”。

2.     在“安全策略部署”页面单击<新建>按钮，跳到“新建安全策略任务”页面。

3.     安全策略部署的具体配置内容如下表所示。

表-3 安全策略部署配置参数表

4.     在“新建安全策略任务”页面中单击<确定>按钮。新建安全策略部署任务成功，并会在安全策略部署页面中显示。

5.     在任务执行完成后，单击操作栏<结果详情>按钮，查看每台设备任务执行的结果。

使用限制和注意事项

安全策略

·     安全策略名称不能重复。

·     安全策略部署任务名称不能重复。

安全策略模板

·     安全策略模板名称不能重复。

·     至少配置一条安全策略。

·     选择策略后可以对策略进行拖动排序，序号靠前的策略优先匹配。

安全策略部署

·     安全策略部署任务模板名称不能重复。

·     先选定安全策略模板后才能选择设备。

·     至少选择一台设备。

·     选择设备组后在列表中只会展示该设备组中所有的在线设备。

特性简介

IP地址对象组定义了一系列报文匹配规则，可以被其他业务模块等引用，作为匹配报文的条件。IP地址对象组由一条或多条IPv4或IPv6IP地址对象组成，每条地址对象定义了一个报文匹配规则。报文只要满足IP地址对象组中一条地址对象的匹配规则，则该报文匹配该IP地址对象组。地址对象分为主机地址、范围地址、子网地址三种。

主机地址

包含一个主机名形式的地址或者一个或多个间断的IP地址。

范围地址

包含由开始IP地址和结束IP地址共同确定的一个IP地址范围，还可以指定将这个范围内的某些IP地址排除在外。

子网地址

包含由IP地址和通配符掩码共同确定的一个IP地址范围，还可以指定将这个范围内的某些IP地址排除在外。

配置指南

配置思路

IP地址对象组的配置思路如下图所示：

图-4 IP地址对象组配置指导图

主机地址的配置思路如下图所示：

图-5 主机地址配置指导图

范围地址的配置思路如下图所示：

图-6 范围地址配置指导图

子网地址的配置思路如下图所示：

图-7 子网地址配置指导图

配置IP地址对象组

IP地址对象组的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > IP地址对象组”。

2.     在“IP地址对象组”页面单击<新建>按钮，进入“新建IP地址对象组”页面。

3.     新建IP地址对象组的具体配置内容如下表所示。

表-4 IP地址对象组配置参数表

4.     单击<确定>按钮，新建IP地址对象组成功，并会在IP地址对象组页面中显示。

配置主机地址

主机地址的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > IP地址对象组”。

2.     在“主机地址”页面单击<新建>按钮，进入“新建主机地址”页面。

3.     新建主机地址的具体配置内容如下表所示。

表-5 主机地址配置参数表

4.     单击<确定>按钮，新建主机地址成功，并会在主机地址页面中显示。

配置范围地址

范围地址的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > IP地址对象组”。

2.     在“范围地址”页面单击<新建>按钮，进入“新建范围地址”页面。

3.     新建范围地址的具体配置内容如下表所示。

表-6 范围地址配置参数表

4.     单击<确定>按钮，新建范围地址成功，并会在范围地址页面中显示。

配置子网地址

子网地址的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > IP地址对象组”。

2.     在“子网地址”页面单击<新建>按钮，进入“新建子网地址”页面。

3.     新建子网地址的具体配置内容如下表所示。

表-7 子网地址配置参数表

4.     单击<确定>按钮，新建子网地址成功，并会在子网地址页面中显示。

使用限制和注意事项

配置地址对象

·     地址对象名称在组织内不能重复。

·     主机地址IP地址列表至少填一个IP地址。

·     地址范围后面输入框的IP地址不能小于前面输入框的IP地址。

·     排除地址中输入的IP地址不能超出地址范围。

·     排除地址中输入的IP地址不能超出CIDR地址范围。

配置IP地址对象组

·     IP地址对象组名称在组织内不能重复。

·     地址对象列表至少包含一个地址对象。

特性简介

MAC地址对象组定义了一系列报文匹配规则，可以被其他业务模块引用，作为匹配报文的条件。为了简化配置，对象组还支持多级嵌套功能，即一个MAC地址对象组可以引用另一个MAC地址对象组，从而复用该MAC地址对象组中的报文匹配规则。

配置指南

配置思路

MAC地址对象组的配置思路如下图所示：

图-8 MAC地址对象组配置指导图

配置MAC地址对象组

MAC地址对象组的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > MAC地址对象组”。

1.     在“MAC地址对象组”页面单击<新建>按钮，进入“新建MAC地址对象组”页面。

2.     新建MAC地址对象组的具体配置内容如下表所示。

表-8 MAC地址对象组配置参数表

3.     单击<确定>按钮，新建MAC地址对象组成功，并会在MAC地址对象组页面中显示。

使用限制和注意事项

·     MAC地址对象组的嵌套层次最大为5层，譬如MAC地址对象组1、2、3、4分别引用对象组2、3、4、5，则对象组5不能再引用其他MAC地址对象组，MAC地址对象组1也不能再被其他对象组引用。

·     嵌套的对象组不能形成循环。

特性简介

服务对象组包含服务对象（预定义对象和自定义对象），用于匹配报文中的协议类型以及协议的特性（如TCP或UDP的源端口/目的端口、ICMP协议的消息类型/消息码等）。

服务对象

服务对象包括预定义对象和自定义对象，预定义对象是由系统管理员创建的匹配报文特性服务对象，而自定义对象是由用户本身创建的服务对象，两者都是服务对象组的组成部分。

服务对象组

服务对象组即通过选择预定义对象和自定义对象组成的一套用于匹配报文中协议类型和协议特性的规则。

配置指南

配置思路

服务对象组的配置思路如下图所示：

配置服务对象组指导图

新建服务对象组

新建服务对象组的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > 服务对象组 > 服务对象组”。

2.     在“服务对象组”Tab页面单击<新建>按钮，弹出新建服务对象组弹窗。

3.     新建服务对象组的具体配置内容如下表所示。

表-9 新建服务对象组参数表

4.     单击<确定>按钮，新建服务对象组成功，并会在服务对象组Tab页面表格中显示。

自定义对象

新建自定义服务对象的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > 服务对象组 > 自定义对象”。

2.     在“自定义对象”Tab页面单击<新建>按钮，打开新建自定义对象弹窗。

3.     新建自定义服务对象的具体配置内容如下表所示。

表-10 新建自定义服务对象配置参数表

4.     单击<确定>按钮，新建自定义对象成功，并会在自定义对象Tab页面表格中显示。

使用限制和注意事项

新建服务对象

·     当起始端口和结束端口相同时，则表示源端口和目的端口都是一个定值。

·     起始端口的取值要小于等于结束端口。

特性简介

时间段（Time Range）定义了一个时间范围。用户通过创建一个时间段并在某业务中将其引用，就可使该业务在此时间段定义的时间范围内生效。但如果一个业务所引用的时间段尚未配置或已被删除，该业务将不会生效。

在一个时间段中，可以使用以下两种方式定义时间范围：1.周期时间段：表示以一周为周期（如每周一的8至12点）循环生效的时间段。2.绝对时间段：表示在指定时间范围内（如2021年11月11日8点至2021年11月13日18点）生效的时间段。

当一个时间段内包含有多个周期时间段和绝对时间段时，系统将先分别取各周期时间段的并集和各绝对时间段的并集，再取这两个并集的交集作为该时间段最终生效的时间范围。

时间段

用户通过新建时间段包括绝对时间段和周期时间段，定义了一个时间范围，用户在某个业务中引用，即可使该业务在此时间段定义的时间范围内生效。

配置指南

配置思路

时间段的配置思路如下图所示：

图-9 配置时间段指导图

新建时间段

新建时间段的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > 时间段”。

2.     在“时间段”页面单击<新建>按钮，打开新建时间段弹窗。

3.     新建时间段的具体配置内容如下表所示。

表-11 新建时间段配置参数表

4.     单击<确定>按钮，新建时间段成功，并会在时间段页面表格中显示。

新建周期时间段

新建周期时间段的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > 时间段”。

2.     在“时间段”页面单击<新建>按钮，在弹出的新建时间段弹窗中“周期时间段”一栏单击<新建>按钮。

3.     新建周期时间段的具体配置内容如下表所示。

表-12 新建周期时间段参数表

4.     单击<确定>按钮，新建周期时间段成功，并会在周期时间段表格中显示。

新建绝对时间段

新建绝对时间段的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > 时间段”。

2.     在“时间段”页面单击<新建>按钮，在弹出的新建时间段弹窗中“绝对时间段”一栏单击<新建>按钮。

3.     新建绝对时间段的具体配置内容如下表所示。

表-13 新建绝对时间段参数表

4.     单击<确定>按钮，新建绝对时间段成功，并会在绝对时间段表格中显示。

使用限制和注意事项

新建周期时间段和绝对时间段时，请勿新建多个完全一样的时间段，因为生效的只会有一条。

常见问题解答

·     为什么新建周期时间段和绝对时间段时，新建的数目和展示的数目不一致？

因为在新建时间段的过程中存在两个或多个完全相同的周期时间段或绝对时间段。

特性简介

IPS（Intrusion Prevention System，入侵防御系统）是一种可以对应用层攻击进行检测并防御的安全防御技术。入侵防御通过分析流经设备的网络流量来实时检测入侵行为，并通过一定的响应动作来阻断入侵行为，实现保护企业信息系统和网络免遭攻击的目的。

配置文件

用户通过新建入侵防御将入侵防御特征添加到入侵防御配置文件中，并且可以自定义防御特征的动作、抓包和日志等特征，达到自定义配置文件的目的。

配置指南

配置思路

入侵防御的配置思路如下图所示：

图-10 配置入侵防御指导图

新建配置文件

新建配置文件的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > 入侵防御”。

2.     在“配置文件”Tab页面单击<新建>按钮，弹出新建IPS配置文件弹窗。

3.     新建入侵防御配置文件的具体配置内容如下表所示。

表-14 新建入侵防御配置文件参数表

4.     单击<确定>按钮，新建入侵防御配置文件成功，并会在配置文件Tab页面表格中显示。

使用限制和注意事项

选择IPS特征时可自定义编辑

·     选择完IPS特征后，可在入侵防御弹窗中编辑单条IPS特征。

·     可编辑的特征属性包括动作、日志和抓包三种。

·     编辑完后的特征不会改变原IPS特征。

统一缺省动作的配置

·     统一缺省动作为缺省时，则按照对应的IPS特征执行动作、日志和抓包。

·     统一缺省动作选择黑名单、丢弃、允许、重置和重定向时，需要配置日志和抓包的开关。

常见问题解答

·     不同角色下的特征配置是怎样的？

只有系统管理员可以升级和删除IPS特征库，其他角色只能查看。

特性简介

防病毒功能是一种通过对报文应用层信息进行检测来识别和处理病毒报文的安全机制。防病毒功能凭借庞大且不断更新的病毒特征库可有效保护网络安全，防止病毒在网络中的传播。将具有防病毒功能的设备部署在企业网入口，可以将病毒隔离在企业网之外，为企业内网的数据安全提供坚固的防御。目前，该功能支持对基于以下应用层协议传输的报文进行防病毒检测：

·     FTP（File Transfer Protocol，文件传输协议）

·     HTTP（Hypertext Transfer Protocol，超文本传输协议）

·     IMAP（Internet Mail Access Protocol，Internet邮件访问协议）

·     NFS（Network File System Protocol，网络文件系统协议）

·     POP3（Post Office Protocol-Version 3，邮局协议的第3个版本）

·     SMB（Server Message Block Protocol，服务器信息块协议）

·     SMTP（Simple Mail Transfer Protocol，简单邮件传输协议）

病毒特征

病毒特征是设备上定义的用于识别应用层信息中是否携带病毒的字符串，由系统中的病毒特征库预定义。

病毒例外

缺省情况下，设备对所有匹配病毒特征的报文均进行防病毒动作处理。但是，当管理员认为已检测到的某个病毒为误报时，可以将该病毒特征设置为病毒例外，之后携带此病毒特征的报文经过时，设备将对此报文执行允许动作。

防病毒动作

防病毒动作是指对符合病毒特征的报文做出的处理，包括如下几种类型：

·     告警：允许病毒报文通过，同时生成病毒日志。

·     阻断：禁止病毒报文通过，同时生成病毒日志。

·     重定向：将携带病毒的HTTP连接重定向到指定的URL，同时生成病毒日志。

·     允许：允许病毒报文通过。

配置文件

用户根据实际需求新建自定义的防病毒配置文件。

病毒库

可查看当前病毒库包含病毒的ID和病毒名称。

配置指南

配置思路

防病毒配置思路如下图所示：

图-11 配置防病毒策略指导图

新建配置文件

新建配置文件的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > 防病毒”。

2.     在“配置文件”Tab页面单击<新建>按钮，弹出新建防病毒配置文件弹窗。

3.     新建防病毒配置文件的具体配置内容如下表所示。

表-15 新建防病毒配置文件参数表

4.     单击<确定>按钮，新建防病毒配置文件成功，并会在配置文件Tab页面表格中显示。

使用限制和注意事项

病毒例外

·     首先需要在管理员帐号下导入病毒特征库，用户可在创建防病毒策略时添加病毒例外。

常见问题解答

·     不同角色下的病毒库有何异同？

只有系统管理员可以升级和删除病毒库，其他角色只能查看。

特性简介

安全域是一个逻辑概念，用于管理设备上安全需求相同的多个接口。管理员将安全需求相同的接口进行分类，并划分到不同的安全域，统一应用安全策略，简化配置，方便管理。管理员创建安全域后，可以给安全域添加多个成员，成员的类型包括：二层物理接口和VLAN、三层物理接口、三层以太网子接口、其它三层逻辑接口。配置安全域后，设备上各接口的报文转发遵循以下规则：

·     一个安全域中的接口与一个不属于任何安全域的接口之间的报文，会被丢弃。

·     属于同一个安全域的各接口之间的报文缺省会被丢弃。

·     安全域之间的报文由安全策略进行安全检查，并根据检查结果放行或丢弃。若安全策略不存在或不生效，则报文会被丢弃。

·     非安全域的接口之间的报文会被丢弃。

·     目的地址或源地址为本机的报文，缺省会被丢弃，若该报文与安全策略匹配，则由安全策略进行安全检查，并根据检查结果放行或丢弃。

配置指南

配置思路

安全域的配置思路如下图所示：

图-12 安全域配置指导图

配置安全域

安全域的具体配置步骤如下：

1.     选择“运维管理 > 策略管理 > 全局资源 > 安全域”。

2.     在“安全域”页面单击<新建>按钮，进入“新建安全域”页面。

3.     新建安全域的具体配置内容如下表所示。

表-16 安全域配置参数表

4.     单击<确定>按钮，新建安全域成功，并会在安全域页面中显示。

5.     单击“关联接口”链接，跳转到关联接口页面，选择需要关联到该安全域的接口，单击<确定>按钮，关联接口成功。

使用限制和注意事项

·     同一个三层接口只允许加入一个安全域。

·     同一个“二层接口和VLAN”的组合只能加入到一个安全域中。

·     Management和Local安全域间之间的报文缺省会被允许。

·     请谨慎操作状态为UP的管理口，否则会导致设备网络中断。

特性简介

VRF用来实现不同VPN的路由隔离，在VRF页面可以创建VRF，然后在创建安全策略时引用VRF。

配置指南

配置思路

新建VRF思路如下：

图-13 新建VRF指导图

新建VRF

新建VRF步骤如下：

1.     选择“策略管理 >全局资源> VRF”。

2.     单击<新建>按钮，进入“新建VRF”页面。

3.     新建VRF的具体配置内容如下表所示。

表-17 VRF配置参数表

4.     单击<确认>按钮，新建VRF成功，之后可以进行关联接口操作，未关联接口的VRF不可被安全策略使用。

关联接口

关联接口规则步骤如下：

1.     选择“策略管理 > 全局资源 > VRF”。

2.     只有新建成功的VRF才可以关联接口，单击表格“关联接口数”列中的“管理接口”链接，进入管理接口页面。

3.     选择各设备下的三层工作模式接口，关联VRF。

4.     单击<确定>按钮。

使用限制和注意事项

关联接口

·     选择设备的接口时，接口原关联的VRF会替换为当前操作的VRF。

·     请谨慎操作状态为UP的管理口，否则会导致设备网络中断。

·     新建VRF成功后，需要关联接口才可以正常使用

特性简介

IPsec协议为IP层上的网络数据安全提供了一整套安全体系结构，包括安全协议AH（Authentication Header，认证头）和ESP（Encapsulating Security Payload，封装安全载荷）、IKE（Internet Key Exchange，互联网密钥交换）以及用于网络认证及加密的一些算法等。其中，AH协议和ESP协议用于提供安全服务，IKE协议用于密钥交换。

配置指南

IPSec策略配置思路

IPSec策略的配置思路如下图所示：

图-14 IPSec策略配置指导图

新建IPSec策略

具体配置步骤如下：

1.     选择“策略中心 > VPN管理 > IPSec策略 > IPSec策略”。

2.     单击<新建>按钮，弹出“新建IPSec策略”窗口。

3.     IPSec策略的具体配置内容如下表所示。

表-18 IPSec策略配置参数表

4.     单击<确定>按钮，新建IPSec策略成功，并会在IPSec策略页面中显示。

IPSec策略部署配置思路

IPSec策略部署的配置思路如下图所示：

图-15 IPSec策略部署配置指导图

新建IPSec策略部署任务

具体配置步骤如下：

1.     选择“策略中心 > VPN管理 > IPSec策略 > IPSec策略部署”。

2.     单击<新建>按钮，弹出“新建IPSec策略任务”窗口。

3.     IPSec策略任务的具体配置内容如下表所示。

表-19 IPSec策略任务配置参数表

4.     单击<确定>按钮，新建IPSec策略部署任务成功，并会在IPSec策略部署页面中显示。

使用限制和注意事项

配置IPSec策略

IPSec策略名称不能重复。

配置IPSec策略部署

IPSec策略任务名称不能重复。

特性简介

IKE为IPsec协商建立SA（Security Association，安全联盟），并把建立的参数交给IPsec，IPsec使用IKE建立的SA对IP报文加密或认证处理。IKE使用了两个阶段为IPsec进行密钥协商以及建立SA：

1.     第一阶段，通信双方彼此间建立了一个已通过双方身份认证和对通信数据安全保护的通道，即建立一个IKE SA。第一阶段有主模式（Main Mode）、野蛮模式（Aggressive Mode）和国密主模式三种IKE协商模式。在对身份保护要求不高的场合，使用交换报文较少的野蛮模式可以提高协商的速度；在对身份保护要求较高的场合，则应该使用主模式。当本端使用RSA-DE或者SM2-DE数字信封方式认证时，必须将本端的协商模式配置为国密主模式。

2.     第二阶段，用在第一阶段建立的IKE SA为IPsec协商安全服务，即为IPsec协商IPsec SA，建立用于最终的IP数据安全传输的IPsec SA。

配置指南

配置思路

IKE提议的配置思路如下图所示：

图-16 IKE提议配置指导图

新建IKE提议

具体配置步骤如下：

1.     选择“策略中心 > VPN管理 > IKE提议”。

2.     单击<新建>按钮，弹出“新建IKE提议”窗口。

3.     IKE提议的具体配置内容如下表所示。

表-20 IKE提议配置参数表

4.     单击<确定>按钮，新建IKE提议成功，并会在IKE提议页面中显示。

使用限制和注意事项

配置IKE提议

IKE提议名称不能重复。

特性简介

IPSec（IP Security，IP安全）是IETF制定的三层隧道加密协议，是一种传统的实现三层VPN（Virtual Private Network，虚拟专用网络）的安全技术。IPSec通过在特定通信方之间（例如两个安全网关之间）建立“通道”，来保护通信方之间传输的用户数据，该通道通常称为IPSec隧道。

配置指南

配置思路

IPSec参数的配置思路如下图所示：

图-17 IPSec参数配置指导图

新建IPSec参数

具体配置步骤如下：

1.     选择“策略中心 > VPN管理 > IPSec参数”。

2.     单击<新建>按钮，弹出“新建IPSec参数”窗口。

3.     IPSec参数的具体配置内容如下表所示。

表-21 IPSec参数配置参数表

4.     单击<确定>按钮，新建IPSec参数成功，并会在IPSec参数页面中显示。

使用限制和注意事项

配置IPSec参数

IPSec参数名称不能重复。

特性简介

配置管理用于对设备或设备组进行配置部署、配置备份、恢复初始配置操作，并可查看设备当前配置详情以及备份列表。

配置部署

对设备/设备组进行配置部署操作，会生成配置部署任务并记录在任务管理中。

配置备份

对设备/设备组的当前配置进行备份，会生成配置备份任务并记录在任务管理中。

恢复初始配置

对设备/设备组进行恢复初始配置操作，会生成恢复初始配置任务并记录在任务管理中。

备份列表

展示设备所有配置备份任务，上传配置备份，设置备份策略（最大规格、超出动作、超出告警）。

模板管理

模板管理用于管理设备配置、部署或恢复初始配置所需的配置模板，并展示配置模板的模板名称、设备类型、适配型号、模板类型、描述、创建用户、创建时间。

配置任务

用户对设备进行版本升级、特征库自动升级配置、配置部署、配置备份、备份回滚、恢复初始配置操作而生成的任务会记录在配置任务中，在配置任务中可以查看任务和对任务统一管理。

可对任务执行如下操作：

·     删除任务。

·     挂起任务，暂停任务执行。

·     恢复任务，恢复任务执行。

·     编辑任务，可以更改任务名称、执行时间（每月/每周/定时/立即不可改变）、持续时间。

配置指南

配置部署

图-18 配置部署配置指导图

配置部署步骤如下：

2.     选择“策略中心 > 配置管理 > 设备/设备组”。

3.     在设备列表选中对应的在线设备，单击<配置部署>按钮，弹出配置部署窗口。

4.     配置部署任务的具体配置内容如下表所示。

表-22 配置部署配置参数表

5.     单击<确认>按钮，新建配置部署任务。

配置备份

图-19 配置部署 配置指导图

配置备份步骤如下：

1.     选择“策略中心 > 配置管理＞点击ｔａｂ页的【设备】或【设备组】”。

2.     在设备列表选中对应的在线设备，单击<配置备份>按钮，弹出配置备份窗口。

3.     配置备份的具体配置内容如下表所示。

表-23 配置备份参数表

4.     单击<确认>按钮，新建配置备份任务。

恢复初始配置

图-20 配置部署 配置指导图

恢复初始配置步骤如下：

1.     选择“策略中心 > 配置管理＞点击ｔａｂ页的【设备】或【设备组】”。

2.     在设备列表选中对应的在线设备，单击<恢复初始配置>按钮，弹出恢复初始配置窗口。

3.     选择恢复初始配置模板，单击<确认>按钮完成恢复初始配置。

备份列表

配置备份步骤如下：

1.     选择“策略中心 > 配置管理＞点击ｔａｂ页的【设备】或【设备组】”。

2.     在设备列表选中对应的在线设备中单击<备份列表>按钮，跳转至备份列表页面。

备份列表界面主要功能如下：

·     展示设备所有备份，来源于配置备份任务以及上传的备份文件。

·     设置设备备份规格，告警等，单击<备份配置>按钮，弹出备份配置窗口，配置参数如下表所示。

表-24 备份设置参数表

·     新建设备备份，单击<上传备份>按钮，弹出“上传备份”窗口，上传配置文件作为备份文件。

表-25 上传配置备份 参数表

·     备份比对，任意选择两个备份文件，单击<比对>按钮，可对配置内容进行比对。

新建配置模板

新建配置模板步骤如下：

1.     选择“策略中心 > 配置管理＞模板管理”。

2.     在“配置模板管理”页面，单击<新建>按钮， 跳转至新建配置模板页面。

3.     新建配置模板的具体配置内容如下表所示。

表-26 新建配置模板参数表

4.     单击<确认>按钮，新建配置模板完成。

使用限制和注意事项

配置管理

·     新建配置部署、配置备份、恢复初始配置任务时，为确保任务执行成功，请保持选中设备在任务执行时间内在线。

·     配置部署、恢复初始配置任务必须引用与设备型号适配的模板。

·     配置备份若选择周期执行，可选择持续时间，但是执行时间必须在设置的持续时间内。（如：执行时间为每月2号，持续时间段为3号至28号，则此任务不会被执行）。

·     设备离线时，无法查看当前配置，无法下载当前配置，页面表格中<配置详情>、<配置下载>按钮不可点击。

·     备份配置缺省最大规格为100，超出最大规格覆盖备份，不产生告警。

配置任务

·     删除任务：状态为进行中的任务不可删除。

·     挂起任务：执行时间为立即，状态为已完成、进行中、挂起的任务不能挂起。

·     恢复任务：只能恢复状态为挂起的任务。

·     编辑任务：执行时间为立即、状态为已完成、进行中的任务不能编辑。

常见问题解答

·     勾选设备，对其配置部署或恢复初始配置，模板始终没有可用模板？

首先检查有无适配所有勾选设备的配置模板（模板适配型号需包含所有勾选设备的型号）。

其次检查设备信息有无型号，设备刚添加后会等待约5分钟上报设备信息，待设备信息有型号才可选择可用模板。

·     勾选了多个备份记录，<比对>按钮无法点击？

因为比对只支持对两个备份记录进行比对，所以当勾选不足或超出两个时，<比对>按钮不可点击。