上网行为管理:部署模式+端口映射
AC部署模式有三种:路由模式、网桥模式、旁路模式。
-
路由模式:
路由模式下支持AC所有功能。
如果需要使用NAT、DHCP、VPN功能时,AC必须以路由模式部署,其他工作模式没有这些功能。
-
网桥模式:
对客户原有的网络功能基本没有改动,部署网桥模式,AC就当透明设备使用。
网桥模式部署时AC不支持NAT、代理上网和端口映射、VPN、DHCP等功能。
-
旁路模式:
旁路模式主要实现审计功能,完全不需要改变客户的网络环境,及时AC设备宕机也不会造成网络中断。
旁路模式只用于上网行为的审计和基于TCP应用的控制,对于UDP协议的应用控制是无法控制的,
不支持流量管理,NAT、VPN、DHCP等功能。
路由模式配置
配置背景
背景:客户需要用新的上网行为管理设备来替换旧的出口路由器,实现行为审计和管控。
1、网口配置:配置各网口地址。如果是固定IP,则填写运营商给的IP地址及网关;如果是ADSL拨号上网,则填写运营商给的拨号帐号和密码;确定内网口的IP;
2、确定内网是否为多网段网络环境,如果是的话需要添加相应的回包路由,将到内网各网段的数据回指给设备下接的三层设备。
3、用户是否需要通过AC设备上网,如果是的话,需要设置NAT规则。
4、检查并放通防火墙规则。
排错思路
(1)检查PC本身的网口IP,子网掩码
(2)检查PC本身的默认网关,首选的DNS服务器
(3)检查AC上给PC做的SNAT
(4)检查AC上给PC做的回包路由
(5)被PC访问的设备本身能否上网 PING /TELNET /WGET
(6)网口兼容性 换网线 换网口 中间加交换机
(7)arp防护和免费arp可能存在冲突
(8)通过ifconfig检查网口错误包或者丢包,ethtool -S 查看丢包类型
网桥模式部署
配置背景
需求:客户需要部署一台上网行为管理设备,但是又不想对网络改动太大。
1、配置设备网桥地址,网关地址,DNS地址。
2、确定内网是否为多网段网络环境,本案例就是三层环境,所以需要添加相应的回包路由,将到内网各网段的数据回指给设备下接的三层设备。
3、检查并放通防火墙规则。
网桥模式设备无法上网排错思路
1、AC网线是否反接(在线用户列表出现大量公网IP)
2、网桥地址是否可用,是否和内网冲突
3、网关是否指向靠近出口方向的设备
4、设备上的DNS是否填写正确
5、确认前面设备是否有拦截(可能做ACL拦截了AC),或者是否对AC做源地址转换代理上网
旁路模式部署
配置背景
需求:某客户想部署上网行为管理设备来审计内网用户的上网行为,但是不能改动现有的网络环境。
1、交换机设置镜像口,并接到AC监听口。
2、配置需要审计的内网网段和服务器网段。
3、配置管理口地址,用于管理AC设备。
注意事项
1、路由模式可以实现设备所有功能,网桥模式其次,旁路模式多用于审计,只能对TCP应用控制,控制功能最弱。
2、路由模式对客户原有网络改造影响最大,网桥模式其次,旁路模式对客户原有网络改造无影响,即使设备宕机也不会影响客户断网。
3、设备路由模式最多支持8条外网线路。网桥模式最多支持8对网桥,旁路模式除了管理口外,其它网口均可作为监听口,可以同时选择多个网口作为监听口。
路由 | 网桥 | 旁路 | |
---|---|---|---|
DHCP | Y | N | N |
NAT | Y | N | N |
VPN | Y | N | N |
非TCP控制 | Y | Y | N |
过滤规则 | Y | Y | N |
静态路由 | Y | Y | Y |
共享接入管理 | Y | Y | N |
移动终端管理 | Y | Y | N |
代理工具管理 | Y | Y | N |
防****dos | Y | Y | N |
流量管理 | Y | Y | N |
SSL****内容识别 | Y | Y | Y |
日志中心 | Y | Y | Y |
Trunk模式部署
部署背景
拓扑如右图所示,交换机划分了三个VLAN,VLAN ID分别为10,20,30。路由器内网口配置为Trunk口,各Vlan间的互访通过路由器实现。
Trunk环境路由配置:
1、AC路由模式部署直接替代原有的路由器(或FW),并按照路由模式部署配置好设备。
2、配置LAN口IP,填写内网对应VLAN的VLAN网关IP即可。
Trunk环境网桥配置:
1、网桥模式部署在路由器与交换机之间,按网桥模式部署配置好设备。
2、可以给设备网桥配置其中一个VLAN中的可用IP来进行管理和更新规则库。
3、或者给设备管理口配置其中一个VLAN中的可用IP(此时不用加vid)来进行管理和更新规则库。
端口映射
需求背景
该客户已经通过配置实现了AC代理内网用户和服务器上公网。
内网有一台OA服务器,地址是192.200.2.250,使用的服务端口是TCP 80。
客户希望将此OA服务器发布到公网,外网用户通过http://202.96.137.75:8000的方式访问到服务器。
端口映射实现原理
端口映射即DNAT,用来设置对数据包目标IP地址进行转换的规则。常用来实现客户内网有服务器需要发布到公网,或者内网用户需要通过公网地址访问内部服务器的需求。
LAN-LAN端口映射配置
只有当内网用户也需要用公网地址访问内部服务器时,才需要勾选“发布服务器”。 若不勾选,仅允许公网用户通过公网地址访问到内网服务器。
端口映射排查思路
1.检查内网PC到WEB务器的访问是否正常?(判断服务器本身是否OK)
2.检查AC到WEB服务器的访问是否正常?
3.检测外网的访问流量是否到达AC的外网口(运营商会封堵没备案的端口,比如说80)?
4.检查AC设备的端口映射配置?
5.检查AC设备的防火墙配置?
6.检查AC-WEB服务器中间设备的ACL策略?
7.检查WEB服务器本身的防火墙策略?(是否禁止公网IP访问)