深信服代理商的常见问题(doc9页).doc

一．AC/SG/NAC/BM问题
1.SG上网加速告警：系统压力过大通知驱动bypass
日志提示：
上网加速 告警 21:19:38 w1:work_server.cpp:745 系统压力下降，通知驱动继续转发
上网加速 告警 21:19:22 w1:work_server.cpp:724 系统压力过大，通知驱动bypass
可能原因：
设备的cpu（或者内存）使用率持续偏高，如cpu持续达到95%并且持续达到10S就会进入加速bypass。
相关问题：
加速bypass不影响其它策略流控等，只是没有加速效果而已。
经常出现这种提示，比较大可能是设备性能不足，导致bypass，
停用上网加速模块，就不会提醒bypass了
2.占用带宽排行榜为空？
【问题】网关运行状态里的流量图是空的，什么数据都是没有
可能原因：
1：不同版本之间因为控制台控件问题导致无法显示流量。可以通过在控制台手动下载控件重新安装解决
2：检查是否在高级配置--排除IP地址与域名中添加了内网网段
3：是否设备接线接反
3.设备做网桥，丢包很多，跳过设备正常
可能原因：
1. 内网到设备线路有问题或者兼容性问题。
2.设备到前置设备线路有问题或者兼容性问题。
排查方法：
（1）.ping设备是否丢包，如果丢包说明内网到设备有问题。
（2）.使用升级客户端登录设备，ping设备前置的防火墙，如果丢包说明设备到前置设备有问题
（3）.查看一下升级工具中的查看网络配置，看各个网口是否有错误包之类的。如果有，说明设置存在兼容性问题。
（4）.在设备与前置设备之类洄上一个小交换机，看能否正常，如果正常确认是兼容性问题，可以通过升级客户端修改网口工作模式试试，或者直接使用交换机。
相关问题：
如果是测试设备，购买新设备的时候，下单要注意把测试设备的SN码带小，让发货的时候，发一个与现在测试设备不同平台的设备，解决兼容性的问题。必需说明测试设备存在兼容性问题
4.SKYPE4.0版本的现在能监控了么？
问题解答：
对4.0SKYPE的规则，还没发布，现在处于测试阶段，还没有正式发布
5.是否能封QQ2010的SP1最新版本？
问题解答：
可以封,但不能记录聊天内容。如果一定要很监控内容，可以找800替换准入文件，建议先不要替换，因为现在的准入还处于测试阶段。
6.AC/SG是否能针对某个QQ号进行控制
问题解答：
暂时无法实现。
7. 如何禁止代理上网？
设置策略：
. 1.应用识别中拒绝代理上网的应用；
. 2.非2.1版本使用准入封堵一些代理上网的软件；
3.2.1版本在上网权限里面的高级设置里，启用防代理监控；
8.AC/SG设备的磁盘空间大小 有具体的规定大小？
问题解答：
关于一些参数类的，请咨询售前产品经理。800没有些类的相关文档。
9.NAC管理的PC，如果下班后员工把电脑带回家收发邮件，我们是否能审计到
问题解答：
这个不可以，NAC的准入只会记录违规等信息，不会进行审计，需要审计到的数据，必须是经过AC并且开启审计，才会被审计到。
10. Ac/SG能不能在Web邮箱登陆之后，禁止用户发送web邮件．
问题解答：
可以，在web过滤里面，http过滤，有一个高级配置。把web邮箱设置为，仅许post登录就行了。
11. AC/SG能不能禁止用户在论坛上回、发含有指定关键字的内容 ？
问题解答：
可以，直接在URL过滤里面的上传关键字过滤中，把相关的关键字过滤掉就可以了。
12.AC/SG里，带的VPN，是多少版本的？
问题解答：
1.9以下的AC版本默认带2.52的vpn，而1.90以后的版本默认都带4.13版本的vpn。
如何区别？直接到vpn配置里面查看，只要能看到第三方对接的都是4.13，看不到的就是2.52版本的
13. 请问SG3.0beta版有升级包吗？
问题解答：
销售设备是不给升级的，测试设备，可以向当地办事处的技术支持联系。
14. 有一台设备，被之前测试的客户限制了登陆IP，还跟LAN口是非直连网段，现在登陆不进去。
问题解答：
如果是测试设备，没有什么配置需要修改，可以使用交叉线对设备进行恢复默认配置。如果是正式设备，可以联系800进行处理。
15. AC/SG外置数据中心默认密码不对
问题解答：
外置数据中心都是默认admin admin。
如果刚装的外置数据中心后出现默认密码错误的问题。在AC数据中心管理端，数据库配置--》应用。这个按钮需要点击一次，生成对应的用户表，否则导致无法登录的。
16. AC/SG的WAN口MAC地址能改动吗？
问题解答：
现在暂时不支持界面上修改。后台可以修改，但是序列号会不可用，一般情况下不建议修改。以后本版研发可能会考虑修改的问题。
17. AC/SG能不能对论坛之类的，上传的文件做类型于邮件的延迟审计？
问题解答：
对论坛发贴延迟审计是不行的。但是可以进行过滤，在URL过滤中有http上传的文件类型过滤
18. AC/SG内置数据中心提示：行为记录超过10000条，无法查询
问题解答：
可以在数据中心的，系统管理--》系统设置中，勾上高级选项。在内置数据中心支持日志量中，把阀值加大到超现有的条数。设备内置数据库，进行数据查询的时候，会非常耗系统资源，如果你调100W条的话，很容易会导致设备性能不足。这个主要是为了保护设备主要应用的性能。强烈建议装外置数据中心。
19. 拒绝列表上，拒绝的flag对应是什么模块。
问题解答：
Flag
2 杀毒
3 SSL
7 Dos防御
8 应用审计
9 防火墙规则
10 用户认证
11 准入
14 流量统计与上网计时
16 应用控制
17 网络服务控制
18 http代理违规
19 Socks代理违规
20标准端口使用非标准协议
21网页过滤
20. 请问M5600设备的WAN口可以配置多个公网地址吗
问题解答：
所有设备的的wan口都可以配置多个公网ip地址。但是lan口配置多ip地址，只有AC，SG，NAC，BM支持。
二．SSL问题
1.SSLVNP 关联全网资源后，用户无法访问内网所有网段资源
可能原因：
1、配置好内网的多子网，以便是让SSL设备，把内部网段宣告给SSL客户端。
2、配置好相关路由，以便SSL能把数据正确发给下一跳和各网断回包能到达我们设备。
3、SSL设备的系统路由是否做得正常。下面各段的路由是否正确。
2.SSLVPN 单臂多线路智能选路，需要开通多个WAN口授权吗？
问题解答：
不需要多线路授权。
相关问题：
在高级配置--》其他选项--》勾选 启用多线路自动选路--》填入对应的IP/域名和端口就可以了。
如何测试智能选路是否成功：假如你在电信的环境中，输入http://ip（网通的），一般情况就会跳到https://ip(电信)，这样测试就说明成功了。
注意，如果一开始就是https://ip,那就不会跳转了
3. SSLVPN设置第一次登陆，强制更改密码
问题解答：
在高级配置--》安全配置--》密码安全策略选项 里面进行设置
设置完了必须点击一下配置生效。
密码策略只对本地密码认证的私有用户有效!
4. 深信服的设备怎么设置SNMP啊
问题解答：
community 是sinfors
所有设备的OID都是一样的，而只有下面的类型可以提供的。
1.3.6.1.4.1.33333.1.1.1.0 CPU占用率
1.3.6.1.4.1.33333.1.1.2.0 设备类型(如M5100)
1.3.6.1.4.1.33333.1.1.3.0 剩余内存
1.3.6.1.4.1.33333.1.2.1.0 VPN状态( "vpn's status. 0 is stoped, 1 is normal, 2 is error" )
1.3.6.1.4.1.33333.1.2.2.0 VPN连接数
1.3.6.1.4.1.33333.1.2.3.0 软件版本(如M3.0)
1.3.6.1.4.1.33333.1.3.1.0 ssl VPN状态（"ssl's status. 0 is stoped, 1 is normal, 2 is error"）
1.3.6.1.4.1.33333.1.3.2.0 ssl VPN连接数（即接入的用户数目）
5. SSLVPN流缓存，有没有针对应用加速
问题解答：
SSL流缓存，能针对所有APP起作用，而不仅仅是文件传输等，例如连内网邮件，SQL等也是能起到作用的。但只有流缓存的作用，而不像加速那样，有协议代理等。
简单点来说，就是把加速产品线上的流缓存功能挪到SSL上面，针对APP资源生效了。
三． IPSECVPN问题
1.IpsecVPN,总部单臂，分支网关。如果DLAN显示已经跟总部连接上了，但是总部访问不到分支DLAN设备的LAN口IP。
可能原因：
1.总部路由问题。
2.vpn接口没有加载成功。
排查方法：
1. 测试分支ping不通总部的lan口，那就不一定是路由的问题了。
2. 偿试一下，在vpn配置里面，找到高级设置--》vpn接口设置 处，点击一下确定，把vpn模块重新加载一次
2.IPSEC VPN能支持加速不？
问题解答：
不可以，WANACC才可以，但是WANACC也是附带有IPSEC功能的。SSL VPN在4.3版本后也是提供流缓存的加速功能，此功能要收费的。相关费用问题可以咨询当地的产品经理。
3. sangfor vpn连接分支是否需要授权。
问题解答：
sangfor设备之间的对连是不需要授权的，与第三方vpn对接，需要消耗一个分支授权才可以对接。

虽然在学习的过程中会遇到许多不顺心的事，但古人说得好——吃一堑，长一智。多了一次失败，就多了一次教训；多了一次挫折，就多了一次经验。没有失败和挫折的人，是永远不会成功的。 快乐学习并不是说一味的笑，而是采用学生容易接受的快乐方式把知识灌输到学生的大脑里。因为快乐学习是没有什么大的压力的，人在没有压力的情况下会表现得更好。青春的执迷和坚持会撑起你的整个世界，愿你做自己生命中的船长，在属于你的海洋中一帆风顺，珍惜生命并感受生活的真谛！ 老师知道你的字可以写得更漂亮一些的，对吗,智者千虑，必有一失；愚者千虑，必有一得,学习必须与实干相结合,学习，就要有灵魂，有精神和有热情，它们支持着你的全部！灵魂，认识到自我存在，认识到你该做的是什么；精神，让你不倒下，让你坚强，让你不畏困难强敌；热情，就是时刻提醒你，终点就在不远方，只要努力便会成功的声音，他是灵魂与精神的养料，它是力量的源泉。