《ASM盈高入网规范管理系统操作手册V523.docx》由会员分享，可在线阅读，更多相关《ASM盈高入网规范管理系统操作手册V523.docx（61页珍藏版）》请在三一办公上搜索。
1、ASM盈高入网规范管理系统操作手册V523杭州盈高科技有限公司 INFOGO Access Standard Management System ASM盈高入网规范管理系统 操作手册 Version 5.2.3035 版权 声明：本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属盈高科技所有，并受到有关产权及版权法保护。任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。 商标：盈高、INFOGO是盈高科技的注册商标，未经允许，不得引用。 杭州盈高科技有限公司 目录 1. 2. 3. 4. 说明 - 1 ASM设备外观图解
2、- 1 登录方式 - 1 操作界面说明 - 2 4.1 4.2 5.1 5.2 5.3 5.4 5.5 5.6 5.7 首页 - 2 模块界面- 3 5. 用户首次配置 - 3 启用旁路模式 - 4 启用串联模式 - 4 系统基本设置 - 5 邮件提醒- 5 短信提醒设置 - 6 部门管理- 7 注册与认证 - 8 5.7.1 安全域配置 - 8 5.7.1 认证角色管理 - 9 5.7.1 用户管理 - 10 5.7.1 来宾认证参数 - 12 5.7.1 全局参数设置 - 13 5.7.1 注册参数配置 - 14 5.7.1 认证参数配置 - 15 5.7.1 用户名密码认证 - 16 5
3、.7.1 UKey认证 - 16 5.7.1 手机短信认证 - 17 5.7.1 Email认证 - 17 5.7.1 LDAP服务器配置 - 17 5.7.1 AD域认证参数设置 - 18 5.7.1 身份认证记录 - 19 5.7.1 动态验证码获取记录 - 19 5.8 配置入网规范 - 19 5.8.1 标准行业入网规范库 - 20 5.8.2 自定义规范 - 20 5.8.3 高级属性 - 24 5.9 配置网络联动控制 - 24 5.9.1 EOU认证技术设置 - 25 5.9.2 PORTAL认证技术设置- 28 5.9.3 透明网桥设置 - 30 5.9.4 策略路由设置 -
4、33 5.9.5 MVG网关设置 - 36 5.10 配置双机热备 - 39 6. 用户日常使用 - 40 6.1 新设备注册检查 - 40 6.2 6.3 审核接入设备 - 45 设备管理- 45 6.4.1. 添加可信设备 - 46 6.4.2. 取消可信设备 - 46 6.4.3. 设备安装软件信息 - 47 6.4 隔离设备- 47 6.5 设备和用户绑定 - 48 6.6 立刻认证安检 - 51 6.7 信息导入- 52 6.8 IP地址池 - 52 6.9 IP/MAC绑定 - 53 6.10.1. 添加IP/MAC绑定 - 53 6.10.2. 导入IP/MAC绑定 - 54 6
5、.10 IP/MAC全局配置 - 55 6.11 查看系统数据及报表 - 56 6.12.1. 设备信息查询 - 56 6.12.2. 补丁管理查询 - 57 6.12.3. 统计报表查询 - 58 6.12.4. 未关机统计 - 62 6.12 上下网审计 - 63 6.13 级联管理- 63 6.14 功能地图- 65 6.15 报警中心- 65 6.16 其他 - 66 6.17.1. 数据备份 - 66 6.17.2. 系统更新 - 67 6.17.3. 上传软件管理 - 68 6.17.4. 设备状态管理 - 68 6.17.5. 系统调试日志列表 - 69 6.17.6. Exce
6、l报表导出 - 69 6.17.7. 强制认证推送 - 70 6.17.8. 终端故障分析 - 71 6.17.9. 数据导入 - 71 6.17 过期设备清除记录 - 72 6.18 系统用户- 72 7. 终端小助手功能 - 74 7.1 7.2 安检用户切换 - 74 修改认证用户密码 - 75 3 杭州盈高科技有限公司 1. 说明 ASM基于最先进的第三代准入控制技术，无需改变您的网络，无需安装客户端，具有简便的操作性、高度智能化的修复方式及对于各种复杂网络的强适应性。我们为您制订了一系列有效可靠的网络合规性要求，从而实现“违规不入网，入网必合规”的管理规范，充分满足等保对于网络边界及
7、主机保护的要求 为了能帮助您迅速部署ASM并体验ASM的强大功能，请参照本手册进行相关操作。祝您使用愉快！ 2. ASM设备外观图解 eth1:管理端口(HA心跳口)，具有固定地址191.191.191.191 eth0: 非可信接口port，串联模式使用，接内部受控网络 图 2.1 eth2: 旁路接口Out-of-band port，旁路模式使用，使用时需要您分配一个IP地址 eth3: 可信接口trusted port，串联模式使用，接外部不受控网络 Console口 3. 登录方式 我们提供web登录的方式对ASM平台进行相关的配置。 l 如果您是与eth1口直连，那么请在浏览器地址栏
8、中输入http:/191.191.191.191/admin 。 l 如果ASM设备采用旁路方式接入您的网络，请预先为eth2口分配一个网络中可以使用的IP地址，确保您能ping通eth2口，在浏览器地址栏中输入 http:/ eth2口IP地址/admin。 登录界面如下所示： 1 杭州盈高科技有限公司 图 3.1 ASM设备初始登录用户名：admin ，密码：888888 。 4. 操作界面说明 4.1 首页 初次登录，首页界面如图所示： 图 4.1. 1 2 杭州盈高科技有限公司 ASM的模块，包括“注册与认证”、“入网规范管理”，“统计报表”、“报警中心”、“网络联动控制”、“内网边界
9、管理”、“网络审计疏导”、“系统设置”共8个模块。如图所示： 图 4.1. 2 版本信息是您购买的ASM设备的型号及各项版本号。如图所示： 图 4.1. 3 请确保所显示的型号与供货合同相符。我们对引擎、行业库及补丁库会及时做出更新，敬请随时关注我们的网站，以便使用我们为您提供的最新服务。 4.2 模块界面 当您点击任何一个模块后，会进入类似图4.2.1所示的模块界面： 图 4.2. 1 点击各个“选项”后可以进行更为详细的设置。 5. 用户首次配置 如果您是第一次登录ASM系统，为了方便今后的工作，我们建议您先进行一些初始化配置。 3 杭州盈高科技有限公司 5.1 启用旁路模式 如果ASM是
10、采用串联方式接入您的网络，请跳过此步骤，直接进入启用串联网络。 当ASM采用旁路方式接入您的网络时，必须为执行接入的eth2口分配一个网络中可用的IP地址。 操作步骤为“系统设置”模块 “网络参数设置”选项，进入如下界面： 图 5.1. 1 1、 勾选ETH2的启用框； 2、 为ETH2配置一个您网络中可用的IP地址、子网掩码、网关。 3、 点击“完成配置”。 在ASM系统已经通过eth2口接入您网络的情况下，远程ping eth2口的IP地址。如果无法ping通，请联系我们的技术工程师。 5.2 启用串联模式 如果ASM系统是采用旁路方式接入您的网络，请跳过此步骤，进入系统基本设置。 请将A
11、SM的eth0口与您需要进行准入控制的内部网络相连，将 eth3口与您的外部网络相连。具体连接方式可能需要依据您的网络拓扑而定，您可以预先咨询我们的技术工程师。 操作步骤为“系统设置”模块 “网络参数设置”选项，进入如下界面： 4 杭州盈高科技有限公司 图 5.2. 1 1、 勾选ETH0、ETH1 的启用框。 2、 点击“完成配置”。 注：关于串联接入的具体参数设置，请参透明网桥设置。 5.3 系统基本设置 为了让ASM更好地融入您的网络，请先将您的用户信息写入ASM的界面中。在您下次登录时，将看到采用您单位相关信息的界面。 操作步骤为 “系统设置”模块 “系统基本设置”选项，进入如下界面：
12、 图 5.3. 1 5.4 邮件提醒 我们为您提供了当新设备入网时自动发送邮件进行提醒的功能。当然，如果您不需要邮件提醒，也可以跳过此步骤，不会影响设备的其他功能。 5 杭州盈高科技有限公司 操作步骤为 “系统设置”模块 “邮件提醒设置”选项，进入如下界面： 图 5.5. 1 l 请输入您的邮件服务器地址，您的登录账户及登录密码。邮件将从这个邮箱发出。请填入ASM系统的管理地址及web登录的端口号，收到邮件的管理员可以在邮件中直接点击这个链接访问到我们的ASM系统。 l 请填入邮件中所显示的收件人地址。 请点击Email框输入需要接收提醒邮件的收件人地址； 图 5.5. 2 再点击“添加”按钮
13、将地址添加到收件人列表中。 删除收件人：您可以选中收件人列表中的某个地址，再点击“删除”按钮 清空收件人：您可以直接点击“清空”按钮删除所有已存在的收件人。 5.5 短信提醒设置 当有设备等待接入审核或者IP/MAC变动或者空间不足时，我们可以设置发送短信提醒管理员。操作步骤为“系统设置”模块 “短信提醒设置”选项，进入如下界面： 6 杭州盈高科技有限公司 图 5.6. 1 配置好短信引擎地址，管理员手机号码，以及需要发送短信的情形，点击保存配置后，当有发生需要发送短信的状况时，管理员就会收到提醒短信。 5.6 部门管理 根据您单位目前管理的部门，ASM上也需要设置相应的部门规划。这样在入网设
14、备注册时可以就选择归属的部门，方便您及时准确地对设备进行定位和管理。 请确保您已经填写好了您的单位名称，此时单位名称会显示在所有部门的最顶层。操作步骤为“注册与认证”模块 “部门管理”选项，如图所示： 图 5.8. 1 您只需点击“添加部门”按钮进行新部门编辑即可。如图所示： 7 杭州盈高科技有限公司 图 5.8. 2 请输入新部门名称。 ASM支持多部门多级管理，当您第一次添加部门时，上级部门为公司名称；当有多个部门时，您可以在“上级部门”一栏选择其中一个作为新部门的直接上级。 保存后，部门列表将显示在界面的右方。如图所示： 图 5.8. 3 通过点击相应的操作名称，您可以对已有的部门进行排
15、序、编辑和删除的操作 5.7 注册与认证 在设备接入网络之前，如果您是第一次接入网络，就需要先进行注册，然后进行身份认证。只有身份认证通过的设备才能进一步的对设备进行安全检查，确保您的设备是规范入网的。 请选择“注册与认证”模块，在界面的左边会出现注册与认证部分的导航栏“认证管理”与“身份认证参数设置”， 5.7.1 安全域配置 在配置用户角色之前可以先配置好安全域，以便在角色配置时可以准确地分配检查通过和不通过时分别可以访问的域。配置安全域的界面如图所示： 8 杭州盈高科技有限公司 图 5.10.1. 1 5.7.1 认证角色管理 用户角色是对用户身份的一种归类。例如归类于来宾角色的用户，系
16、统将不对其进行安检。您可以自己新建一个特有的角色，新建界面如图所示： 图 5.10.2. 1 9 杭州盈高科技有限公司 如上图所示，您可以根据自己的需求，设置角色是否需要安检，安检周期，安检时引用的规范以及安检后可以访问的域。如果您启用了检查时安装入网小助手，那么我们会在您进行安检时安装入网小助手，并且根据您输入的名字进行命名。安装入网小助手之后，每次开机时，小助手会自动为您进行安全检查。 为了达到更准确的检查结果，您可以配置小助手的二次检查，选择检查时间间隔。当第一次安检完成后，等待您配置的间隔时间小助手即进行第二次安检。 如果您不想打扰到被管理人员的正常工作，我们小助手为您提供了免打扰模式
17、。在小助手配置中，您可以开启免打扰模式，开启后，客户机的小助手不会出现任何提示和对话框。 如果您在卸载小助手的时候想让设备信息同时被删除，您可以启用“卸载小助手是否删除该设备信息”，那样当您手动卸载小助手后，您的设备信息也会被删除。 5.7.1 用户管理 用户是对使用设备身份的管理方式。您可以建立用户，使其归类于某个角色，当身份认证通过后，就可以进行安检，然后入网。用户管理界面如下图所示： 图 5.10.3. 1 点击“添加用户”按钮，进入新建用户界面，如下图所示： 10 杭州盈高科技有限公司 图 5.10.3. 2 输入认证用户名、密码、确认密码，并根据需求选择用户的角色、类型和部门后，保存
18、用户即可。 用户还可以和设备进行绑定，如果该用户绑定了一台设备，则该用户就只能在绑定的这台设备上进行认证，不能在其他设备上进行认证； 您可以勾选需要绑定的用户，点击“绑定设备”按钮，选择绑定设备方式，确定即可。我们为您提供了两种绑定方式：绑定到用户最后认证的设备和绑定到指定设备。如果您选择了绑定到最后认证的设备，系统自动为您绑定到您最后认证的设备；如果您选择了绑定到指定设备，那么您可以选择您想绑定的设备。当您配置完成后，用户管理界面的是否启用绑定设备和绑定的设备会显示您所设置绑定的设备。界面如图所示： 图 5.10.3. 3 如果您希望被绑定的用户可以在所有的设备上进行认证，那么您可以勾选该用
19、户，通过点击“取消绑定设备”按钮取消该用户的绑定即可。 11 杭州盈高科技有限公司 5.7.1 来宾认证参数 如果您有来宾需要接入网络，那么您可以设置您的来宾在入网时是否需要验证身份，是否需要临时上网码。认证参数的设置如下图所示： 图 5.10.4. 1 当您启用来宾认证时，来宾用户入网前必须要先经过认证，认证通过后的安检设置将根据来宾角色配置进行安全检查。 如果您选择需要临时上网码，那么您的来宾入网认证时就需要向他所访问的人申请一个临时上网码以便入网。临时上网码可以使用小助手申请，也可以通过检查页面来申请。 使用小助手申请上网码：在已经安装小助手的客户机上右击小助手选择“申请来宾上网码”系统
20、分配临时上网码；界面如下图所示： 图 5.10.4. 2 您也可以使用检查页面获取上网码：员工角色的客户机检查完成后，在结果界面上点击“申请来宾上网码”，如下图所示： 12 杭州盈高科技有限公司 图 5.10.4. 3 获取到的临时上网码将在来宾用户认证接入网络时使用。 5.7.1 全局参数设置 对于身份认证，您可以选择不认证，如果您选择认证的话，我们的系统为您提供了四种认证方式：用户名密码认证、UKey身份认证、短信认证、Email认证。我们在全局参数设置中为您提供一系列关于认证和安检的全局参数，您可以根据自己的需求进行设置。 全局认证参数设置如下图所示： 图 5.10.7. 1 您可以根据
21、不同的情况设置各个选项； 如果您开启了无控件快速认证时，当新设备接入网络时不需要安装控件并且也不需要注13 杭州盈高科技有限公司 册，只要输入正确的用户名和密码就能进行安检。该功能只在MVG、DHCP、策略路由以及透明网桥这几种准入技术下才有效； 如果您开启了允许通过手机进行身份认证，当手机通过无线接入您的网络时可以开启安 检界面，通过认证接入网络； 如果您设置检查后显示安检得分，那么在安检完成后检查结果页面会显示安全得分； 如果您设置检查后启动自动修复，那么安检完成后如果有检查项不通过则会根据管理员的配置进行自动修复； 如果您设置客户端检查页面风格，则打开安检页面后，页面会显示设置的风格；
22、如果您设置了认证前提示用户选择身份类型，当您打开安检页面需要先选择身份类型才会进入身份认证页面；如果您设置为不提示，当您打开安检页面不需要选择身份类型直接跳转到身份认证页面； 如果您设置用户身份选择显示为图片，则您打开安检页面显示的为默认的我是来宾和我是员工按钮；如果您设置显示文字，则可以在弹出的输入框中设置我是员工和我是来宾替换为您想要显示的文字，不能超过6个字； 如果您设置管理后台访问方式为安全模式，则您打开管理平台必须是以https的形式打开页面；如果您设置管理后台访问方式普通模式，则您打开管理平台页面可以为普通的http模式打开； 如果您选择控件安装方式为自动在线安装，则当客户机安装了
23、.net时首次接入网络是不需要自己手动下载控件安装的；如果您选择手动下载安装，则您首次接入网络 如果您设置为安检前需要进行身份认证，并且设置需要认证的IP段，当您打开安检页面进行安检时，客户机IP在需要认证的IP范围内则需要进行用户身份验证；如果您设置为安检前不需要进行身份认证，那么您进行安检时进入身份认证页面不需要手动去输入信息我们系统默认给您通过； 如果您开启了桌面安全管理系统联动，那么我们在进行安全检查之前会先检查是否安装 了桌面安全管理软件，如果没有安装的话，我们会根据您配置的地址去访问安装桌面安全管理软件。 关于自动修复功能，我们提供了一些不需要用户交互的检查项的自动修复。 当您开启
24、桌面安全管理联动时，ASM的模块会增加一个桌面安全管理，如下图所示： 图 5.10.7. 2 客户端检查页面可更换风格，系统默认风格为经典蓝，其他可切换风格为国旗红和安全绿； 5.7.1 注册参数配置 关于注册时需要进行的一些操作，您可以在注册参数中进行设置，设置界面如下图所示： 14 杭州盈高科技有限公司 图 5.10.8. 1 新接入网络的设备注册有2种方式，分别为用户手动输入信息进行注册和系统自动进行注册。 当选择用户手动输入信息进行注册时，可选择设备注册后是否需要审核以及设备基本信息、所在部门、使用者、电话号码、物理地址、接入原因和入网协议的必填、选择或者隐藏的功能设置。当电话号码选择
25、为必填时，客户机注册时必须填写电话号码； 当选择系统自动进行注册时，新接入网络的设备无需填写注册信息； 5.7.1 认证参数配置 注册完成之后的客户机，必须要进行身份认证通过后才能安检，接入网络。那么安检时需要进行哪些操作呢？我们可以在认证参数配置中进行配置，界面如下图所示： 图 5.10.9. 1 15 杭州盈高科技有限公司 认证方式的选择，您在这边选择某些认证方式，客户机在身份认证时就显示您所选的认证方式。 如果你选择了身份认证成功后设备优先拥有用户认证角色的网络访问权限，那么在认证成功后，设备的网络访问权限是根据您认证的用户的权限来限制网络访问的。否则就会根据设备的角色来限制网络访问。
26、如果您选择启用用户同一时刻只允许在一台设备上使用，那么您在一台设备上认证时使用的用户名和密码，如果在另外一台设备上也使用了此用户名和密码，那么前一台的认证将会被后一台挤下去，断开网络。 5.7.1 用户名密码认证 为了方便您进行用户名密码方式认证，我们为您提供了五种认证服务器，您可以根据自己的需求进行设定，界面如下图所示： 图 5.10.10. 1 如果您选择的是本地服务器，那么您在认证时输入的用户名和密码必须是存在于我们的系统里的。如果您选择的是其他两个服务器，那么您认证时输入的用户名和密码必须存在于这两个服务器里。第三方web服务器需要通过url配置，链接到第三方服务器配合认证。关于LDA
27、P服务器配置和AD域的设置我们将在下面进行详细说明。 5.7.1 UKey认证 如果您需要使用UKey进行身份认证，那么您需要在这里进行配置，界面如下图所示： 图 5.10.11. 1 您可以根据自己的情况配置UKey认证的认证方式，多少时间会断网。当您选择的是根证书认证时，您必须导入您的根证书到我们的ASM系统。如果您选择的是其他的服务器，那么您可以根据自己配置的服务器在界面上进行配置。配置完拔掉UKey的最大时间，当您拔掉UKey后，超过限制的时间，您的设备将会断网。 16 杭州盈高科技有限公司 5.7.1 手机短信认证 如果您需要使用短信进行认证，那么您需要在这里进行短信认证参数配置，您可以根据自己的需求配置短信发送的服务器，可以增加、删除或者编辑短信认证的原因。界面如下图所示： 图 5.10.12. 1 当您配置好短信认证参数，您还需要去设备列表信息中查看您的设备信息中的联系电话是否填写正确。如果未填写，是
