《深信服设备排除策略使用说明》由会员分享，可在线阅读，更多相关《深信服设备排除策略使用说明（7页珍藏版）》请在金锄头文库上搜索。
1、查看拒绝列表 查看拒绝列表使用说明： 当内网的数据被设备拦截，且无法判断改数据是被 AC 哪个功能模块所拦截时，开启拒绝列表。 开启拒绝列表后可以通过该列表来确定，数据被设备什么模块拦截的。此功能多用于排错，不熟悉网 络者请联系深信服客服人员来处理。 一、 开启拒绝列表的方法： 网关日志与故障排除策略故障排除中，选择开启拒绝列表，或者开启拒绝列表并直通。两者的区别 是后者开启后，所有经过 AC 的数据都将被放通，以检查数据被拦截是否与深信服设备有关。 1.开启拒绝列表： 如下图，点击开启拒绝列表（标注 1） ，便可以看见开启成功的消息（标注 2） 2.开启拒绝列表并直通： 如下图，点击开启拒绝
2、列表并直通（标注 1） ，便可以看见开启直通成功的消息（标注 2） 注意：1.开启拒绝列表并直通后，设备将所有通过的数据都放行，而在拒绝列表中显示的是数据流将 在哪些模块被设备拦截。2.若以非管理员身份登陆，则看不见“开启拒绝列表并直通”这个选项。 二、 查看拒绝列表的方法： 在网关日志与故障排除策略故障排除拒绝列表点击查看，弹出网页即为拒绝列表，如下图： 若弹出的页面被拦截，可以输入地址 http:/设备 LAN 口 IP/droplist.htm 以手动查看。 拒绝列表的 Action 的解释说明详见附表。 三、 定义拒绝列表开启条件： 在默认情况下，在拒绝列表中查看到的是被设备所拦截的所
3、有条目，数据量很大。但是只有第一个 被设备拒绝丢弃的包才会记录被哪个模块所丢弃的，为了保证重要的信息条目不被冲掉，此时可以通过设 置开启条件来过滤掉某些无关的条目，达到针对性查看指定的数据。 配置方法：1.开启条件设置：勾选设置开启条件，随之该条目上会显示出如下图的大红框。 2.配置开启条件： 可根据数据的源 IP、目标 IP、数据协议类型来定义开启条件。其中数据源、目标 IP 可以为所有 IP，也可以为指定的 IP 地址。而协议类型除可以选择所有协议外，还可以选择这四种情况的一种：TCP 协 议、UDP 协议、ICMP 协议以及其他协议。 以下根据协议类型进行详细的说明： TCP 和 UDP
4、 协议：两者的配置界面是一样的，下图展示的是 TCP 协议的界面。 TCP 协议配置说明：协议类型选为 TCP 协议后，可以指定该协议的源端口以及目标端口。 例如：上图所示，即设定查看条件为：源 IP 为 192.168.1.1 的由 TCP 协议 80 端口出去的所有数 据，即可查看该台电脑的浏览网页的数据。 ICMP 协议：此时无需配置协议的端口号。 例如：若要查看所有流经 AC 的 ICMP(Ping)数据流，只需实现如图的设置，然后点击查看拒绝列 表即可。 其他协议：此时需要指定该协议的协议号。 例如：要查看所有流经设备的 ospf 协议的数据流，则需填入该协议的协议号 89，然后点击
5、查看 拒绝列表即可。 附表：AC 拒绝列表的日志对应解释 对应模块对应模块对应模块对应模块sourcesourcesourcesource action 解释 WEBWEBWEBWEB 认证认证认证认证-web authenweb authenweb authenweb authen AC 用户认证模块的拒绝日志(只包括由 AC 进行身份认证的部分) session have been redirect, need drop HTTP GET 请求会话，已经被重订向到 login 页面， 以后该 连接的数据都被丢弃 session user had been freezed, need dro
6、p 用户被冻结期间，所有数据被丢弃 new packet, check bind mac error 新连接，用户绑定 MAC 地址与数据包源 MAC 不一致 new packet, user had been freezed 用户被冻结 new udp packet, need web authen, drop 新的 UDP 连接，用户尚未通过认证，拒绝 new unknow prot packet, need web authen,drop 未知协议的数据（非 TCP、UDP、ICMP），用户未通过认证， 拒绝 estabish packet, check bind mac error 已
7、连接数据，用户绑定 MAC 地址与数据包源 MAC 不一致 estabish packet, user had been freezed 用户被冻结 estabish packet, not tcp, need web authe n, drop 未通过认证，非 TCP 数据，拒绝 estabish packet, not http, need web auth en, drop 未通过认证，非 HTTP 数据，拒绝 insert new user, have no user node 加入新用户，但缺少节点，可能没内存了 redirect to login page 重订向到 login 页
8、面，原连接断开 防火墙防火墙防火墙防火墙firfirfirfirewallewallewallewall AC 防火墙规则模块中各项拒绝日志 this packet has been dropped by the url get f ilter! URL 过滤，被某种类型拒绝 this packet has been dropped by default url g roup action URL 过滤缺省拒绝 This packet has been dropped because of match ing url get sense keyword! 匹配关键字过滤，被拒绝 this pa
9、cket has been dropped because of downl oading forbidden file type with http! 下载文件类型过滤 this packet has been dropped because of posti ng forbidden file type! 上传文件类型过滤 this packet has been dropped because of match ing sense keyword for post! 上传关键字过滤 this packet has been dropped by Internet acce ss rule
10、! 上网权限或防火墙规则拒绝 this packet has been dropped by firewall rul e! 防火墙规则拒绝 This packet has been dropped by Session flag! 拒绝已经打上标记的连接， 在任何模块拒绝了一次数 据后，都可能给这个连接打上标记，之后防火墙每次都 会把该连接的数据拦截 Content Filter has dropped this packet! 内容检测拒绝 Drop this packet because of using socks prox y! 使用 Socks 代理，拒绝 Drop this pa
11、cket because of using http proxy! 使用 HTTP 代理，拒绝 Drop this packet because of trying to use htt p proxy! 试图使用 HTTP 代理，拒绝 this packet has been dropped because of downl oading forbidden file type with ftp FTP 下载文件类型过滤 this packet has been dropped because of uploa ding forbidden file type with ftp FTP 上传
12、文件类型过滤 Drop this packet because the protocol is not HTTP or SSL 在 HTTP 和 SSL 标准端口非标准协议 this packet has been dropped by Post content HTTP 上传过滤，包括关键字和文件类型 filter 流量流量流量流量与与与与 P2PP2PP2PP2P 控制控制控制控制FloxFloxFloxFloxCtrlCtrlCtrlCtrl P2P 与流量控制模块的拒绝日志（上网行为管理-访问控制组-P2P 与流量控制） Droped for time limit 上网时长限制，上网时
13、间已用完 Droped for group up bound 已达到组的上行带宽限制 Droped for user up bound 已达到用户的上行带宽限制 Droped for group down bound 已达到组的下行带宽限制 Droped for user down bound 已达到用户的下行带宽限制 Droped for user up bound(P2P only) 已达到用户 P2P 流量的上行带宽限制 Droped for user down bound(P2P only) 已达到用户 P2P 流量的下行带宽限制 DoSDoSDoSDoS 防御防御防御防御DOSDOS
14、DOSDOS 防火墙的防 DOS 攻击模块的拒绝日志 IP NOT in LAN network! 由于数据包的源 IP 不在内网网段列表中而被丢弃 IP in SYN(IP) deny list 源 IP 在拒绝列表中(已经判断为小包攻击), (该 IP 被封锁, 后续所有 数据包都被丢弃) IP log to SYN(IP) deny list! 记录攻击日志(小包攻击), 封源 IP Random SYN(IP) attack! 在内核 CPU 占用过高的情况下， 会开启智能防护, 而且该数据包源 I P 不在白名单中, 导致被丢弃 ( 1.8 以后不会开启该功能 ) IP add to
15、 SYN(IP) deny list! 源 IP 被加入到拒绝列表中 (小包攻击, 该 IP 被封锁) IP in SYN(MAC) deny list 源 MAC 在拒绝列表中(已经判断为小包攻击), (该 MAC 被封锁) IP log to SYN(MAC) deny list 记录攻击日志(小包攻击), 封源 MAC Random SYN(MAC) attack 在内核 CPU 占用过高的情况下， 会开启智能防护, 而且该数据包源 M AC 不在白名单中, 导致被丢弃 ( 1.8 以后不会开启该功能 ) IP add to SYN(MAC) deny list 源 MAC 被加入到拒绝
16、列表中 (小包攻击, 该 MAC 被封锁) IP in DOS deny list 源 IP 被加到连接数过多的拒绝列表中, 连接数过多是指对 WAN 口的某 个 IP 或者 AC 本身的某个端口建立了过多的 TCP 连接, 例如，内网 IP: 192.168.0.1 与外网 IP: 202.96.134.133:80 在一分 钟内建立的连接超过了阀值, 则导致 192.168.0.1 这个 IP被封锁期间再也连接不上 202.96.134.133:80, 不过换个目的IP或 者目的端口后又可以了建立新的 TCP 连接了 IP add to DOS deny list 源 IP 被加到连接数拒绝列表中 内容内容内容内容检测检测检测检测模块模块模块模块ContentCheckerContentCheckerContentCheckerContentChecker 访问控制组内容检测模块下的各项配置的拒绝列
