简介：面向企业IT管理者、网络安全运维人员的深信服上网行为管理解决方案模版，聚焦互联网环境下“看不见、管不住”的典型痛点，系统梳理了用户终端多样化、应用与内容不可视、P2P及关键业务带宽难管控等核心需求，并结合网络安全法审计要求给出可落地的应对框架。压缩包内含1个PDF文档，大小645KB，是一份结构完整的方案建议书，涵盖需求概述、可视可控方案、流量管理、方案优势等章节。已有416人学习下载。方案从身份识别与权限划分入手，讲解基于用户角色、终端类别、位置与应用类别的精细化策略；行为层面覆盖应用识别、标签化管控、非法内容识别和全量审计；流量层面强调网络流量可视化与动态限速，避免带宽被无关业务抢占。针对私接无线热点、来宾访客上网等特殊问题，也提供了识别管控与便捷认证的方法。整体突出“可视可控、感知风险”，可辅助企业开展上网行为管理体系规划，也可作为技术选型、方案汇报和制度制定的参考。
1. 上网行为管理这件事，为什么不能只靠一台防火墙
很多企业第一次接触上网行为管理，是来自一次「员工摸鱼被抓包」或者「带宽被下载占满」的投诉。等到 IT 真正去查，才发现问题的本质不是某个人多下了几个电影，而是内网缺少一套「看得见、控得住、留得下」的上网行为管理机制。深信服上网行为管理方案（通常以 AC 设备为核心）解决的就是这三件事：流量可视化、策略管控、日志审计。它适合那些有合规审计需求、带宽敏感、或者正在做等保建设的政企和金融机构，也适合想把网络管理从「灭火」变成「预防」的运维团队。
这套方案不是装一台设备就完事。它需要先想清楚部署位置、再设计策略粒度、然后接认证和日志平台，最后才是日常调优。下面按我实际落地的顺序，把每一个环节拆开讲。
2. 方案选型与部署规划：旁路还是网关联路，先想清楚再动设备
2.1 网关联路与旁路部署的取舍逻辑
深信服上网行为管理产品最常见的是 AC 系列，部署模式分为网关联路、透明网桥和旁路镜像三种。第一次选型的人容易直接选网关模式，觉得「串在网络上一定管得最严」，但实际项目中超过一半的客户最终用的是旁路镜像或者透明模式。
网关联路（路由模式）适合新建网络或者网络规模不大、可以接受 AC 作为出口网关的场景。它的优势是管控粒度最细——可以基于用户、应用、时间做阻断策略，还能做带宽分配和流量整形。代价是链路延迟增加一跳，设备一旦宕机全网断网，且 NAT、路由策略都要迁到 AC 上。透明网桥模式则不需要改动原有 IP 规划，AC 像一个隐形盒子串在交换机和企业出口之间，策略能力基本保留，风险是物理链路故障会断网。旁路镜像模式最安全——通过交换机镜像口把流量复制给 AC，只做审计和分析，不参与转发，完全不影响业务，但缺点是只能看不能断，做不了实时阻断。
我在选型时一般按这个逻辑判断：如果客户有等保合规、需要留存日志和事后追溯，旁路模式就够了，成本低、风险小；如果客户明确说要限制员工访问视频网站、控制 P2P 下载，那就必须网关或透明模式，因为旁路只能「看」不能「管」。如果网络架构完全新建、设备数量不多，直接网关联路最省事。
2.2 部署位置的选择：出口还是核心交换
确定了模式之后，部署位置是另一个容易纠结的点。常见的位置有三个：出口网关前、核心交换机和出口之间、以及汇聚层核心交换机旁路。
出口前部署适合网关联路模式，AC 直接做出口设备，内网所有流量都经过它。这时的管控最彻底，但也意味着 AC 要能扛住全公司出口带宽的峰值。核心交换机和出口之间部署适合透明网桥模式，对原有网络改动最小，管理和数据都集中在这一条链路上。核心交换机旁路镜像则有两种镜像方式：一种是镜像全出口流量，适合全局审计；另一种是镜像指定 VLAN 的流量，适合只关注某些部门、某些业务的上网行为。
我见过一个典型的翻车案例：客户把旁路镜像口接到了交换机上，但镜像口没有做去重，AC 收到的重复报文导致统计偏差巨大。后来把镜像口配置成只镜像上行和下行各一个物理口，而不是镜像所有 VLAN 的聚合流量，数据才恢复正常。这个坑在部署时必须先想清楚：你镜像的是哪个方向的流量、有没有环路、有没有重复报文。
2.3 本地转发与集中管理：多分支场景的两种选择
单台 AC 部署之外，多分支企业还要考虑是每台独立管理还是用集中管理平台统一管控。深信服的 AC 支持 BOC（分支网关）模式，总部和分支各部署一台，由总部的 AC 做策略下发和日志汇总。这个方案的价值在于统一策略、统一审计，分支不需要单独配管理员。
如果你只有一两个分支、网络规模不大，用独立的本地管理就够了，没必要上集中平台。但如果你有十几个分支，靠 SSH 一台台登录去改策略，那一定是噩梦。这种情况建议直接上集中管理，把策略模板做成分组下发——人事、财务、研发、生产各一套模板，分支按部门套用。
提示：镜像口一定要关闭 STP 和 Negotiation 自动协商，否则交换机可能把镜像口纳入环路计算，导致流量震荡。
3. 策略配置的落地顺序：从应用识别到带宽管理的四步走
3.1 应用识别的原理与配置
上网行为管理策略的第一步是「认得出你在访问什么」。深信服 AC 的应用识别基于特征库和云端情报，特征库涵盖应用、网站、加密流量分类。配置时先确定应用识别规则是「默认放行、按需阻断」还是「默认阻断、按需放行」，这两种思路直接决定了后续策略的复杂度。
默认放行适合追求低误杀的轻管控场景，比如普通企业只想限制视频流量，那就只对「在线视频」「P2P 下载」这两个分类做阻断。默认阻断适合高合规要求的场景，比如政务、金融内网只允许业务白名单，其他全拒。我一般建议从默认放行开始，跑两周后再看命中日志逐步收紧，而不是刚开始就全拒——第一周一定会有业务被误杀，全拒策略会让 IT 自己先被投诉淹没。
3.2 用户与 IP 的绑定：策略生效范围的关键
策略只有落到人身上才有意义。深信服 AC 支持多种用户识别方式：本地账号、AD 域联动、Radius、以及 IP-MAC 绑定。AD 域联动是最推荐的——用户登录域账号时，AC 自动学习账号和 IP 的映射关系，不需要每个员工单独注册一个账号。
没有域环境的场景，本地账号手动建也不麻烦，但要注意账号生命周期管理。员工离职后如果不及时禁用账号，他的账号权限和策略盲区会一直存在；这时配合终端准入系统联动，在员工离职时自动回收账号权限，可以少一个安全隐患。IP-MAC 绑定适合哑终端（打印机、IP 电话）和公共区域电脑，这类终端没有域账号，绑定 IP-MAC 才能让策略覆盖到它们。
3.3 行为管控策略的配置顺序
新建策略时，我在项目里的标准顺序是：先做用户识别，再做应用管控，再做带宽管理，最后做审计策略。四步之间不是并列关系，而是层层依赖——你没识别用户，应用管控只能基于 IP，换一台电脑就完全失效；你没做带宽管理，视频流量被阻断后员工马上切到加密流量，审计日志里又是一片空白。
策略配置页面的核心对象有三个：源（用户组/IP 组）、目的（应用分类/URL 分类）、动作（放行/阻断/限速）。配置时建议把部门维度做在用户组里，把应用维度做在应用组里，然后通过策略优先级来组合。比如「研发部-允许访问技术社区-限速 2Mbps」和「研发部-阻断视频网站」是两条独立策略，优先级高的先匹配。深信服 AC 的策略匹配是自上而下的，所以一定要把「阻断」优先级放上面，「放行」放下面，否则先匹配了放行，阻断策略永远不生效。
3.4 带宽管理的关键参数
带宽管理是策略配置里最容易被低估的部分。实际项目中，很多客户告诉我「只要把视频断了就行」，结果断了视频之后，办公系统的体验反而变差了——因为 P2P 和更新流量还在抢占带宽。带宽管理要设置的参数包括：上行/下行带宽上限、每 IP 限速、每用户限速、以及保障带宽。
我常用的参数参考如下：
| 场景 | 单 IP 限速 | 保障带宽 | 备注 |
|---|---|---|---|
| 普通办公 | 下行 5Mbps / 上行 2Mbps | 不设 | 防止下载占满出口 |
| 研发部门 | 下行 10Mbps / 上行 5Mbps | 2Mbps | 访问代码仓库和镜像站 |
| 视频会议 | 不限制 | 4Mbps 保底 | 单独放行，避免被限速策略误伤 |
| 访客 Wi-Fi | 下行 1Mbps / 上行 512Kbps | 不设 | 避免访客流量挤占办公带宽 |
这里的坑在于：保障带宽是「保证最低可用」，不是「限制最高速度」。很多运维把保障带宽理解成上限，导致配置完成后视频会议卡顿、语音断续。正确理解是——当链路拥塞时，保障带宽内的流量优先通过；链路空闲时，它仍然可以用满全带宽。
提示：策略配置完一定要做「命中测试」。深信服 AC 的 Web 管理界面里有策略模拟测试工具，输入源 IP、目的 IP、应用类型，它会告诉你最终命中的是哪条策略。我每次都拿这个工具验证策略优先级，而不是靠肉眼读规则列表。
4. 认证、审计与留存：让上网行为管理真正合规的两块基石
4.1 认证方式的选型：AD 联动和 Portal 认证的区别
在部署上网行为管理方案时，认证是决定体验和合规效果的分水岭。深信服 AC 支持多种认证方式，但选错认证方式会直接影响员工日常办公——我曾经见过一个客户强制所有员工使用 Portal 认证，结果每台电脑开机后都要手动打开浏览器输账号密码，一周内被投诉了三十多次。
实际项目中我推荐分场景选型：
| 认证方式 | 适用场景 | 优点 | 缺点 |
|---|---|---|---|
| AD 域联动 | 有域环境的企业 | 无感知认证，账号联动离职回收 | 需要同步 AD 账号 |
| Portal 认证 | 访客、公共区域 | 灵活，临时账号好管理 | 影响体验，不适合内部办公 |
| 本地账号 | 小规模无域环境 | 部署简单 | 账号维护成本高 |
| IP-MAC 绑定 | 哑终端、打印机 | 无感、稳定 | 终端更换 IP 就要重新绑定 |
如果客户有域环境，我一律建议 AD 联动。认证页面上需要配置 AD 服务器地址、同步 OU 范围和同步周期。注意只同步需要用网管策略的 OU，不要整个域都拉过来，否则大量服务账号、离职账号全进 AC，策略配置会变得极难维护。
4.2 审计日志的留存策略与合规要求
合规审计是上网行为管理方案区别于普通防火墙的核心价值。日志要留存哪些内容？至少包括：时间、源 IP/账号、目的 IP、应用类型、URL、动作（放行/阻断/限速）。深信服 AC 支持将日志外发到第三方审计平台（如 Syslog 服务器）或者本地留存。
留存期限有两个参考：等保二级要求日志留存不少于六个月，等保三级要求不少于六个月且覆盖关键操作。我一般建议本地留存按存储空间能存多久算多久，至少半年起；同时把核心日志（登录行为、阻断记录、管理员操作）外发到集中日志平台做长期归档。如果只用 AC 本地存储，日志量大的环境三个月就会写满硬盘，到时候最先遇到问题的不是合规检查，而是 AC 的 Web 管理界面开始卡顿。
4.3 管理员分权与三权分立
审计还有一个常被忽略的点：管理员分权。深信服 AC 支持角色权限分离——超级管理员、策略管理员、审计管理员、只读管理员。如果 IT 只有一个人，你可能觉得分权没必要，但在等保测评和内部审计时，「配置策略的人不能同时查看审计日志」是明文要求。否则一个管理员既改了策略又删了日志，出了问题没有任何追溯能力。
实际项目中我需要至少建立三个账号：一个超级管理员（日常维护）、一个审计管理员（只查日志看报表）、一个只读账号（给领导查状态用）。这不会增加多少维护成本，但能让你在合规检查时直接拿出账号清单和操作日志，省掉返工。
5. 部署与运维避坑：5个最常见的翻车现场与排查方法
5.1 旁路部署后审计日志为空
现象：AC 旁路部署完成，交换机镜像口也配好了，但审计平台上看不到任何流量日志。
原因：交换机镜像口配置错误。常见两种情况：一是镜像方向配反，只镜像了上行但没镜像下行；二是镜像口接的是 Trunk 口，但交换机默认只镜像 Access VLAN 的流量。还有一种容易被忽略的原因是镜像目的口物理协商失败，链路根本没起来。
解决：先用show mirror或等价命令确认镜像方向，再把镜像口固定成 Access 口并强制双工和速率。最后在 AC 上新建一条临时审计策略，只针对一个测试 IP 做全部记录，用这个 IP 访问几个不同的网站，半小时内看日志是否产生。如果日志仍为空，抓包看 AC 的镜像口是否真的有报文进来。
5.2 网关模式部署后业务大面积卡顿
现象：AC 切换成网关联路模式后，公司核心业务系统响应慢，视频会议卡顿严重。
原因：AC 的硬件性能扛不住全公司出口带宽峰值。我见过客户出口带宽 1Gbps，AC 却选了一个最大转发性能只有 200Mbps 的型号，上线第一天下午所有人都开始投诉。另外也可能是 AC 上的应用识别和审计策略全开了，导致处理性能被策略数量拖垮。
解决：选型时不要只看并发连接数，要同时看最大转发性能和应用识别开启后的性能折扣。如果设备已经上线，紧急方案是把审计策略只保留关键业务，把带宽管理策略从每 IP 精确限速改成按应用分类限速，降低 CPU/内存压力。
注意：深信服 AC 的官方性能参数通常是「纯转发」场景下的数据，开启应用识别、审计、带宽管理后实际可用性能普遍要打七折左右。预算允许的情况下，选比实际需求高一档的型号是值得的。
5.3 策略配置正确但命中结果不对
现象：配置了「阻断视频网站」的策略，但员工仍然能访问抖音和 B 站。
原因：双层因素——一是 AC 特征库版本太久，新上线的音视频应用没有被识别到，属性被归到了「其他」或「未分类」；二是员工使用了加密流量或私有协议，AC 的 DPI 识别不了。
解决：先在 AC 的「应用识别」里手动搜索这个应用，看特征库是否已收录；没有就升级特征库到最新版本。升级后仍然识别不了，可以在应用策略里加一条「未知应用」的阻断规则，并观察该规则命中的源 IP 分布，再做进一步定向管控。这里不要指望一个策略能管住所有情况，加密流量占比高的内网，管控效果天然打折扣。
5.4 日志存储满导致 Web 管理界面卡顿
现象：AC 管理界面响应缓慢，甚至登录页面都打不开，但网络转发没有受影响。
原因：本地日志存储已满，日志写入进程持续占用磁盘 I/O，管理进程被拖慢。这在旁路镜像模式下尤其常见——因为流量大、日志量大，磁盘很快写满。
解决：定期把日志转储到外部 Syslog 服务器，本地只保留最近 7 天日志；开启日志压缩，降低单条日志的体积。如果是 SSD 存储的 AC，还可以配置日志分卷，按天生成日志文件，方便定期清理。
5.5 认证策略导致员工频繁掉线
现象：AD 联动认证上线后，员工电脑经常收到重新认证的提示，一天掉线多次。
原因：AD 账号的密码过期或同步周期设置不当导致的账号状态漂移。另一个常见原因是用户在一台电脑上换了 IP（例如 DHCP 租约更新），AC 认定这是一个新会话，触发了重新认证。
解决：先确认 AC 与 AD 的时间同步是否正常——Kerberos 认证对时间偏差极其敏感，超过 5 分钟就会认证失败。再把 DHCP 租约时间调长，减少 IP 变化频率。如果掉线仍然频繁，把认证超时时间从默认的 30 分钟调到 8 小时，缓解为主，因为大部分员工不会重新输入账号密码。
6. 验证方案效果的方法：从报表回溯到策略调优的闭环
方案上线只是开始，真正的价值在持续调优中体现。我通常用一套固定的验证节奏来跑闭环：上线后第 1 天看实时流量、第 3 天看日报、第 7 天拉周报、第 14 天做一次策略调整。报表里最值得关注的是「策略命中 TOP 10」和「未分类应用 TOP 10」两张表。前者告诉你哪条策略管住了多少流量，后者告诉你还需要补什么规则。
我从实践中摸索出的一个细节是：每周固定花十分钟看「用户 Top 流量排行」——不是看谁用得最多，而是看那些突然出现在榜单里的账号。这类账号多半是入职新人下载了大型安装包，或者是某个测试服务器被开放了 P2P 端口。提前发现比等到带宽告警再查要省力得多。
策略调优要克制。很多运维在报表里看到阻断次数很多，就会不断扩大阻断范围，直到某天老板的某个业务系统被误杀，然后一夜回到解放前。我现在的习惯是每次只在日报中标记为「异常」的分类里添加阻断规则，并且每次只加一条，隔天观察命中量再决定是否继续。这个习惯帮我避开了很多次「一刀切误伤业务」的翻车现场。
最后分享一个我踩过的血泪经验：深信服 AC 的配置备份一定要定期导出，尤其是在做了批量策略调整之后。我曾经在一次策略调整中误删了整个「办公区放行策略组」，恢复界面里找了一个小时都没找回来，最后只能从上一周的备份文件重新导入——那一个小时里全公司上网都是乱的。从那以后，我每次调整策略前都手动导出一份配置备份，这已经是雷打不动的习惯。希望这篇实战笔记能帮你在做上网行为管理方案时少走几步弯路。
本文还有配套的精品资源，点击获取
