应用控制技术、内容审计技术、AAA服务器技术
一、应用控制技术
1. 传统检测vs深度行为检测
传统检测特点：
工作层级：主要针对OSI二三四层
实现方式：通过识别协议报文并根据策略进行转发/拒绝
典型应用：如禁止使用QQ等特定业务
深度行为检测特点：
新增功能：增加了内容检测能力
技术分类：
深度包检测(DPI)
深度流检测(DFI)
精细控制：可实现如"仅允许特定账户登录"等高精度控制
2. HTTP过滤
实现基础：属于深度包检测中的基于特征码检测技术
控制方式：
关键字识别：通过识别数据包中的多个关键字实现控制
主机头识别：可对特定网站做定制化识别
典型应用：
禁止移动端上网
限制特定网站访问
3. 传输过程的数据安全性
1）数据加密与解密技术
防护目标：防止数据被截获
实现手段：采用加密/解密技术
实际案例：如HTTPS、VPN等传输加密技术
2）完整性校验
防护目标：防止数据被篡改
实现原理：通过校验机制确保数据在传输过程中未被修改
3）双方身份认证
防护目标：确认通信双方身份真实性
实现方式：使用数字证书进行身份验证
类比说明：类似于"身份证"的验证机制
4）防止重放攻击
攻击原理：攻击者无需解密数据，只需复制并重发有效数据包
典型案例：银行转账被重复执行
防护措施：
数据包添加序列号
实施二次认证机制（如短信验证）
SSL/TLS握手过程中的随机数交换
四阶段握手流程：
Client Hello：携带SSL版本号、加密套件列表等
Server Hello：确定加密参数并返回随机数
证书交换与验证
密钥交换与加密参数启用
注：笔记中已根据课程内容完整保留了所有关键技术要点、实际案例和防护措施说明，并按照康奈尔笔记法进行了结构化整理。图片插入位置与相关知识点严格对应，确保笔记的完整性和可读性。
4. HTTPS原理
1）例题:HTTPS握手过程
Client Hello报文内容
基于TCP的特性：SSL/TLS协议都基于TCP，在发生报文前必须先完成三次握手
关键字段组成：
版本信息：包含TLS协议版本号（如TLSv1.2/TLSv1.3）
PSK密钥交换模式：预共享密钥的交换方式
加密套件列表：包含客户端支持的所有加密算法组合（如AES、RSA等）
密钥共享扩展：用于密钥交换的参数
随机数：用于生成会话密钥的重要参数
Server Name指示：明确告知服务器要访问的域名（如microsoft.com）
加密算法详解
对称加密算法：
AES算法：支持128/256位密钥长度，如AES_128_GCM、AES_256_GCM
密钥长度原则：位数越长越安全（256位比128位更安全）
完整性校验算法：
哈希算法：SHA_256、SHA_384等
校验原理：同样遵循位数越长越安全原则
身份认证方式：
RSA证书认证：用于验证服务器身份
商密标准：商业/国家机密级加密可达1024位密钥长度
实际应用考量：
普通网站（如QQ官网）通常采用256位加密
高安全需求场景才会使用更复杂的加密方式
2）例题:HTTPS握手过程分析
密钥交换过程
交换模式：
DH/DHE：Diffie-Hellman密钥交换协议
随机数交换：客户端和服务器交换随机数用于生成会话密钥
保留字段：报文中存在多个标记为"unknown"或"reserved"的字段
Server Hello响应
与Client Hello的区别：
加密套件选择：服务器从客户端提供的列表中选择一个最优套件
会话ID：服务器生成的唯一会话标识符
随机数：服务器生成的随机数，与客户端随机数共同生成密钥
密钥交换报文：
包含选定的加密套件（如TLS_AES_256_GCM_SHA384）
携带密钥交换参数
可能包含证书链用于身份验证
3）客户端密钥交换
预主密钥生成：客户端产生48位随机数作为pre-master（预主密钥），该密钥是后续会话密钥的基础
加密传输机制：当采用RSA加密时，客户端使用服务器公钥对预主密钥进行加密后传输（如字幕所述："预主密钥是被加密的"）
服务器处理：服务器端收到加密的预主密钥后，使用私钥解密并缓存该密钥（字幕强调："服务器端缓存预主密钥"）
密钥交换的加密细节
加密验证：通过Wireshark抓包可见，Client Key Exchange报文内容显示为加密状态（字幕确认："看到这是个什么消息，看到没？加密的握手消息"）
密钥长度确认：明确使用48位密钥（字幕多次强调："就是这个48位的一种密钥"）
RSA加密过程：客户端在client hello和server hello阶段已获取服务器公钥（字幕提问："是不是已经把那个公钥发过去了？"）
密钥交换后的流程
后续认证阶段：密钥交换完成后仅需进行最终认证（字幕说明："交换完了之后，最终最终就只需要做一个认证就行了"）
加密参数启用：通过Change Cipher Spec协议通知对方开始使用协商的加密参数
应用数据传输：认证通过后进入Application Data阶段，所有通信内容均被加密（字幕提到查看application data报文）
技术要点总结
核心功能：实现客户端与服务器之间的安全密钥传递
随机性要求：预主密钥必须是强随机数（字幕强调："48位随机数"）
前向安全性：即使长期密钥泄露，也不会危及本次会话安全
加密强度：采用服务器公钥加密确保传输安全（字幕确认："这个预主密钥是被加密的"）
4）客户端证书验证
签名生成过程：从ClientHello开始到当前所有握手消息（不包括本消息）的摘要，用客户端私钥加密生成签名
验证机制：服务器使用Client Certificate消息中的客户端公钥解密验证，确认客户端真实性
加密特性：加密后的签名内容不可读，仅显示为一串数字序列（如：0000000000000001534c914d8d8adb1c73d94da5aa511563）
简化握手流程
重复访问优化：访问已建立过连接的网站时，握手流程简化为ClientHello + 密钥交换两步
报文对比：相比完整握手省略了ServerHello等步骤，如Wireshark捕获的202.89.233.100通信案例
加密数据分析
数据特征：应用层数据加密后显示为十六进制串（如：ff 7f 35 00 00 17 03 03 00 5e...）
解密难度：无密钥情况下无法解析具体内容，仅能观察到传输层TCP/TLS协议头信息
握手过程实例
典型交互：
TCP三次握手建立连接
ServerHello + Certificate（427字节）
Client Key Exchange（212字节）
应用数据交换（153/476字节）
New Session Ticket（396字节）
Hello Retry机制
触发条件：服务器要求重新协商参数时发送153字节的Hello Retry Request
变更通知：包含Change Cipher Spec消息用于更新加密约定
典型场景：当客户端支持的加密套件与服务器要求不匹配时发生
5）改变加密约定消息
改变加密约定消息的定义与目的
协议特性: 该消息仅包含一个值为1的字节，是与握手协议同级别的独立协议
核心功能: 通知通信对方后续消息将采用新协商的加密套件和密钥
密钥更新机制: 在网络中使用数字密钥时间越长安全性越低，定期更新可提升安全性
改变加密约定消息的发送时机
触发条件:
密钥使用周期到期（通常半小时至一小时）
任一方检测到密钥可能被破解
重协商过程: 与初始握手类似，需重新交换随机数并生成新的主密钥
本地计算: 客户端会将客户端随机数、服务端随机数和预主密钥组合生成主密钥，并导出MAC密钥和写密钥
改变加密约定消息在HTTPS握手中的位置
初始握手阶段: 位于Client Finished Message之后，作为加密通信开始的标志
会话恢复阶段: 在简化握手过程中可能仅包含Client Hello和Change Cipher Spec
密钥更新阶段: 作为独立消息通知对方启用新加密参数
实例分析：改变加密约定消息的传输过程
常见场景:
首次访问：完整12步握手流程
重复访问：可能简化为Client Hello → Change Cipher Spec → Finished三步
会话恢复机制: 服务器保存客户端会话信息时，可跳过证书验证等步骤
异常处理: 出现Hello Retry Request表示需要重新协商参数
6）证书层次结构
有效期特征: 通常为1年（示例中2024/12/2至2025/12/2）
公钥稳定性: 证书和公钥不会频繁变更，保障会话恢复可行性
颁发机构层级: 包含颁发者(DigiCert)和持有者(Tencent)的双重身份验证
指纹算法: 现代证书普遍采用SHA-256哈希算法生成指纹
7）证书字段
证书有效期与更新
有效期机制：证书/公钥通常一年有效，到期后需要重新颁发
更新方式：服务器和客户端只需更新各自记录，无需重新建立完整连接
密钥更新：直接发送改变加密的消息并重新计算必要参数即可传输数据
加密消息与数据传输
协商流程：无论是完整SSL还是简化三次握手，始终由客户端先发送Client Hello报文
架构特性：基于客户端-服务器架构的协议，必须由客户端先触发才能改变加密消息
HTTPS原理与握手协议
Change Cipher Spec：
属于独立协议，与握手协议同级
消息内容为单个值为1的字节
作用：通知对方后续通信将采用新协商的加密套件和密钥
加密触发：必须由客户端先发送Hello消息触发加密流程变更
数据加密与传输安全
加密特征：SSL协商成功后，所有传输数据均为加密状态
管理限制：
无法从加密数据中区分GET/PUT等HTTP方法
无法直接解析加密内容进行过滤
CDN影响：大型网站使用CDN会导致服务器IP不固定，增加管理难度
CDN与内容分发网络
双重功能：
降低服务器负载：将请求分发到本地服务器
增强安全性：隐藏真实服务器IP地址
动态特性：用户可能访问不同地区的CDN节点（如长沙→南京）
管理难点：无法通过收集所有CDN IP地址进行过滤，操作复杂且危险
SSL/TLS协议与数据加密
初始报文：客户端首个包为Client Hello，此时尚未加密
关键字段：Server Name字段标识客户端要访问的具体域名
检测原理：深度包检测(DPI)可通过分析未加密的Hello包进行过滤
HTTP报文与重定向
阻断机制：
检测到违规访问时，伪装服务器发送重定向报文
重定向至禁止访问页面
最终由ISP断开连接
协议层级：阻断操作发生在HTTP层而非SSL层
8）HTTPS协议结构
证书交换过程：服务器在SSL握手第二阶段将自己的证书发送给客户端，证书包含服务器身份信息和公钥。客户端会验证证书有效期并缓存服务器公钥。
协议独立性：HTTP和SSL是两个独立的协议，SSL先协商加密通道，再在该通道中传输HTTP数据。类似DNS和HTTP的关系，可以单独使用SSL（如SSL VPN）。
9）SSL协议结构
四层协议组成：
握手协议：首次建立安全连接时协商加密参数
修改密文协议：密钥过期后重新协商密钥
报警协议：通信异常时通知对方终止或重建连接
记录协议：负责传输数据的加密记录
工作流程：先通过握手建立安全连接，期间可修改密钥，发现问题通过报警协议处理，所有传输数据由记录协议封装。
10）握手协议细节
预主密钥生成：客户端产生48位随机数作为pre-master，用服务器公钥加密后发送
证书验证：客户端发送包含签名的Certificate verify消息，签名内容是从Client hello开始的所有握手消息摘要
访问控制机制：当发现禁止访问的域名时，直接终止握手过程并发送TCP RST断开连接，不返回具体错误页面
11）HTTPS控制工作原理
工作机制：
终端发送Client hello报文后，设备识别网站并伪装服务器发送RST包（IP.ID为
0×58260 \times 58260×5826
）断开连接
与HTTP的区别：
HTTPS全程加密，未做SSL中间人劫持时无法伪造数据包
HTTP可重定向到拒绝界面，HTTPS只能直接断开连接
技术细节：
通过Client hello报文中的ServerName字段识别目标网站
直接发送RST包终止TCP连接，不发送重定向页面
封堵机制：终端发送Client hello报文后，识别目标网站并伪装服务器发送RST包（IP.ID为0×5826）强制断开连接
关键步骤：通过TCP重置攻击实现访问控制，无需解密HTTPS流量
HTTPS与HTTP封堵的区别
加密特性：HTTPS全程加密，未做SSL中间人劫持时无法伪造具体数据包
控制差异：HTTP可实现重定向到拒绝界面，HTTPS只能断开连接
技术限制：HTTPS封堵仅能阻断连接，无法像HTTP那样修改响应内容
SSL中间人劫持
实现条件：需要AC设备同时伪装服务器（对客户端）和客户端（对服务器）
证书问题：终端证书与真实服务器不匹配，浏览器会显示AC设备提供的证书
典型场景：内网SSL劫持时，所有网站证书均显示为AC设备证书
证书查看与中间人识别
验证方法：检查证书颁发者信息，正常应显示网站所有者（如Microsoft）
劫持特征：若显示AC设备厂商名称，则存在中间人劫持
注意点：未开启SSL代理时，证书显示原网站信息（如访问bing.com显示Microsoft证书）
HTTPS原理与四阶段握手
阶段1（Client Hello）：携带SSL版本号、加密套件列表、客户端随机数
阶段2（Server Hello）：服务器确定加密参数，发送证书和随机数
阶段3（密钥交换）：客户端发送预主密钥，双方生成会话密钥
阶段4（加密通信）：通过Change Cipher Spec通知启用加密，验证握手完整性
恶意代码加密与筛选
代理功能：通过SSL代理解密流量，可检测加密传输的恶意代码
技术实现：AC设备同时修改两端证书，建立独立SSL连接进行内容审查
应用场景：曾用于拦截HTTPS网站下载的病毒代码（如ha tc网站案例）
SSL代理功能的应用
工作原理：终端与AC建立SSL连接，AC再与服务器建立独立SSL连接
安全影响：导致终端证书显示为AC设备证书，可能触发浏览器安全警告
管理要求：需在企业内网部署受信任的CA证书以避免证书告警
12）思考总结
HTTPS网站封堵排查方法
排查步骤：
检查URL库是否为最新版本
确认目标网站在应用识别库或URL规则库中
验证策略配置是否正确
检查策略适用用户是否在线
确认用户不在全局排除地址中
开启直通抓包分析ServerName是否正确对应目标网站
13）思考总结
HTTP与HTTPS封堵对比
相同点：
都通过获取服务器标识进行封堵
最终都通过发送RST包断开TCP连接
不同点：
识别方式：
HTTP：从三次握手后的GET请求包中获取Host字段
HTTPS：从Client hello包的ServerName字段获取
阻断方式：
HTTP：先发送重定向包再发送RST
HTTPS：直接发送RST断开连接
技术原理：
HTTPS在SSL协议层阻断，无法伪造响应内容
HTTP可在应用层构造拒绝访问页面
14）自定义应用方法
自定义应用背景
应用场景：
内部专用应用（如企业自研系统）
规则库更新周期内新出现的应用/网站
小众应用未被规则库收录的情况
更新机制：
内置规则库每半个月定期更新
可能遗漏小众应用和新兴网站
自定义应用实现
配置要素：
数据包方向（LAN-WAN/WAN-LAN）
协议类型（TCP/UDP等）
目标端口（单个或范围）
目标IP（单个或范围）
匹配域名
注意事项：
特征需尽可能精确，避免过度匹配
仅配置端口80会导致所有HTTP流量被识别
URL自定义方法
配置要点：
直接输入域名，无需添加http(s)://
可使用*作为通配符
单条URL长度不超过40字节
总URL条数不超过6万条
典型应用：
封堵特定新闻门户
限制成人内容网站
管控视频流媒体站点
15）对象自定义总结
自定义类型
主要方式：
准入规则（基于进程控制）
自定义应用（精准封堵/审计）
自定义URL（特定网站管控）
自定义关键字（内容过滤）
应用特点：
覆盖99.99%常见应用外的0.01%特殊情况
对内部专有系统特别有效
配置需要精确匹配特征
准入策略排查
排查要点：
检查直通和全局地址排除设置
确认终端支持准入系统（仅Windows PC）
验证策略关联用户及适用区域
检查自定义规则条件和执行动作
技术限制：
不支持非Windows设备
需要终端安装特定客户端
5. 应用控制技术总结
1）行为检测分类
传统行为检测：检测2-4层数据，采用针对特定应用的一刀切控制方式
深度行为检测：实现应用层精细化控制，例如允许/禁止特定账号上网
2）深度检测技术
深度包检测(DPI)：
基于特征检测：通过协议特征字段识别应用
基于应用网关：通过代理方式解析应用内容
基于行为模式：分析流量行为特征进行识别
HTTP过滤：通过识别超文本传输协议中的关键字字段实现过滤
HTTPS过滤：通过解析SSL证书中的server字段实现网站过滤
3）自定义过滤机制
规则库缺失处理：当遇到未收录的应用或URL时，需要管理员手动配置自定义过滤规则
4）上网行为管理功能
核心功能：
访问控制：对用户访问内容进行限制
行为审计：记录用户上网行为日志
实现方式：通过内容审计技术实现行为记录和分析
二、内容审计技术
1. 网络安全法要求
责任人制度：必须明确网络安全责任人，政府部门和国企特别重视"出事找人"的追责机制
日志管理：要求监测、记录并保留网络日志不少于6个月，通过日志分析提取报错/警告信息
防护措施：
制定内部安全管理制度和操作规程
采取数据分类、重要数据备份和加密措施
防范计算机病毒、网络攻击和网络入侵
法律兜底：需履行其他法律、行政法规规定的网络安全义务
2. 上网行为审计架构
审计本质：记录"哪个账号在什么设备、什么时间访问了哪些服务及操作内容"
合规价值：实现事后追溯、优化权限策略等管理目标
审计范围：
用户账号（包括虚拟账号）
网站访问记录
搜索关键字
邮件收发
论坛发帖/微博
IM聊天内容
1）日志查询
存储方式：
本地存储（设备内置空间）
远程服务器存储（应对大规模网络日志）
查询维度：
用户行为查询（账号/手机号/微信ID等）
网站访问记录
文件审计（上传/下载）
即时通讯内容
邮件收发记录
论坛/BBS活动
安全事件日志
管理员操作日志
查询特点：支持类似百度搜索的"数据下钻"查询，条件组合灵活
2）统计分析
报表功能：
自动生成流量分析、用户行为分析等统计报表
支持导出为多种格式（含PDF）
减轻网管月度/季度汇报工作量
审计技术分类：
普通软件审计（未加密数据）
HTTP流量审计（明文传输）
特殊协议审计：
网页邮箱（HTTPS协议）
客户端邮箱（SMTP/POP3协议）
3. 外发邮件审计技术
1）内容审计需求背景
审计对象：主要针对HTTP协议的网页内容，包括：
Web BBS论坛发帖内容
外发的Web Mail邮件内容及附件
通过网页上传的文本和附件（图片、视频等）
策略配置：
需在AC设备中新增策略并启用
可针对不同用户设置不同审计规则
支持对微博、FTP、TELNET等多种网络应用的内容审计
2）外发邮件审计原理
SSL解密技术原理
明文审计：
原理：直接解析邮件数据包中的明文内容
字段：包含from/to/cc/bcc字段、邮件标题、正文和附件
特点：不同邮箱服务商（如163、QQ邮箱）的数据包格式存在差异
加密审计：
限制：无法直接审计HTTPS加密内容
解决方案：采用SSL中间人代理技术
AC设备伪造证书（如深信服AC设备使用厂家证书）
终端可能提示证书警告，需手动添加信任
企业内网通常批量安装根证书避免告警
例题:HTTPS被代理判断
判断方法：
数据包长度差异：
正常转发时内外网数据包长度应一致（如66字节）
代理会导致数据包长度变化（如变为74字节）
证书颁发者：
被代理时证书颁发者显示为AC设备厂商（如深信服）
原始证书被替换为代理证书
安全提示：
企业网络中被代理时所有HTTPS内容均可被审计
需注意工作电脑可能安装了企业根证书
配置SSL内容识别
配置要点：
域名列表：需逐行添加待识别的邮箱网站（不支持通配符*）
常见邮箱域名：mail.qq.com、gmail.com、mail.google.com等
微信网页版域名：wx.qq.com、wx2.qq.com
证书管理：
需下载并安装SSL识别根证书
AD域环境下可批量解除浏览器告警
注意事项：
仅对443端口的HTTPS流量生效
邮件客户端需单独配置邮件过滤策略
效果展示
审计能力：
可完整捕获网页版邮箱的：
收件人/发件人信息
邮件主题和正文内容
附件信息（文件名、类型）
限制：
客户端邮件（如Outlook）需通过邮件过滤策略审计
即时通讯软件（微信/QQ）的内容需单独配置审计策略
4. 需求背景
1）QQ和微信数据传输的加密方式
协议特性：QQ客户端聊天内容通过OICQ协议传输，数据采用程序内置加密方式，业界普遍无法解密
审计困境：企业若需审计员工QQ聊天记录，无法通过传统网络抓包方式实现
2）加密方式写在程序中的特点
固定加密机制：不同于浏览器需要TLS协商，QQ/微信等APP直接将加密算法写入客户端程序
免协商特性：因固定连接特定服务器，无需像浏览器访问不同网站时进行加密方式协商
3）中间人代理解密的不可行性
技术限制：无法通过中间人代理方式解密，因加密过程不依赖协商机制
逆向风险：逆向分析通讯加密方式将面临法律风险，企业安全团队会立即采取法律行动
4）逆向加密方式的难度与后果
技术门槛：腾讯安全团队专业防护，逆向工程成功概率极低
法律后果：成功逆向者可能收到企业高薪邀约（P7级以上职位）或法律诉讼
5）本地读取聊天记录的建议
替代方案：直接从客户端本地数据库读取缓存内容，规避网络层加密问题
实施前提：需获得终端设备访问权限，适用于企业统一配发设备场景
5. 实现方式
1）SANGFOR的QQ聊天内容审计方式
插件机制：通过准入插件自动定位客户端本地QQ聊天数据库
采集周期：AC设备每10秒读取一次客户端数据并写入日志中心
部署要求：需在所有被审计终端安装准入插件
2）准入策略的配置与下发
策略配置：
导航路径：上网策略→准入策略→QQ审计
关键参数：IM聊天内容监控设置为全天生效
管理方式：可通过AC统一策略批量下发安装
3）不同的公司电脑政策
设备管理：
公司配发设备：强制安装审计插件
私人设备：通常不强制要求（法律合规考虑）
报销政策：部分企业提供设备购置补贴，但多附带服务年限条款
4）AC5内容审计技术简介
系统限制：当前仅支持Windows PC端安装
非Windows处理：手机/平板等设备需通过特殊策略放行上网
5）准入程序的支持系统与安装
多平台适配：
开发不同版本（Windows/Linux/Android/iOS）
各平台需从对应官方渠道获取安装包
强制实施：未安装准入客户端的设备将受限网络访问
三、AAA服务器技术
1. 课程目标
掌握内容：
AAA认证架构
RADIUS和TACACS+认证原理
相关配置命令
2. AAA基础概念
核心功能：
认证(Authentication)：验证用户身份
授权(Authorization)：下发访问权限
计费(Accounting)：记录使用情况
实现方式：
可使用远程服务器或本地交换机作为认证服务器
支持多种服务认证：FTP、Telnet、PPP链路等
3. AAA协议类型
常见协议：
RADIUS（远程认证拨号系统）
TACACS+（终端访问控制器访问控制系统）
优势特点：
用户管理便捷（服务器端集中管理）
适用性广泛（支持多种网络服务）
4. 授权等级说明
用户等级：
华为设备示例：0-15共16个等级
0级最低，15级最高
计费方式：
流量计费（如手机流量）
时长计费（如宽带包月）
5. RADIUS协议详解
协议特性：
分布式交互协议
客户端/服务器架构
基于UDP协议
端口分配：
1812端口：认证和授权
1813端口：计费
报文结构：
采用TLV（类型-长度-值）结构
类似IPv6的可扩展包头设计
报文类型：
Code字段决定：
1/2/3：认证报文（请求/通过/拒绝）
4/5：计费报文
6. 协议对比说明
标准协议优势：
跨厂商兼容（华为/思科/华三等设备互通）
包含四大安全要素：
数据加解密
完整性校验
身份认证
防重放攻击
7. 上网行为管理之身份认证实验
1）AAA服务器登录配置
统一认证凭据：所有用户登录AAA服务器使用相同的用户名和密码，用户名为"acsadmin"，密码为"zhongyuan"
登录流程：输入统一凭据后进入Cisco Secure ACS系统，该系统提供访问控制管理功能
2）RADIUS协议配置
通信接口：指定10.1.1.2作为上网行为管理与AAA服务器通信的接口IP
加密设置：
使用国际标准协议RADIUS进行认证
通信加密密钥设置为"1234"
端口号使用默认的1812
设备类型：在Network Device Groups中可配置不同网络设备类型和位置
3）认证选项配置
协议选择：可选择TACACS+或RADIUS协议进行认证
RADIUS参数：
共享密钥(Shared Secret)设置为"123456"
CoA端口(Change of Authorization Port)使用1700
启用KeyWrap加密功能
4）用户认证创建
用户存储：在"Users and Identity Stores > Internal Identity Stores > Users"中创建上网认证所需的用户名和密码
网络资源：可配置网络设备组(Network Device Groups)和位置(Location)进行分类管理
IP认证：支持单IP(IP Address)或IP范围(IP Range)的认证方式
监控报告：系统提供监控和报告(Monitoring and Reports)功能用于审计
8. 设备间协议认证
认证方式：设备间的协议认证大多采用本地认证方式
应用场景：
VRRP协议支持认证
OSPF路由器之间支持认证
实现特点：
在本地接口或区域直接配置密码即可
不推荐使用远程服务器认证（过于浪费资源）
用户登录方式对比：
本地认证：在设备本地设置用户名密码（如Telnet/SSH登录路由器交换机）
RADIUS认证：通过远程认证服务器进行认证
9. VPN的SSL移动接入方案
协议组成：
SSL握手协议
SSL修改密文协议
SSL记录协议
认证授权方式：
本地认证授权
RADIUS认证
CA证书认证
加密工作原理：
客户端A向服务器B发送连接请求
B生成公私钥对，私钥自存，公钥发送给A
A用B的公钥加密信息发送给B
B用私钥解密信息（只有B能解密）
反向通信同理使用A的公钥加密
应用特点：
主要用于上网行为管理产品（如联软等厂商方案）
是上网行为管理系统的升级版解决方