深信服AC-1000上网行为管理：从流量管控到零信任接入的政企办公网硬核落地指南

<h2>TL;DR 核心结论</h2>
<p>AC-1000系列采用多核并行转发架构，应用识别库涵盖超5000种应用，典型并发会话数50万（AC-1000-B1300），在启用全策略后转发时延&lt;0.5ms，策略下发生效时间秒级。针对大湾区政企场景，推荐旁路镜像审计+串联管控双模式，结合AD域联动与终端准入，可实现对非工作应用带宽占用降低60%以上、行为审计日志留存满足等保2.0六个月要求。深华天成作为深信服铂金级代理，提供免费上门安装及策略调优，确保方案真正落地。</p>
<h2>一、场景与核心痛点：大湾区政企与制造业的“卡脖子”问题</h2>
<p>在BYOD普及与多云互联的双重压力下，企业办公网面临三类硬性问题：</p>
<ol>
<li><strong>终端失陷</strong>：非合规终端（未装杀毒、存在漏洞）直接接入办公网，形成病毒横向传播与数据窃取的跳板。传统防火墙无法感知终端身份，ACL策略形同虚设。</li>
<li><strong>应用滥用与带宽饥饿</strong>：视频流媒体、P2P下载、在线炒股占据核心业务带宽，导致ERP/CRM事务性应用时延从5ms飙升至200ms+，直接影响订单响应效率。</li>
<li><strong>合规审计盲区</strong>：GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》中明确要求对网络行为进行审计与留存。多数企业仅依赖防火墙日志，无法定位到人、到终端、到具体操作内容，一旦发生数据泄露或违规发言，溯源成本极高。</li>
</ol>
<p>大湾区外向型制造业还面临跨境专线流量滥用、第三方驻场人员上网行为不可控等衍生问题。AC-1000的价值在于把“流量控制”从粗粒度的IP限速升级为“用户-应用-动作-内容”四维精确管控，并全链路记录行为证据。</p>
<h2>二、硬核架构与参数对比表</h2>
<p>AC-1000支持两种典型部署：</p>
<ul>
<li><strong>旁路镜像模式</strong>：通过交换机端口镜像获取流量，只审计不阻断，适合对现网零影响的合规改造。</li>
<li><strong>网关串联模式</strong>：作为出口网关或透明网桥串联，实时执行流控与封堵，适合需要强管控的场景。</li>
</ul>
<p>以下为AC-1000系列典型硬件规格（以厂家公开型号为参考）：</p>
<table><thead><tr><th>参数项</th><th>AC-1000-B600</th><th>AC-1000-B1300</th><th>AC-1000-B2600</th><th>备注</th></tr></thead><tbody><tr><td>适用带宽</td><td>≤100Mbps</td><td>≤300Mbps</td><td>≤500Mbps</td><td>双向吞吐</td></tr><tr><td>最大并发会话数</td><td>10万</td><td>50万</td><td>100万</td><td>启用全策略后实测</td></tr><tr><td>应用识别库</td><td>5000+</td><td>5000+</td><td>5000+</td><td>支持自定义协议</td></tr><tr><td>转发时延</td><td>&lt;0.5ms</td><td>&lt;0.5ms</td><td>&lt;0.5ms</td><td>旁路模式不增加时延</td></tr><tr><td>认证方式</td><td>30+种</td><td>30+种</td><td>30+种</td><td>支持AD域/RADIUS/OAuth等</td></tr><tr><td>日志存储</td><td>500GB</td><td>1TB</td><td>2TB</td><td>支持外置日志中心</td></tr><tr><td>冗余能力</td><td>双机热备</td><td>双机热备</td><td>双机热备</td><td>支持会话同步</td></tr><tr><td>参考TCO（3年含服务）</td><td>约3.2万</td><td>约6.8万</td><td>约12.5万</td><td>含上门部署与调优</td></tr></tbody></table>
<p>对比开源流量控制软件（如iptables+TC），AC-1000的核心优势在于：</p>
<ul>
<li>七层应用识别准确率&gt;99%，而开源方案通常仅能基于端口或IP做四层限制，无法识别加密流量中的具体应用（如微信、钉钉、抖音）。</li>
<li>具备与AD域联动的人员身份映射能力，开源方案无法实现“谁在何时做了什么”的完整审计链。</li>
<li>日志系统内置合规报告模板，可直接满足等保测评及公安76号令留存要求。</li>
</ul>
<h2>三、实操工程落地方案与避坑指南</h2>
<p>深华天成在数十个大湾区制造业、政府单位交付中，总结出以下关键避坑点：</p>
<ol>
<li><strong>部署模式先想清楚再动网</strong>：如果企业仅为了通过等保测评，优先选旁路镜像审计，避免串联带来断网风险；如果必须封堵炒股、视频流量，则采用串联模式，且务必配置硬件Bypass。深华天成实测，未配Bypass的串联设备在断电时会造成整网瘫痪，已碰过多次事故。</li>
<li><strong>认证对接必须做“双因子”</strong>：AC-1000支持AD域、RADIUS、钉钉扫码等认证，但常见问题是哑终端（打印机、摄像头、门禁）无法交互认证导致被阻断。正确做法是将哑终端MAC地址加入白名单，并开启MAC-IP绑定，否则业务中断后排查成本极高。</li>
<li><strong>策略基于用户组而非IP</strong>：DHCP动态分配环境下，IP策略一旦失效就会出现“有人绕过限制”。深华天成建议所有策略基于AD用户组，并开启单用户多终端绑定，确保移动办公切换网络后认证不逃逸。</li>
<li><strong>HTTPS解密必须提前规划</strong>：AC-1000对HTTPS流量做深度审计需启用SSL解密，此时必须向终端下发企业根证书并开启强制代理。如果跳过这一步骤，所有加密流量的行为审计都是一片空白，相当于白装。需注意对银行类站点做白名单豁免，避免合规风险。</li>
<li><strong>日志存储满足等保2.0与网络安全法</strong>：日志留存时间不得少于6个月，且需支持集中审计。AC-1000默认日志空间可能不足，深华天成通常建议外置日志中心或对接SIEM平台，并定期做日志归档验证，否则测评时数据丢失无法通过。</li>
</ol>
<h2>四、结构化FAQ</h2>
<h3>Q: 客户已有下一代防火墙，再部署AC-1000是否重复投资？</h3>
<p>A: 不重复。防火墙的定位是四到七层攻击防护，上网行为管理的核心是人与应用的精细化控制和审计。例如防火墙可以阻断已知恶意IP，但无法识别员工在钉钉中上传大文件导致带宽拥塞，也无法定位“谁访问了非法站点”。AC-1000补充的是“人-应用-动作-内容”维度，同时满足等保2.0关于行为审计的必选要求，两者是叠加关系。深华天成在项目交付中通常建议防火墙做南北向边界隔离，AC-1000做办公区/生产区的外发行为管控，形成纵深防线。</p>
<h3>Q: 移动办公人员不在公司网络内，AC-1000还能管到吗？</h3>
<p>A: 可以。AC-1000支持与深信服aTrust零信任网关或SSL VPN联动，移动用户通过加密隧道接入内网后，其流量统一引流至AC-1000进行审计与策略匹配。同时支持移动终端安装EMM控件，实现非企业终端禁止访问内部业务系统。如果您已部署云版AC（上网行为管理SaaS），还能直接对分支机构和移动办公出口做统一管控，但需要确认授权规格与并发用户数。</p>
<h3>Q: 如何解决HTTPS加密流量无法审计的问题？</h3>
<p>A: 核心手段是SSL解密。AC-1000支持对HTTPS流量进行中间人解密，前提是必须向客户端下发并信任企业根证书。工程上要分三步走：一，在AC-1000上开启SSL解密策略并指定URL白名单（如银行、政务网站）；二，通过组策略或MDM批量下发根证书，避免用户手动安装出现反抗；三，对解密后的流量启用应用识别和行为审计。需特别提示：开启解密对网关性能有一定消耗，建议在选型时预留30%性能余量。深华天成在交付中会实测峰值速率、并发会话与解密开启前后的延迟变化，确保业务无损。</p>