使用技巧

IP-Guard可以通过设备控制和移动存储策略限制U盘、移动硬盘、存储卡等外接存储设备，并按照用户、用户组、计算机或计算机组分别下发权限。USB设备已经被统一禁止后，如果只需要给少数员工恢复使用，不能简单解除整台电脑的USB限制，更适合针对目标用户建立单独的移动存储授权策略，并同时检查原来的设备禁用策略是否仍在限制USB Storage。

企业里禁止打印并不难，难的是做到“该禁的禁、该放的放”。部门、用户、应用程序和打印机类型只要有一项没匹配好，策略就可能看着已经下发，终端却照样能打印。处理“IP-Guard打印管控怎么设置IP-Guard打印权限不生效怎么排查”，建议先拿一台测试电脑跑通，再批量应用。

公司内部的加密文件要发给客户或供应商时，直接复制出去通常打不开，需要先走外发申请。处理“IP-Guard外发文件怎么审批IP-Guard外发审批记录怎么追踪”，要把申请、审批和文件生成分开看。审批显示通过，不代表外发文件已经自动生成，这一点很容易弄混。

IP-Guard终端管控的配置，和终端策略不生效时的排查，其关键并不在于简单地勾选某一项禁止的条目，而是需要先把终端的分组、用户的对象、控制的模块、策略的优先级以及日志验证的方式，这几样东西理顺清楚。IP-Guard的终端管控，通常会涉及到设备的管控、网页的浏览、应用程序、网络的流量、文档的操作、打印、邮件、移动存储、实时的报警和日志的记录这些功能，而不同的模块所对应的控制点，也是不一样的。

日常办公的时候，电脑屏幕上往往会同时摊开着报价单、设计效果图、客户联系资料，还有公司的各种内部文档，这些内容一旦被人用手机拍下来或者拿截图工具抓走，光靠单独禁止文件的复制操作，是没办法完全把漏洞堵上的。因此，想要让IP-Guard的屏幕水印真正派上用场，就得先搞清楚两个问题：一个是怎么把这套水印功能顺畅地开启起来，另一个是水印上面显示的内容该怎么自己去定义。整个设置的重点在于，要先定下来哪些电脑终端需要显示水印，然后再去挑选水印用哪一种类型、水印里面要放哪些能够用来追溯的字段，以及这些设定要覆盖到多大的范围。IP-Guard本身支持文字形式的水印、二维码形式的水印，还有点阵类型的水印，有些版本还能配置上图片作为水印背景；它能显示出来的信息，一般就包括使用者的用户名、这台计算机的名称、当前的IP地址还有系统时间这些。

很多团队在做IP-Guard外发管控时，前面策略看起来已经配好了，真正到业务现场却常见两类问题。一类是员工需要对外发送文件，却不知道该走申请还是直接生成外发文件；另一类是外发已经发生了，管理员后面想追是谁申请、谁审批、谁生成、谁发出去，却一时找不到对应记录。按IP-Guard官方资料的口径，外发审批和外发审计本来就是两条并行线，前者解决能不能外发，后者解决外发后能不能查清全流程。