IP-Guard终端管控怎么配置 IP-Guard终端策略不生效怎么排查

IP-Guard终端管控的配置，和终端策略不生效时的排查，其关键并不在于简单地勾选某一项禁止的条目，而是需要先把终端的分组、用户的对象、控制的模块、策略的优先级以及日志验证的方式，这几样东西理顺清楚。IP-Guard的终端管控，通常会涉及到设备的管控、网页的浏览、应用程序、网络的流量、文档的操作、打印、邮件、移动存储、实时的报警和日志的记录这些功能，而不同的模块所对应的控制点，也是不一样的。

一、IP-Guard终端管控怎么配置

在进行终端管控的配置以前，需要先确认所要管理的对象，到底是电脑本身、用户的行为，还是某一类的外设或应用程序。有不少策略之所以不生效，表面上看起来好像是配置上出了问题，可实际上，却是对象的范围、模块的授权，或者策略之间的冲突，这几样没有被处理好。

1、先把终端的对象划分清楚

做终端管控的时候，不要直接就对着全公司实行一刀切的策略。可以先按照部门、岗位、电脑的用途，还有安全的等级，把终端的组给划分出来，比如研发组、财务组、普通的办公组、外协的电脑组。不同的小组，它们所使用的软件、U盘、网页和打印的需求，都是不一样的，所以策略也应该被分开来配置，不然的话，就很容易把正常的业务给误拦下来。

2、选择好管控的模块

在控制台当中，根据实际的需求，去启用对应的模块，例如设备的管控、移动存储的管控、应用程序的管控、网页浏览的管控，或者是文档打印的管控。到了这一步，需要注意模块彼此之间的边界。比如限制U盘的读写，那就要去看移动存储，或者是设备相关的策略；限制某一个软件的运行，那就要去看应用程序的策略；限制网页的上传，那就有可能需要把网页浏览和文件外发相关的控制，结合到一起来看。模块要是被选错了，策略看起来好像是在那里，但它并不会命中真实的行为。

3、把策略的对象和动作设置好

策略需要明确地指定出作用的对象、控制的条件，还有处理的动作。作用的对象，可以是用户、计算机，或者是终端的组；处理的动作，则可以是允许、禁止、报警、记录、提示，或者是锁定。要是只设置了记录，却没有设置阻断，那么用户的操作，仍然是有可能继续执行下去的，所以需要先确认清楚，策略的目标到底是要做审计，还是要做管控。

二、IP-Guard终端策略不生效怎么排查

当策略不生效的时候，不要一上来就去重新安装客户端。一个更加稳当的做法，是先去看一看终端是不是在线的，然后再去看策略是不是已经被下发下去了，最后再去检查对象的范围和优先级。IP-Guard的策略，是存在继承和匹配顺序的，网络的策略、组的策略、计算机的策略、用户的策略，它们彼此之间，是有可能相互影响的；当有多条策略同时存在的时候，通常是按照匹配的顺序来执行的，那一条被命中的策略，就会影响到最终的结果。

1、检查一下客户端的状态

需要先去确认终端的客户端是在线的、服务是正常在运行的，并且能够和服务器之间进行通信。当终端离线的时候，即便在控制台上面改动了策略，客户端也未必能够及时地收到这些改动。要是终端经常离线，那就要接着去检查服务器的地址、网络的端口、防火墙、VPN的环境，还有客户端的服务状态。

2、检查一下策略下发的范围

去查看一下，策略它所绑定的是用户的组、计算机的组，还是整个网络的范围。很多策略不生效的问题，都是出在了对象被选错了上面。比如策略是绑定到用户组的，可是现场测试的时候，使用的却是另一个账号；策略是绑定到计算机组的，可是那台电脑，并没有被归到这个组里面来；又或者是，终端同时匹配到了多条策略，最后执行的那一条，并不是管理员心里面所认为的那一条。

3、检查一下策略的优先级和例外的情况

如果对同一类控制，同时存在着允许和禁止的条目，那就要去看一看，是哪一条策略先被匹配上了、有没有继承父级的策略、有没有例外的名单。比如研发组是禁止使用U盘的，可是某些电脑，却又被加入到了授权的例外里面；又或者是，全局的策略是允许的，部门的策略是禁止的，那么最终的结果，就需要按照实际的匹配关系，去做出判断。

三、终端管控策略怎么验证和维护

在策略配置完成了以后，不能只是靠着用户的反馈，去判断它是不是生效了。最好是能用测试的终端、测试的账号，还有固定的操作路径，去进行一次验证，把命中的结果和日志的记录，都保存下来。这样，到了后续再去调整的时候，才不容易把事情给弄乱。

1、用测试的终端去进行验证

可以先挑选一台测试用的电脑，把它加入到目标的分组里面去，然后按照真实的业务动作，去进行测试，比如插入U盘、打开被限制的软件、访问被限制的网站、打印被管控的文档。在测试的时候，不要同时去改动很多条策略，否则一旦失败了，就很难判断出，到底是哪一项设置所导致的。

2、去查看一下日志和报警的情况

在日志查询，或者是报警的记录里面，去检查一下，有没有产生对应的事件。如果日志里面，完全没有任何记录，那就说明策略有可能是没有被命中，又或者是日志的开关，并没有被启用；如果日志里面有记录，但是却没有起到阻断的作用，那就要去检查一下，动作是不是仅仅被设置成了记录，或者是报警。日志它是判断策略到底有没有生效的一个关键依据，不能只是看着终端界面上面的表现，就去下结论。

3、要定期地去复查一下策略

在人员发生了调岗、电脑被更换了、软件进行了升级，还有业务的流程出现了变化以后，原来那些能够适用的策略，就有可能会变得不再适用了。最好是能定期地去检查一下终端的分组、授权的例外、那些已经过期的策略，还有重复的策略，避免策略越积越多，到了最后，出现相互覆盖，或者是怎么都解释不清的情况。

总结

IP-Guard终端的管控应当怎样去配置，还有终端的策略不生效的时候又该怎样去排查，这两件事情，可以按照“先去划分终端的对象，再去选择管控的模块，接着再去配置策略的动作，最后再通过客户端的状态、下发的范围、优先级，还有日志的记录，来进行排查”这样的顺序，去进行处理。终端的策略不生效，不一定就是系统出了故障，更加常见的原因，是对象选错了、客户端离线了、模块没有对应上、策略发生了冲突，又或者是只做了记录，却没有进行阻断。把策略的范围、例外的规则，还有验证的日志，都整理清楚了，IP-Guard的终端管控，才会变得更加稳定，后面再去做审计的时候，也才会更加方便。