01為什么需要行為管理
策略要跟著業務場景走
員工訪問各有原因
辦公系統、云服務、資料檢索、視頻與非工作訪問混在一張出口流量表里，規則需要先貼合崗位與時段。
出口看到的不等于終端全部行為
深信服 AC 更適合放在網絡出口側看流量與應用；IP-guard 更貼近終端側的網頁、程序與操作策略，兩者不能互相替代。
審計結果要能回到調整
把策略命中、例外、用戶、終端和時間記錄下來，才能復盤放行、限制、告警和下一次變更。
02出口與終端的控制關系
網絡出口與終端策略，并行協作
深信服 AC 放在網絡出口側觀察流量與應用，IP-guard 貼近終端側處理網站、程序、設備和操作策略。兩條控制面各有職責，最后匯入策略判斷、日志與調整，而不是把所有能力寫成一個“萬能監控”。
企業用戶與終端分別進入網絡出口側的深信服 AC 和終端側的 IP-guard，兩條控制面并行處理網站、應用、流量與終端策略，再匯入策略判斷和日志報表。
輸入范圍
并行控制面
結果與責任
流程架構示意（非項目實績）
03煜企如何參與
煜企能為企業做什么
從現狀盤點到策略上線，把產品能力放回真實出口、終端、崗位和維護窗口中選擇、驗證與交接。
現狀訪談與對象盤點
梳理用戶、終端、出口鏈路、應用分類、業務時段、已有策略和日志來源，先確認哪些對象屬于本次管理范圍。
品牌、型號與授權選型
結合出口拓撲、終端系統、目錄關系、維護窗口和管理目標，協助深信服 AC、IP-guard 或其他合適能力選型、報價與供貨。
出口策略設計與部署
圍繞網站、應用、流量、時段和例外設計 AC 策略，完成網絡側配置、聯調和策略命中驗證。
終端策略與例外治理
按崗位、終端、軟件和業務需要梳理 IP-guard 策略，明確授權、例外、變更責任和審計范圍。
小范圍試點與調整
選取代表性用戶、終端和業務時段試點，觀察允許、限制、告警與例外結果，再按確認條件擴大范圍。
培訓、交付與按約支持
交付策略清單、測試記錄、管理員培訓、事件處理路徑和運維資料，按約支持后續調整與復核。
04方案與使用場景
把可見、可控、可審計落到策略里
這個辦公場景用于說明常見能力關系，不替代現場盤點、產品選型或合規判斷。正式范圍要根據出口設備、終端系統、用戶職責和業務時段逐項驗證。
- 出口側：網站、應用、流量與時段規則
- 終端側：網頁、程序、設備與操作策略
- 運行側：例外、審批、審計與策略復盤
辦公使用場景示意
05實施與客戶交付
先試點，再把規則交給日常運維
行為管理影響真實用戶的訪問和工作節奏。用盤點、設計、試點、驗證和交接把變化拆開，最后把策略、例外、審計與培訓資料交給客戶，而不是只交一臺設備或一套授權。
盤點范圍
確認用戶、終端、出口、應用、業務時段和合規要求。
設計策略
把網站、應用、流量、時段、例外和審計對象寫成可執行規則。
試點驗證
在代表性用戶與終端上驗證業務訪問、策略命中和例外處理。
交接運行
培訓管理員，交付配置與測試資料，約定變更和復核路徑。
06客戶交付結果
交付一套能繼續維護的策略資料
項目完成后，客戶得到的是可查詢、可變更、可回退的管理依據：知道管什么、誰能改、怎樣驗證、出了例外如何處理。
- 用戶、終端、應用與出口范圍清單
- 網站、應用、流量、時段與例外策略矩陣
- AC 與 IP-guard 部署、授權和策略變更記錄
- 試點、策略命中、放行限制與回退測試記錄
- 管理員培訓、審計查詢和運維交接資料
把業務負責人、網絡管理員和終端管理員放到同一份范圍與責任里，后續調整才不會回到“誰都以為別人會管”的狀態。
07常見問題
先把控制邊界說清楚
深信服 AC 與 IP-guard 是同一類產品嗎？
不是。AC 主要位于網絡出口側，適合處理流量、應用和訪問策略；IP-guard 更貼近終端側的網站、程序、設備和操作策略。是否同時采用，要按現狀、目標和兼容性選型。
上網行為管理是不是把所有員工都納入無限監控？
不是。管理范圍、目的、角色、日志字段、保留周期和查詢責任應在方案與制度中明確，只對已確認的業務風險和管理對象實施必要策略。
能不能只按網站 URL 一刀切？
通常不夠。網站、應用、流量、時段、崗位和例外條件可能互相影響，應先理解業務訪問，再組合允許、限制、告警和審計規則。
怎樣降低策略上線對辦公的影響？
先做訪問基線和資產盤點，再選擇代表性用戶、終端和時段試點，保留例外與回退條件，按測試結果逐步擴大范圍。
下一步 / POLICY REVIEW
從一份訪問清單，或一次策略問題開始。
帶上出口設備、終端范圍、重點應用和需要保留的業務例外，我們一起確認盤點、選型、試點和交接邊界。