对于两台深信服防火墙，如果配置网桥模式，一般拓扑是口字型，此时可以配置为主主，即两台都在使用，网桥地址可以加-HA，即都可以同时管理，双机热备处不要配置，基本信息及配置同步正常配置。

如果配置成主备模式，即备机静默不发包，备机上下联设备看不到备机的arp信息，此时基本信息、双机热备、配置同步都要正常。

现有一台EMM设备，7.6.8R1版本，使用awork标准版，有IOS和安卓的终端访问，目前使用https://a.abc.com:10443接入，现在想修改成https://b.abc.com:11443来接入访问，以下几处是需要修改的：
1、需要将移动设备管理的https://a.abc.com:441修改成https://b.abc.com:441，此处如果端口配置为其他端口，不使用441端口，那么出口设备也需要将此端口映射出去，比如配置成https://b.abc.com:10441，那么需要将VPN的10441端口映射到公网上。
2、需要修改应用商店地址，将应用商店地址https://a.abc.com:10443修改成https://b.abc.com:11443。
3、如果用户通过浏览器打开https://b.abc.com:11443无法下载awork，则需要在EMM设置那里重新封装awork，一般苹果终端会出现此问题，安卓终端一般即时不重新封装也可以正常下载。
4、如果之前导入的SSL证书是*.abc.com的证书，那么不用重新导入，如果之前导入的是a.abc.com的SSL证书，那么需要重新导入b.abc.com的SSL证书。
5、如果VPN设备的IP地址需要修改，比如从测试环境改至生产环境，那么要注意内网服务的IP是否需要修改，即资源是否需要修改。
6、如果并不是同一台设备的修改，比如以前是测试设备用在测试环境，现在是另一台设备用在生产环境，这是可以将测试设备的全局配置导入另一台设备，除了修改相关网络配置，IP地址、路由等等，还需要重新封装APP，重新发布至应用商店。
7、如果是此种全局配置导入的情况，由于两台VPN设备的VPNID相同，那么两台设备的应用封装从封装服务器上调用的页面是一样的，也就是封装的APP会覆盖另一台。这种情况需要进任意一台设备后台修改VPNID，但是被修改的这台VPN设备上的IOS企业证书都会丢失，需要重新导入证书，重新封装awork，重新封装APP再发布。

一般做到以上几点即可，另外在EMM设置处有awork下载地址的二维码，那里的下载地址一般只是域名不加端口，可以将其按照实际添加端口，如将https://b.abc.com修改成https://b.abc.com:11443，不过这里修改只会改变二维码，即使不修改也不会影响awork的正常接入使用。

现有一台信锐无线控制器3.7.9.7要做短信认证，短信平台是联通的一信通。

做完配置发送测试短信，接收不到，深信服设备会有日志显示短信平台的返回值报错信息，但是信锐设备的日志中暂时没有这些日志信息。在信锐设备后台抓包，根据抓包结果result=1得知是提交参数不能为空的报错。

查询一信通的接口文档，得知是用户名和密码不正确，获取到正确密码后，提交，仍然报错，返回result=5，这是IP没有在一信通后台加入白名单导致，让一信通客服把IP加入到白名单后，再次提交，仍然报错，返回值28，这是发送内容与模板不符的报错，仔细核对模板，发现模板中写的是“登陆”，提交的URL中填写的是“登录”，修改后，可以正常收到测试短信。

以下是信锐无线控制器上的一些配置：

并且这里的短信内容要与一信通模板保持一致：

目前已经对接成功，可以正常收到认证短信。

对于与一信通对接，除了要将设备的固定公网IP加入白名单，PPPOE这种不是固定的IP没有办法加到白名单，还要让短信模板与一信通的模板保持一致，并且在提交密码时，如果密码中含有特殊字符，需要写转义字符，比如#写成%23，%写成%25。

附URL中的转义方式：

另外深信服不仅支持HTTP协议也支持HTTPS协议的短信平台对接，信锐截止3.7.9.7版本只支持与HTTP协议对接。

目前，深信服EMM一般采用7.6.8R1版本，SSL VPN采用7.6.8R2版本。

现在有一台EMM7.6.8R1版本，做awork标准版测试，有苹果和安卓的应用封装。部署的时候有以下的注意点。

1、EMM需要访问公网以下几个地址：
ea.sangfor.com的8800湍口
api.push.apple.com的80、443端口（80端口如果不通，则可能被苹果关闭了）
api.development.push.apple.com的80、443端口（80端口如果不通，则可能被苹果关闭了）
在设备命令控制台sock确认下。
2、需要把EMM的443端口、441端口映射出去，一般会把443端口映射为其他端口，不然没有备案可能被运营商默认封堵。441端口供苹果手机awork注册、管控以及推送消息用，需要开启移动设备管理，但是7.6.8R1已经不再需要MDM证书了。如果没有苹果，只是安卓使用，则不需要映射441端口。
3、在vpn接入界面，下载awork可能会跳转到http端口，由于http的80端口未被映射，可能会导致无法下载awork，这个是版本bug导致，需要在系统配置里将http端口启用，再次禁用即可。默认就是未开启，但是版本bug，还需这么操作下。
4、苹果必须有域名及受信任的SSL证书，以及应用封装是的IOS企业证书，测试的时候可以用深信服试用的IOS企业证书，不过只有120天有效期（过去是1年）。
如果没有域名及受信任的SSL证书，比如使用EMM设备的SSL证书，使用深信服试用的IOS企业证书，这时安卓和苹果的APP也可以封装，安卓的awork以及封装的APP可正常使用，苹果的awork也可以下载安装，并且在应用商店里可以看到封装的APP，但是由于没有域名及受信任的SSL证书，会导致应用商店里的APP无法下载，下载进度是0%。如果更新了SSL证书后，已经封装的苹果APP仍然可以使用，不用重新封装。如果变为域名后，需要将移动设备管理和应用商店的地址修改为域名。
5、关于苹果的IOS企业证书，需要1个P12格式证书及其密码，以及1个mobileprovision格式的主程序描述文件和1个mobileprovision格式的插件程序描述文件。如下图：

这是新版本的要求，目前深信服官方文档还未更新，官方文档里还是只要1个P12格式证书、1个mobileprovision格式文件、1个cer格式文件，https://bbs.sangfor.com.cn/vpnsdk/SSL_EMM_CONFIGURE_CERTIFICATE.html

6、对于防截屏和水印功能可正常开启，对于有的APP需要调用相机、相册、百度地图、微信等其他APP，文件系统隔离等功能暂时不开启。
7、新版本采用系统管理员、安全管理员、审计管理员。

信锐无线常用的优化办法一般是开启高密优化和调整终端速率限制参数。
高密优化可以提高AP的转发速度，提高用户的体验效果，高密报文发包速率建议配置12Mbps，开的太高可能会导致终端连接不上无线网络。

调整终端速率限制参数可以提高AP和终端交互时的发包速率，保证终端的体验效果，2.4G频段终端速率限制建议为5.5Mbps，5.8G频段终端速率限制建议为6Mbps。开的高可能会导致终端连接不上无线网络。

一、现有网络情况
目前深信服AC部署于外网出口处，设备直连一条有固定公网IP的电信线路。有线PC和无线用户都通过该设备访问公网。网络拓扑如下：

二、本次需求
现在增加一条千兆拨号外网线路，希望让部分用户专用的无线网段上网流量从新增的拨号线路出去。新拓扑如下：

三、配置步骤
1、修改深信服AC部署模式，增加WAN2接口的拨号配置
修改模式会导致设备重启

2、配置策略路由
先新增一条源地址为全部、目的地址为全部、目标线路为线路1（固定公网IP的线路）的的策略路由，再新增一条源地址为领导专用的无线网段、目的地址为全部、目标线路为线路2（拨号的线路）的策略路由，将此条策略路由放置在最上面即可。