什么是策略执行？

策略实施是指根据一项或多项策略来管理网络和应用的连接、访问和使用。这些策略定义了允许访问的条件。

什么是策略实施？

在计算领域，策略实施通常是指针对计算机或通信网络的使用要求，创建一套具体规则，并对其进行分类、管理、监控和自动执行。也就是说，它不仅包括策略的实施，还广泛涵盖策略的定义、应用和管理。

策略几乎可以涵盖任何与“谁、什么、何处、何时、如何或为何”相关的参数，包括谁可以访问资源、何时访问、从何处访问、使用哪些设备或软件、获得访问权限后用户可以和不可以执行哪些操作、访问权限持续多长时间，以及采用何种审计或监控方式。策略还可以涵盖更具技术性的交互或要求，例如允许的协议、使用的端口或连接超时设置。

为什么策略实施很重要？

组织制定策略，以控制、管理其资产和服务，有时还可借此实现商业变现。网络策略实施有助于自动执行数据和资产安全措施，包括自带设备（BYOD）要求。例如，它可以支持服务提供商针对特定服务或使用时段制定差异化费率。它还可用于协助落实企业道德规范（例如，规范将公司设备和工作时间用于个人事务的行为），并帮助企业更好地了解和管理网络使用情况。

策略执行如何运作？

策略执行通常由充当网关、代理、防火墙或网络中其他集中控制点的软件或硬件负责。首先必须定义策略，并指定发生违规时将采取的一项或多项措施。策略定义完成后，该软件或硬件便成为网络中的策略执行点，即策略执行的枢纽。策略执行分为三个部分：

• 评估连接或请求
• 将评估状态与已知策略进行比较，以确定该连接是否会违反其中一项或多项策略
• 由此采取相应操作，包括处理请求、断开连接或将其列入拒绝名单。

例如，策略可以识别已知的恶意IP地址，并规定拒绝来自这些地址的所有流量。更复杂的策略可以允许特定用户连接某些应用，而不能连接其他应用；也可以允许用户在连接后执行某些操作，但这些操作产生的费用高于其他操作（例如，在高分辨率设备上使用流媒体服务）。因此，身份验证、授权和计费（AAA）系统属于一种策略执行机制。

网络策略执行可能要求满足更复杂、更精细的参数，例如证书尚未过期、用于连接的设备或浏览器的类型或版本符合要求，或者不存在与攻击相关的行为模式。

对整个执行过程进行监控或记录，尤其是记录不合规事件，通常是策略执行解决方案的一部分。

多款F5产品可用作网关或全代理，支持通过单一的集中控制点，对策略创建和实施进行精细控制。具体而言，BIG-IP Policy Enforcement Manager (PEM)可为希望通过服务实现创收并提升网络性能的服务提供商提供高级控制功能。对于企业，BIG-IP Access Policy Manager (APM)可通过名为Visual Policy Editor（VPE）的图形用户界面，基于上下文管理应用访问，便于创建、编辑和管理可感知身份、基于上下文的策略。

图1：BIG-IP APM可视化策略编辑器