> ## Documentation Index
> Fetch the complete documentation index at: https://docs.telomatrix.com/llms.txt
> Use this file to discover all available pages before exploring further.
# TM 企业部署实例
> 本文以一个分布式企业网络部署案例为背景，介绍从申请 TM 云服务、部署 TM 组件、创建帐号和业务资源、编排认证策略、配置业务访问授权到终端用户访问的完整流程。
## 企业网络现状
1. 某科技公司，500 名员工，主要为研发、市场和运营人员。总部设在北京，深圳和上海设有分公司。员工日常使用企业微信进行工作通信和统一帐号管理。
2. 生产业务系统（面向公众的 Web 服务）分别部署在公有云 A 和公有云 B。运维工程师通过 SSL VPN 接入云服务 VPC 远程运维。
3. 研发和测试服务器、运营支撑系统（OA、CRM、内部邮件等）部署在某数据中心。各办公区与数据中心使用 IPSec VPN 建立加密隧道。
## 部署方案设计
业务区部署拓扑：
* **TMC 部署**：在数据中心业务 C 网段部署 TMC，对全网进行集中认证和策略管控。
* **TMG 部署**：
* 云服务 A：VPC 生产区 A 网段（192.168.100.0/24）部署 TMG，代理该区业务资源接入 TM 安全云网，关闭原对外开放的端口和服务。
* 云服务 B：VPC 生产区 B 网段（192.168.101.0/24）部署 TMG，代理该区业务资源接入 TM 安全云网，关闭原对外开放的端口和服务。
* 数据中心业务 C 网段（192.168.103.0/24）：部署 TMG 代理企业内部支撑系统（OA、CRM、内网邮件等）。
* 数据中心产研 D 网段（192.168.104.0/24）：部署 TMG 代理产研团队测试服务器集群。
* 内网 DNS 部署在数据中心业务 C 网段，IP：192.168.100.1。
* **TMD 部署**：数据中心业务 C 网段部署 TMD，所有域名代理资源通过 TMD 解析，TMD 无法解析的通过内网 DNS 解析。
* **TMA 部署**：所有员工终端安装 TM 客户端 TMA，通过企业微信扫码登录。
## 部署步骤
### 第一步：申请企业用户帐号
1. 打开 TM 安全云网企业注册平台首页，点击"立即注册"，填写企业信息，勾选同意《隐私协议》和《用户协议》，完成注册。
注意：注册时填写真实的企业邮箱和手机号。日常运维过程中，帐号初始化密码、服务状态变更通知、一次性口令等信息通过邮箱和手机号发送。
2. 注册成功后帐号拥有 1 个月 TMLite 免费使用权限。使用注册帐号登录 TM 企业注册平台，在首页下载 TMLite 相关组件（TMC、TMG、TMA、TMD）。
> 如需永久免费使用 TMLite，在 TM 企业注册平台提交企业实名认证申请永久免费权限。如需更多并发性能或功能，联系我们升级为 TMPro 用户。
### 第二步：安装部署 TM 组件
1. TM 各组件安装介质均为 ISO 镜像文件，可在物理服务器、虚拟机、云主机上部署。TMC 是其他组件的管控中心，需先部署 TMC 并同步证书，再部署 TMD、TMG。详细部署方法参考：如何部署 TM 组件。
2. 在数据中心业务 C 网段分配两台新虚拟机（CPU：8 核、内存：16GB、硬盘：500GB、千兆网卡 x1），分别部署 TMC 和 TMD。
* TMC 控制台网络配置：IP 地址 192.168.103.202，子网掩码 255.255.255.0，网关 192.168.103.1，DNS 192.168.100.1。
* TMD 控制台网络配置：IP 地址 192.168.103.203，子网掩码 255.255.255.0，网关 192.168.103.1，DNS 192.168.100.1。
* 数据中心出口 NAT 网关配置 SNAT 策略和访问控制策略，允许 192.168.103.202、192.168.103.203 对外访问互联网。
* 在 TMC 控制台证书同步界面，输入 TM 企业帐号和密码同步 TMC 证书。同步成功后 TMC 自动创建企业私有 TM 安全云网，注册邮箱收到 TMC 初始化邮件（包含 TMC Web 控制台默认帐号和初始化密码）。
* TMD 控制台同样同步 TMD 证书，成功后 TMD 自动加入 TM 安全云网，被 TMC 统一管理。
3. 在云服务 A、云服务 B、数据中心业务 C 网段、产研 D 网段分别分配四台新虚拟机（CPU：4 核、内存：8GB、硬盘：500GB、千兆网卡 x1），部署 4 个 TMG。
* **TMG A 配置**：IP 192.168.100.201，子网 255.255.255.0，网关 192.168.100.254，DNS 192.168.100.1。通过 ping、curl 测试与生产区 A 业务资源连通性。VPC NAT 网关配置：SNAT 策略允许 192.168.100.201 对外访问互联网；DNAT 策略将 EIP1 的 UDP6000 端口映射到 192.168.100.201 的 UDP9527 端口；ACL 策略允许任意地址通过 EIP1 的 UDP6000 端口访问 TMG A 的 UDP9527 端口。在 TMG A 控制台证书同步界面同步证书。
* **TMG B 配置**：IP 192.168.101.201，子网 255.255.255.0，网关 192.168.101.1，DNS 192.168.100.1。通过 ping、curl 测试与生产区 B 业务资源连通性。VPC NAT 网关配置：SNAT 策略允许 192.168.101.201 对外访问互联网；DNAT 策略将 EIP2 的 UDP6000 端口映射到 192.168.101.201 的 UDP9527 端口；ACL 策略允许任意地址通过 EIP2 的 UDP6000 端口访问 TMG B 的 UDP9527 端口。在 TMG B 控制台证书同步界面同步证书。
* **TMG C 配置**：IP 192.168.103.201，子网 255.255.255.0，网关 192.168.103.1，DNS 192.168.100.1。通过 ping、curl 测试与业务 C 区业务资源连通性。数据中心网关配置：SNAT 策略允许 192.168.103.201 对外访问互联网；DNAT 策略将数据中心公网 IP（GIP3）的 UDP6000 端口映射到 192.168.103.201 的 UDP9527 端口。在 TMG C 控制台证书同步界面同步证书。
* **TMG D 配置**：IP 192.168.104.201，子网 255.255.255.0，网关 192.168.104.1，DNS 192.168.100.1。通过 ping、curl 测试与产研 D 区业务资源连通性。数据中心网关配置：SNAT 策略允许 192.168.104.201 对外访问互联网；DNAT 策略将数据中心公网 IP（GIP3）的 UDP6001 端口映射到 192.168.104.201 的 UDP9527 端口。在 TMG D 控制台证书同步界面同步证书。
* TMG 全部部署后，登录 TMC，选择【状态监控】->【云网监控】->【TM 网关】标签页，点击各 TMG 操作列的"远程管理"，选择"网络配置"标签页，在"TMG 互联网接口"处填入每个 TMG 的互联网 IP 地址和端口。
### 第三步：业务资源配置
建议部署完 TM 组件后，先将各区域业务资源发布到 TM 安全云网，用测试帐号进行连通性测试。确认所有业务资源可正常访问后再同步企业微信帐号，分配业务访问权限，分发 TMA。
#### TMC 邮箱接口配置
1. 打开 TMC Web 控制台（`https://192.168.103.202:16000`），使用超级管理员帐号（sysadmin）和初始密码登录。
2. 首次使用时先配置邮箱接口。选择【系统管理】->【基础配置】->【系统接口】->【邮箱设置】，填写企业邮箱配置，输入发件人帐号。
点击"保存"完成配置，可发送测试邮件验证。
#### 创建测试帐号
1. 选择【资源管理】->【帐号资源】，点击"新增"按钮新增测试帐号。
注意：新建帐号时需填写真实手机号和电子邮箱，勾选"自动发送初始化信息通知邮件"。系统自动发送帐号初始化信息到注册邮箱，包含：帐号名、初始密码、TMA 各版本下载地址、手机令牌下载地址、终端证书等。
#### 发布业务资源
本次在每业务区选择一种业务资源进行示范：
| 部署位置 | 服务名称 | 域名 | IP 地址 | 服务 | 协议 | 端口号 | 代理模式 | TMG |
| ------- | ------ | ------------------- | ----------------------------- | ---- | ----- | ------ | ------ | ----- |
| 云服务 A | OA 服务 | oa.test.com | 192.168.100.2 | Web | https | TCP443 | 域名代理 | TMG A |
| 云服务 A | OA 服务 | oa.test.com | 192.168.100.2 | SSH | SSH | TCP22 | SSH 代理 | TMG A |
| 云服务 B | FTP 服务 | | 192.168.101.2 | FTP | FTP | TCP23 | 4 层代理 | TMG B |
| 业务 C 网段 | 内网邮件 | mail.intra.test.com | 192.168.103.8 | smtp | smtp | TCP110 | 4 层代理 | TMG C |
| 业务 C 网段 | 内网邮件 | mail.intra.test.com | 192.168.103.8 | pop3 | pop3 | TCP25 | 云网路由 | TMG C |
| 产研 D 网段 | 研发资源池 | | 192.168.104.1-192.168.104.126 | | 所有协议 | 所有端口 | 云网路由 | TMG D |
配置前在对应 TMG 远程管理页面检查 TMG 与业务资源的访问连通性。
**配置步骤**
选择【资源管理】->【业务资源】，点击"新增"按钮，按表配置：
1. **OA 服务-Web**
* 新建资源配置
* 服务代理配置
> TMD 自动为域名代理方式发布的业务资源添加域名解析记录，将解析结果指向 TMG 的虚拟网 IP 地址。云网路由模式发布的业务资源需使用内网 DNS 解析，或在 TMD 上手动添加域名解析记录。域名解析方案参考：[云网域名解析方案](../2_Flexible_Usage/1_Installation_Deployment/Cloud_Network_Domain_Resolution_Solution)
2. **OA 服务-SSH**
* 新建资源配置
* 服务代理配置
3. **FTP 服务**
* 新建资源配置
* 服务代理配置
4. **内网邮件**
* 新建资源配置
* 新建云网路由资源
点击"保存"后，在新增的云网路由资源行操作区点击"路由配置"：
在弹出的抽屉页配置路由参数：
* 关联业务资源：点击路由配置页面的"关联资源"标签，点击"关联"按钮，选择刚才配置的邮件资源完成关联。
> 关联业务资源的目的是将业务资源图标显示在 TMA 上，终端用户点击即可打开本地浏览器或客户端访问。如不希望业务资源显示在 TMA 上，可跳过关联配置。终端用户仍可使用本地浏览器、邮件客户端正常访问。
* TMD 配置：如果内网 DNS 已有邮件服务器域名（mail.intra.test.com）解析记录，可跳过此步骤，终端通过 TMD 递归查询内网 DNS 解析。如内网 DNS 没有解析记录，可在 TMD 上指定解析结果：选择【状态监控】->【云网监控】，选择"TMDNS"标签，点击"远程管理"，选择"解析配置"标签，点击"新增"按钮添加解析记录。
5. **研发资源池**
* 新建路由资源
* 路由配置
研发需要至少 100 个 IP 地址用于测试，分配 25 位掩码（地址空间 192.168.104.1-192.168.104.126）。因可能使用任意端口测试，ACL 不做限制。
#### 测试授权策略
业务资源发布后，给测试帐号配置所有业务资源的访问授权，验证是否可正常访问。如异常则检查业务发布配置。授权方式参考：[设置授权策略](#第五步：设置授权策略)
### 第四步：同步企微帐号
1. 选择【策略管理】->【认证策略】，选择"认证接口"标签，点击"扫码认证"，选择"企业微信"扫码认证，配置企业微信接口信息。
详细配置参考：[对接企业微信身份源](../2_Flexible_Usage/2_Resource_Management/1_Account_Resource_Management/Integrate_WeCom_Identity_Source)
2. 选择【资源管理】->【帐号资源】，点击"帐号同步"按钮，选择"企业微信"标签，配置帐号同步策略。
点击"保存并立即同步"，TMC 同步企业微信的组织架构和帐号信息。如需同步时给终端用户发送帐号初始化邮件，打开"是否发送初始化邮件"开关，也可在同步后单独发送。
### 第五步：设置授权策略
选择【策略管理】->【授权策略】，点击"新增"按钮，根据帐号、终端和业务资源配置网络访问权限。
点击"保存"完成授权策略配置。至此所有帐号配置、业务发布和授权策略配置完成。
### 第六步：终端用户接入
终端用户从帐号初始化邮件获取 TMA 下载地址和企业证书，按邮件说明安装 TMA，导入企业证书后通过企业微信扫码登录 TM 安全云网。
首次安装时导入企业证书：
使用企业微信扫码登录：
## 实现效果
完成部署和配置后，企业 TM 安全云网基础部署完成。可根据需要继续发布业务资源、接入更多终端用户帐号，或为不同角色配置不同的认证策略和终端策略。
终端用户通过 TMA 认证授权后接入 TM 安全云网，可从任何地点同时访问三个业务区的授权业务资源：
1. **远程访问体验**：部署 TM 前，受限于 VPN 技术实现，远程接入员工每次只能同时接入一个 VPN 网关，访问不同区域业务需手动切换 VPN。部署 TM 后，员工通过 TMA 认证授权后即可访问所有授权业务资源，不再有内外网之分，所有授权业务资源可同时访问。
2. **基于身份的精细化网络管控**：部署 TM 前，VPN 接入后实际已进入企业内部网络，网络层缺少身份无法基于员工身份管控，管理员只能给整个 VPN 网段开放最大权限。部署 TM 后，企业基于身份设置网络访问控制策略，脱离对 IP 地址的依赖。管理员依据部门角色设置权限，无需考虑 IP 网段权限范围问题。员工变动和业务变动时无需调整网络授权策略，控制策略随人员变化自动调整。
3. **暴露面收敛**：部署 TM 前，VPN 网关需对互联网暴露 IP 地址和端口，VPN 接入后远程终端分配内网 IP 地址，VPN 网段需访问几乎所有业务资源。部署 TM 后，所有企业内部业务资源和 TM 自身组件都隐藏在企业最小可信网络（业务局域网）中。未认证授权的终端用户，无论从互联网还是从企业办公网，都无法看见和访问任何业务资源。