SINFOR_AC跨三层mac地址绑定配置指导
深信服AC6.0快速配置手册
SANGFOR SG快速安装手册技术支持说明为了让您在安装，调试、配置、维护和学习SANGFOR设备时，能及时、快速、有效的获得技术支持服务，我们建议您：1.参考本快速安装手册图文指导，帮助你快速的完成部署、安装SANGFOR设备。
如果快速安装手册不能满足您的需要，您可以到SANGFOR技术论坛或官网获得电子版的完整版用户手册或者其他技术资料，以便你获得更详尽的信息。
2.致电您的产品销售商（合同签约商），寻求技术支持。
为了更快速的响应您的服务要求和保证服务质量，您所在地的SANGFOR的产品销售商配备有经过厂家认证的技术工程师，会向您提供快捷的电话咨询、远程调试及必要的上门技术服务。
3.在不紧急的情况下，您可以访问SANGFOR的技术论坛，寻求技术问题的解决方案和办法。
4.致电SANGFOR客服中心，确认最适合您的服务方式和服务提供方，客服中心会在您的技术问题得到解决后，帮助您获得有效的服务信息和服务途径，以便您在后续的产品使用和维护中最有效的享受技术支持服务，及时、有效的解决产品使用中的问题。
SANGFOR技术论坛：公司网址：技术支持服务热线：400-630-6430（手机、固话均可拨打）邮箱：support@目录技术支持说明 (1)目录 (2)声明 (3)前言 (4)第1章SG系列硬件设备的安装 (5)1.1环境要求 (5)1.2电源 (5)1.3产品接口说明 (5)1.4配置与管理 (6)1.5单设备接线方式 (8)1.6双机备份接线方式 (9)第2章SG系列硬件设备部署 (11)2.1路由模式 (12)2.1.1路由模式部署配置案例 (13)2.2网桥模式 (19)2.2.1网桥多网口 (19)2.2.2多网桥 (25)2.2.3DMZ口重定向 (32)2.3旁路模式 (37)2.3.1旁路模式部署配置案例 (38)2.4单臂模式 (43)2.4.1单臂模式部署配置案例 (43)2.5高可用性配置案例 (46)2.5.1多机同步 (46)2.5.2双机维护 (50)第3章基本功能配置 (55)3.1封堵P2P应用配置案例 (55)3.2审计用户上网行为配置案例 (59)3.3限制下载工具的网络流量配置案例 (61)3.4保证重要应用网络流量配置案例 (67)3.5上网加速配置案例 (73)3.6上网代理配置案例 (74)3.7防共享功能配置案例 (75)3.8无线管理配置案例 (78)3.8.1客户网络环境与需求 (78)3.8.2无线基本配置 (79)3.8.3配置开放式无线网络案例 (79)3.8.4配置企业级认证无线网络案例 (82)第4章密码安全风险提示 (86)4.1修改控制台登录密码 (86)声明Copyright©2015深圳市深信服电子科技有限公司及其许可者版权所有，保留一切权利。
SINFOR_AC_度渠道培训_
2.2.3 Dkey认证 下载DKEY认证客户端，打开IE。输入http://gwip，弹出如下页面
SINFOR TECHNOLOGIES CO.,LTD.
下载DKEY认证客户端并安装 认证客户端并安装 下载 Page28
二、用户认证
2.2、本机认证
2.2.3 Dkey认证 ②、免审计的KEY: 某些高层领导上网时，希望自己的行为不被AC监 控，可以建议其使用免监控DKEY，使用免监控KEY上网，不会记录网 络行为，一般适用于BOSS
SINFOR TECHNOLOGIES CO.,LTD.
Page8
一、AC的部署方式 的部署方式
1.2 网桥模式（AC相当于交换机，平滑部署到客户网络） 应用环境：客户已经FW或路由器代理上网，需要用到AC做 访问控制和监控，无需用到vpn，nat，dhcp等功能，并且 希望不改变客户网络原有结构，AC可以平滑部署到网络中， 即使设备宕机，对客户网络影响不大。
SINFOR TECHNOLOGIES CO.,LTD. Page11
一、AC的部署方式 的部署方式 2.2 网桥模式设置
（1）单网桥配置
SINFOR TECHNOLOGIES CO.,LTD.
Page12
一、AC的部署方式 的部署方式
（1）单网桥配置
如果交换机和前置设备走非 trunk协议，此外禁用即可 协议， 协议
SINFOR TECHNOLOGIES CO.,LTD. Page24
二、用户认证
2.2、本机认证
2.2.2 用户名/密码认证
用户上网时在WEB浏览器里自动跳转到AC的认证页面，用户通过 输入管理员分配的用户名密码进行认证，认证成功即可上网，并取 得这个用户名的相应权限。
深信服-功能描述
用户 名密 码认 证场 景
案例背景
DMZ服务器 防火墙
Si
核心交换
某集团公司内部有办公区和公 共上网区， 要求实现办公区 （192.168.1.0/24）用户上网 不能修改IP和MAC地址，公共 上网区（192.168.2.0/24）则 需要输入账号和密码才能上网， 确保网络行为能跟踪到。
解决方案
口）的IP地址信息； 2、确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指
给设备下接的核心交换机；
典型部署模式与配置
路由模式配置截图
典型部署模式与配置
网桥模式_部署指导
1、网桥模式部署相比路由模式对客户的网络影响比较小，当客户确定不需要使 用AC的VPN、NAT、DHCP功能时，则应考虑部署网桥模式。 2、根据客户原有网络结构决定AC采用是单网桥、双网桥、网桥多网口等方式。 典型的网络环境和部署方式： 客户原有网络是单核心交换机、单出口防火墙情况下，AC用单网桥； 客户原有网络是单核心交换机、两台出口防火墙情况下，AC用双网桥； 客户原有网络是两台核心交换机、单台出口防火墙情况下，AC用双网桥；
认证方式介绍
1、不需要认证
设备根据数据包的源IP地址、源MAC地址、上网计算机的计算机名来
识别用户。
不需要认证的识别方式，优点是用户上网前浏览器中不会弹出认证框， 要求输入正确的用户名密码才能上网。因此用户不会感知到设备的存 在。
认证方式介绍
2、密码认证(包括本地密码认证和第三方服务器认证)
当用户首次通过AC上网时，AC会要求用户提交用户名密码信息，如果
用户提交的用户名密码信息和AC本机保存的信息一致时，给予认证 通过。
用户名密码认证适用于内网用户IP/MAC不固定、上网需要身份识别， 或者内网存在第三方用户名密码认证服务器的网络环境。 可以手动在AC上新建用户名和密码，也可以直接沿用第三方认证服务 器上的账号和密码(SANGFOR AC与第三方认证服务器结合，支持 LDAP，RADIUS, POP3第三方服务器认证)。
深信服Sinfor-AC上网行为管理解决方案
深信服Sinfor AC上网行为管理解决方案目录目录一、上网行为管理与企业竞争力 (3)二、互联网管理的好帮手——深信服SINFOR AC上网行为管理系统 (3)三、滨江远望公司网络现状及深信服解决方案 (4)深信服解决方案 (4)网络拓扑图1： (5)网络拓扑图2： (6)四、深信服AC上网行为管理功能介绍 (7)1，细致的访问控制功能，有效管理用户上网 (7)2，完善的内容过虑和访问审计功能，防止机密信息泄漏 (7)3，强大的数据报表中心，提供直观的上网数据统计 (7)4，强大的QOS及流量分析功能 (8)5，集成丰富的外网安全功能：包括防火墙、VPN、IPS、网关杀毒及防垃圾邮件等 (8)五、SINFOR AC安全网关主要技术优势 (8)1，深度的内容检测技术及在线网关监控技术——及时封堵P2P、IM软件 (8)2，邮件的延迟审计（专利技术） (9)3，独有的网络访问准入规则（专利技术） (9)4，WEB认证技术 (9)5，高度集成，部署灵活 (9)6，模块化设计，性能强大 (9)六、成功典型案例 (10)附1：深信服上网行为管理功能一览表 (11)一、上网行为管理与企业竞争力随着Internet的接入的普及和带宽的增加，一方面员工上网的条件得到改善，另一方面也给企业带来更高的网络使用危险性、复杂性和混乱。
在IDC对全世界企业网络使用情况的调查中发现，在上班工作时间里非法使用邮件、浏览非法Web网站、进行音乐/电影等BT下载或者在线收看流媒体的员工正在日益增加，令网络管理者头疼不已。
据IDC的数据统计，企业中员工30%至40%的上网活动与工作无关；而来自色情网站访问统计的分析表明：70%的色情网站访问量发生在工作时间。
这些员工随意使用网络将导致三个问题：(1)工作效率低下、(2)网络性能恶化、(3)网络违法行为。
企业网作为一个开放的网络系统，运行状况愈来愈复杂。
企业的IT管理者如何及时了解网络运行基本状况，并对网络整体状况作出基本的分析，发现可能存在的问题（如病毒、木马造成的网络异常），并进行快速的故障定位，这一切都是对企业网信息安全管理的挑战，这些问题包括：●IT管理员如何对企业网络效能行为进行统计、分析和评估？●IT管理员如何限制一些非工作上网行为和非正常上网行为（如色情网站），如何监控、控制和引导员工正确使用网络？●IT管理员如何杜绝员工通过电子邮件、MSN等途径泄漏企业内部机密资料？●IT管理员如何在万一发生问题时有一个证据或依据？二、互联网管理的好帮手——深信服SINFOR AC上网行为管理系统网络作为信息时代企业的生产工具，同样面临着适当监控、合理使用的问题。
配置跨三层MAC识别的三个步骤！
配置跨三层MAC识别的三个步骤！型号：AC-1900版本：AC-11.9R1网络简介：AC部署在出口设备和核心交换机之间，核心交换机是三层设备。
需求：客户想要实现MAC免认证。
要想实现MAC免认证，则AC必须读取到终端设备的MAC地址，在当前的网络结构中，AC某公司公司法获取终端设备的MAC，因此，想要实现MAC免认证，必须配置跨三层MAC识别。
一、交换机配置客户内网是一台DCWS-68某公司E的交换机，某公司公司法参照之前论坛提供的“某公司公司_AC_v11-CONF-06-08_跨三层MAC 识别配置指导.pdf”文档，依照经验配置，尝试多次，并联系神码客服，费了2个多小时，终于搞定了。
四条命令：snmp-server enablesnmp-server community ro 0 dcndcnsnmp-server securityip disablesnmp-server enable traps二、使用“BPSNMPUtil.exe”工具获取OID这个步骤不能省。
因为即使你交换机的配置没有问题，但你不知道交换机的OID，在AC上配置跨三层MAC识别也是某公司公司法获取终端MAC的。
AC的跨三层识别默认内置了OID，但经过测试，其OID是某公司公司设备的（华为设备没有验证）。
默认OID：如果你不能确定你设备的OID就是AC内置的，建议使用“BPSNMPUtil.exe”先进行OID的获取工作。
神码设备的OID：IP OID：1.3.6.1.2.1.4.22.1.3MAC OID：1.3.6.1.2.1.4.22.1.2此OID适用于神码设备的：DCRS-7604E、DCRS-68某公司E、DCRS-9816E三、AC配置某公司公司认证与管理--认证高级选项--跨三层取MAC--新增，然后填写第二步获取的OID和交换机地址信息。
最后在认证策略里配置密码认证，认证后处理动作勾选“自动录入绑定关系”、“绑定MAC”和“开启免认证”，实现MAC免认证。
华为三层交换机绑定IP和MAC地址基础命令
华为三层交换机绑定IP和MAC地址基础命令//本⽂档主要介绍交换机地址绑定基本流程和⽤到的命令；//不记得命令可以输⼊？查看，或在⼀段命令中⽤‘TAB’键进⾏命令补全：如”user-b s mac-a 'TAB' //此处，将⾃动补全命令为user-b s mac-address；终端上telnet #交换机位置；输⼊登录ID和密码；su //进⼊ROOT权限；输⼊⼆级密码；dis mc-address #mac地址； //查看⽬标MAC地址与交换机对应情况{如回显GE /0/0/X 说明和交换机的x号端⼝相对应；如回显XGE /0/0/x 说明交换机和所在终端不是直通状态；如没有回显说明MAC地址错误或终端在关机状态；}#绑定地址需要确认端⼝开启了 anti attack 服务{输⼊命令：dis cur | beg #端⼝号；可以看到端⼝回显信息，也可以查询是否开启了 anti-attack ；如果条⽬不存在，输⼊以下命令；{integration ;are Anti-attack check user-bind enable; //开启 anti-attackdis cur | beg ; //再次查看端⼝信息确认}#确认服务开启后sys //进⼊配置界⾯；#如需要输出之前的绑定，可以输⼊undo user-b s ip-address #ip地址； //可以连带删除端⼝，MAC地址绑定，也可以输出mac-address #mac地址user-b s ip-address #ip地址 mac-address #mac地址； //指定ip地址和mac地址绑定，绑定类型可以端⼝，ip,mac⾃由组合quit； //退出配置界⾯save；保存设置。
SANGFORAC度渠道培训用户认证
SINFOR TECHNOLOGIES CO.,LTD.
Page15
通过AC认证的 用户自动添加 到组织结构
通过AC认证的用 户自动添加到在 线用户列表
SINFOR TECHNOLOGIES CO.,LTD.
Page16
通过准入规则实现三层环境ip/mac绑定
AC通过准入实现三层环境下同时绑定客 房端电脑的ip/mac地址。在AC上建立相关帐号 并绑定电脑真实的ip和mac地址，在电脑上安 装准入客户端软件，从而实现验证pc真实的ip 和mac地址与AC上绑定 的IP和mac地址是否一 致，如果一致，则允许访问外网。
SINFOR TECHNOLOGIES CO.,LTD.
Page8
1.2.1、本机认证---二层环境同时绑定ip和mac
例：用户hbz上网前采用ip/mac绑定认证
只绑定ip或只 绑定mac认证 和同时绑定 ip/mac认证 类似，这里不 单独介绍。这 些认证可以与 用户名及密码 认证结合使用， 二者是“与” 的关系。
Page5
1.1、本机认证---用户名和密码认证(续)
SINFOR TECHNOLOGIES CO.,LTD.
Page6
1.1、本机认证---用户名和密码认证(续)
成功通过AC认证 的用户在在线用 户列表显示
备注：基于这种通过浏览器提交用户名和密码进行认证 的方式又称为web认证，包括后续介绍的第三方认证。
SINFOR TECHNOLOGIES CO.,LTD.
Page11
1.2.2、本机认证---跨三层同时绑定ip和mac（续）
案例
固定IP
网关lan ip:192.200.200.1
交换机
客户需求：内网 电脑IP统一分配， 不能随意更改， 更改后电脑上不 了网。
深信服防火墙路由接口配置案例
深信服防火墙路由接口配置案例路由接口的典型应用环境是将SANGFOR NGAF 设备以路由模式部署在公网出口，代理内网上网，像一个路由器一样部署在网络中，如下图所示：配置案例：某用户网络是跨三层的环境，购买NGAF 设备打算部署在公网出口，代理内网用户上网，公网线路是光纤接入固定分配IP 的。
第一步：通过管理口(ETH0) 的默认IP 登录设备。
管理口的默认IP 是10.251.251.251/24 ，在计算机上配置一个相同网段的IP 地址，通过https://10.251.251.251 登录设备。
第二步：配置外网接口，通过『网络』→『接口/区域』，点击需要设置成外网接口的接口，如eth2，出现以下页面：接口[类型]选择路由。
[基本属性]可以设置是否为WAN 口和允许PING。
如果是WAN 口，是否与IPSEC VPN 出口线路匹配。
连接上行链路的接口需要勾选WAN 口。
[区域]选择接口eth2 所属的区域。
区域需要提前设置，本例将ETH2 划入WAN 区域，对于区域的设置请参考章节3.3.1.5 区域设置。
选择配置IPv4 地址：[连接类型]包括静态IP、DHCP、ADSL 拨号三种，根据该线路的特征进行配置，如果选择静态IP，需要填写好IP 地址/掩码以及下一跳网关；如果该接口是DHCP 自动获得地址，则设置DHCP；如果线路是ADSL 拨号，则配置好拨号所需的用户名、密码和其他拨号参数。
静态IP 地址可以填写成“IP/掩码”和“IP/掩码-HA”两种形式，后一种形式表示同步网口配置时，不同步IP 地址，“IP/掩码-HA”的形式适用于NGAF 设备双机部署的环境。
本案例中外网接口连接的是静态IP 的光纤线路，所以选择静态IP，并且配置ISP 提供给该光纤线路的公网IP 地址和下一跳网关。
[线路带宽]设置公网链路的上下行带宽。
点击可以修改带宽单位，包括KB/s，MB/s，GB/s。
[链路故障检测]用于检测链路的好坏。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
目录
跨三层mac地址绑定的配置方法 (1)
本文说明 (1)
跨三层mac地址绑定原理 (1)
跨三层mac地址绑定的配置步骤 (2)
步骤一：配置三层交换机的SNMP选项 (3)
步骤二：配置AC设备的SNMP项 (3)
步骤三：对内网用户认证启用mac地址绑定 (5)
跨三层mac地址绑定的高级应用 (7)
跨三层mac地址绑定的配置方法
本文说明
AC1.96版本开始，支持在跨三层环境下，对内网用户单独绑定mac地址。
AC1.96之前的版本是不支持该功能的，因为在跨三层交换机的环境下，数据经过三层交换机后源mac地址都会转变成三层交换机的mac，这样会导致AC设备无法识别内网电脑的真实mac地址，从而导致启用绑定mac后的认证失败。
针对这个情况，1.96做了改善，通过AC设备直接到三层交换机上通过SNMP协议定期获取用户端的真实mac来解决这个问题，下文将详细介绍如何配置使用这个功能。
跨三层mac地址绑定原理
在有三层交换机的网络环境下（如下图），内网用户采用绑定mac地址的认证方式来上网。
此时，AC1.96版本，对客户端mac地址的效验是依靠snmp协议来实现的。
过程如下：
前提条件：在设备上以及三层交换机上都配置了snmp的相关项。
1、AC设备作为snmp客户端，会定期向三层交换机的udp 161端口发送获取其[MAC地址表]的请求信息。
2、三层交换机作为snmp服务器端，当收到来自AC的请求后，会将自己的[MAC地址表]回复给AC 设备。
3、设备会将由三层交换机上获得的[MAC地址表]内容，同内网绑定mac认证的用户此时的ip地址和以及其绑定的mac地址与作比较。
如果MAC地址信息跟设备上绑定的信息一致，则该用户认证成功。
如果MAC地址信息不一致，则该用户认证失败。
跨三层mac地址绑定的配置步骤
下文将以内网中只有一台三层交换机的情况为例，介绍在有单台三层交换机的环境下（如下图），内网用户mac地址绑定的配置方法。
步骤一：配置三层交换机的SNMP选项。
步骤二：配置AC设备的SNMP项。
步骤三：对内网用户认证启用mac地址绑定。
步骤一：配置三层交换机的SNMP选项
不同的用户使用的三层交换机不同，以下列出的是华为跟思科的三层交换机的SNMP选项的配置方法，如果用户的三层交换机本身就已经支持并使用了snmp协议则无需配置。
主要需要获取的是三层交换机的Community的值。
华为交换机的配置命令：
system_view
snmp-agent community read public；其中public为三层交换机的Community
snmp-agent sys-info version all；其中all表示所有版本
思科交换机的配置命令：
先要查看思科端口IP多少，然后通过深信服连接
config terminal 进入全局配置状态
Cdp run 启用CDP
snmp-server community public ro 其中public为三层交换机的Community（必须先设置public，以后可以改）
snmp-server enable traps 允许设备将所有类型SNMP Trap发送出去
注意事项：三层交换机需要支持SNMP协议的v2c-v3版本，否则不支持跨三层的mac地址绑定。
步骤二：配置AC设备的SNMP项
在【上网行为管理】-【认证选项设置】中，SNMP选项设置里可以看到设备中跟SNMP相关的各项配置，如下图。
AC设备中的SNMP配置：
1、配置SNMP服务器列表：要求每行填入一个三层交换机的IP、MAC、Oid和Community。
格式要求：IP/MAC/Oid/Community。
格式说明：IP和MAC为三层交换机离设备最近的接口的ip和mac地址；
Oid一般填写：1.3.6.1.2.1.3.1.1.2或者1.3.6.1.2.1.4.22.1.2即可；
Community是步骤一中配置或获取的Community的值。
如实例图中配置可知，192.200.200.1和00-01-04-61-b4-13是三层交换机跟设备相接的接口的ip 和mac地址，1.3.6.1.2.1.3.1.1.2是Oid，public是Community值。
2、启用SNMP协议：如上图，点击【SNMP选项设置】中的启用，然后点击页面下方的确认。
其他配置内容的说明：
【访问SNMP服务器超时设置】这个是用于配置设备跟三层交换机通信过程中，多久没获得三层交换机的回应就会超时告警。
【访问SNMP服务器时间间隔】这个是用于配置设备多久会去三层交换机上取一次内网用户的mac地址表。
以上两个参数建议保持默认值即可。
步骤三：对内网用户认证启用mac地址绑定
对内网用户认证启用mac地址绑定分为两种情况：
情况一：如果是刚上架的设备，内网用户都还没有配置，可以直接在新用户认证的时候，就启用绑定mac地址的认证。
配置方法：在【上网行为管理】-【认证选项设置】-【新用户认证】中，新增策略，或者修改默认策略的用户认证方式为绑定MAC或绑定IP\MAC，如下图。
其他项的配置根据客户的具体需求来配置即可。
注意事项：配置这一步之前一定要先配置SNMP的相关项，否则会导致内网用户错误绑定了三层交换机的MAC后，内网其他电脑都无法上网！
情况二：如果设备的用户列表中已经设置此用户了，则直接编辑用户，修改用户的认证方式为mac 绑定或IP\MAC绑定，并填入用户的真实mac地址即可。
如下图，直接编辑用户192.200.200.103，修改该用户的绑定方式为绑定mac。
注意事项：此处界面上的扫描MAC地址是设备本身通过netbios协议去扫描的，而不是依靠的snmp 协议去三层交换机上获取，所以此处的扫描需要内网计算机本身支持并启用了该协议，且三层交换机没有对netbios协议做限制。
跨三层mac地址绑定的高级应用
上文主要介绍了内网只有一台三层交换机的情况下如何配置，下文将介绍内网有多台交换机的情况下，如何进行配置。
如上图，实例中内网存在3台三层交换机，其中一台为核心交换机，另外两台分别为三层交换机A 跟B，跨三层mac地址绑定的配置方法跟上文所属的步骤一致，需要注意的是：
1．三层交换机A和B都必须支持并启用SNMP协议（版本为v2或v3），并且配置或获得其SNMP的community的值。
核心交换机不要求一定能支持SNMP，但是设置SNMP选项时必须要把核心交换机的IP、MAC填写进去，在不支持SNMP时，oid和community可以随便设置。
2．在设备上配置SNMP项时，需要把3台交换机的SNMP项都完整配置好，如下图。
由上图可知：
第一行中，192.168.0.1和00-65-51-b2-04-16是核心三层交换机跟设备相接的接口的ip和mac地址，1.3.6.1.2.1.3.1.1.2是Oid，public是Community值。
第二行中，192.168.1.1和00-65-51-b1-03-22是三层交换机A离设备最近的接口的ip和mac地址，1.3.6.1.2.1.3.1.1.2是Oid，public是Community值。
第三行中，192.168.2.1和00-65-51-a2-01-36是三层交换机B离设备最近的接口的ip和mac地址，1.3.6.1.2.1.3.1.1.2是Oid，public是Community值。