上网行为管理:用户认证技术
用户和用户组管理
【用户管理】-【组/用户】:可以查看、新增、删除用户/组信息
【限制在以下地址范围内登录】:指的是账号只能在设置地址范围的终端上登录,其它账号也可以在这些地址上登录。
终端绑定(用户绑定):绑定时定义【绑定目的】和【绑定对象】及【绑定有效期】
用户注销
-
在【在线用户管理】中强制注销在线用户
(临时用户、Dkey用户、不需要认证的用户无法被强制注销)
-
在【认证高级选项】-【认证选项】中选择【自动注销无流量的用户】
(对所有用户生效)
-
在【认证高级选项】-【认证选项】中设置【每天强制注销所有在线用户】,并设置注销时间
(对所有用户生效)
-
设置认证页面关闭时自动注销
-
设置MAC变动时自动注销
案例
要求实现:
1、IT部电脑IP不固定,认证不受限制
2、办公区用户不能修改IP地址上网
3、公共上网区则需要输入账号和密码才能上 网,确保网络行为能跟踪到
的标准协议。
SNMP的工作方式:管理员需要向设备获取数据,所以SNMP提供了“读”操作;管理员需要向设备执行设置操作,所以SNMP提供了“写”操作;设备需要在重要状况改变的时候,向管理员通报事件的发生,所以SNMP提供了“Trap”操作。
在具体实现上,SNMP为管理员提供了一个网管平台(NMS),又称为管理站,负责网管命令的发出、数据存储、及数据分析。被监管的设备上运行一个SNMP代理(Agent)),代理实现设备与管理站的SNMP通信。
SNMP能够使网络管理员提高网络管理效能,及时发现并解决网络问题以及规划网络的增长。网络管理员还可以通过SNMP接收网络节点的通知消息以及告警事件报告等来获知网络出现的问题。
SNMP协议数据单元
SNMP规定了5种协议数据单元PDU(也就是SNMP报文),用来在管理进程和代理之间的交换。
get-request操作:从代理进程处提取一个或多个参数值。
get-next-request操作:从代理进程处提取紧跟当前参数值的下一个参数值。
set-request操作:设置代理进程的一个或多个参数值。
get-response操作:返回的一个或多个参数值。
trap操作:代理进程主动发出的报文,通知管理进程有某些事情发生。
MIB库
管理信息库MIB:任何一个被管理的资源都表示成一个对象,称为被管理的对象。
每个OID(Object IDentification)都对应一个唯一的对象
MIB是被管理对象的集合。它定义了被管理对象的一系列属性:对象的名称、对象的访问权限和对象的数据类型等。
工作原理
1、用户上网的数据经过三层交换机会在交换机上形成ARP表
2、上网的数据经过AC时,AC看到数据包的源MAC地址都是三层交换机的MAC,于是AC会主动通过SNMP协议去读取三层交换机的ARP表(要在三层交换机上先设置允许AC访问其SNMP服务)
3、AC会将读取到的ARP条目和AC设备里面绑定的IP/MAC条目进行对比
4、如果比对结果一致,则允许上网,否则丢弃数据包禁止上网
配置思路
1、 首先为办公区的用户建一个用户组,在【用户认证与管理】-【用户管理】-【组/用户】中,点新增,选择【组】,定义组名:办公区
2、新增【认证策略】,选择认证方式为:不需要认证
3、【认证后处理】-【非本地/域用户使用该组上线】选择:办公区
4、勾选【自动录入绑定关系】-【自动录入IP和MAC的绑定关系】
三层网络环境下特别注意,需要开启以下功能:
5、配置【认证高级选项】-【跨三层取MAC】
(注意:要在三层设备上设置允许AC访问其SNMP服务器)
效果
(1)【系统管理】—【在线用户管理】可以看到用户认证上线的身份。
(2)【用户管理】—【IP/MAC绑定】可以查看到IP和MAC绑定成功。
密码认证
需求三:
公共上网区则需要输入账号和密码才能上网,确保网络行为能跟踪到
当用户首次上网时,会要求用户提交用户名密码信息,如果用户提交的用户名密码信息和本地(或第三方服务器)一致,则给予认证通过。
一般适用于对认证要求严格,希望上网日志记录具体的帐号,或希望和客户现有的第三方服务器结合认证的场景。
需求分析
首先我们以访问www.qq为例,回顾一下密码认证的数据流过程
第一步:PC先进行www.qq DNS解析域名过程
第二步:PC向解析出的www.qq服务器地址发起tcp三次握手
第三步:PC向www.qq 服务器发出GET请求,请求主页
第四步:AC拦截PC的GET请求,并把AC自己伪装成服务器(用腾讯服务器的IP给PC发包),给PC回复HTTP 302 Moved Temporarily ,要求PC重定向请求以下URL
http://10.1.3.4:80/ac_portal/proxy.html?template=default&tabs=pwd&vlanid=0&url=http://www.qq%2f
其中10.1.3.4就是AC设备的LAN IP、网桥IP或者虚拟IP
第五步:PC自动重定向访问AC的认证界面,输入正确的账号密码,登录成功
配置思路
1、 首先为办公区的用户建一个用户组,在【用户认证与管理】-【用户管理】-【组/用户】中,点新增,选择【组】,定义组名:公共区
2、新增用户,设置本地密码
3、新增【认证策略】,选择认证方式为密码认证
4、【认证高级选项】-【其他选项】勾选【未认证或被冻结时允许访问DNS服务】
效果
1、用户去上网的时候,打开网站,重定向到认证界面
2、输入用户名和密码,用户验证完成之后,在在线用户管理里面可以看到这个用户已经成功上线
注意事项
1、如果在认证后处理,需要用户绑定了mac地址的时候,需要注意内网是否为三层环境,如果是,则需要启用跨三层mac地址识别
2、如果内网是DHCP的场景,不要勾选绑定IP地址
打开HTTPS的网站也要
3、如果用户能跳转到认证页面,需要在【认证选项】勾选以下选项:
外部认证
功能介绍
SANGFOR AC/SG的外部认证,也称为第三方认证。用户的账号密码信息保存在第三方服务器上,AC/SG将用户提交的用户名密码信息转给第三方认证服务器校验,通过第三方服务器返回的认证成功与否的信息,决定是否通过AC/SG的认证,这个过程称为AC/SG的外部认证。
认证过程
1、 PC向AC/SG提交用户名密码信息
2、 AC/SG判断为外部认证,并把用户名密码信息发给外部认证服务器校验
3、 外部认证服务器校验后,向AC/SG发送认证失败或成功的消息
4、 AC/SG根据外部认证服务器返回的消息,确定是否让该PC通过认证。
5、 PC通过认证后,就可直接访问公网了
认证条件
1.认证策略中,认证方式选择“密码认证,认证服务器选择“第三方服务器”
- 认证高级选项,未启用“DKEY”。
配置
1、选择需要新增的外部认证服务器类型【LDAP, RADIUS, POP3服务器】
2、设置外部认证服务器的通信方式,IP,端口等
案例
某公司内网有一台AD域服务器,域名为mengxuan,服务器IP地址为172.16.100.203。
要求内网用户上网时使用域帐号和密码来通过AC设备的认证才可以上网。
配置思路
1、新建外部认证服务器,设置AD域服务器信息。
测试有效性—账户有效性:可以通过此功能测试域账号的有效性,如上既测试了域的管理员账号administrator是否有权限读取域的组织结构,又测试了域的用户support1账号密码是否正确。
2、新建认证策略,选择“密码认证”认证服务器选择上面创建好的服务器。
终端电脑输入域帐号通过AC认证,即可访问外网。
上网行为管理:用户认证技术
用户和用户组管理
【用户管理】-【组/用户】:可以查看、新增、删除用户/组信息
【限制在以下地址范围内登录】:指的是账号只能在设置地址范围的终端上登录,其它账号也可以在这些地址上登录。
终端绑定(用户绑定):绑定时定义【绑定目的】和【绑定对象】及【绑定有效期】
用户注销
-
在【在线用户管理】中强制注销在线用户
(临时用户、Dkey用户、不需要认证的用户无法被强制注销)
-
在【认证高级选项】-【认证选项】中选择【自动注销无流量的用户】
(对所有用户生效)
-
在【认证高级选项】-【认证选项】中设置【每天强制注销所有在线用户】,并设置注销时间
(对所有用户生效)
-
设置认证页面关闭时自动注销
-
设置MAC变动时自动注销
案例
要求实现:
1、IT部电脑IP不固定,认证不受限制
2、办公区用户不能修改IP地址上网
3、公共上网区则需要输入账号和密码才能上 网,确保网络行为能跟踪到
的标准协议。
SNMP的工作方式:管理员需要向设备获取数据,所以SNMP提供了“读”操作;管理员需要向设备执行设置操作,所以SNMP提供了“写”操作;设备需要在重要状况改变的时候,向管理员通报事件的发生,所以SNMP提供了“Trap”操作。
在具体实现上,SNMP为管理员提供了一个网管平台(NMS),又称为管理站,负责网管命令的发出、数据存储、及数据分析。被监管的设备上运行一个SNMP代理(Agent)),代理实现设备与管理站的SNMP通信。
SNMP能够使网络管理员提高网络管理效能,及时发现并解决网络问题以及规划网络的增长。网络管理员还可以通过SNMP接收网络节点的通知消息以及告警事件报告等来获知网络出现的问题。
SNMP协议数据单元
SNMP规定了5种协议数据单元PDU(也就是SNMP报文),用来在管理进程和代理之间的交换。
get-request操作:从代理进程处提取一个或多个参数值。
get-next-request操作:从代理进程处提取紧跟当前参数值的下一个参数值。
set-request操作:设置代理进程的一个或多个参数值。
get-response操作:返回的一个或多个参数值。
trap操作:代理进程主动发出的报文,通知管理进程有某些事情发生。
MIB库
管理信息库MIB:任何一个被管理的资源都表示成一个对象,称为被管理的对象。
每个OID(Object IDentification)都对应一个唯一的对象
MIB是被管理对象的集合。它定义了被管理对象的一系列属性:对象的名称、对象的访问权限和对象的数据类型等。
工作原理
1、用户上网的数据经过三层交换机会在交换机上形成ARP表
2、上网的数据经过AC时,AC看到数据包的源MAC地址都是三层交换机的MAC,于是AC会主动通过SNMP协议去读取三层交换机的ARP表(要在三层交换机上先设置允许AC访问其SNMP服务)
3、AC会将读取到的ARP条目和AC设备里面绑定的IP/MAC条目进行对比
4、如果比对结果一致,则允许上网,否则丢弃数据包禁止上网
配置思路
1、 首先为办公区的用户建一个用户组,在【用户认证与管理】-【用户管理】-【组/用户】中,点新增,选择【组】,定义组名:办公区
2、新增【认证策略】,选择认证方式为:不需要认证
3、【认证后处理】-【非本地/域用户使用该组上线】选择:办公区
4、勾选【自动录入绑定关系】-【自动录入IP和MAC的绑定关系】
三层网络环境下特别注意,需要开启以下功能:
5、配置【认证高级选项】-【跨三层取MAC】
(注意:要在三层设备上设置允许AC访问其SNMP服务器)
效果
(1)【系统管理】—【在线用户管理】可以看到用户认证上线的身份。
(2)【用户管理】—【IP/MAC绑定】可以查看到IP和MAC绑定成功。
密码认证
需求三:
公共上网区则需要输入账号和密码才能上网,确保网络行为能跟踪到
当用户首次上网时,会要求用户提交用户名密码信息,如果用户提交的用户名密码信息和本地(或第三方服务器)一致,则给予认证通过。
一般适用于对认证要求严格,希望上网日志记录具体的帐号,或希望和客户现有的第三方服务器结合认证的场景。
需求分析
首先我们以访问www.qq为例,回顾一下密码认证的数据流过程
第一步:PC先进行www.qq DNS解析域名过程
第二步:PC向解析出的www.qq服务器地址发起tcp三次握手
第三步:PC向www.qq 服务器发出GET请求,请求主页
第四步:AC拦截PC的GET请求,并把AC自己伪装成服务器(用腾讯服务器的IP给PC发包),给PC回复HTTP 302 Moved Temporarily ,要求PC重定向请求以下URL
http://10.1.3.4:80/ac_portal/proxy.html?template=default&tabs=pwd&vlanid=0&url=http://www.qq%2f
其中10.1.3.4就是AC设备的LAN IP、网桥IP或者虚拟IP
第五步:PC自动重定向访问AC的认证界面,输入正确的账号密码,登录成功
配置思路
1、 首先为办公区的用户建一个用户组,在【用户认证与管理】-【用户管理】-【组/用户】中,点新增,选择【组】,定义组名:公共区
2、新增用户,设置本地密码
3、新增【认证策略】,选择认证方式为密码认证
4、【认证高级选项】-【其他选项】勾选【未认证或被冻结时允许访问DNS服务】
效果
1、用户去上网的时候,打开网站,重定向到认证界面
2、输入用户名和密码,用户验证完成之后,在在线用户管理里面可以看到这个用户已经成功上线
注意事项
1、如果在认证后处理,需要用户绑定了mac地址的时候,需要注意内网是否为三层环境,如果是,则需要启用跨三层mac地址识别
2、如果内网是DHCP的场景,不要勾选绑定IP地址
打开HTTPS的网站也要
3、如果用户能跳转到认证页面,需要在【认证选项】勾选以下选项:
外部认证
功能介绍
SANGFOR AC/SG的外部认证,也称为第三方认证。用户的账号密码信息保存在第三方服务器上,AC/SG将用户提交的用户名密码信息转给第三方认证服务器校验,通过第三方服务器返回的认证成功与否的信息,决定是否通过AC/SG的认证,这个过程称为AC/SG的外部认证。
认证过程
1、 PC向AC/SG提交用户名密码信息
2、 AC/SG判断为外部认证,并把用户名密码信息发给外部认证服务器校验
3、 外部认证服务器校验后,向AC/SG发送认证失败或成功的消息
4、 AC/SG根据外部认证服务器返回的消息,确定是否让该PC通过认证。
5、 PC通过认证后,就可直接访问公网了
认证条件
1.认证策略中,认证方式选择“密码认证,认证服务器选择“第三方服务器”
- 认证高级选项,未启用“DKEY”。
配置
1、选择需要新增的外部认证服务器类型【LDAP, RADIUS, POP3服务器】
2、设置外部认证服务器的通信方式,IP,端口等
案例
某公司内网有一台AD域服务器,域名为mengxuan,服务器IP地址为172.16.100.203。
要求内网用户上网时使用域帐号和密码来通过AC设备的认证才可以上网。
配置思路
1、新建外部认证服务器,设置AD域服务器信息。
测试有效性—账户有效性:可以通过此功能测试域账号的有效性,如上既测试了域的管理员账号administrator是否有权限读取域的组织结构,又测试了域的用户support1账号密码是否正确。
2、新建认证策略,选择“密码认证”认证服务器选择上面创建好的服务器。
终端电脑输入域帐号通过AC认证,即可访问外网。