基础认证培训 深信服上网行为管理AC教材课件.ppt

《基础认证培训 深信服上网行为管理AC教材课件.ppt》由会员分享，可在线阅读，更多相关《基础认证培训 深信服上网行为管理AC教材课件.ppt（40页珍藏版）》请在三一办公上搜索。

1、SANGFOR AC 基础认证技术,认证功能介绍,SANGFOR AC 认证功能介绍,概述：认证功能主要用于对经过AC设备上网的用户进行身份的验证。通过认证功能可识别内网上网用户的身份，为后续的流量管理、用户上网权限策略及应用审计提供基础。,SANGFOR AC的认证方式：1、不需要认证（IP/MAC绑定）2、密码认证（包括本地密码认证和第三方服务器认证） 3、单点登陆4、DKEY认证,认证方式介绍,1、不需要认证 设备根据数据包的源IP地址、源MAC地址、上网PC的计算机名来识别用户。 不需要认证的方式，优点是用户上网前浏览器中不会弹出认证框,不需要通过用户名密码验证才能上网。因此用户不会感

2、知到设备的存在。,认证方式介绍,当用户首次通过AC上网时，AC会要求用户提交用户名密码信息，如果用户提交的用户名密码信息和AC本机保存的信息一致时，给予认证通过。 用户名密码认证适用于内网用户IP/MAC不固定，或者内网存在第三方认证服务器的网络环境。 可以手动在AC上新建用户名和密码，也可以直接沿用第三方认证服务器上的账号和密码(SANGFOR AC与第三方认证服务器结合，支持LDAP、RADIUS、 POP3、数据库、H3C CAMS等第三方服务器认证)。,2、密码认证(包括本地密码认证和第三方服务器认证),认证方式介绍,3、单点登录 当客户有自己的第三方认证服务器对内网用户进行认证时，单

3、点登录可以实现在内网用户通过第三方认证服务器认证时自动通过AC设备的认证，并且获取到相关的权限上网。 SANGFOR AC支持域单点登录，POP3单点登录，PROXY单点登录，WEB单点登录、PPPOE单点登陆，数据库单点登陆，第三方设备单点登陆（包括锐捷SAM系统，城市热点，H3C CAMS系统等），单点登录功能培训PPT将详细介绍相关功能和配置，此PPT不再赘述。,认证方式介绍,4、DKEY认证 SANGFOR AC提供上网认证的DKEY有两种，绿色的认证KEY和紫色的免审计KEY。 DKEY认证过程：管理员生成DKEY，然后分发给用户。用户上网时，把DKEY插入个人电 脑，使用DKEY认

4、证客户端提交认证信息，通过认证后才允许接入互联网。 DKEY 认证适用于对认证安全要求较高的网络环境，也适用于公司高层机密信息不被随意审计的情况。,认证方式介绍,绿色的是认证KEY，紫色的是免审计KEY，这两种KEY不能混淆。AC还有一种咖啡色的KEY，用于数据中心查询。,认证功能配置,IP/MAC认证场景,DKEY认证场景,用户名密码认证场景,典型应用场景与配置,案例背景,某集团公司内部有办公区和公共上网区， 要求实现办公区（192.168.1.0/24）用户上网不能修改IP和MAC地址，公共上网区（192.168.2.0/24）则需要输入账号和密码才能上网，确保网络行为能跟踪到，另外总经理

5、的上网数据要保证安全，不能被审计。,核心交换,防火墙,总经理,办公区,公共上网区,解决方案,根据客户需求，我们可以将AC部署在防火墙与核心交换机之间，并通过如下认证设置来满足需求：1、办公区用户采用IP/MAC认证方式2、公共上网区采用密码认证，设置用户名和密码3、总经理使用免审计KEY上网，确保数据不被记录,核心交换,防火墙,总经理,办公区,公共上网区,配置思路,1、新建认证策略 认证策略决定了使用某个IP/网段/MAC地址的计算机的认证方式。通过认证策略可设置内网用户的认证方式。 2、手动新建用户或者自动添加新用户 新建用户，可编辑用户属性，定义用户具体的认证信息。包括用户名密码信息， 启

6、用DKEY以及IP/MAC绑定。 如果采用自动添加新用户，在认证策略里开启和定义即可。,AC几种认证方式中，DKEY认证在对应的用户属性中设置即可，不需要设置认证策略，且DKEY认证的优先级最高。不需要认证、密码认证、单点登录这几种认证方式需要到认证策略中设置。,配置步骤一（IP/MAC认证的用户）,1、首先为办公区的用户建一个用户组，在【用户与策略管理】【用户管理】【组/用户】中，点新增，选择【组】，定义组名：办公区，设置完后点提交。,配置步骤一（IP/MAC认证的用户）,2、配置认证策略 新增一个认证策略，选择认证方式，本案例的需求是同时绑定IP/MAC，因此选择IP/MAC绑定，且绑定方

7、式为用户和地址双向绑定。在新用户选项中，自动添加新用户到办公区用户组。,定义需要使用IP/MAC认证的IP范围,这里也可以用MAC地址或计算机名做为新用户,选择用户组,勾选后，客户端登陆时自动绑定IPMAC,配置完成，点击确定,配置步骤一（IP/MAC认证的用户）,注：如果AC和内网用户是跨三层环境，需要内网三层设备开启SNMP功能，AC设备在【用户与策略管理】【用户认证】【认证选项】【跨三层MAC识别】进行配置，实现IP和MAC的绑定。,三层交换机接口地址,此处显示搜索结果,如果知道三层交换机的MAC地址，OID和community，可以直接填入该框中，格式为：IP/MAC/OID/comm

8、unity,配置步骤二（用户名密码认证）,1、配置认证策略：在【用户与策略管理】【用户认证】【认证策略】中，点击【新增】，如图，配置完成后点提交。,配置步骤二（用户名密码认证）,2、新增用户名密码认证的用户，设置用户名密码,勾选后，该账号可供多人使用，也可不勾选，为每个用户单独建立 用户名和密码,配置步骤二（用户名密码认证）,3、客户端输入用户名密码认证,当用户访问网站时，AC会重定向到这个认证的页面，用户输入正确的用户名密码认证后，才可以继续上网。,配置步骤三（DKEY认证的用户）,1、新增DKEY认证的用户，手动生成DKEY,勾选后，会弹出提示信息，要求生成KEY，点关闭即可。,使用免审计

9、KEY时，需要勾选此项,设置DEY的初始密码,点写入DKEY前请先在本机安装KEY驱动,配置步骤三（DKEY认证的用户）,2、使用DKEY认证的用户，需下载并安装DKEY客户端,172.16.0.1为设备LAN口IP地址,点击下载并安装DKEY客户端,配置步骤三（DKEY认证的用户）,3、使用DKEY客户端进行认证,用户安装完DKEY客户端后，会在桌面生成图标。,若将紫色DKEY插入电脑，双击图标，输入DKEY密码，认证成功后，桌面右下角图标会提示您：“认证成功，您正处于不受监控状态.”,密码认证加强,设置用户密码强度,设置密码强度主要为了满足对WEB认证用户的密码安全的需求。密码强度限制仅对

10、私有用户在客户端修改密码有效，管理员在控制台建立或修改密码不受此限制。,设置用户密码强度,配置步骤：【用户与策略管理】【用户认证】【认证选项】【其它认证选项】,按照用户需求勾选相应条目，可复选。,设置用户密码强度,客户端登陆修改密码：,输入密码的时候会实时检测并根据输入情况在右边显示相应的提示,点击确定时会再次检测，若不符合要求，则修改不成功，并会弹出相应提示,强制客户端初次认证修改密码,应用背景：用户批量导入或者大量加入的时候，初始密码是一致的，这样很不安全解决思路：强制要求用户初次登录时自行修改密码。注意事项：1. 仅对设备本地密码认证的用户有效2. 用户认证后会自动跳转到修改密码窗口，若

11、不修改则无法上网。,配置方法： 1. 添加用户时：在【用户与策略管理】【用户管理】【组/用户】中，点击 新增，在【本地密码】设置的下方勾选“初次认证修改密码”。,强制客户端初次认证修改密码,强制客户端初次认证修改密码,2. 导入用户时：【用户与策略管理】【用户管理】【用户导入】，点击 CSV格式文件导入时，勾选初次认证修改密码。,强制客户端初次认证修改密码,启用了初次认证修改密码，用户第一次认证通过后会跳转到修改密码页面，修改完成后出现如下页面：,提示：1.此页面为静态页面，不会自动跳转到之前访问的internet页面。2.修改密码后生效可能有30秒的延迟，建议在30秒内不要注销或重新登录。,

12、用户注销,如何注销已经通过认证的用户,当需要注销已经认证成功的用户时，可以通过AC网关控制台注销用户或在客户端手动注销来实现。,控制台注销用户：,1. 在线用户列表强制注销（不需要认证用户，DKEY用户，临时用户不能被注销）,如何注销已经通过认证的用户,2. 无流量自动注销用户（适用于所有认证类型的用户）,如何注销已经通过认证的用户,3. 开启密码认证的用户，通过弹出注销窗口（只适用于本地密码认证的用户）,如何注销已经通过认证的用户,用户认证成功后，自动跳转到如下注销页面，用户可以手动点击页面上的“注销”按钮完成注销。,如何注销已经通过认证的用户,4. 客户端手动注销认证，通过输入http:/

13、ACIP打开手动认证和注销的页面，点击注销（只适用于密码认证的用户和单点登录的用户）。,练练手,某酒店内部是一个二层网络（192.168.1.0/24），每台电脑均分配了一个固定的IP地址，要求内部员工上网只能使用自己的电脑，不能随便修改IP，确保网络行为能跟踪到人。客户房区的用户上网需通过账号和密码认证，方便计费和管理。,您有什么样的方案能满足客户的需求呢？,我们的建议：对内部员工的电脑启用IPMAC地址绑定。其它用户使用用户名密码认证。,1.SANGFOR AC有哪几种认证方式？2.AC有哪几种KEY？3.跨三层IP/MAC绑定为什么要启用SNMP？4.用户密码强度限制在什么情况下不生效？5.不需要认证的用户和密码认证的用户都有哪些注销方式？,问题思考,