深信服社区»版块 安全类 行为管理AC ac或af接入认证

ac或af接入认证

查看数: 57 | 评论数: 4 | 收藏 0
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2026-1-13 16:26

正文摘要:

在做接入认证使用AD域单点登录失败时,如何对这些用户做禁止联网

回复

王老师 发表于 2026-1-14 08:43
通过AD管理工具禁用账户:
打开“Active Directory Users and Computers”,找到目标用户,右键选择“禁用账户”。
禁用后,用户无法登录任何域资源(包括网络设备)。
记录操作日志:在AD中备注禁用原因和时间,便于后续审计。
恢复账户:问题解决后,重新启用账户并通知用户。
王老师 发表于 2026-1-14 08:41
核心排查步骤
确认失败原因
时间不同步:AD域对时间敏感,若客户端与域控制器时间差超过5分钟(如Kerberos协议要求),会导致认证失败。需通过w32tm /query /status命令检查时间同步状态,并手动调整或启用NTP服务。
密码错误或过期:用户可能因密码输入错误次数过多被锁定,或密码已过期未更新。需通过AD管理工具(如Active Directory Users and Computers)检查账户状态,并重置密码或解锁账户。
网络连通性问题:使用ping或nslookup测试客户端与域控制器之间的网络连通性,确保DNS解析正常且端口(如TCP 389、UDP 88)未被防火墙拦截。
服务未运行:检查域控制器上的关键服务(如Netlogon、Kerberos Key Distribution Center、Active Directory Domain Services)是否正常运行,必要时重启服务。
定位失败用户
通过事件查看器(Event Viewer)的安全日志筛选4776(认证尝试)或4740(账户锁定)事件,确定失败用户的用户名、IP地址和时间戳。
若使用802.1X认证,可通过Radius服务器日志(如FreeRADIUS或NPS)查找认证失败的详细记录。
XiaoYang’ 发表于 2026-1-14 08:15
在使用AD域单点登录时,如果出现单点登录失败的用户,您可以通过以下步骤对这些用户进行禁止联网的设置:
  • 配置认证策略:在AC的管理界面中,您需要进入【用户认证与管理】或【接入管理】模块,找到【认证策略】设置。
  • 设置单点登录失败处理:在认证策略中,您可以选择单点登录失败的用户处理方式。可以选择“禁止联网”作为处理方式。
  • 保存设置:完成设置后,确保保存您的配置,以便系统能够按照新的策略执行。

具体的操作路径如下:
  • 对于11.X及之后版本:进入【用户认证与管理】->【用户认证】->【认证策略】。
  • 对于AC12.0.47或者13.X及之后版本:进入【接入管理】->【接入认证】->【PORTAL认证】->【认证策略】。
通过以上步骤,您可以有效地对AD域单点登录失败的用户进行禁止联网的管理

希望能够帮助到你!