#信服智创#AC对接华为NCE、AD域单点登录
  

广龙ㅤ 5141人觉得有帮助

{{ttag.title}}
一、背景描述
1、客户现有网络有有线无线,均为DHCP获取地址,有线一个网段,无线一个网段
2、使用华为NCE做portal认证
3、新增AC做审计和应用管控(120版本)
拓扑图:
客户需求:
1、单位安全事故频发,但网络环境为DHCP,IP经常变,无法快速定位到责任人,需要在AC上进行行为审计,并希望在AC上能定位到终端用户,方便后续溯源
2、对普通员工进行应用管控,领导则不用
3、希望不需要重复认证,只在华为NCE认证即可,以方便统一管理

思路:
需求1和3
解决办法:那AC只能对接华为NCE做单点登录,以获取NCE的用户认证信息,这样就可以快速溯源定位到责任人,终端用户也只需填写一次认证
需求2
难点1、网络为DHCP,领导和普通员工混在一个网段,客户也不想在DHCP那里绑定领导的IP和MAC来固定分配地址,觉得太麻烦,那就无法通过IP做应用管控
难点2、IP不行,那就考虑通过用户来,但是AC不支持将从华为准入系统上来的用户名或组织架构显示在AC本地。这意味着虽然用户能以华为NCE上的用户名在AC上线,但其组织架构信息无法同步到AC的设备本地,因此也无法在AC上直接对这些用户或用户组关联和配置上网权限策略、流控策略等进行精细化管理
GG了,这个不行那个不行的,但天无绝人之路,了解到华为NCE认证是从AD域控同步
用户的组织架构及账号密码信息的,也就是说AC只要对接AD域,就能拿到和NCE一样的
组织架构了,就可以基于用户来做管控。
开干!!!

一、配置
1、AC旁路部署,从交换机镜像流量过来(这个就不细说了)
2、AC对接AD域
接入管理-接入认证-portal认证-认证服务器,新增LDAP服务器,填写相关对接信息,需要一个域管理员权限的账号
AD域如果有开启加密的话,AC这里也要勾开启加密,加密方式与AD域一致即可

然后在用个普通域账号测试有效性即可,这里不做了,对接成功后同步LDAP后,即可在用户管理看到同步过来的组织架构了

3、AC对接华为NCE
AC配置
接入认证-单点登录-第三方设备,选择华为Agile Controller(和华为NCE是一样的,AC这边没做区分),配置对接信息,IP、密钥和端口(华为默认端口8001,两边一致即可)
华为NCE配置

iMaster NCE-Campus使用8445端口进行对接。缺省情况下,iMaster NCE-Campus的8445端口是关闭的,需要在管理面开启。(注意,这里8445端口是华为NCE对接行为管理类设备端口,与上文和AC对接8001端口不是一回事)
在主菜单中选择“产品 > 软件管理 > 部署产品软件”,单击“更多 > 修改配置参数”,将“ENABLE_8445(是否启用ACANginx服务的8445端口)”设置为“true”,单击“确定”。
在主菜单中选择“准入管理 > 准入策略 > 增值业务”,单击“上网行为管理”页签。单击“创建”,添加上网行为管理设备,填写AC地址,对接端口,加密算法(AC只支持AES128),密钥、认证网段

对接成功后在AC添加单点登录认证策略,认证服务器选上文配置的NCE

用户在NCE上线后,即可在AC单点登录上线,可以在在线用户管理-域用户那里看到用户上线,认证方式是单点登录(测试时忘记截图了,随便截个图将就看,是可以看到用户上来了的)

查看当时认证日志作证,通过华为准入单点登录上线下线

4、AC配置应用控制策略
这个就正常配置,就对象在域用户那里选
看日志,应用策略有效

这个时候AC从AD域那里拿到了组织架构,又从华为NCE拿到用户认证信息,就能满足这个客户的需求了,既可以不用重复认证,通过用户名快速溯源,也可以通过用户名来做应用权限管控

打赏鼓励作者,期待更多好文!

打赏
3人已打赏

七嘴八舌bar 发表于 2026-4-15 16:46
  
感谢您的投稿,已收录文章!
发表新帖
热门标签
全部标签>
有一说一
信服课堂视频
新版本体验
每日一问
标准化排查
功能体验
GIF动图学习
纪元平台
每周精选
安全效果
2025年技术争霸赛
安装部署配置
问题分析处理
技术盲盒
高手请过招
社区新周刊
VMware替换
产品连连看
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
流量管理
每日一记
运维工具
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
技术晨报
平台使用
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
西北区每日一问
升级&主动服务
高频问题集锦
【 社区to talk】
POC测试案例
全能先锋系列
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案
声音值千金
工具体验官
产品知识周周练
产品体验官

本版版主

127
331
368

发帖

粉丝

关注

5
11
7

发帖

粉丝

关注

本版达人

新手89785...

本周建议达人

七嘴八舌bar

本周分享达人

新手76619...

本周提问达人