使用深信服上网行为管理做微信认证 50

新手253183 14022

{{ttag.title}}
不好意思我又来问问题了,之前问的问题一直没有时间来实践,现在终于要准备开始操作了(估计还是要等一个月)不过还是提前来问问,希望之前回答的大神们不要厌烦菜鸟,谢谢了,这次我把问题说简单点,再次谢谢
图片还是这个图片,我这里说下
首先,VLAN1是设备相连的管理vlan,IP地址段是192.168.1.0/24这个段,vlan2和vlan3是用户上网的业务vlan,10.1.1.0/30这个是出局的IP,然后vlan1,2,3的地址池都是做在核心交换机上的,AC采用集中转发的方式进行数据流量的转发,比如用户的流量,通过capwap隧道到了AC后,再从AC传送到核心交换机,再由核心交换机出局,有点类似单臂路由的情况
然后这里说下,用户上网的地址池(VLAN2和vlan3)是做在核心交换机上的,这是一台H3C的交换机,支持portal认证
它对应的命令是
全局模式下:portal server wenxinrz ip 192.168.1.10 port 50100 key 123456 url http://192.168.1.10:8080/portal
进入业务网关接口下:portal server wenxinrz method layer3
然后这里上网管理行为是部署在核心交换机和防火墙之间的,防火墙和核心交换机之间互联的IP是30位的IP,这里肯定是用的是网桥模式部署的,然后又从核心交换机上单独接了一根网线到上网行为管理设备上,这个接口没有什么配置,就是使用的默认vlan1来连接上网行为管理设备的
具体的情况就是这样了,我想问下按照之前给我的配置手册,这样的环境我只需要按照配置手册进行配置是吧?http://bbs.sangfor.com.cn/plugin ... abase&tid=22201(就是按照链接里面的微信连wifi通用场景和有portal控制器场景进行配置)
请知道的告诉下,主要我想确认下我现在的拓扑是不是可以不用改动,然后只在上网行为管理上进行一些微信认证的配置就好了,还有,假如我业务vlan网段是192.168.2.0和192.168.3.0/24的,需要在上网行为管理上有什么配置吗?请知道的告诉下,谢谢了

该疑问已被 解决,获得了 70 S豆

回帖即可获得
2S豆
,被楼主采纳即奖励20S豆+悬赏奖励50S豆+10分钟内回帖奖励10S豆 [已过期] ,了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

本帖最后由 qinpeng 于 2017-7-11 22:27 编辑

楼主你好 我来慢慢那解答你  希望对你帮助
1、如果不想2.0 3.0网段外的网段进行微信认证,在配置微信认证的策略时适用范围就添上192.168.2.0和192.168.3.0这两个段,其他不要填写,自然也不收认证策略的管控。是,认证适用范围默认是全部的,你只写上这两个段就可以。回包路由这些东西的话,ac是网桥部署啊,相当于一根网线啊不需要配置,之前网络规划应该已经写好路由,局域网互联互通。

2、你说的配置失败是指弹不出认证界面还是?受影响的只有这两个网段,如果认证失败肯定是无法上网的,只有通过才能进行上网。如果没有出现认证界面可以按照以下排除步骤处理
11.x以后的版本:
先确认网络环境,手动打开是否可以打开
a、网桥部署虚拟地址是否跟内网冲突
【系统管理】-【系统配置】-【高级配置】-【使用重定向和代理高级配置】
b、AC下接的设备是否有做限制
c、需要启用未通过认证的用户允许访问dns服务
【用户认证与管理】-【认证高级选项】-【认证选项】
d、访问的如果是https的网站需要启用HTTPS请求未通过认证时,重定向到认证页面(代理时除外)
【用户认证与管理】-【认证高级选项】-【认证选项】
e、根据关联的上网策略不能拒绝http应用和dns应用
【策略管理】-【上网策略】-【上网权限策略】
f、防火墙规则不能拒绝80和53端口
【系统管理】-【防火墙】-【LAN-WAN】
g、dns是否能解析域名,需要保证dns能正常解析域名
h、更多排查步骤,参考连接http://bbs.sangfor.com.cn/forum.php?mod=viewthread&tid=27646

3、设备需要有网才能跟微信公众平台作对接,才能配置微信连一连WIFI,设备要去认证查询这个参数的公众号是谁才可以。微信连一连WIFI的配置步骤
a、 配置微信公众号中的微信连WIFI
b、 客户配置(有Portal设备情况下配置)
c、 AC设备配置相关微信服务器的配置和二维码服务器的配置以及微信连WIFI参数
d、 配置认证策略
e、如果还没不理解可以参考配置指导书http://bbs.sangfor.com/plugin.ph ... wdatabase&tid=22201
本答案是否对你有帮助?
成都成寿科技 发表于 2019-5-18 16:26
  
1.首先确定流量要经过上网行为管理这是没问题的,拓扑没问题
新手253183 发表于 2017-7-11 20:54
  
感谢专业的某公司,看这边问题没有解决都从湖南打电话来询问,现在基本上已经了解了,不过当时没有想太清楚,现在又有一些小问题,希望不吝赐教
1:我上面的拓扑上网行为管理是接在核心交换机和防火墙之间的,除了我需要认证的网段(192.168.2.0和3.0)以外,还有很多网段都是从这里走的,这些网段不需要进行微信认证,那么如何配置?是不是在认证策略里的认证范围添加我需要认证的网段就好了,其他的都不用管?然后添加的网段要指明回程路由,192.168.2.0和3.0指向核心交换机,然后其他的网段的都不用管,他们也没有认证,也不需要这些配置的是吧?
2:在配置微信认证的时候如果配置失败了,造成不能上网,影响的范围应该只是需要认证的那部分网段吧,不会出现全网中断的情况吧?
3:上网行为管理设备上配置了一个IP,是管理使用的,然后业务数据是会从上网行为管理设备通过的,但是管理IP是不能和外网互通的,那么这个时候我配置的微信认证公众号,能否与外网互通?还是说这个公众号根本不需要和外网互通的?请知道的告诉下,谢谢了
qinpeng 发表于 2017-7-11 18:04
  
看完真的想睡觉  这个简单的拓扑 应该没有太多问题的吧。核心分配无线网段的地址  然后控制器做ssid和相关的策略权限配置,然后ac上可以做一部分认证策略即可。不过我还是没太懂你的需求是什么  可以简单说一下吗
呀拉锁 发表于 2017-7-11 17:37
  
这个跟你Dhcp 放在哪其实没关系,你上来虽然是走的vlan 1.但是上网行为看到的源地址都是终端用户的地址,上网的时候包被重定向实现认证
Sangfor闪电回_小丸子 发表于 2017-7-11 16:34
  
您好 请问下这个问题解决了吗?如果没有解决,可以跟帖说明;如果已经解决,希望分享下处理结果
谢谢
新手253183 发表于 2017-7-11 09:49
  
第一个链接看不到呢
携手旅游 发表于 2017-7-10 22:47
  
1.首先确定流量要经过上网行为管理这是没问题的,拓扑没问题
2.微信认证只需要在上网行为管理上面配置,不需要在交换机上面配置。华三有自己的微信认证,或者用华三的,或者用上网行为管理
3.针对业务VLAN只要上网行为管理是透明模式部署就没问题,如果上网行为管理的两联和下联都是trunk口,需要在上网行为管理上面设置桥IP的时候加上管理vlan的标签,格式:1.192.168.1.2/24   1为管理vlan的vlanid

等我来答:

换一批

发表新帖
热门标签
全部标签>
2025年技术争霸赛
每日一问
功能体验
标准化排查
GIF动图学习
纪元平台
新版本体验
产品连连看
高手请过招
信服课堂视频
安装部署配置
平台使用
2024年技术争霸赛
2023技术争霸赛专题
每周精选
【 社区to talk】
安全效果
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
技术晨报
技术盲盒
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
北京区每日一练
场景专题
故障笔记
排障那些事
西北区每日一问
升级&主动服务
高频问题集锦
社区新周刊
POC测试案例
全能先锋系列
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案

本版版主

127
325
362

发帖

粉丝

关注

5
10
7

发帖

粉丝

关注

本版达人

新手89785...

本周建议达人

七嘴八舌bar

本周分享达人

新手76619...

本周提问达人