【每日一记11】上网行为管理AC认证配置的一点笔记

1.     不需要认证

2.     密码认证

a)      密码认证

                    i.           本地密码认证

                   ii.           第三方服务器密码认证

                 iii.           短信认证

                 iv.           微信认证

                   v.           二维码认证

b)      DKey认证

3.     单点登录

a)      LDAP认证（LOGON，ADSSO（域监控单点认证）、IWA、监听）

b)      数据库单点认证

c)       Web单点认证

d)      PPPOe单点认证

e)      POP3单点认证

f)       PROXY

g)      第三方设备

h)      某公司设备

i)        Radius

4.     不允许认证（禁止上网）

案例一

需求：

（1）     办公区不能修改IP和MAC

（2）     公共上网需要账号密码，能跟踪网络，认证通过跳转页面

（3）     总经理不受审计

（4）     IT不限制IP

解决：

（1）     办公区不认证，自动录入IP和mac关系

（2）     公共上网区设置用户名密码，跳转

（3）     总经理使用免审计key

（4）     IT部不认证，不绑定IP

思路：

（1）     认证策略

（2）     手动新建用户或者自动添加

（3）     配置跨三层mac识别（若二层无需）

配置：

1.     办公用户禁止改ip或者mac

I．用户认证策略——用户管理——组/用户，新增，选择组，定义办公组

II．配置认证策略——用户认证与管理——用户认证——认证策略——新增——认证范围

III.认证方式——不需要认证——以IP地址作为用户名（如选择以MAC，内网是三层，需要核心交换机开SNMP配置）

IIII.认证后处理——勾选自动绑定关系

V．核心交换机开启SNMP——核心交换机开启SNMP设置支持全版本

V．配置——认证高级选项——跨三层取MAC——新增SNMP服务器——IP地址是核心交换机的——IP OID默认是标准

只读权限的团体属性名即可，与交换机配置一致，完成后测试，空则有问题

【注意：需要排除核心交换机的MAC地址，因为PC经过AC上网的数据源MAC是核心交换机的mac。

由于实际情况可能存在多个核心交换机，如果客户不清楚其他交换机的mac可以使用自动排除，最好手动排除】

用户管理中——IP/MAC绑定可以查看绑定成功

2.     公共用户需要密码认证

a)      为公共区设置用户组

b)      新增用户名密码（勾选允许多人使用该账户密码）【实际情况中如果用户多则用表格csv去导入】

c)       配置认证策略——认证范围——等

d)      需要启用配置——认证高级选项——认证选项——其他选项：未认证或被冻结允许使用DNS

                    i.           【附加情况】

1.       想实现认证过程加密处理

2.       申请了域名希望URL以域名展现

a)      高级认证选项——认证选项——下拉安全设置——采用SSL加密方式提交用户名密码——域名

3.默认https不会触发密码认证页面，如果客户希望内网未通过验证之前访问https也重定向认证页面，设置——认证高级选项——认证选项——其他选项——勾选（HTTPS请求未通过验证时，重定向到认证页面）

3.     场景三（总经理使用DKey）

a)      使用Dkey用户需要下载并安装DKey客户端

b)      认证高级选项——DKey用户——新增用户——类型免认证

c)       用户安装完DKey客户端，桌面有图标

d)      插入免审计key，输入密码

                    i.           注意：认证DKey分为免认证（绿色）和特权（紫色）

                   ii.           特权紫色分为免审计和免控制

4.     场景四（IT部不用认证上网）

a)      新建用户组

b)      用户认证——认证策略——新增——认证范围——不需要认证——以IP地址作为用户名——认证后处理——选择IT部

案例二

1.       IT部上网不用认证但是要弹提醒页面

2.       公共上网区要输入账号密码，管理员初次自动绑定终端MAC，保证帐号只能在固定1台电脑登录，已经认证的下次不用用户名密码

认证后处理——高级选项——显示免责声明

认证后处理——自动录入绑定关系——自动录入用户和IP/mac的绑定关系——开启免认证选择绑定MAC——设置有效期

用户管理——用户绑定——高级设置——设置每个用户终端数为1

【设置用户密码强度】

1、  用户与策略管理——认证高级选项——认证选项——安全设置——y用户密码强度——设置规则

【强制客户端首次认证修改密码】

1、  仅对设备本地密码认证的用户有效

2、  用户认证后会自动跳到修改密码，不改无法上网

添加用户时，用户与策略管理——用户管理——组/用户——新增——用户属性——勾选初次认证修改密码

导入用户时，勾选——对有本地密码的用户，要求初次登录时必须修改初始密码

【注销已通过认证的用户】

控制台注销：

在线用户列表强制注销：（不需要认证用户、DKey用户、临时用户不能被注销）

无流量自动注销：认证高级选项——认证选项——用户管理——自动注销无流量用户——

密码认证关闭页面注销（添加用户——高级属性——密码认证后弹出注销窗口）

定时注销——认证高级选项——认证选项——勾选每天强制注销所有在线用户

打卡学习

楼主的文章图文并茂，清晰易懂，看完这波操作可以轻松上手了，如遇到问题再向楼主请教~

感谢分享

感谢分享

果然是高手在民间，楼主帖子写的不错，很有参考价值，还想看更多精彩分享，期待楼主下一篇好帖！