核心需求拆解与AC实现原理
需求本质
默认禁止通信：所有IP默认无网络权限，需显式授权。
组织结构绑定：通过用户组分配权限，IP地址作为用户标识。
动态权限调整：灵活将IP地址分配至不同权限组（如允许上网/禁止上网）。
AC实现原理
用户与IP绑定：AC将IP地址视为“虚拟用户”，通过IP/MAC绑定或DHCP分配记录IP归属。
权限继承：用户组继承组级别的上网策略（如允许访问特定网站、应用或流量限制）。
行为审计：记录所有通过AC的流量，关联至绑定的IP地址（即虚拟用户）。

配置步骤：实现IP地址的组化管理
1. 配置默认禁止通信策略
操作路径：
访问控制策略 → 新建策略 → 源选择所有用户 → 目标选择任意 → 动作选择拒绝 → 应用策略。
效果：
所有流量默认被阻断，仅允许通过后续授权的IP地址上网。
2. 创建用户组织结构
操作路径：
用户管理 → 组/用户 → 新建组（如允许上网组、禁止上网组）。
关键配置：
为每个组分配不同的上网权限策略（如允许上网组可访问互联网，禁止上网组仅限内网）。
绑定应用控制规则（如禁止P2P、视频流）或URL过滤（如禁止社交媒体）。
3. 将IP地址分配至用户组
方法一：静态IP绑定（推荐固定设备）
操作路径：
用户管理 → 组/用户 → 新建用户 → 用户名填写IP地址（如192.168.1.100）→ 关联至目标组（如允许上网组）。
补充配置：
在IP/MAC绑定中绑定该IP与设备MAC地址，防止IP冒用。
方法二：动态IP分配（通过DHCP）
前提条件：
AC作为DHCP服务器，或与现有DHCP服务器联动（如通过SNMP获取IP-MAC映射）。
操作路径：
在AC的DHCP服务中为特定设备分配固定IP（如192.168.1.100）。
在用户管理中创建以该IP为名的用户，并关联至目标组。