本帖最后由 KYLE_K 于 2020-3-31 00:52 编辑
客户要求:1.内部员工办公电脑使用固定IP上网,员工上网需要经过审批才能放开上网权限 2.内部员工IP与电脑MAC地址做MAC地址绑定,防止未经审批的员工,通过修改IP上网 3.防止未审批员工通过内部代理方式上网
相关配置: 1.新建两个用户组,一个审批组(可以上网),一个未审批组(禁止上网);
2.新增一条禁止上网的上网权限策略,并下发到未审批组;
3.新增一条用户认证策略,使新入网IP自动录入到未审批组,并启用自动绑定信息;
上网审批操作: 通过手动操作,经过审批的用户,将其从“未审批组”移动到“审批组”即可上网;
本次用到的知识点: 在AC上,一个用户名不能同时属于两个用户组 1.当审批过的IP已经移动到“审批组”里面,所以即使IP下线后再上线,也不会再划分到“未审批组”里面。 2.用户名冲突还会影响到AD域的LDAP认证等第三方上网认证,当部分AD域用户名与现有AC上的用户名有冲突,导致AD域用户没有划分到对应的用户组上,出现上网权限不匹配的情况,这时候就需要在AC上删除有冲突的用户名,并重新同步AD域用户。
|