|
适用场景：AC/SG设备所有部署模式都支持做IP/Mac绑定，IP/MAC绑定一般用于不允许内网终端私自修改IP/MAC场景，内网终端修改了IP/MAC就不能上网；
IP/MAC绑定配置&关闭&修改路径（需要取消绑定的可以将自动录入关闭且将本地对应绑定关系删除，需要修改在IP/MAC绑定出修改即可）： 1、AC11.X以上版本在【用户认证与管理】-【用户认证】-【认证策略】新建认证策略，在【认证后处理】勾选【自动录入绑定关系】自动录入ip和Mac的绑定关系 2、在【用户认证与管理】-【用户管理】-【ip/Mac绑定】可以手动新增ip/Mac绑定关系，也可以通过csv表格导入 3、AC12.0.47或AC13.X及以上版本在【接入管理】-【接入认证】-【portal认证】-【认证策略】新建认证策略，在【认证后处理】勾选【自动录入绑定关系】自动录入ip和Mac的绑定关系 4、AC13.0.102在【接入管理】-【接入认证】-【portal认证】-【认证策略】新建认证策略，在【认证后处理】勾选【自动录入绑定关系】自动录入ip和Mac的绑定关系 5、在【接入管理】-【用户管理】-【用户绑定管理】-【ip/Mac绑定】可以手动新增ip/Mac绑定关系，也可以通过csv表格导入
跨三层取mac主要用于：终端用户经过其它三层设备（路由器、三层交换机等）在到AC时源Mac变化，需要通过snmp协议获取内网终端用户的真实mac地址，除认证中心其他部署模式都支持跨三层取Mac； 三层交换机（或其他三层设备）上需要做的配置：先在终端网关设备上开启snmp V2C版本，确认好跟AC对接的三层设备的community团体值、OID、IP地址，AC上必须跟三层设备保持一致（IP OID和MAC OID如果不明确的话需要找交换机厂商确认）且每个参数必填项，三层设备开启SNMP等操作需要跟交换机等三层厂商确认 AC上具体配置&关闭路径如下（三层交换机配置好的前提下做以下配置）： 方案一：通过SNMP服务器获取跨三层MAC信息： AC/SG设备上启用跨三层取MAC配置并配置服务器信息，如下： 1、从标准版本全网AC13.0.102开始是新UI界面：在【接入管理】-【接入认证】-【联动对接设置】-【跨三层取MAC】新增snmp服务器； 2、AC12.0.47或AC13.X及之后版本：在【接入管理】-【接入认证】-【联动对接设置】-【跨三层取MAC】新增snmp服务器； 3、11.X及之后版本：在【用户认证与管理】-【认证高级选项】-【跨三层取MAC】新增snmp服务器； 方案二：通过抓取arp包或dhcp包获取跨三层MAC信息： 从标准版本全网AC13.0.102开始是新UI界面：在【接入管理】-【接入认证】-【联动对接设置】-【跨三层取MAC】设置抓取arp包或dhcp包获取mac
AC12.0.3R3及以上的版本，新增【抓取arp包或dhcp包获取mac】：在设置的抓包接口可以抓到终端的arp或者dhcp即可； AC11.X及之后的版本跨三层取MAC配置，建议参考链接： 点击这里AC12.0.3R3及以上版本通过抓取arp包或dhcp包获取mac的配置，建议参考链接： 点击这里注意： 1、优先建议使用通过镜像读取内网用户的MAC的方式 2、如果内网终端有多个网关设备，可以【新增】多个SNMP服务器，最多支持64条snmp服务器配置 3、超时时间默认5S，支持修改1-5S，获取时间间隔默认5S，支持修改5-300S，如果网关设备arp条目很多，频繁获取导致网关设备cpu或者内存高，可以调整获取时间间隔 4、AC需要跟三层设备通信，所以中间设备包括三层设备本身不能对通信的IP地址和UDP161、UDP162端口设置拦截。 5、AC设备跨三层MAC识别的团体名是否支持数字和启用SNMP的设备有关系，启用SNMP设备团体名支持设置数字即AC也支持 6、支持同时以抓取arp包或dhcp包获取mac、配置SNMP服务器的方式获取终端MAC地址 | 
楼主
QQ好友和群
QQ空间
腾讯微博
腾讯朋友
发表于 2024-3-15 09:25
工程师2级 
