禁止某台电脑设备上网

目前网络是一套NGAF做出口防火墙（路由模式），SG透明部署在AF和核心之间。

现在的问题是电脑是手动配置IP的，已经通过策略禁止上网，但是只针对IP地址，如果用户自己修改了IP一样能够访问外网。

所以在AC的认证策略上配置了 XX MAC地址--不允许认证（禁止上网），可是配置之后设备还是能访问外网。请问这个认证策略是要在防火墙上面做才生效吗。还是要在AC上开启跨三层取mac这个配置。

如果是根据MAC地址去过策略，网络是三层网络的情况下，需要设置跨三层获取mac，对应的三层交换机要设置SNMP

协议v1 v2 都要开启；

提供其他方法：

1. 或者你可以做ip和 mac 地址绑定；---这个也是需要做跨三层获取mac的；

2. 改变IP地址不能上网一般不是在交换机上面做IP和mac地址绑定，可以在交换机上面做IP mac 绑定；AC上做针对于IP

地址策略；

如果跨三层是需要在AC上开启SNMP的，否则识别不到下面终端的MAC就没法对控制，还有楼主可以通过IP/MAC绑定来实现限制用户修改IP，如果修改还是上不了网

1、如果核心交换机有启用VLAN，则AC要开启跨三层识别，AF不需要配置。
2、配置“用户认证与管理--认证策略”，将需要拒绝的用户MAC写在认证范围里，认证方式选择“不允许认证”。
3、在“用户管理--组/用户”下删除跟这个用户相关的一切条目。

您好 核心是三层吧，数据过三层源MAC地址就会变，所以需要SG设备启用“跨三层取mac”功能，并SG设备和核心都需要启用snmp，这样SG才可以识别到内网终端的真实mac地址
谢谢

目前网络是一套NGAF做出口防火墙（路由模式），SG透明部署在AF和核心之间。