年度渠道初级认证培训03-基础认证技术-0428

1、SANGFOR AC 根底认证技术培训内容培训目标SANGFOR AC 认证功能介绍1. 掌握AC设备支持的认证方式SANGFOR AC 认证功能配置1.掌握AC设备IP/MAC认证（跨三层环境）的配置步骤2.掌握AC设备用户名密码认证的配置步骤3.掌握AC设备DKEY认证的配置步骤密码认证加强1.掌握如何设置用户密码强度2.掌握如何强制客户端初次认证修改密码用户注销功能介绍1.掌握如何注销已经通过认证的用户认证功能引见SANGFOR AC 认证功能引见概述：认证功能主要用于对经过AC设备上网的用户进展身份的验证。经过认证功能可识别内网上网用户的身份，为后续的流量管理、用户上网权限战略及运用审

2、计提供根底。SANGFOR AC的认证方式：1、不需求认证IP/MAC绑定2、密码认证包括本地密码认证和第三方效力器认证 3、单点登陆4、DKEY认证认证方式引见 1、不需求认证 设备根据数据包的源IP地址、源MAC地址、上网PC的计算机名来识别用户。 不需求认证的方式，优点是用户上网前阅读器中不会弹出认证框,不需求经过用户名密码验证才干上网。因此用户不会感知到设备的存在。 认证方式引见 当用户初次经过AC上网时，AC会要求用户提交用户名密码信息，假设用户提交的用户名密码信息和AC本机保管的信息一致时，给予认证经过。 用户名密码认证适用于内网用户IP/MAC不固定，或者内网存在第三方认证效力器

3、的网络环境。 可以手动在AC上新建用户名和密码，也可以直接沿用第三方认证效力器上的账号和密码(SANGFOR AC与第三方认证效力器结合，支持LDAP、RADIUS、 POP3、数据库、H3C CAMS等第三方效力器认证)。 2、密码认证(包括本地密码认证和第三方效力器认证)认证方式引见 3、单点登录 当客户有本人的第三方认证效力器对内网用户进展认证时，单点登录可以实如今内网用户经过第三方认证效力器认证时自动经过AC设备的认证，并且获取到相关的权限上网。 SANGFOR AC支持域单点登录，POP3单点登录，PROXY单点登录，WEB单点登录、PPPOE单点登陆，数据库单点登陆，第三方设备单点

4、登陆包括锐捷SAM系统，城市热点，H3C CAMS系统等，PPT将详细引见相关功能和配置，此PPT不再赘述。认证方式引见 4、DKEY认证 SANGFOR AC提供上网认证的DKEY有两种，绿色的认证KEY和紫色的免审计KEY。 DKEY认证过程：管理员生成DKEY，然后分发给用户。用户上网时，把DKEY插入个人电 脑，运用DKEY认证客户端提交认证信息，经过认证后才允许接入互联网。 DKEY 认证适用于对认证平安要求较高的网络环境，也适用于公司高层信息不被随意审计的情况。认证方式引见绿色的是认证KEY，紫色的是免审计KEY，这两种KEY不能混淆。AC还有一种咖啡色的KEY，用于数据中心查询。

5、认证功能配置IP/MAC认证场景DKEY认证场景用户名密码认证场景典型运用场景与配置案例背景 某集团公司内部有办公区和公共上网区， 要务虚现办公区/24用户上网不能修正IP和MAC地址，公共上网区/24那么需求输入账号和密码才干上网，确保网络行为能跟踪到，另外总经理的上网数据要保证平安，不能被审计。中心交换防火墙总经理办公区公共上网区处理方案 根据客户需求，我们可以将AC部署在防火墙与中心交换机之间，并经过如下认证设置来满足需求：1、办公区用户采用IP/MAC认证方式2、公共上网区采用密码认证，设置用户名和密码3、总经理运用免审计KEY上网，确保数据不被记录中心交换防火墙总经理办公区公共上网区

6、配置思绪1、新建认证战略 认证战略决议了运用某个IP/网段/MAC地址的计算机的认证方式。经过认证战略可设置内网用户的认证方式。 2、手动新建用户或者自动添加新用户 新建用户，可编辑用户属性，定义用户详细的认证信息。包括用户名密码信息， 启用DKEY以及IP/MAC绑定。 假设采用自动添加新用户，在认证战略里开启和定义即可。AC几种认证方式中，DKEY认证在对应的用户属性中设置即可，不需求设置认证战略，且DKEY认证的优先级最高。不需求认证、密码认证、单点登录这几种认证方式需求到认证战略中设置。配置步骤一IP/MAC认证的用户 1、首先为办公区的用户建一个用户组，在【用户与战略管理】【用户管理

7、】【组/用户】中，点新增，选择【组】，定义组名：办公区，设置完后点提交。配置步骤一IP/MAC认证的用户 2、配置认证战略 新增一个认证战略，选择认证方式，本案例的需求是同时绑定IP/MAC，因此选择IP/MAC绑定，且绑定方式为用户和地址双向绑定。在新用户选项中，自动添加新用户到办公区用户组。定义需求运用IP/MAC认证的IP范围这里也可以用MAC地址或计算机名做为新用户选择用户组勾选后，客户端登陆时自动绑定IPMAC配置完成，点击确定配置步骤一IP/MAC认证的用户 注：假设AC和内网用户是跨三层环境，需开启SNMP功能实现IP和MAC的绑定，【用户与战略管理】【用户认证】【认证选项】【跨

8、三层MAC识别】填入与AC相连的三层交换机的地址，格式如图配置步骤二用户名密码认证 1、配置认证战略：在【用户与战略管理】【用户认证】【认证战略】中，点击【新增】，如图，配置完成后点提交。配置步骤二用户名密码认证 2、新增用户名密码认证的用户，设置用户名密码勾选后，该账号可供多人运用，也可不勾选，为每个用户单独建立 用户名和密码配置步骤二用户名密码认证 3、客户端输入用户名密码认证 当用户访问网站时，AC会重定向到这个认证的页面，用户输入正确的用户名密码认证后，才可以继续上网。配置步骤三DKEY认证的用户 1、新增DKEY认证的用户，手动生成DKEY勾选后，会弹出提示信息，要求生成KEY，点封

9、锁即可。运用免审计KEY时，需求勾选此项设置DEY的初始密码点写入DKEY前请先在本机安装KEY驱动配置步骤三DKEY认证的用户 2、运用DKEY认证的用户，需下载并安装DKEY客户端为设备LAN口IP地址点击下载并安装DKEY客户端配置步骤三DKEY认证的用户3、运用DKEY客户端进展认证 用户安装完DKEY客户端后，会在桌面生成图标。 假设将紫色DKEY插入电脑，双击图标，输入DKEY密码，认证胜利后，桌面右下角图标会提示您：“认证胜利，您正处于不受监控形状.密码认证加强设置用户密码强度 设置密码强度主要为了满足对WEB认证用户的密码平安的需求。密码强度限制仅对私有用户在客户端修正密码有效

10、，管理员在控制台建立或修正密码不受此限制。设置用户密码强度 配置步骤：【用户与战略管理】【用户认证】【认证选项】【其它认证选项】按照用户需求勾选相应条目，可复选。设置用户密码强度客户端登陆修正密码：输入密码的时候会实时检测并根据输入情况在右边显示相应的提示点击确定时会再次检测，假设不符合要求，那么修正不胜利，并会弹出相应提示强迫客户端初次认证修正密码运用背景：用户批量导入或者大量参与的时候，初始密码是一致的，这样很不平安处理思绪：强迫要求用户初次登录时自行修正密码。本卷须知：1. 仅对设备本地密码认证的用户有效2. 用户认证后会自动跳转到修正密码窗口，假设不修正那么无法上网。 配置方法： 1.

11、 添加用户时：在【用户与战略管理】【用户管理】【组/用户】中，点击 新增，在【本地密码】设置的下方勾选“初次认证修正密码。强迫客户端初次认证修正密码强迫客户端初次认证修正密码 2. 导入用户时：【用户与战略管理】【用户管理】【用户导入】，点击 CSV格式文件导入时，勾选初次认证修正密码。强迫客户端初次认证修正密码 启用了初次认证修正密码，用户第一次认证经过后会跳转到修正密码页面，修正完成后出现如下页面：提示：1.此页面为静态页面，不会自动跳转到之前访问的internet页面。2.修正密码后生效能够有30秒的延迟，建议在30秒内不要注销或重新登录。用户注销如何注销曾经经过认证的用户 当需求注销曾

12、经认证胜利的用户时，可以经过AC网关控制台注销用户或在客户端手动注销来实现。控制台注销用户：1. 在线用户列表强迫注销不需求认证用户，DKEY用户，暂时用户不能被注销如何注销曾经经过认证的用户 2. 无流量自动注销用户适用于一切认证类型的用户如何注销曾经经过认证的用户 3. 开启密码认证的用户，经过弹出注销窗口只适用于本地密码认证的用户如何注销曾经经过认证的用户 用户认证胜利后，自动跳转到如下注销页面，用户可以手动点击页面上的“注销按钮完成注销。如何注销曾经经过认证的用户 4. 客户端手动注销认证，经过输入httpACIP翻开手动认证和注销的页面，点击注销只适用于密码认证的用户和单点登录的用户。练练手 某酒店内部是一个二层网络/24，每台电脑均分配了一个固定的IP地址，要求内部员工上网只能运用本人的电脑，不能随