• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C SecPath ACG1000系列应用控制网关 典型配置举例(E6411 R6609)-6W107

目录

17-防共享典型配置举例

本章节下载 17-防共享典型配置举例  (429.71 KB)

docurl=/cn/Service/Document_Software/Document_Center/IP_Security/ACG/H3C_SecPath_ACG1000/Configure/Typical_Configuration_Example/ACG1000_CE(E6411_R6609)-6W107/202009/1334140_30005_0.htm

17-防共享典型配置举例


1  简介

本文档介绍ACG1000设备防共享功能配置举例,在配置前,先了解如下定义:

·     共享用户检测:检测存在多个用户共享一个IP或账号上网的行为。

·     共享热点:无线AP或TP-Link等具备DHCP及NAT功能,能承载多用户上网的设备。

·     自动阻断:当检测到存在共享上网行为的热点后设备会根据配置的规则阻断用户上网,并推送阻断提示。

2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

·     无线热点可使用pppoe拨号、DHCP或固定IP接入网络,本配置举例以手动配置固定IP方式进行介绍。

本文档假设您已了防共享特性。

3  防共享功能配置举例

3.1.1  组网需求

图1所示,某高校给已注册交费的学生开通上网账号,要求一个账号只能允许一个学生使用,禁止一个账号多人共享使用的情况,当发现存在共享上网行为的热点时自动将用户阻断,但允许一台电脑和1个移动设备同时接入的情况,使用ACG1000设备的ge1-0和ge1-3接口以三层路由模式部署在网络中,ACG上联出口FW,下联三层设备路由器。ACG1000产品上开启防共享功能,检测共享上网行为并进行阻断和提醒。

图1 防共享组网

 

3.1.2  配置思路

·     配置设备接口地址及路由。

·     配置共享检测地址对象。

·     配置用户识别范围。

·     配置上网行为管理。

·     开启防共享功能。

3.1.3  使用版本

本举例是在R6609版本上进行配置和验证的。

3.1.4  配置步骤

(1)     配置路由接口

图2图3所示,进入网络管理>接口,点击编辑ge1-0、ge1-3操作,把ge1-0、ge1-2的地址分别配置为172.16.30.2/24、172.16.10.2/24。

图2 配置ge1-0接口

 

图3 配置ge1-3接口

 

(2)     配置静态路由

图4配置访问外网的默认路由及去往认证用户网段172.16.11.0/24,172.16.12.0/24路由。

图4 配置静态路由

 

(3)     配置防共享用户地址对象

图5所示,进入对象管理>地址>IPv4地址对象,点击<新建>按钮创建认证用户地址对象,设置地址为172.16.11.0/24,点击<提交>。

图5 配置短信认证地址对象

 

(4)     配置用户识别范围

(4)图6所示,进入“用户管理>全局配置”页面,识别范围选择“防共享用户”,其它配置默认,提交配置。

图6 用户识别范围

 

(5)     修改上网行为管理默认规则

图7所示,进入上网行为管理>策略配置>IPv4策略,选择默认规则为允许。

图7 修改默认规则

 

(6)     开启防共享功能

图8所示,进入“上网行为管理> 共享上网监控 > 共享接入配置 >”页面,配置防共享参数。

图8 防共享配置

 

3.1.5  配置注意事项

·     无线热点开启NAT功能,开启DHCP,配置地址池范围为172.16.12.2/24~172.16.12.254/24。无线热点使用固定IP或拨号上网。

·     认证用户网段必须在用户识别范围中,否则会导致不能正常认证。

3.1.6  验证配置

图9所示,某学生使用1台PC和1个移动终端访问网络,能检测到共享上网行为,但不会被阻断。

图9 共享接入监控状态正常

 

图10所示,某学生使用1台PC和2个移动终端访问网络,检测到共享上网行为,上网被阻断,并收到阻断提醒。

图10 共享接入监控状态冻结

 

图11所示, 设备向终端推送阻断提示

图11 阻断提示

 

4  防共享说明

移动终端识别方式包含:

·     基于时间戳识别技术

·     基于UA识别技术

·     基于微信长连接识别技术

·     基于应用特征识别技术

PC终端识别方式包含:

·     基于webRTC+flash cookie识别技术

·     基于UA识别技术

·     基于应用特征识别技术

·     基于微信长连接识别技术

5  相关资料

·     《H3C SecPath ACG1000系列应用控制网关Web配置手册》 中的“防共享配置”

·     《H3C SecPath ACG1000系列应用控制网关 对外测试手册》中的“防共享测试”

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们