- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
15-防共享典型配置举例
本章节下载 (411.58 KB)
本文档介绍F1000-C8102设备防共享功能配置举例，在配置前，先了解如下定义：
· 共享用户检测：检测存在多个用户共享一个IP或账号上网的行为。
· 共享热点：无线AP或TP-Link等具备DHCP及NAT功能，能承载多用户上网的设备。
· 自动阻断：当检测到存在共享上网行为的热点后设备会根据配置的规则阻断用户上网，并推送阻断提示。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
· 无线热点可使用pppoe拨号、DHCP或固定IP接入网络，本配置举例以手动配置固定IP方式进行介绍。
本文档假设您已了防共享特性。
如图1所示，某高校给已注册交费的学生开通上网账号，要求一个账号只能允许一个学生使用，禁止一个账号多人共享使用的情况，当发现存在共享上网行为的热点时自动将用户阻断，但允许一台电脑和1个移动设备同时接入的情况，使用F1000-C8102设备的ge1-0和ge1-3接口以三层路由模式部署在网络中，设备上联出口FW，下联三层设备路由器。F1000-C8102产品上开启防共享功能，检测共享上网行为并进行阻断和提醒。
· 配置设备接口地址及路由。
· 配置共享检测地址对象。
· 配置用户识别范围。
· 配置安全策略。
· 开启防共享功能。
(1) 配置路由接口
如图2、图3所示，进入网络管理>接口，点击编辑ge1-0、ge1-3操作，把ge1-0、ge1-3的地址分别配置为172.16.30.2/24、172.16.10.1/24。
(2) 配置静态路由
如图4配置访问外网的默认路由及去往认证用户网段172.16.11.0/24,172.16.12.0/24路由。
(3) 配置防共享用户地址对象
如图5所示，进入资源管理>地址>IPv4地址对象，点击<新建>按钮创建认证用户地址对象，设置地址为172.16.11.0/24，点击<提交>。
(4) 配置用户识别范围
如(4)图6所示，进入“用户管理>全局配置”页面，识别范围选择“防共享用户”，其它配置默认，提交配置。
(5) 修改安全策略默认规则
如图7所示，进入防火墙>安全策略>IPv4安全策略，选择默认规则为允许。
(6) 开启防共享功能
如图8所示，进入“防火墙> 共享上网监控 > 共享接入配置 >”页面，配置防共享参数。
· 无线热点开启NAT功能，开启DHCP，配置地址池范围为172.16.12.2/24~172.16.12.254/24。无线热点使用固定IP或拨号上网。
· 认证用户网段必须在用户识别范围中，否则会导致不能正常认证。
如图9所示，某学生使用1台PC和1个移动终端访问网络，能检测到共享上网行为，但不会被阻断。
如图10所示，某学生使用1台PC和2个移动终端访问网络，检测到共享上网行为，上网被阻断，并收到阻断提醒。
如图11所示， 设备向终端推送阻断提示
移动终端识别方式包含：
· TCP时间戳。
· QQ。
· 微信。
PC终端识别方式包含：
· 搜狗输入法。
· 360软件更新。
· 《H3C SecPath F1000-C8102安全产品管理平台Web配置手册》 中的“防共享配置”
· 《H3C SecPath F1000-C8102安全产品管理平台 对外测试手册》中的“防共享测试”
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
