- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
48-共享上网监控典型配置举例
本章节下载： 48-共享上网监控典型配置举例 (489.79 KB)
本文档介绍设备的共享上网监控功能配置举例，在配置前，先了解如下定义：
· 共享用户检测：检测存在多个用户共享一个IP或账号上网的行为。
· 共享热点：无线AP或TP-Link等具备DHCP及NAT功能，能承载多用户上网的设备。
· 自动阻断：当检测到存在共享上网行为的热点后设备会根据配置的规则阻断用户上网，并推送阻断提示。
· 自动限速：当检测到存在共享上网行为的热点后，设备会根据配置的规则对共享用户进行限速控制。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
· 无线热点可使用pppoe拨号、DHCP或固定IP接入网络，本配置举例以手动配置固定IP方式进行介绍。
本文档假设您已了解共享上网监控特性。
如图1所示，某企业内网用户通过设备访问外网，但是部分内网用户私接路由器访问外网，导致出口带宽严重不够，影响企业对外提供的一些业务，现需对私接路由器的用户进行检测并对检测到的共享用户进行冻结上网惩罚。
在设备上开启防共享功能，当发现存在多个终端共享上网行为时自动将用户阻断并弹出提醒页面。
· 配置设备接口地址、路由、NAT。
· 配置内网用户地址对象。
· 配置用户识别范围。
· 配置控制策略默认规则。
· 配置限速惩罚通道。
· 开启防共享功能。
本举例是在R6618版本上进行配置和验证的。
(1) 配置路由接口
如图2所示，进入“网络配置>接口配置>物理接口”，点击编辑ge1、ge4操作，把ge1、ge4的地址分别配置为10.1.1.1/24、192.168.2.37/24。
(2) 配置静态路由
如图3所示，进入“网络管理>路由>静态路由”，配置一条访问外网的默认路由。
(3) 配置源NAT
如图4所示，进入“策略配置>NAT转换策略>源NAT”，新建一条源NAT，使内网用户正常访问外网。
图4 源NAT配置
(4) 配置内网用户地址对象
如图5所示，进入“策略配置>对象管理>地址对象>地址对象”，点击<新建>按钮创建认证用户地址对象，设置地址为10.1.1.0/24，点击<提交>。
(5) 配置用户识别范围
如图6所示，进入“用户管理>认证管理>高级选项>全局配置”页面，识别范围选择“10.1.1.0”，其它配置默认，提交配置。
(6) 修改控制策略默认规则
如图7所示，进入“策略配置>控制策略”，选择默认规则为允许。
(7) 配置共享接入全局参数
如图8所示，进入“策略配置 > 共享接入管理 > 共享接入全局配置”页面，配置共享接入配置参数。开启用户共享检测，勾选检测方式，如下图所示。
(8) 配置共享接入策略
如(7)图8所示，进入“策略配置 > 共享接入管理 > 共享接入策略”页面，点击“新建”，新建共享接入策略。惩罚方式选择“阻断”，设置冻结时长，勾选“发送日志”。
图9 配置共享接入策略
· 无线热点开启NAT功能，开启DHCP，配置地址池范围为20.1.1.10-20.1.1.50。无线热点使用固定IP或拨号上网。
· 共享接入用户NAT后网段必须在用户识别范围中，否则会导致共享接入检测不到共享用户。
· 终端用户达到阈值被阻断时，需要配置解密类型为HTTPS解密的SSL解密策略，且HTTPS对象需包含访问HTTPS页面的域名，用户访问HTTPS页面才可以弹出阻断提示信息。
· 惩罚方式配置限速的，优先需要在流控策略上配置惩罚通道，共享用户达到阈值被限速时，用户不会弹出相关提示信息，只是访问外网被限速。
· 启用信任用户，支持用户、IP地址范围、IP主机地址三种，配置了信任的用户达到阈值之后将不会惩罚，只检测。
(1) 如图10所示，使用多个终端连接WiFi通过设备访问外网，当检测到访问网络共享用户达到2个时，终端访问外网自动被阻断。
图10 共享接入终端阻断提示
(2) 在共享接入监控页面，可以查看已被监控到的共享接入用户信息，如图11所示。
(3) 进入“数据中心 > 日志中心 > 终端日志 > 共享接入日志”，可以查看到具体的共享接入阻断日志，如图12所示。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
