新增子组

设备默认自带的组为根组（接口用“/”表示），根组不能删除，组名不能修改，用户自建的组都是根组的子组。设备中将用户组进行分级，根组是一级组， 根组的子组是二级组，依次类推。这样设计更符合一个企业或者单位的组织结构， 方便管理。

新增子组配置案例

以在根组下新增一个工程师子组为例，介绍新增子组的步骤：

第一步：在【组织结构】中选择需要添加子组的用户组，右边进入管理页面，在【成员管理】窗口中，点击新增按钮，然后选择新增类型[组]

第二步：进入【添加组】窗口。设置[组名列表]即用户组的名称；设置[描述]即用户组的描述信息。点击添加策略，可以添加该组策略。

第三步：点击 ，完成子组添加

注意：设备最多支持 16 级组织结构，包括根组。

新增用户

新增用户分为两类：新增用户和新增多用户。

此处新增的用户包括用户名、所属组、用户名密码、绑定 IP/MAC 等用户属性，但不包括指定用户的认证方式。内网用户的认证方式由『用户认证』→『认证策略』设置，通过设置 IP 或者 MAC 条件，用于设备判断用户的认证方式。

新增用户配置案例 1

客户内网 192.168.1.0/255.255.255.0 网段的计算机全部采用用户名密码的认证方式，并在工程师组中新增一个用户：公共用户，此用户的认证方式是用户名密码认 证 ， 并 且 单 向 绑 定 IP 范 围 （ 即 限 制 登 录 的 IP 范围）为192.168.1.2-192.168.1.100，可以多人同时登陆。

第一步：客户需求是：192.168.1.0/255.255.255.0 网段的计算机全部采用用户名密码的认证方式。所以首先需要设置这个网段用户的认证方式。

在『用户认证』→『认证策略』中设置认证策略，设置此用户的 IP 或者 MAC 范围，勾选认证方式为[本地密码认证/外部密码认证/单点登录]。设置认证策略前首先需要设置认证区域。如图，本例用以选择内网区做认证为例。区域设置请参考章节 3.3.1.5。

第二步：在【组织结构】中选择需要添加用户的用户组，右边进入管理页面，

在【成员管理】窗口中，点击新增按钮，然后选择新增类型[用户]

第三步：进入【添加用户】窗口。勾选[启用该用户]，填写[登录名]，[描述]，[显示名]和[当前所属组]。

第四步：设置『用户属性』，用户属性设置包括：用户的认证方式、公用账号和过期时间。

勾选[本地密码]，在[密码]的输入框中输入用户登录认证的密码。

[绑定 IP/MAC 地址]用于将该用户和 IP/MAC 地址绑定。此例中需要：单向绑定 IP 范围（即限制登录的 IP 范围）为 192.168.1.2-192.168.1.100。

点击[绑定方式]，在弹出的页面中选择[用户和地址单向绑定] 勾选[绑定 IP]，在输入框中填入 192.168.1.2-192.168.1.100。

[允许多人同时使用该账号登录]用于设置用户名密码认证的用户，是否可以多人同时用此账号登陆，勾选则表示允许多人同时登录。此例中该用户允许 2 人同时登陆，需要勾选。

勾选[自动注销指定时间内无流量的已认证用户]用来设置一个超时时间，用户超过此超时时间没有流量则自动注销该用户。

勾选[密码认证成功后弹出注销窗口]，此选项是针对用户名密码认证的用户，在成功登陆后弹出注销页面。

[过期时间]用于设置该用户的过期时间。

第五步：完成用户属性的编辑后，点击提交，完成用户的添加。

第七步：对应网段的用户上网时，打开网页，页面重定向到设备的认证页面。

输入用户名和密码，点击登录。如果用户名密码验证正确并且符合绑定的 IP 条件，则认证通过。

如果用户名密码正确，但登录使用的 IP 地址不属于绑定的 IP 范围，则认证不通过，提示页面如下：

注意：
1、[绑定 IP/MAC 地址]分两种[绑定方式]：单向绑定和双向绑定。
单向绑定：用户只能使用指定的地址认证，但其它用户也允许使用该地址 进行认证。
双向绑定：用户只能使用指定的地址认证，并且指定的地址仅供该用户使 用。

上例中是创建一个用户名密码认证并且做单向绑定 IP 的用户，下面的例子说明的是双向绑定的用户设置：

新增用户配置案例 2

客户内网 192.168.1.0/255.255.255.0 网段的计算机全部采用用户名密码的认证方式，并在工程师组中新增一个用户：工程李，此用户的认证方式是用户名密码认证，并且双向绑定 IP/MAC 为 192.168.1.117/00-1C-25-AC-4C-44（即此用户认证时必须使用此 IP/MAC，并且其他用户不能使用此 IP/MAC）。

第一步：客户需求是：192.168.1.0/255.255.255.0 网段的计算机全部采用用户名密码的认证方式。所以首先需要设置这个网段用户的认证方式。

在『用户认证』→『认证策略』中设置认证策略，设置此用户的 IP 或者 MAC 范围，勾选认证方式为[本地密码认证/外部密码认证/单点登录]。设置认证策略前首先需要设置认证区域。如图，本例用以选择内网区做认证为例。

第二步：在【组织结构】中选择需要添加用户的用户组，右边进入管理页面，在【组织成员】窗口中，点击新增按钮，然后选择新增类型[用户]

第三步：进入【添加用户】窗口。勾选[启用该用户]，填写[登录名]，[描述]，

[显示名]和[当前所属组]。

第四步：设置『用户属性』，勾选[本地密码]，在[密码]的输入框中输入用户登录认证的密码。

[绑定 IP/MAC 地址]用于将该用户和 IP/MAC 地址绑定。此例中需要：双向绑定 IP/MAC 为 192.168.1.117/ 00-1C-25-AC-4C-44（即此用户认证时必须使用此IP/MAC，并且其他用户不能使用此 IP/MAC）。

点击[绑定方式]，在弹出的页面中选择[用户和地址双向绑定]

勾选[绑定 IP 和MAC]，在输入框中填入 192.168.1.117(00-1C-25-AC-4C-44)。

由于此用户只绑定了一个 IP/MAC 地址，所以此用户默认是私有账号。

勾选[登陆成功后弹出注销窗口]，此选项是针对用户名密码认证的用户，在成功登陆后弹出注销页面。

[过期时间]用于设置该用户的过期时间。

第五步：完成用户属性的编辑后，点击提交，完成单用户添加。

第六步：对应网段的用户上网时，打开网页，页面重定向到设备的认证页面。

输入用户名和密码，点击登录。如果用户名密码验证正确并且符合绑定的 IP 条件，则认证通过。

如果用户名密码正确，但登录使用的 IP/MAC 地址和绑定的 IP/MAC 不符， 则认证不通过，提示页面如下：

其他用户在此 IP/MAC 认证，也会提示认证不通过：

当『用户认证』→『认证策略』中设置了某些地址的用户采用不需要认证的认证方式时，用户可以不用输入用户名密码直接上网，此时设备是以 IP 地址、MAC 地址或者计算机名识别用户的。常见的设置是：

注意：
1、创建用户时将用户和 IP/MAC 地址进行双向绑定，因为双向绑定时IP/MAC 和用户是一对一的关系，此时可以根据 IP/MAC 识别到对应的用户。
2、『用户认证』→『认证策略』中设置不需要认证，并以 IP 地址或者 MAC 地址或者计算机名做为用户名。内网用户认证时则根据 IP 地址或者 MAC 地址或者计算机名，匹配到对应的用户名。

新增用户配置案例 3

在“/工程师”组设置一个用户：主管，此用户不需要认证，并且将此用户和主管计算机的 IP/MAC 进行双向绑定，即只有主管的计算机才可以使用此账号上网。主管计算机的 IP/MAC 是：192.168.1.117(00-1C-25-AC-4C-44)。

第一步： 在『用户认证』→『认证策略』中设置认证策略，设置此用户的IP 或者 MAC 范围，勾选认证方式为[不需要认证/单点登录]。设置认证策略前首先需要设置认证区域。如图，本例以选择内网区做认证为例。

第二步：在【组织结构】中选择需要添加用户的用户组，右边进入管理页面，在【组织成员】窗口中，点击新增按钮，然后选择新增类型[用户]

第三步：进入【添加用户】窗口。勾选[启用该用户]，填写[登录名]，[描述]，[显示名]和[当前所属组]。

第四步：设置『用户属性』，勾选[绑定 IP/MAC 地址]用于将该用户和 IP/MAC

地址绑定。此例中需要：双向绑定 IP/MAC 为 192.168.1.117/00-1C-25-AC-4C-44。点击[绑定方式]，在弹出的页面中选择[用户和地址双向绑定]

勾选[绑定 IP 和 MAC]，在输入框中填入 192.168.1.117(00-1C-25-AC-4C-44)。

[过期时间]用于设置该用户的过期时间。

第五步：完成用户属性的编辑后，点击提交，完成单用户添加。

第六步：通过设备上网时，验证 IP 和 MAC 是否正确，如果正确则认证通过，客户端不会弹出认证页面。

如果 IP/MAC 地址和绑定的 IP/MAC 不符，则认证不通过，此时没有提示页面，但客户端的现象是上不了网。

新增多用户

[新增多用户]用于同时新增多个用户，与[新增用户]不同的是，新增多用户时用户属性不能 [绑定 IP/MAC 地址]的双向绑定，因为这项设置具有唯一性， 不能在添加多用户时设置。

[新增多用户]设置的多个用户的属性和策略时完全相同的，除了用户名。在[用户名列表]中配置多个用户名，用户名之间用英文逗号隔开，其他配置和[新增单用户]相同，请参见上一节的内容。