某企业近期出现内网有未通过Portal认证的不明IP访问内网服务器读取机密文件的记录，需要对内网接入终端进行强管控，接入终端未通过认证前，内外网资源均不能访问，认证使用账号密码认证。确保终端入网均需认证，提高内网的安全性。

需求分析

该需求结合AC本地用户对接入终端做802.1x认证，交换机开启802.1x，终端输入AC本地创建的用户名和密码完成认证上线，未认证前接入终端不能访问内网资源。

• 802.1x认证需要先启用AC的802.1x入网控制功能，将AC作为Radius服务器，配置相应的端口和服务器密钥；

• 选择用户来源，可选本地用户和AD域用户；

• 最后配置认证后处理的策略，包括用户所属组，是否绑定用户，是否限制用户登录等配置。

操作步骤

步骤1.AC开启802.1x认证。

在导航菜单中的[接入管理/802.1x接入认证]点击开始配置。启用802.1X入网控制功能，并配置Radius认证端口为1812和计费端口为1813，服务器密钥为123。认证服务器启用本地密码认证。

：

步骤2.当有认证数据发到AC时[接入管理/802.1x接入认证/联动交换机]会显示交换机的状态。

步骤3.在[接入管理/用户管理/本地组/用户]中点击<新增>按钮创建本地用户，填写登录名和密码并点击<提交>。

步骤4.对接交换机802.1x配置。

对应交换机启用802.1x功能，认证服务器选择radius，radius服务器指向AC，交换机配置请参考 《交换机802.1x配置工具V2.0》 。

步骤5.AC需要获取到终端的IP与MAC地址的对应关系用以用户上线。共有四种方式上线：1、交换机Radius计费报文携带IP信息并发送到AC（大部分厂商计费报文都会携带IP信息，如发现未携带，请联系厂商工程师）；2、交换机配置镜像口接入到AC镜像口流量上线；3、通过从ARP、DHCP报文获取MAC，或通过SNMP跨三层获取MAC地址；4、使用认证助手登录802.1x的终端会上报IP和MAC地址信息到AC设备。建议通过计费报文的方式。（若该厂商交换机计费报文中不携带IP，请参考SNMP配置章节）。

步骤6.认证助手配置。

在[接入管理/准入客户端配置]中依次勾选[开启准入客户端802.1x功能]、[设置准入客户端卸载密码]并填写密码、[设置准入客户端网关地址]并在[网关主IP地址]中填入AC设备的IP地址、[系统推送准入客户端]、[允许上网]。（在AC控制台勾选[开启准入认证客户端802.1x功能]后下载的认证助手才会生成认证助手快捷方式，用于输入账号密码）。

步骤7.在AC设备Web控制台下载认证助手（准入客户端），以管理员权限安装singress.exe，注意勾选开启准入认证客户端802.1x功能才会生成快捷方式。

步骤8.安装完成之后会在桌面生成快捷方式，双击运行。

步骤9.使用认证助手时注意右上角选择正确的网卡，并点击<登录>上线。

效果展示

1. 用户在认证助手输入账号密码登录成功后会显示在线时长。

2. 在[全网监控/入网用户管理]的在线列表能看到用户的上线情况，认证方式为802.1x。

3. 在PC[控制面板/程序/程序和功能]中找到ingress程序会点击卸载会提示输入卸载密码。需输入正确的卸载密码（准入客户端配置中设置的准入客户端卸载密码）才能卸载程序，否则提示“密码错误：禁止卸载”。

说明：802.1X详细配置（包括802.1x+AD域用户、802.1x+CA认证、MAB免认证等场景配置）请参考文档《深信服全网行为管理准入功能配置指导》

链接地址：https://bbs.sangfor.com.cn  

路径：知识库/资料库。