6.2.1.3.1.微软AD域
如果用户的网络中已有一台微软AD域服务器做用户管理，内网用户登录电脑系统都是使用域账号登录，可以采用域单点登录的方式，在内网用户登录到域之后就通过设备的认证，即终端用户登录域即可上网，无需通过设备再次认证。域单点登录有四种办法可以实现：
• 通过域自动下发脚本登录：通过在域服务器上配置登录（logon.exe）和注销（logoff.exe）脚本，在用户登录域或注销域时通过下发的域策略执行登录或注销脚本，执行脚本的同时完成用户在设备上的登录和注销。
• 通过AC本身程序自动登录（ADSSO登录）：AC设备内置一个单点登录客户端程序ADSSO。启用这种方式时，主动检测AD域上终端用户登录域的事件日志（事件ID为672，540，4624），检测到有用户登录的日志后即自动通过AC认证。
• 集成windows身份登录（IWA登录）：在windows域环境下普遍支持的一种认证方式。通过这种方式实现的单点登录，需要先将AC设备和内网电脑都加入到域，当内网电脑打开网页时会自动访问AC并提交身份凭证，从而实现单点登录。
• 监听口监听登录信息登录：通过监听PC登录域服务器的数据，从监听到的数据中获取用户登录的信息，从而实现的单点登录。监听模式的单点登录无需在域服务器上安装任何组件，但要求内网电脑登录域的数据经过设备或者是通过监听口镜像到设备。且只能监听登录信息，不能监听注销信息。
以上几种方式可以单独使用，也可以同时使用，它们之间不冲突，同时使用也可以增加单点登录的成功率。具体配置参考接入认证AD域典型案例章节。
6.2.1.3.2.Radius
当用户环境中存在Radius服务器，并且Radius认证和计费的数据包经过AC设备时，可以启用Radius单点登录认证方式，认证成功以Radius的用户名上线。
当第三方Radius服务器认证和计费的数据包不经过AC，则需要通过交换机做镜像流量的方式将Radius计费报文镜像到AC的镜像口。当AC通过镜像流量抓取到Radius计费报文的目的IP后，PC通过Radius认证则成功通过AC认证，AC在线用户列表里可以看到认证的账号以及IP。
：
1．必须将Radius的计费报文镜像或者转发给AC。如果镜像的是Radius认证报文则需要考虑用户的使用场景，只有Portal认证时Radius认证报文里才会携带IP地址，802.1x认证的Radius认证报文是不携带IP地址的。而Radius计费报文不管是Portal认证还是802.1x认证均会携带用户名和IP地址。
2．如果AAA认证场景下未使用计费功能，可以开启计费功能把Radius计费报文发送给AC，即把AC当作Radius的计费服务器实现Radius单点登录。
操作步骤
步骤1.在[接入管理/接入认证/PORTAL认证/认证策略]，点击<新增>认证策略，勾选启用，填写名称、描述和认证范围。
步骤2.认证方式选择单点登录，已开启单点登录方式：显示当前已开启的方式，可点击<配置单点登录>跳转到单点登录页面。单点登录失败的用户还能选择：不需要认证，自动上线、密码认证、跳转到提示页面、跳转到CAS服务器。推荐选择密码认证方式，也可根据实际需求选择。
步骤3.点击<配置单点登录>跳转到单点登录页面，勾选[启用Radius单点登录]。如果Radius认证和计费的数据包不经过AC，则需要在AC上设置镜像口，并把这部分数据通过镜像口镜像到AC上。
步骤4.在Radius服务器地址列表中填写Radius服务器的地址，如果AC作为Radius服务器，则服务器为AC的地址。
• 读取Radius属性，并自动赋值给用户的自定义属性：Radius用户存在一些属性值，AC上也可以设置用户的属性值，如果Radius用户认证的同时也需要把属性带到AC上，则需要勾选此项。
• Radius属性：设置需要读取的Radius属性。
• 赋值给用户的自定义属性：设置需要把上面的Radius属性赋值到AC的哪个自定义属性上。
步骤5.认证后处理，默认设置即可，点击<提交>配置完成。
步骤6.Radius计费包抓取成功，传递用户名至AC，AC在线用户列表显示用户名，认证方式单点登录。
6.2.1.3.3.Proxy
如果用户网络环境中已经部署代理服务器，并且内网用户使用代理服务器上网都有账号和密码，那么可以采用Proxy单点登录的方式，在内网用户通过代理服务器的验证之后就通过设备的认证，即终端用户连接到代理服务器即可上网，无需通过设备再次认证。Proxy单点登录分监听方式和执行指定登录控件两种。
启用Proxy单点登录：开启和关闭Proxy单点登录功能。
• 监听计算机登录Proxy的数据，获取登录信息：通过监听的方式获取用户登录proxy服务器的信息，如果用户登录代理服务器的数据不通过AC设备，需要设置监听镜像口。监听方式的Proxy单点登录配置请参见PROXY单点登录配置章节。
• 兼容Kerberos认证方式：若Proxy服务器为ISA服务器，并且ISA服务器采用“windows集成身份认证”方式，则需要勾选“兼容kerberos认证”方式以完成单点登录，并且该方式仅适用于登录数据包穿过AC设备的情况，不适用于镜像方式。
• Proxy代理服务器地址列表：填写代理服务器的IP地址。
通过Proxy执行指定的登录控件，获取登录信息：需要在代理服务器上配置一个登录脚本，用户登录Proxy服务器时会自动执行该脚本，发送登录数据包到AC设备，完成登录过程。
一般适用于用户使用Proxy代理上网的环境，并且每个用户均分配了代理服务器的账号。使用Proxy单点登录的认证方式时，当用户通过Proxy服务器的验证时，同时通过设备的认证。
使用监听模式
Proxy单点登录的监听模式，也是通过监听登录数据完成单点登录的。分为两种情况：
第一种情况：Proxy服务器在外网方向，如图所示。
数据流过程如下：
操作步骤
步骤1.设置认证策略，根据需要使用单点登录的用户的IP或MAC设置认证策略，在[接入管理/接入认证/PORTAL认证/认证策略]新增认证策略。
步骤2.因为Proxy服务器在设备的外网方向，用户认证前需要放通访问Proxy服务器的权限，在[认证策略/认证后处理/高级选项/认证前使用此组权限]中设置一个认证前使用的组，并在权限策略中放通这个组访问Proxy服务器的权限。
步骤3.点击进入[PORTAL认证/单点登录/Proxy]页面进行配置。
步骤4.勾选[启用Proxy单点登录]，勾选[监听计算机登录Proxy的数据，获取登录信息]。
步骤5.在[Proxy代理服务器地址列表]中输入Proxy服务器的IP和监听端口，如果有多个Proxy服务器，则一行一个IP和端口，此处的端口设置Proxy认证的端口即可，如下图所示。
步骤6.PC登录Proxy服务器，登录成功后即可上网。
：
1．若Proxy服务器为ISA服务器，并且ISA服务器采用“windows集成身份认证”方式，则需要勾选[兼容kerberos认证方式]以完成单点登录，并且该方式仅适用于登录数据包穿过AC设备的情况，不适用于镜像方式，同时旁路模式下也不支持该功能。
2．这种场景下如果[认证策略/认证后处理/高级选项]中勾选了[显示免责声明]，则需要配置从DMZ口做重定向，否则将无法通过认证上网。
第二种情况：Proxy服务器在内网方向，如图所示。
数据流过程如下：
操作步骤
步骤1.设置认证策略，根据需要使用单点登录的用户的IP或MAC设置认证策略，进入[接入管理/接入认证/PORTAL认证/认证策略/新增认证策略]进行配置。
步骤2.点击进入[接入管理/接入认证/PORTAL认证/单点登录/Proxy]页面进行配置。
步骤3.勾选启用Proxy单点登录，勾选监听计算机登录Proxy的数据，获取登录信息。
步骤4.在Proxy代理服务器地址列表中输入Proxy服务器的IP和监听端口，如果有多个Proxy服务器，则一行一个IP和端口，此处的端口设置Proxy认证的端口即可，如下图所示。
步骤5.如果登录数据不经过设备，需要通过设置镜像口，并将镜像口连接到转发登录数据的交换机镜像口上，点击<其他选项>，设置设备的镜像口。镜像口需要设置空闲网口，已经在使用的网口请不要设置成镜像网口。
步骤6.PC登录Proxy服务器，登录成功后即可上网。
：
当登录数据不经过AC，采用镜像数据的监听方式不支持[兼容Kerberos认证方式]。
使用ISA控件方式
ISA控件方式可用于ISA服务器在内网，登录ISA的数据不经过设备的情况下，通过在ISA服务器上注册扩展插件，将PC登录ISA成功后的信息通过扩展的插件通知设备，来完成用户在设备上的登录。
数据流的过程大致如下：
操作步骤
步骤1.根据需要使用单点登录的用户IP或MAC设置认证策略，点击[接入管理/接入认证/PORTAL认证/认证策略]，新增认证策略进行配置。
步骤2.点击进入[接入管理/接入认证/PORTAL认证/单点登录/Proxy]页面进行配置。
步骤3.勾选[启用Proxy单点登录]，勾选[通过Proxy执行指定的登录控件，获取登录信息]，表示使用ISA控件方式实现单点登录。在请输入共享密钥：输入共享密钥。
步骤4.在设备上下载ISA单点登录控件及示例，配置ISA服务器，注册插件并配置SangforAC.ini。
1. 插件MyAuthFilter.dll 放到ISA 安装目录下，如C:/Program Files/ISA server/
2. 运行 regsvr32 “C:/Program Files/ISA server/MyAuthFilter.dll” 注册插件
3. 将示例配置文件SangforAC.ini 放到C 盘根目录下。下面是配置文件的说明：
• ACIP=192.168.0.1 设备IP的地址。
• key=123 登录ISA的数据包加密密钥，要跟设备上设置的一致。
• cycle=30 每个IP 地址发送登录数据包的最小间隔（单位：秒），作用是避免每个IP 地址每发起一个新会话访问一个新网站，就发一次登录数据包，这样发送过于频繁。
• logpath=调试日志路径，为空表示关掉日志，填写路径表示开启日志，默认关掉，请在有需要的时候再打开。另外，请保证NETWORK SERVICE用户对该文件所在目录具有可读写权限。
• maxlogsize=1调试日志文件最大容量（单位：MB），日志文件到达上限值时，会自动清空。charset=UTF-8支持编码有UTF-8、UTF-16、GB2312、GB18030、BIG5。
4. 在ISA 插件面板确认“Sangfor ISA Auth Filter”插件已启用。
步骤5.PC登录Proxy服务器，登录成功后即可上网。
：
1．每次修改SangforAC.ini文件后需要重新注册插件。
2．ISA 插件无法实现当域用户注销或关闭电脑时，让域用户自动从设备上注销。但可以通过在设备控制台上设置超时时间，让用户从设备上自动注销掉。
3．AC和ISA服务器密钥必须一致，且此密钥不要跟其他方式单点登录密钥相同。
4．ISA服务器要放通自身连接AC设备UDP 1773 端口的数据。
5．如果Proxy服务器在AC WAN区域，则需要放通用户认证前访问Proxy服务器的权限。
6．放通权限在[认证策略/认证后处理/高级选项]中，勾选[认证前使用此组权限]，并设置一个组。在这个用户组的上网权限设置中放通Proxy服务器的IP和端口。
6.2.1.3.4.POP3
如果用户网络环境中已经部署POP3邮件服务器，并且内网用户登录邮件服务器都有各自的账号和密码，那么可以采用POP3单点登录的方式，内网用户通过POP3服务器的验证之后就通过设备的认证上网。
• 启用POP3单点登录：开启和关闭POP3单点登录功能。
• 邮件服务器地址列表：填写邮件服务器的IP地址。
用户网络中有邮件服务器，用户信息存放在POP3服务器上，在上网之前，用户使用Outlook、Foxmail之类的客户端登录POP3服务器收发一次邮件，设备通过监听模式监听到用户登录的信息，则设备会自动识别并认证通过，此时用户可以直接上网，而不需要再次输入用户名密码。同时适用POP3服务器在内网和外网情况。下面分两种情况讲述POP3单点登录的设置。
第一种情况：POP3服务器在内网
数据流过程如下：
操作步骤
步骤1.根据需要使用单点登录的用户IP或MAC设置认证策略，在[接入管理/接入认证/PORTAL认证/认证策略]，点击新增认证策略进行配置。
步骤2.点击进入[接入管理/接入认证/PORTAL认证/单点登录/POP3]页面进行配置。
步骤3.勾选[启用POP3单点登录]。
步骤4.在[邮件服务器地址列表]中输入POP3服务器的IP和监听端口，如果有多个POP3服务器，则一行一个IP和端口，此处的端口设置POP3认证的端口（默认是TCP110），如下图所示。
步骤5.此例中登录数据不经过设备，需要通过设置镜像口，并将镜像口连接到转发登录数据的交换机镜像口上，点击<其它选项>，设置设备的镜像口。镜像口需要设置空闲网口，已经在使用的网口请不要设置成镜像网口。
步骤6.PC通过邮件客户端接收一次邮件，登录POP3成功后即可上网。
第二种情况：POP3服务器在外网：
数据流过程如下：
操作步骤
步骤1.根据需要使用单点登录用户的IP或MAC设置认证策略，在[接入管理/接入认证/PORTAL认证/认证策略]新增认证策略。
步骤2.点击进入[接入管理/接入认证/PORTAL认证/单点登录/POP3]页面进行配置。
步骤3.勾选[启用POP3单点登录]，在[邮件服务器地址列表]中输入POP3服务器的IP和监听端口，如果有多个POP3服务器，则一行一个IP和端口，此处的端口设置POP3认证的端口（默认是TCP110），如下图所示。
步骤4.PC通过邮件客户端收发一次邮件，登录POP3成功后即可上网。
：
1．如果POP3服务器在AC WAN区域，则需要放通用户认证前访问POP3服务器的权限。
2．放通权限在[认证策略/认证后处理/高级选项]，勾选[认证前使用此组权限]，设置一个组。
3．在这个用户组的上网权限设置中放通POP3服务器的IP和端口。
6.2.1.3.5.Web
如果用户网络环境中已经部署WEB服务器，并且内网用户登录WEB服务器都有各自的账号和密码，那么可以采用WEB单点登录的方式，在内网用户通过WEB服务器的验证之后就通过设备的认证上网。配置界面如下图所示。
启用Web单点登录：开启和关闭Web单点登录的开关。
Web认证服务器：设置Web服务器的IP地址。
类型：可以选择Cookie值、POST提交的表单、URL请求中的参数，三种方式适用于不同的web认证服务器。
• Cookie值：用户认证成功后，web服务器返回一个Cookie值可以通过这个Cookie值判断是否成功登录。
• Cookie名：填写认证成功后，服务器返回的Cookie名。
• POST提交的表单：Web认证时通过POST方式提交用户名时，需要使用这种类型。
用户表单名称：填写Web认证时，向服务器提交用户名表单名称，支持正则表达式。
支持启用/禁用认证关键字；禁用则表示认证时无需校验关键字。
认证成功关键字：用来识别Web登录是否成功的关键字。返回结果中，如果包含了设定的关键字，则判断为Web单点登录成功。
认证失败关键字：回结果中，如果包含设定的关键字，则判断为Web单点登录失败。
URL请求中的参数：当Web认证是通过http get请求提交认证信息时引用。
URL参数名：填写URL请求中认证字段对应的参数名。
指定表单编码类型：如果出现乱码，则可尝试指定编码类型，否则无需设定，设备会自动识别选用的编码类型。
场景案例
Web单点登录一般适用于客户有自己的Web服务器，且账号信息均保存在Web服务器上，客户想要实现内网用户上网前通过自己Web服务器的认证同时也通过AC设备的认证。Web服务器在内外网都支持。
AC支持从POST值、Cookie值和URL参数中提取登录Web服务器的用户名，具体选择哪种方式取决于用户登录Web服务器时提交用户名所用的方式。
当用户使用POST提交用户名登录Web服务器时，Web服务器会依据登录成功或者失败的结果返回对应的值，所以可以根据Web服务器的返回值（关键字）来确定用户是否登录成功，从而决定该用户是否在AC上线。
通过Cookie和URL这两种方式提交用户名时，Web服务器不会有回应，所以无法判断是否登录成功，只能实现抓取到用户名就立即上线。
本次示例均为POST的方式提交用户名。
场景一：Web服务器在AC设备的LAN口区域，且用户访问Web服务器的流量不会经过AC设备。
操作步骤
步骤1.在[接入管理/接入认证/PORTAL认证/单点登录]界面启用Web单点登录。
在[Web认证服务器]栏填写Web服务器的域名或者IP地址。
类型：选择“POST提交的表单”。
用户表单名称：是用户登录Web服务器时提交的用户名所对应的表单。
启用认证关键字：是为了判断该用户提交用户名和密码后是否成功登录了Web服务器，从而决定该用户是否在AC上线。
表单名和认证关键字均需要依据实际情况填写，如果不清楚可通过抓包获取该信息。
步骤2.确认表单名和认证关键字。使用抓包工具抓取用户登录Web服务器的交互过程从而确认表单名和关键。如下图所示：
通过抓包工具抓取用户登录Web服务器的数据包，在POST表单里可以看到提交用户名的表单名为：pwuser
通过比对登录失败和登录成功的数据包，能够发现登录成功的POST返回值里面携带了Location，获取认证失败关键词同理。
登录成功返回值
登录失败返回值
步骤3.在[单点登录/其他选项]界面勾选[启用镜像网口]并选择对应的镜像网口名，然后点击<提交>保存配置。在本场景下用户登录的Web服务器在内网且流量不会经过AC，所以需要通过镜像流量来监听用户登录Web服务器的数据包从而获取用户名等信息。
步骤4. 在[接入管理/接入认证/PORTAL认证]新增认证策略。[认证方式]选取单点登录，在[认证范围]根据需求配置进行单点登录的认证范围。
步骤5.用户成功登录Web服务器，同时在 AC上线获取对应的外网访问权限。
场景二：Web服务器在AC设备的WAN口区域，当用户访问Web服务器的流量经过AC设备。
步骤1.配置用户认证前网络访问权限。因为Web服务器在AC的WAN口区域，所以用户在完成认证上线前需要能够访问Web服务器，否则无法完成认证。
步骤2. 通过配置[认证前使用此组权限]的功能可以使用户在未认证前能够访问有限的网络资源。目前只有密码认证（包括单点登录失败后匹配密码认证）的认证策略支持设置“认证前使用此组权限”的功能。
步骤3.在[接入管理/本地组用户]点击<新增>添加一个用户组，以该组的身份配置用户认证前的需要访问的网络权限。当用户认证失败就会匹配此用户组的访问访问权限。
步骤4.自定义URL或者自定义应用。在某些场景下需要开放企业内部私有的应用或者URL，此时则需要在AC上自定义企业内部的一些应用或者URL。此处以自定义应用为例：在[系统管理/对象定义/自定义应用]界面点击<新增>按钮，配置应用相关参数。
步骤5.在[行为管理/访问权限策略]界面点击<新增>按钮，添加[访问权限策略]用于配置认证前的网络访问权限。
步骤6.勾选[应用控制]，并在应用控制栏内先添加一条拒绝所以的策略，然后再添加一条放通策略。该放通策略用于放通认证前需要访问的应用，比如步骤2自定义的内网应用。
在[适用对象]页面勾选认证前的组对象，最后点击<提交>即可。
步骤7.配置认证策略。在[接入管理/接入认证/PORTAL认证]界面点击<新增>按钮配置密码认证策略，并根据实际需求配置认证策略适用范围。如“10.68.10.3/24”。
步骤8.在[认证方式]栏选择密码认证。（如果认证方式为“单点登录”但配置了失败后匹配密码认证，也支持设置“认证前使用此组权限”的功能）
、
步骤9.启用[认证前适用此组权限]。在认证后处理栏点击<高级选项>，然后勾选[认证前适用此组权限]并配置好相应的组名。配置如下图所示。
步骤10.在[接入管理/接入认证/PORTAL认证/单点登录]界面启用Web单点登录。
• Web认证服务器：填写Web服务器的域名或者IP地址；
• 类型：选择“POST提交的表单”。
• 用户表单名称：是用户登录Web服务器时提交的用户名所对应的表单。
• 启用认证关键字：是为了判断该用户提交用户名和密码后是否成功登录了Web服务器，从而决定该用户是否在AC上线。
• 表单名和认证关键字均需要依据实际情况填写，也可通过抓包获取该信息。
步骤11.确认表单名和认证关键字。使用抓包工具抓取用户登录Web服务器的交互过程从而确认表单名和关键。
通过抓包工具抓取用户登录Web服务器的数据包，在POST表单里可以看到提交用户名的表单名为：pwuser。
通过比对登录失败和登录成功的数据包，能够发现登录成功的POST返回值里携带了Location，获取认证失败关键词同理。登录成功返回值和登录失败返回值请参靠案例一的图。
步骤12.在[接入管理/接入认证/PORTAL认证]界面为需要进行单点登录的用户配置认证策略。[认证方式]选取单点登录，在[认证范围]根据需求配置进行单点登录的认证范围。
：
需要配置“单点登录的用户失败后匹配密码认证”，否则[认证前使用此组权限]的功能不会生效，导致无法访问Web服务器。
步骤13.用户成功登录Web服务器，同时在 AC上线获取对应的外网访问权限。
：
截止到本文发布为止， Web单点登录暂时不支持https的Web应用登录。
6.2.1.3.6.第三方设备
某些网络环境中已经存在其他的第三方认证系统作为用户认证和组织结构的管理，此时设备能够跟这些第三方的认证系统结合使用，做单点登录。目前设备支持的其他第三方厂商的认证系统有锐捷Sam系统、HTTP单点登录接口、H3C CAMS系统、城市热点和H3C IMC系统和华为Agile Controller。
锐捷Sam系统结合认证
锐捷Sam系统是一套宽带上网认证计费管理系统，常用于高校及二级运营商用户，用户上网前必须通过锐捷Sam系统的身份认证，用户通过Sam系统的认证/注销后，自动在AC上完成认证/注销。如图所示。
数据流的过程如下：
操作步骤
步骤1.设置认证策略，根据需要使用单点登录的用户的IP或MAC设置认证策略，点击[接入管理/接入认证/PORTAL认证/认证策略]新增单点登录认证方式的认证策略。
步骤2.点击进入[接入管理/接入认证/PORTAL认证/单点登录/第三方设备]页面进行配置。
步骤3.启用锐捷Sam系统并设置共享密钥。
步骤4.在设备上下载锐捷Sam单点登录程序，在Sam系统的数据库服务器上配置，使得pc登录到Sam系统时，数据库服务器向AC发送用户认证信息。
以锐捷Sam系统数据库为Sql Server2005为例，说明锐捷Sam系统数据库服务器需要做的设置：
步骤5.用户通过锐捷SAM认证的同时通过设备的认证上网。
支持HTTP单点登录的接口结合认证
设备提供的HTTP 单点登录接口，可以向任何第三方认证设备，提供基于HTTP(S)协议，GET 方法的单点登录/注销功能。
数据流的过程如下：
操作步骤
步骤1.根据需要使用单点登录的用户IP或MAC设置认证策略，在[接入管理/接入认证/PORTAL认证/认证策略]新增认证策略。
步骤2.在[接入管理/接入认证/PORTAL认证/单点登录/第三方设备]进行单点登录配置。
步骤3.勾选[启用支持HTTP单点登录的接口]，设置允许使用该接口的设备IP。
步骤4.点击下载示例说明，其中包含了Logon.js和Logon.html，修改Logon.html，并配置提供认证的服务器。
步骤5.PC通过http/https服务器的认证/注销后自动在设备上通过认证/注销。
：
1．http单点登录接口方式，适用于结合城市热点计费管理系统，同时也支持和其他web认证系统结合，需要web服务器做二次开发以配合完成单点登录。
2．不需要此功能时，注意不要勾选“启用支持Http单点登录的接口”。
H3C CAMS系统结合认证
H3C CAMS系统同锐捷sam系统，也是一套宽带上网认证计费管理系统，常用于高校及二级运营商用户，AC设备根据H3C CAMS提供的接口与之完成对接，定时从CAMS系统中获取用户信息，并更新自己的在线用户列表/用户列表，以完成单点登录。
数据流的过程如下：
操作步骤
步骤1.根据需要使用单点登录的用户IP或MAC设置认证策略，在[接入管理/接入认证/PORTAL认证/认证策略]新增认证策略。
步骤2.设置H3C CAMS 服务器，点击进入[接入管理/接入认证/PORTAL认证/认证服务器]，进行设置（参见第三方设备单点登录）。
步骤3.进入[接入管理/接入认证/PORTAL认证/单点登录/第三方设备]页面进行配置。
步骤4.勾选[H3C CAMS系统]，选择在外部认证服务器中设置的CAMS服务器。
步骤5.用户通过H3C CAMS系统的认证后，即可通过设备上网。
：
1．H3C CAMS支持用户自动同步，具体请参见[用户管理/用户自动同步]。
2．在某些情况下，用户通过认证服务器认证之后在一个时间间隔后（取决于[获取认证用户的时间间隔]设置）才会通过AC的认证，建议认证策略设置单点登录失败时选择[不需要认证]的认证方式。
H3C IMC结合认证
客户环境中已经有了H3C IMC认证服务器，需要实现终端通过H3C IMC认证后不需要再进行AC入网认证，同时在AC上能看到终端以H3C IMC上用户名上线。
数据流的过程如下：
操作步骤
步骤1.配置单点登录。在AC设备[接入管理/接入认证/PORTAL认证/单点登录/第三方设备]选择H3C IMC 并填写H3C IMC服务器地址，点击<提交>，如下图所示。
步骤2.配置认证策略。根据内网的需求设置认证范围，认证方式选择单点认证，单点登录失败选项。可以根据客户需求设置，如下图所示。
步骤3.在H3C IMC系统上配置[用户上下线通知参数配置]，如下图所示。（注意：不同版本的IMC服务器配置界面可能有所不同。）
步骤4.服务器IP地址配置为开启了单点登录的AC设备的IP地址，服务器端口为：61442。共享密钥暂可忽略不计，无影响。
城市热点结合认证
城市热点是一套认证计费管理系统，广泛应用于教育、电信、广电、政府等各个领域，不管城市热点使用的B/S认证还是C/S认证，AC设备都能够与之结合进行用户认证。用户上网前必须通过城市热点系统的身份认证，用户通过城市热点系统的认证/注销后，自动在AC上完成认证/注销。
数据流的过程如下：
操作步骤
步骤1.根据需要使用单点登录的用户IP或MAC设置认证策略，在[接入管理/接入认证/PORTAL认证/认证策略]新增认证策略。
步骤2.在[接入管理/接入认证/PORTAL认证/单点登录/第三方设备] 勾选<城市热点>并设置设备IP地址。
步骤3.配置城市热点系统。有关城市热点的配置请联系相应厂商，此处不再举例。
华为Agile Controller结合认证
华为Agile Controller是一个基于用户与应用的网络资源自动化控制系统，支持准入控制、访客管理、业务随行、业务编排，作为园区网络的集中化控制核心，全局控制园区网络的用户、业务与安全等策略。企业已经部署Agile Controller，并启用准入控制功能（MAC、802.1x、Portal、SACG），实现终端用户通过Agile Controller认证后不需要再进行AC入网认证，同时在AC上能看到终端以Agile Controller上的用户名上线。
数据流的过程如下：
操作步骤
步骤4.华为Agile Controller已经完成部署，并启用准入控制功能（MAC、802.1x、Portal、SACG）。
步骤5.在华为Agile Controller设备中进入[系统/服务器配置/上网行为管理设备配置]，点击<增加>新建上网行为管理设备，设置联动深信服AC相关参数，配置完成后点击<确定>。
IP地址：深信服AC设备的IP地址。
设备名称：深信服AC设备的名称，用于标识设备，方便管理。
端口：深信服AC设备使用该端口与 Agile Controller 进行联动， 默认端口为8001， 需要与深信服AC 配置的端口保持一致。
接入密码：与深信服AC设备侧配置的共享密钥保持一致。
加密算法：设置Agile Controller与深信服AC设备之间通信的加密算法。AC 目前只支持AES128加密算法。
终端IPv4地址列表：输入需要单点登录到上网行为管理的终端用户IPv4地址或网段。AgileController只会发送属于该列表的用户登录/注销消息给深信服AC。一个 IP 地址或IP地址段占一行。IP地址段的格式为“IP1-IP2”或“IP/掩码长度”。IP 地址段遵循少而精的原则，因为包含的IP 地址数量越多，AC设备的运行效率会降低。例如，网段192.168.10.1/24中只有192.168.10.1-192.168.10.10 十台终端主机，则不要配置192.168.10.1/24，而配置 192.168.10.1-192.168.10.10。
终端 IPv6 地址列表：启用 IPv6 后，输入需要单点登录到上网行为管理的终端用户 IPv6 地址或网段。Agile Controller 只会发送属于该列表的用户登录/注销消息给深信服AC。一个IP地址或IP地址段占一行。IP 地址段的格式为“IP/掩码长度”。IP 地址段遵循少而精的原则，因为包含的IP地址数量越多，AC设备的运行效率会降低。
步骤6.在深信服AC设备导航栏进入[接入管理/接入认证/PORTAL/单点登录]，选择“第三方设备”，勾选“华为Agile Controller”，配置相关参数后点击<提交>。
设备地址：配置华为Agile Controller设备地址。
共享密钥：与华为Agile Controller设备侧配置的接入密码保持一致。
对接端口：深信服AC设备使用该端口与华为Agile Controller 进行联动，默认端口为514，需要与华为Agile Controller配置的端口保持一致。
步骤7.配置单点登录认证策略。在[接入管理/接入认证/PORTAL/认证策略]新建认证策略，在“认证范围”填入需要单点登录的用户IP地址或网段，在“认证方式”选择单点登录，已开启单点登录方式显示“Agile Controller”，“认证后处理”选择单点登录用户上线的用户组，最后点击<提交>。
步骤8.用户在华为Agile Controller通过认证后发送上线报文到深信服AC，用户信息同步在深信服AC上线。
6.2.1.3.7.深信服设备
AC设备支持当前在线的用户名和IP地址同步给深信服的其他设备，实现用户同步。
深信服设备之间的用户认证信息共享，包括：本地密码认证，外部密码认证，手机短信验证，单点登录，Dkey认证信息。
AC设备能够和第二台AC/SG设备结合做认证，用户网络环境中部署了两台深信服设备，其中一台设备作认证，另外一台设备作审计控制，只要用户通过了认证设备的认证后，审计控制设备就能够同步认证设备的用户信息，对用户进行审计控制。
勾选[接收其他深信服设备转发的认证信息]：则设备接收其他设备发来的认证信息，并自动添加认证用户，需要设置和转发设备一致的共享密钥。
勾选转发认证信息到其他深信服设备：将本设备的认证信息发给其他设备。
转发策略：用于设置接收认证信息设备策略。
对源IP的控制：%转发IP% ，表示转发范围是全部，必须要有两个% 分隔。
书写格式：适用范围%目标设备%策略描述。
适用范围：支持IP和控制器名称，多条件用分号隔开。
目标设备：支持IP或IP：端口。多条件用分号隔开。
共享密钥：于设置发送认证信息时加密的密钥，接收设备和发送设备需要保持一致。
示例如下：
使用场景
AC设备能够和第二台AC/SG设备结合做认证，用户网络环境中部署了两台深信服设备，其中一台设备作认证，另外一台设备作审计控制，只要用户通过了认证设备的认证后，审计控制设备就能够同步认证设备的用户信息，对用户进行审计控制，如图所示（设备A作认证，设备B作审计控制）。
数据流的过程如下：
操作步骤
步骤1.根据需要使用单点登录的用户IP或MAC设置认证策略，在[接入管理/接入认证/PORTAL认证/认证策略]新增认证策略。
步骤2.在深信服设备B[接入管理/接入认证/PORTAL认证/单点登录/深信服设备] 勾选接收其他深信服设备的认证信息并设置共享密钥。
步骤3.对于网桥部署的深信服设备A，只需要启用[转发认证信息到其他深信服设备]并设置相应的设备IP和共享密钥。
这样深信服设备A就可以将认证信息发送给设备B，旁路部署的设备B可以接收深信服设备A转发过来的认证信息，保持和深信服设备A的认证信息相同。如果B是旁路部署的深信服上网优化设备，用户访问某些数据必须通过代理才能访问，代理服务器是使用深信服上网优化设备B有做代理设置和用户认证，这样用户只需要通过设备A的认证，就可以自动通过设备B的认证，使用代理方式来访问某些应用了，因为此时A和B的在线用户信息是相同的。
6.2.1.3.8.数据库认证
当网络环境中已有一套数据库系统存储并管理用户认证信息、组织结构的情况下，深信服AC设备支持配置SQL查询语句，查询该数据库系统中的用户列表和已认证用户，并同步到设备的组织结构和在线用户列表中，从而支持和数据库系统结合的单点登录，实现用户通过数据库认证后，即通过AC设备的用户认证，同时用户从数据库认证系统中注销，也自动完成在设备上的注销。目前支持的数据库类型有Oracle，mssql server，db2和mysql几种。
数据流的过程如下：
操作步骤
步骤1.根据需要使用单点登录的用户IP或MAC设置认证策略，在[接入管理/接入认证/PORTAL认证/认证策略]新增认证策略。
步骤2.设置数据库服务器，点击进入[接入管理/接入认证/PORTAL认证/认证服务器]进行设置（参见数据库认证章节）。
在[接入管理/接入认证/PORTAL认证/单点登录/数据库认证]页面勾选[启用数据库认证单点登录]，选择数据库服务器并设置SQL查询语句。
数据库服务器：选择步骤1设置好的数据库服务器。
获取已认证用户列表的sql语句：设置可以查询到在线用户的select语句，设备通过该select语句查询数据库中的用户信息表来获取在线用户。
：
sql语句返回的结果集不能超过2列，第一列为用户名，第二列为IP地址，能查询的记录数不能超过200000条。
获取已认证用户列表的时间间隔：默认值是30s，指用户通过认证服务器认证到通过AC认证之间的最大时间间隔。
点击<测试有效性>列出可以获取的信息。
：
1．在线用户列表只支持同步“用户名”和“IP”，不支持同步其他用户属性，如用户是否禁用、是否过期等，默认同步过来的用户是启用和永不过期的。
2．数据库认证支持用户自动同步，具体请参见[用户管理/用户自动同步]。
3．在某些情况下，用户通过认证服务器认证之后在一个时间间隔后（取决于[获取已认证用户列表的时间间隔]设置）才会通过AC的认证，建议认证策略设置单点登录失败时选择[不需要认证]的认证方式。
6.2.1.3.9.其他选项
其他选项用于登录服务器的数据不经过网关，则需要设定监听镜像网口，监听登录的数据，勾选一个空闲接口进行监听。这个监听口在域单点登录监听模式、Radius单点登录、POP3单点登录以及Web单点登录等方式时均可以设置。
此处的监听口还可以用于设备旁路部署模式下，监听镜像上网数据。
建议使用Chrome浏览器访问！
