6.点击<下一步>，确认和提交配置：
注：点击<提交>后，设备会自动重启，重启时间一般为1-5分钟，请勿在工作时间修改设备部署模式配置。
静态路由
如上需求，由于内网三层环境，需要增加内网网段的回包路由指向核心交换机，如内网有、等。
1.通过【系统管理】-【网络配置】-【静态路由】进入配置界面。
2.点击<新增>，设置需要添加的路由目的地址、子网掩码，下一跳指向核心交换机。
3.点击<提交>完成配置，如果有多个网段，可添加多条路由。
第4章 策略管理
用户认证与管理
用户组管理
为了便于区分员工角色进行策略管理，我们可以将上网用户进行分组管理，【用户认证与管理】-【用户管理】-【组/用户】页面是AC用户组织结构管理的地方。
在该页面<组织结构>下选择指定组，可在该组下创建用户以及用户组，在右边<成员列表>点击<新增>，选择新增类型<组>
定义组名，如“市场部”，点击提交即可，该组适用的上网策略，可在后面策略管理时指定。
认证策略
【认证策略】决定了某个IP/网段/MAC地址上计算机的认证方式。通过【认证策略】设置内网用户的认证方式，以及新用户添加的策略。
认证策略是从上往下逐条匹配的，可以通过页面上的移动按钮来调整认证策略优先级。通过认证策略可以为不同的网段配置不同的认证方式。
认证策略可以指定的认证方式有不需要认证、密码认证、单点登录、不允许认证4种，根据不同的认证策略可实现不同的用户认证需求。
不需要认证
在认证策略页面点击<新增>
设置该策略适用的范围后点击<下一步>，适用范围可以是IP、MAC、IP段以及子网。
选择认证方式为<不需要认证>，继续点击<下一步>
选择用户以组织结构中那个组的身份上线后点击<提交>即可。
IP/MAC绑定
二层环境
1．与不需要认证用户设置方法相同，但<认证后处理>方式需勾选<自动录入绑定关系>-<自动录入IP和MAC的绑定关系>选项
2．用户上网后，在【用户认证与管理】-【用户管理】-【IP/MAC绑定】页面可以看到系统自动绑定了终端第一次上网的IP和MAC信息，在该页面可对相关信息进行添加、删除和修改操作。
三层环境
三层环境下，由于内网用户经过三层交换机后，MAC地址会被三层交换机替换掉，因此还需要在核心交换机上开启SNMP服务，以支持AC跨三层环境下的IP/MAC绑定。
1.在核心交换机上开启SNMP服务。 华为交换机的配置命令： system_view
snmp-agent community read public； 其中public为三层交换机的Community snmp-agent sys-info version all； 其中all表示所有版本
思科交换机的配置命令：
config terminal 进入全局配置状态 Cdp run 启用CDP
snmp-server community public ro 其中public为三层交换机的Community snmp-server enable traps 允许设备将所有类型SNMP Trap发送出去
注：三层交换机需启用SNMP协议，AC作为SNMP客户端通过SNMP读取交换机，只支持SNMPv1,v2,v2c,不支持v3。
2.在【用户认证与管理】-【认证高级选项】-【跨三层取MAC】页面，开启跨三层MAC识别功能。
可以新增多个SNMP服务器，如果内网存在多个三层交换机，则每个三层交换机的SNMP选项均需要开启，如下图
点击上图“查看服务器信息”测试能否从交换机获取PC的IP和MAC，有返回结果则能正常获取，如下图
完成新增SNMP服务器后，可以查看配置的所有交换机当前snmp获取的结果，如下图
接下来，需要配置排除核心交换机的MAC地址，如下图。
实际使用时，可开启设备自动识别三层交换机的MAC，并自动添加到MAC地址排除列表，如下图
启用“自动添加排除”，定义10分钟内同一个IP对应的MAC地址记录数，推荐配置5。当同一个MAC达到设置条件时，AC认为是三层交换机的MAC地址，自动将其排除。
3.与二次环境一样，设置认证策略，<认证后处理>选择自动录入IP和MAC的绑定关系。
不允许认证
认证方式设置为<不允许认证>的网段，将无法通过设备访问任何网络。 在认证策略页面点击<新增>
设置该策略适用的范围后点击<下一步>
相关推荐：
loading