深信服AC基础认证技术.ppt

SANGFOR AC 基础认证技术
SANGFOR AC 认证功能介绍
所有计算机上网前必须通过SANGFOR AC的认证才可上网。通过认证功能用于识别内网上网用户的身份,为后续流量管理、用户上网权限策略及应用审计提供基础。
SANGFOR AC的认证方式:
1、不需要认证(IP/MAC绑定)
2、密码认证(包括本地密码认证和第三方服务器认证)
3、单点登陆
4、DKEY认证
认证方式介绍
1、不需要认证
设备根据数据包的源IP地址、源MAC地址、上网计算机的计算机名来识别用户。
不需要认证的识别方式,优点是用户上网前浏览器中不会弹出认证框,要求输入正确的用户名密码才能上网。因此用户不会感知到设备的存在。
认证方式介绍
当用户首次通过AC上网时,AC会要求用户提交用户名密码信息,如果用户提交的用户名密码信息和AC本机保存的信息一致时,给予认证通过。
用户名密码认证适用于内网用户IP/MAC不固定,或者内网存在第三方用户名密码认证服务器的网络环境。
可以手动在AC上新建用户名和密码,也可以直接沿用第三方认证服务器上的账号和密码(SANGFOR AC与第三方认证服务器结合,支持LDAP,RADIUS, POP3第三方服务器认证)。
2、密码认证(包括本地密码认证和第三方服务器认证)
认证方式介绍
3、单点登录
当客户有自己的第三方认证服务器对内网用户进行认证时,单点登录可以实现在内网用户通过第三方认证服务器认证时自动通过AC设备的认证,并且获取到相关的权限上网。
SANGFOR AC支持域单点登录,POP3单点登录,PROXY单点登录,WEB单点登录(后续PPT详细介绍相关功能和配置,此PPT不再累述)
认证方式介绍
4、DKEY认证
SANGFOR AC提供上网认证的DKEY有两种,绿色的认证KEY和紫色的免审计KEY。
管理员生成DKEY,然后分发给用户。用户上网时,把DKEY插入个人电脑,使用DKEY认证客户端提交认证信息,通过认证后才允许接入互联网。
DKEY 认证使用于对认证安全要求较高的网络环境,也适应于公司高层机密信息不被随意审计的情况。
案例背景
某集团公司内部有办公区和公共上网区, 要求实现办公区()用户上网不能修改IP和MAC地址,公共上网区()则需要输入账号和密码才能上网,确保网络行为能跟踪到,另外总经理的上网数据要保证安全,不能被审计到。
核心交换
防火墙
DMZ服务器
解决方案
根据客户需求,我们可以用如下方式来满足:
1、办公区用户采用IP/MAC认证方式
2、公共上网区采用密码认证,设置用户名和密码
3、总经理使用免审计KEY上网,确保数据不被记录
核心交换
防火墙
DMZ服务器