SANGFOR-ACSG-2012年度培训14-协议剥离与PPPOE单点登录功能培训-LSQ.pptVIP

培训内容 培训目标 协议剥离功能介绍和配置 了解协议剥离功能的适用环境 掌握协议剥离功能的配置方法 了解协议剥离功能的注意事项 PPPOE单点登录功能介绍和配置 了解PPPOE单点登录功能的作用 掌握PPPOE单点登录功能的配置 协议剥离功能介绍和配置案例 PPPOE单点登录功能介绍 深信服公司简介 PPPOE单点登录功能配置案例 练练手 SANGFOR AC 协议剥离功能介绍 在某些网络环境中，数据包经过了一些特殊协议类型的封装（如PPPoE、MPLS等），这些协议数据包在普通IP数据包的基础上添加了各自协议特有的的头部标识（不是传统的“ETH头+IP头+TCP/UDP头+应用层数据”的形式），使得一般带有协议分析功能的设备也无法正常分析数据包的内容。 下面我们来比较下一个普通的IP数据包和一个由PPPOE封装的数据包的不同： 协议剥离功能介绍 一个普通IP数据包是这样的： 一个由PPPOE封装的数据包是这样的： 上层是IP协议 上层是PPPOE协议 IP头所在的位置不一样，PPPOE添加了自身的头部 协议剥离功能介绍 SANGFOR AC设备 通过协议剥离功能，分析出这些特殊协议数据包的特点，并与内置特殊协议规则匹配，在设备内部剥离掉特殊协议的协议头，这样可以支持对特殊协议封装内的原始数据进行认证、审计和控制。 AC设备网桥和旁路模式下支持协议剥离功能，路由模式下不支持。 网桥模式下支持对协议剥离后的数据进行自动认证，控制和审计；旁路模式下只支持对协议剥离后的数据进行自动认证和审计。 协议剥离功能介绍 AC 支持对如下特殊协议的识别： 二层协议 三层协议 WLAN 支持多种协议组合的环境，如二层协议中封装二层或者三层协议（VLAN中跑PPPOE） 协议剥离功能配置案例 用户需求： 某用户的AC设备网桥模式部署在网络中，需要对VLAN中传输的PPPOE数据进行认证，上网控制和审计。 配置思路： 1. 开启对VLAN协议（Q-in-Q）的剥离和PPPOE协议的剥离。 2. 开启PPPOE单点登录 （配置省略） 3. 对PPPOE的用户设置上网权限策略和上网审计策略 （配置省略） 协议剥离功能配置案例 开启VLAN协议（Q-in-Q）的剥离和PPPOE协议的剥离配置截图： 协议剥离功能注意事项 路由模式下不支持协议剥离功能，控制台页面也看不到“网络协议扩展”的配置页面。 网桥模式下支持协议剥离，可以对协议剥离后的数据进行自动认证、审计和控制，但特殊环境下部分功能不生效：如WEB认证、准入认证、拒绝页面、智能提醒页面等需要重定向的功能；SSL内容识别、MSN传文件控制、KERBEROS单点登录等；邮件延迟审计、SG的上网加速，网关杀毒等需要设备代理的功能。 协议剥离环境下，不支持DKEY认证，不支持以计算机名作为用户名，只支持IP认证，不支持用户绑定MAC地址和以MAC地址作为用户名（PPPOE环境下支持绑定MAC和以MAC作为用户名）。 协议剥离功能注意事项 4. 设备默认支持单层VLAN的协议剥离，不需要启用协议剥离。若 VLAN和其他协议的组合，如VLAN中传输PPPOE，则需要同时启用[VLAN（Q-in-Q）协议的剥离]和[PPPOE协议的剥离]。 5. 协议剥离均不支持协议以压缩、加密的方式通讯。 PPPOE单点登录功能介绍 PPPOE单点登录功能介绍 某客户网络中已经使用PPPOE方式做认证，部署了AC设备对用户的上网行为做控制和审计。通过PPPOE单点登录功能，能实现用户通过PPPOE认证后，自动通过AC设备认证，且设备上的用户与PPPOE拨号账号对应。 PPPOE单点登录功能应用环境 PPPOE单点登录功能应用环境要求： PPPOE服务器部署在AC设备WAN口方向。 PPPOE单点登录功能应用环境 AC设备上开启PPPOE协议剥离。（由于路由模式下不支持协议剥离，所以要求AC设备的部署模式为网桥或者旁路模式部署） PPPOE单点登录功能配置案例 客户网络环境与需求： 某客户网络环境如右图所示，内网用户通过PPPOE拨号上网，AC设备网桥模式部署在网络中，希望用户通过PPPOE认证后，自动通过AC的认证，且通过PPPOE账号记录用户对应的上网日志。 PPPOE单点登录功能配置案例 配置思路： 设置认证策略，认证方式选择“不需要认证/单点登录”。 4. 认证冲突设置，如果认证时发现已经在其他IP上登录，则强制注销以前的