sangfor ac&sg 2012年度培训14_协议剥离与pppoe单点登录功能培训_lsq

《sangfor ac&sg 2012年度培训14_协议剥离与pppoe单点登录功能培训_lsq》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、协议剥离与PPPOE单点登录功能培训培训内容培训目标协议剥离功能介绍和配置了解协议剥离功能的适用环境掌握协议剥离功能的配置方法了解协议剥离功能的注意事项PPPOE单点登录功能介绍和配置了解PPPOE单点登录功能的作用掌握PPPOE单点登录功能的配置协议剥离功能介绍和配置案例PPPOE单点登录功能介绍深信服公司简介PPPOE单点登录功能配置案例练练手SANGFORAC协议剥离功能介绍在某些网络环境中，数据包经过了一些特殊协议类型的封装（如PPPoE、MPLS等），这些协议数据包在普通IP数据包的基础上添加了各自

2、协议特有的的头部标识（不是传统的“ETH头+IP头+TCP/UDP头+应用层数据”的形式），使得一般带有协议分析功能的设备也无法正常分析数据包的内容。下面我们来比较下一个普通的IP数据包和一个由PPPOE封装的数据包的不同：协议剥离功能介绍一个普通IP数据包是这样的：一个由PPPOE封装的数据包是这样的：上层是IP协议上层是PPPOE协议IP头所在的位置不一样，PPPOE添加了自身的头部协议剥离功能介绍SANGFORAC设备通过协议剥离功能，分析出这些特殊协议数据包的特点，并与内置特殊协议规则匹配，在设备内部

3、剥离掉特殊协议的协议头，这样可以支持对特殊协议封装内的原始数据进行认证、审计和控制。AC设备网桥和旁路模式下支持协议剥离功能，路由模式下不支持。网桥模式下支持对协议剥离后的数据进行自动认证，控制和审计；旁路模式下只支持对协议剥离后的数据进行自动认证和审计。协议剥离功能介绍AC支持对如下特殊协议的识别：二层协议三层协议WLAN支持多种协议组合的环境，如二层协议中封装二层或者三层协议（VLAN中跑PPPOE）协议剥离功能配置案例用户需求：某用户的AC设备网桥模式部署在网络中，需要对VLAN中传输的PPPOE数据进

4、行认证，上网控制和审计。配置思路：1.开启对VLAN协议（Q-in-Q）的剥离和PPPOE协议的剥离。2.开启PPPOE单点登录（配置省略）3.对PPPOE的用户设置上网权限策略和上网审计策略（配置省略）协议剥离功能配置案例开启VLAN协议（Q-in-Q）的剥离和PPPOE协议的剥离配置截图：协议剥离功能注意事项路由模式下不支持协议剥离功能，控制台页面也看不到“网络协议扩展”的配置页面。网桥模式下支持协议剥离，可以对协议剥离后的数据进行自动认证、审计和控制，但特殊环境下部分功能不生效：如WEB认证、准入认证、

5、拒绝页面、智能提醒页面等需要重定向的功能；SSL内容识别、MSN传文件控制、KERBEROS单点登录等；邮件延迟审计、SG的上网加速，网关杀毒等需要设备代理的功能。协议剥离环境下，不支持DKEY认证，不支持以计算机名作为用户名，只支持IP认证，不支持用户绑定MAC地址和以MAC地址作为用户名（PPPOE环境下支持绑定MAC和以MAC作为用户名）。协议剥离功能注意事项4.设备默认支持单层VLAN的协议剥离，不需要启用协议剥离。若VLAN和其他协议的组合，如VLAN中传输PPPOE，则需要同时启用[VLAN（Q-

6、in-Q）协议的剥离]和[PPPOE协议的剥离]。5.协议剥离均不支持协议以压缩、加密的方式通讯。PPPOE单点登录功能介绍PPPOE单点登录功能介绍某客户网络中已经使用PPPOE方式做认证，部署了AC设备对用户的上网行为做控制和审计。通过PPPOE单点登录功能，能实现用户通过PPPOE认证后，自动通过AC设备认证，且设备上的用户与PPPOE拨号账号对应。PPPOE单点登录功能应用环境PPPOE单点登录功能应用环境要求：PPPOE服务器部署在AC设备WAN口方向。PPPOE单点登录功能应用环境AC设备上开启P

7、PPOE协议剥离。（由于路由模式下不支持协议剥离，所以要求AC设备的部署模式为网桥或者旁路模式部署）PPPOE单点登录功能配置案例客户网络环境与需求：某客户网络环境如右图所示，内网用户通过PPPOE拨号上网，AC设备网桥模式部署在网络中，希望用户通过PPPOE认证后，自动通过AC的认证，且通过PPPOE账号记录用户对应的上网日志。PPPOE单点登录功能配置案例配置思路：设置认证策略，认证方式选择“不需要认证/单点登录”。4.认证冲突设置，如果认证时发现已经在其他IP上登录，则强制注销以前的登录，在当前IP上认

8、证通过。3.开启PPPOE单点登录。2.开启PPPOE协议剥离。PPPOE单点登录功能配置案例配置步骤：1.设置认证策略，为了防止PPPOE单点登录不成功的用户不能上网，认证方式选择“不需要认证/单点登录”。PPPOE单点登录功能配置案例2.开启PPPOE协议剥离。如果网络环境中由其他协议的数据包传输PPPOE的数据，则也要开启其他协议的协议剥离PPPOE单点登录功能配置案例3.开启PPPOE单点登