H3C SecPath ACG1000系列应用控制网关 Web配置指导(R6614)-6W102

17-部署方式

1 部署方式

1.1 旁路部署

通过菜单“网络管理 > 基础网络 > 部署方式”，进入如图1-1所示页面。各个配置项的含义如表1-1所示。

启用接口旁路部署方式只对报文进行监听，不进行转发。

图1-1 旁路部署页面

表1-1 旁路部署各配置项和显示项含义表

标题项	说明
接口名称	当前系统所有的接口名称。
状态	当前系统部署状态，绿色对号图标为该接口是旁路口。
启用	勾选接口启用，代表该接口启用旁路口。

1.2 旁路认证和阻断

1.2.1 旁路认证和阻断概述

设备旁路部署时支持认证和阻断功能。旁路模式并不替换用户的路由器，也不提供任何NAT、DHCP或者DNS服务。通常部署在交换机旁边，通过镜像的方式，仅仅提供认证和阻断的功能。旁路模式不修改网络结构，不关心网络细节，关机也不掉线。

适用一些密度高度集中的场所，如大型展会，大型推销活动，演唱会，火车站或者运动会等。

· 对于没有认证的用户发送http 302报文重定向。

· 控制策略为拒绝时，对匹配到安全策略的TCP报文发送reset报文，阻止用户访问网络。

1.2.2 配置旁路认证和阻断

通过菜单“网络管理 > 基础网络 > 部署方式 > 高级配置”，进入如图1-2所示页面。在该页面上可以配置旁路认证和阻断相关功能。各个配置项含义如表1-2所示。

图1-2 旁路认证配置页面

表1-2 旁路认证和阻断配置项含义表

标题项	说明
旁路阻断	旁路阻断开关，开启旁路阻断配合IPV4控制实现旁路阻断功能，默认为关闭。
旁路认证	旁路认证开关，开启旁路认证配合用户认证实现旁路认证功能，默认为关闭。

1.3 旁路认证和阻断配置举例

1.3.1 组网需求

如图1-3所示，某企业对内网用户50.1.1.3-100/24工作时间都将进行用户认证和内网用户和50.1.1.101-254/24工作时间都进行行为控制，不提供任何NAT，DHCP或者DNS服务。部署在交换机旁边，通过镜像的方式，仅仅提供认证和阻断的功能。旁路模式不修改网络结构，不关心网络细节，关机也不掉线，不会影响企业内部网络。

图1-3 旁路认证和阻断组网图