H3C SecPath ACG1000系列应用控制网关 Web配置指导(R6614)-6W102

22-用户同步

1 用户同步

1.1 概述

为了实现用户管理在其使用场景上的易用性，对用户管理相关功能进行优化。用户同步包括LDAP同步、SNMP同步和ARP扫描，其中LDAP同步需要先配置LDAP服务器后，在LDAP同步里调用LDAP服务器进行同步，LDAP服务器的配置可参考“用户和用户认证”章节的相关内容。

同步成功录入设备的用户支持在线用户识别、策略调用、QOS控制、策略路由等模块的引用控制。

· LDAP同步：通过LDAP协议报文将LDAP服务器上的用户同步到本地，然后可以按照实际需求分别对同步下来的用户组和用户进行相关功能的引用控制，比如：审计策略、控制策略、流控策略、限额策略等，LDAP同步分为两种同步类型，分别为按OU(组织单位)同步和按安全组同步，配置为按OU同步时即按照OU区分所属用户组，按照LDAP服务器上OU的配置来进行同步，即每个OU同步下来后为一个用户组，此OU下包含的OU和用户也分别对应到此用户组下的用户组和用户，同理配置为按安全组同步时按照安全组区分所属用户组，即每个安全组同步下来后为一个安全组，此安全组下包含的安全组和安全组下的用户，同一个用户可以从属多个安全组，同步到设备组织结构处的安全组和安全组下的用户不允许编辑，只有AD服务器上安全组或用户发送变化的时候点击同步同步或组织结构处的安全组名称进行触发一次ldap同步，保证设备的ldap安全组用户和AD上一致。配置按照OU同步时，安全组就不会同步下来作为用户组了，同理如果配置为安全组，那此BASE DN下的OU也就不会被同步下来作为用户组了；可以开启自动同步，开启自动同步后需配置起始时间和间隔时间，起始时间表示在每天的这个时间点进行同步，间隔时间表示本次执行同步后每经过配置的间隔时间后再执行同步。

· SNMP同步：通过SNMP协议报文获取三层交换机上的ARP表，从而得到了内网PC真实的IP和MAC地址对应关系，同步下来的IP地址和MAC地址的对应关系可以录入到用户组也可以进行IP-MAC绑定。录入到用户组支持手工录入和自动录入，录入的用户以IP地址作为用户名，绑定其IP及MAC地址，即此IP或MAC其中任何一个匹配均认为是此用户，此同步录入的用户属于静态绑定的用户，不会再进行其它方式的认证同时用户录入到本地后，可以针对此录入的用户组或用户进行相关功能的引用控制，比如：审计策略、控制策略、流控策略、限额策略等。SNMP同步支持任务周期配置，即每经过任务周期的时间进行一次同步，支持配置时间为2-36000秒。

· ARP扫描：通过ARP请求报文来获取内网PC的IP和MAC地址对应关系，同步下来的IP地址和MAC地址的对应关系可以录入到用户组也可以进行IP-MAC绑定。录入到用户组支持手工录入和自动录入，录入的用户以IP地址作为用户名，绑定其IP地址，此同步录入的用户属于静态绑定的用户，不会再进行其它方式的认证同时用户录入到本地后，可以针对此录入的用户组或用户进行相关功能的引用控制，比如：审计策略、控制策略、流控策略、限额策略等。ARP扫描支持任务周期配置，即每经过任务周期的时间进行一次同步，支持配置时间为10-36000秒。由于ARP报文为二层报文，无法跨越三层网络，因此要求ARP扫描的网段必须是设备接口的直连网段。

1.2.2 用户同步流程

1. LDAP同步用户流程

LDAP同步主要是通过LDAP协议报文来获取配置的Base DN下的用户组织关系，以用户组（配置按OU同步时，即按照LDAP服务器上的OU来区分录入用户组配置，配置按安全组同步时，即LDAP服务器上的安全组来区分录入用户组配置）单元为单位，循环读取从LDAP服务器上发送回来的用户组及其包含的用户信息。

检查获取的用户组及用户数量是否到达或超过本地设备规格，若到达设备最大规格则将获取的信息丢弃结束同步过程，否则检查是否超过用户组用户最大规格，若超过则跳过此用户组单元，继续获取下一个用户组单元，直至获取完成或者到达设备规格；如不超过则将获取到的用户组及用户信息先保存到本地缓存中。

当一个用户组单元的信息获取完整后，将本地设备中同属于一个LDAP服务器的用户及用户组置LDAP标记，然后将获取的用户组单元信息其下发给DPLAN用以用户的认证以及设备本地用户的添加保存。在DPLAN保存用户及用户组时将已存在的用户及用户组的LDAP标记取消。

同步完成初始化同步标识等变量，释放已建立的会话，结束同步。

2. SNMP同步流程

SNMP同步主要是设备通过SNMP协议学习三层交换机上的ARP表，获得内网PC的IP和MAC对应关系，设备会通过SNMP报文去请求交换机上记录ARP表的mib节点来获取到其上面的IP与MAC的对应关系，然后根据配置选择是否自动录入到相应的用户组或者通过同步结果手工执行录入到用户组或IP-MAC绑定.。

l 交换机上已开启SNMP代理功能。

l 设备与交换机网络可达。

l 设备上配置的团体字与交换机团体字一致。

3. ARP扫描流程

ARP扫描主要通过ARP协议探测同网段主机地址，从而获取到内网PC的IP地址和MAC的对应关系。设备根据配置的扫描网段依次发送ARP请求报文，监听ARP回复报文来获取对应的MAC地址，然后根据配置选择是否自动录入到相应的用户组或者通过同步结果手工执行录入到用户组或IP-MAC绑定.。

ARP扫描地址段必须是和设备同一网段.

1.3 配置用户同步

1.3.1 用户同步任务查看

在导航栏中选择“用户管理>用户管理>用户同步”，进入用户同步任务页面，可查看已配置的用户同步任务，如图1-1所示。

图1-1 用户同步任务列表

用户同步任务页面详细信息如表1-1所示

表1-1 用户同步任务列表详细信息表

标题项	说明
新建	新建任务
删除	批量删除任务
启用	启用同步条目
禁用	禁用同步条目
名称	任务名称
描述	任务描述
状态	任务状态 · 启用 · 禁用
同步类型	· LDAP同步 · SNMP同步 · ARP扫描
同步周期	任务执行的周期
自动录入	是或者否
同步状态	任务执行状态结果，同步成功或者同步失败。
操作	立即同步，单击即可执行同步任务；同步结果，单击显示同步结果；编辑，单击进入任务编辑页面；删除，删除同步任务。

1.3.2 配置LDAP同步

在导航栏中选择“用户管理>用户管理>用户同步”，单击<新建>按钮，选择<LDAP同步>进入LDAP同步配置界面，如图1-2所示；LDAP同步详细参数如表1-2所示。

图1-2 LDAP同步配置界面

表1-2 LDAP同步界面参数说明

参数	说明
启用	Ldap同步条目启用。
名称	LDAP同步条目名称。
描述	LDAP同步描述信息。
LDAP服务器	选择引用的LDAP服务器。
同步类型	· 按OU同步：OU同步AD域下OU用户；一个用户只能从属一个OU组。 · 按安全组同步：安全组同步AD域下组用户；一个用户可以从属多个安全组。
自动同步	启用或禁用自动同步功能。
起始时间	LDAP同步条目创建后开始同步的时间。
间隔时间	LDAP同步条目创建后按照时间间隔进行同步。
用户组	LDAP用户同步到某一用户组

1.3.3 配置SNMP同步

1. 配置SNMP同步

在导航栏中选择“用户管理>用户管理>用户同步”，单击<新建>按钮，选择<SNMP同步> 进入SNMP同步配置界面，如图1-3所示；SNMP同步详细参数如表1-3所示。

图1-3 SNMP同步配置界面

表1-3 SNMP同步界面参数说明

参数	说明
启用	SNMP同步功能启用、禁用。
名称	SNMP同步条目名称。
描述	SNMP同步描述信息。
IP地址	交换机ip地址，需要与设备互通。
MAC地址	与设备相连的交换机接口的IP/MAC地址。
团体名	交换机启用SNMP功能所配置的团体字。
版本号	交换机SNMP版本号，支持V1、V2和V3。
任务周期	启用后按照所配置的时间进行SNMP用户同步。
自动录入	启用后同步用户录入设备可选指定用户组录入用户，不启用只同步不录入。
录入方式	默认录入：以IP地址作为录入名，绑定IP地址及MAC地址； IP录入：以IP地址作为录入名，只绑定IP地址； MAC录入：以MAC地址作为录入名，只绑定MAC地址。
IPMAC自动绑定	启用后，设备自动把第一次学到的IP/MAC进行唯一性绑定，无需手工绑定。

2. 配置用户MAC敏感

SNMP同步场景下需要配合用户MAC敏感功能一起使用.

user mac-sensitive 命令用来配置用户识别是否对MAC变化保持敏感。

【命令】

user mac-sensitive｛enable｜disable｝

【视图】

(config)#视图

【参数】

enable：开启用户MAC敏感，用户MAC发生变化后会被踢下线重新识别。

disable：关闭用户MAC敏感。

【使用指导】

用户MAC敏感命令是配合SNMP跨三层学习MAC功能一起使用的，默认情况下为disable状态，即用户MAC发生变化后用户不会被踢下线；在跨三层环境下由于通过SNMP获取到真实MAC后在线用户的MAC会发生变化，开启MAC敏感以将用户踢下线，重新进行识别，以便重新关联用户。

说明：跨三层环境下，用户上线时MAC识别为匿名用户，MAC 地址为下联三层设备的接口MAC1,用户静态绑定条目为（user2 MAC2），当开启跨三层学习后，正常获取到用户的真实MAC2,如果用户MAC敏感为关闭状态，用户不会重新识别会导致无法关联上静态绑定用户，在线用户仍然会显示匿名用户，就会导致所有引用了账号user2的策略均不生效。

【举例】

# 配置用户MAC敏感

Host(config)# user mac-sensitive enable 开启用户MAC敏感

Host (config)# user mac-sensitive disable 关闭用户MAC敏感

1.3.4 配置ARP扫描

在导航栏中选择“用户管理>用户管理>用户同步”，单击<新建>按钮，选择<ARP扫描> 进入ARP扫描配置界面，如图1-4所示；ARP扫描详细参数如表1-4所示。

图1-4 ARP扫描配置界面

表1-4 ARP扫描界面参数说明

参数	说明
启用	ARP扫描功能启用、禁用。
名称	ARP扫描条目名称。
描述	ARP扫描描述信息。
扫描网段	需要和设备是同一网段，例如接口192.168.1.1/24，扫描需要配置成192.168.1.0/24。
任务周期	启用后按照所配置的时间进行ARP扫描同步。
自动录入	启用后同步用户录入设备可选指定用户组录入用户，不启用只同步不录入。
IPMAC自动绑定	启用后，设备自动把第一次学到的IP/MAC进行唯一性绑定，无需手工绑定。

1.4 用户同步配置举例

1.4.1 组网需求

如图1-5所示，某公司的财务部、工程部员工通过固定设备使用静态绑定IP/MAC的方式上网，生产部员工使用LDAP服务器配置的用户账号认证上网，其网段分别是172.16.1.0/24、172.16.2.0/24和172.

16.3.0/24，LDAP服务器的地址为172.16.0.20/24。工程部SNMP交换机地址为172.16.0.10/24。使用设备的ge0和ge1接口，以透明模式部署在网络中，在设备上配置用户同步。

图1-5 用户同步配置举例组网图

1.4.2 配置步骤

1. 添加LDAP服务器

通过菜单“用户管理>认证管理>认证服务器”，单击选择“新建>LDAP服务器”，进入如图1-6所示的页面。

图1-6 LDAP服务器配置

2. 配置用户组

通过菜单“用户管理>用户组织结构”，单击选择“新建>用户组”，配置财务部和工程部用户组，如图1-7、图1-8所示。

图1-7 财务部用户组配置

图1-8 工程部用户组配置

3. 配置用户同步认证

(1) 配置LDAP同步

通过菜单“用户管理>用户管理>用户同步”，单击选择“新建>LDAP同步”，进入LDAP同步配置页面。配置LDAP同步任务名称，选择LDAP服务器，选择开启同步周期并配置同步周期（每天的某个整点），或者选择关闭周期同步，如图1-9所示。

图1-9 配置生产部LDAP同步

(2) 配置SNMP同步

通过菜单“用户管理>用户管理>用户同步”，单击选择“新建>SNMP同步”，进入SNMP配置页面。配置SNMP同步任务名称，IP地址和MAC地址配置为SNMP server的IP地址和MAC地址，配置团体名和SNMP的版本号，选择开启周期同步并配置同步周期或者关闭周期同步（只在配置成功后同步一次），选择开启自动录入并配置同步结果的录入用户组，或者关闭自动录入由后期用户手动添加。如图1-10所示。

图1-10 配置工程部SNMP同步