AC部署的三种模式

SANGFORAC多机部署技术专题文档AC/SG多机部署技术专题文档1.1多机部署环境描述AC/SG多机功能主要是用于支持客户VRRP环境的，既可以起到设备冗余又可以起到负载均衡的作用。

在这种VRRP部署环境中，AC/SG架在中间是透明的，主要是口模式和多网桥模式，路由模式基本不会用到。

以下是客户那边主要部署的网络拓扑之一：AC/SG启用多网桥架在客户路由器前面，客户那边的前端路由器启用VRRP，数据流可以直走其中一个路由器起热备冗余作用，也可以2台路由器根据虚拟多个VLAN互为主备，起到负载均衡的作用。

1.2多机在AC/SG控制台的配置配置说明：1.多机同步的和功能，禁用状态设备不会向同一组播域内其他设备发心跳包。

2.【通信网口】功能，区分路由模式和网桥模式。

路由模式下只要选择通信网口，不IP地址，就引用路由模式下本身的网口配置IP地址；网桥模式下因为只有桥IP，而单独网卡上并没有配置IP，所以需要配置一个单独的IP进行发送组播心跳和同步文件。

（注意的就是这个IP 不要和局域网内的IP冲突）3.【通信IP地址】，该功能只有在网桥模式下才有，仅作为向其他设备同步数据的一个源IP。

4.【组播IP地址】，只要是224.X.X.X之后的IP均可以。

不同的设备需要能互相同步配置的话，需要设置为同一个组播IP地址。

5.【在线列表】，只要不同设备配置上相同的组播IP地址，并且每台设备上指定的通信网口在同一个局域网内，设备的心跳包可以互相到达对方，则2台设备的在线列表均可以看到对方，即可以进行多机同步了。

1.3同步消息处理流程当多机同步触发之后，分为3种方式：用户认证数据同步，手动同步、库文件同步。

用户认证同步的数据因为是直接从认证驱动中抓包，所以没有了对比MD5值的流程，直接封装然后加入到发送数据的队列中；手动配置和库同步的配置，都需要先对比MD5值然后再进行封装，加入到发送队列中。

1.4几种同步方式实现原理1.4.1手动同步配置手动同步配置主要是同步设备控制台的一些配置，保持多机切换后部署在VRRP环境下的AC/SG设备配置一致，从而不影响到客户那边的上网业务。

配置手册集客网关AC V3文档版本：V1.0版权声明copyright©2018集客科技保留对本文档及本声明的一切权利。

未得到集客科技的书面许可，任何单位和个人不得以任何方式或形式对本文档的部分内容或全部进行复制、摘录、备份、修改、传播、翻译成其他语言、将其全部或部分用于商业用途。

GECOOS为集客科技的商标。

本文档提及的其他所有商标或注册商标，由各自的所有人拥有。

免责声明您所购买的产品、服务或特性等应受商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。

除非合同另有约定，集客科技对本文档内容不做任何明示或默示的声明或保证。

由于产品版本升级或其他原因，本文档内容会不定期进行更新。

集客科技保留在没有任何通知或者提示的情况下对文档内容进行修改的权利。

本手册仅作为使用指导。

集客科技在编写本手册时已尽力保证其内容准确可靠，但并不确保手册内容完全没有错误或遗漏，本手册中的所有信息也不构成任何明示或暗示的担保。

感谢您选择我们的产品！阅读此说明书有益于配置、管理和维护本产品，祝您使用愉快！读者对象本书适合下列人员阅读●网络工程师●技术推广人员●网络管理员技术支持●集客科技官方网站：●●QQ交流群：53177852●集客科技技术支持与反馈信箱：*****************本书约定●本手册部分举例的显示信息中可能含有其它产品系列的内容（如产品型号、描述等），具体显示信息请以实际使用的设备信息为准。

●本手册所说的网关是指“集客网关AC”。

1默认参数 (8)2网关设置 (8)2.1网关登录 (8)2.1.1控制台登录管理 (8)2.1.2WEB登录管理 (9)2.1.3网口绑定 (9)2.1.4DNS参数 (10)2.1.5内网设置 (11)2.1.6VLAN管理 (12)2.1.7PPTP客户端 (12)2.1.8网口状态 (13)2.2AC控制器 (13)2.2.1基本设置 (14)2.2.2模板列表 (14)2.2.3无线AP列表 (15)2.2.４接入点列表 (16)2.2.５用户列表 (17)2.2.６黑白名单 (17)2.2.７状态统计 (18)2.3热点运营 (18)2.3.1基础设置 (18)2.3.3黑名单MAC (19)2.3.4认证列表 (20)2.3.5认证日志 (20)2.4路由管理 (21)2.4.1静态路由 (21)2.4.2多线路由 (21)2.4.3默认路由 (22)2.5应用服务 (23)2.5.1DHCP服务 (23)2.5.2DNS代理 (24)2.5.3动态DNS (25)2.6访问控制 (25)2.6.1IPMAC绑定 (25)2.6.2端口映射 (26)2.6.3NET转换 (26)2.6.4单机限速 (27)2.7系统管理 (27)2.7.1系统管理 (27)2.7.2备份修复 (28)2.7.3升级管理 (28)2.7.4重启关机 (29)2.8系统工具 (30)2.8.1PING测试 (30)2.8.2子网计算 (30)2.8.3网络抓包 (31)2.8.4日志分析 (31)2.8.5系统注册 (32)2.9状态监控 (32)2.9.1主机监控 (32)概述集客网关AC：集路由、AP管理、营销认证、流量控制等功能为一体智能网关。

AC组网运用简介组网应用产品应用场景AC有直连式组网和旁挂式组网两种方式。

AC承载管理流和数据业务流，管理流必须封装在CAPWAP （Control And Provisioning of Wireless Access Points）隧道传输，数据流可以根据实际情况选择是否封装在CAPWAP隧道中传输。

CAPWAP定义了无线接入点（AP）与无线控制器（AC）之间的通信规则，为实现AP和AC之间的互通性提供通用封装和传输机制。

CAPWAP数据隧道封装AP发往AC的802.3协议的数据包。

CAPWAP管理隧道实现远程AP配置和WLAN管理。

根据数据流（也称业务流）是否封装在CAPWAP隧道中转发，可以分为两种转发模式：直接转发：也称本地转发或分布转发。

隧道转发：也称集中转发，通常用于集中控制无线用户流量的场景。

无论直连式组网还是旁挂式组网，都可以根据需要自行选择，AC 支持两种模式混合，即根据需要部分AP配置为直接转发模式，部分AP配置为隧道转发模式。

由于隧道转发模式下，所有无线用户流量都将汇聚到AC上处理，存在交换瓶颈的风险，在企业网中不常采用。

直连式组网直连式组网是指AC下直接接入AP或接入交换机，同时扮演AC 和汇聚交换机功能，AP的数据业务和管理业务都由AC集中转发和处理。

直连式组网方式中，AP和AC之间建立CAPWAP管理隧道，AC 通过该CAPWAP管理隧道实现对AP的集中配置和管理。

无线用户的业务数据可以通过CAPWAP数据隧道在AP与AC之间转发（隧道转发模式），也可以由AP 直接转发（直接转发模式）。

由于直连式组网中，AC自然串接在线路中，故多采用直接转发模式，用户业务数据在AP上实现转发。

AC启动DHCP Server功能，给AP分配IP地址，AP 通过DHCP Option43、DHCP Option15或DNS的方式或二层发现协议发现AC，建立数据业务通道。

直接转发模式下AP的管理流封装在CAPWAP协议的隧道中，而AP的数据业务流不加CAPWAP封装，直接由AP发送到AC，再由AC透传至上层设备中。

AC AP方案概述在计算机网络中，AC（Access Controller）和AP（Access Point）是构建无线局域网（WLAN）的重要组件。

AC负责集中管理和控制一组AP，并提供对WLAN 用户的认证、授权和流量控制等功能。

AP则负责无线信号的发射和接收，将有线网络转换为无线信号，并提供无线网络的接入服务。

本文档将介绍AC AP方案，包括其工作原理、部署方式和优势等内容。

工作原理AC AP方案的工作原理如下：1.组网：多个AP连接到一个AC上，形成一个统一的无线局域网。

AP可以通过有线或无线方式与AC连接。

2.认证与授权：WLAN用户首次接入网络时，需要进行认证和授权。

用户可以使用用户名、密码等方式进行认证，AC会对用户进行身份验证，并根据策略进行授权。

3.流量控制：AC能够对WLAN用户的流量进行控制和管理。

AC可以根据用户需求和网络状况，对不同用户的流量进行限速、优先级设置等操作，以实现带宽管理和流量调度。

4.网络安全：AC AP方案提供了一系列的安全功能，包括加密传输、防火墙设置、入侵检测等。

AC可以对无线网络进行安全策略的配置，并监控网络中的安全事件。

5.管理与监控：AC提供了集中管理和监控AP的功能。

管理员可以通过AC对AP进行配置、升级、故障排除等操作。

AC还能够收集AP和用户的统计信息，并提供可视化的监控界面。

部署方式AC AP方案可以根据网络规模和需求的不同，选择不同的部署方式。

1.集中式部署：适用于中小型网络环境。

在集中式部署中，多个AP连接到一个AC上，AC负责统一管理和控制所有AP。

这种部署方式对网络设备的要求较高，但能够提供更好的管理和控制能力。

2.分布式部署：适用于大型网络环境。

在分布式部署中，多个AC连接到一个集中管理服务器上，每个AC负责管理一部分AP。

这样可以减轻单个AC的负载，提高系统的可扩展性和性能。

3.混合部署：适用于复杂网络环境。

在混合部署中，可以将集中式部署和分布式部署结合使用。

多网桥模式部署
多网桥：是指一台设备可以做多个网桥，相当于多个交换机，和网桥多网口的区别是：设备的ARP表维持多份；内外网口是一一对应的；网口属于同一个网桥才能进行数据转发，不同网桥接口之间的数据不能转发。

多网桥应用场景:
a.设备一进一出做单网桥
b.客户内网有VRRP或HSRP环境
1.选项双网桥模式部署设备
2.从lan和wan区域选择接口，配置成一对桥的接口
3.给不同的网桥配置ip地址(这样就可以保证我们设备是可以上网的，如果其中一条线断了，但是还可以通过另外一个网桥上网)
4.给设备配置一个管理地址
5.静态路由
去往内网的网段192.168.1.0，下一跳交给网关地址192.168.1.254（一台交换机的上链接口地址）
当我们设备网桥模式部署的时候，设备上面的路由是不会影响到内网的用户选路的，但是会影响到从ac发包的数据，因为我们在这种环境下面，只可以写一条静态路由，去往内网的
网段，这样如果交换机切换了，那么会影响到准入规则，web认证功能。

AP与AC知识介绍AP (Access Point)和AC (Access Controller) 是无线网络中两个重要的组件。

AP 是无线网络的接入点，负责实现终端设备与无线网络之间的连接。

AC 是无线网络的控制器，负责对AP进行统一管理和控制，提供更好的网络性能和安全保障。

下面将详细介绍AP和AC的知识。

一、AP（Access Point）1.AP的定义AP是Access Point的缩写，即接入点。

它是无线局域网中的一个关键设备，用于提供无线网络的覆盖与连接。

AP主要功能包括接收来自终端设备的数据，与有线网络连接，以及将数据转发给相应的接收端。

2.AP的工作原理AP通过无线电波与终端设备进行无线通信。

它接收终端设备发送的数据，并将数据按照网络规则进行处理和转发。

AP还可以与有线网络连接，将无线数据转换成有线数据，并通过有线网络传输到其他设备。

3.AP的分类根据工作频率，AP可以分为2.4GHz和5GHz两种。

2.4GHz频段的AP 信号传输距离较远，穿墙能力较强，但信号受到其他设备干扰较多；5GHz 频段的AP信号穿墙能力相对较差，但信号稳定性较强。

根据传输速率，AP可以分为802.11b/g/n/ac等不同标准。

4.AP的配置和管理AP的配置和管理包括设置无线网络的名称（SSID）、频率、加密方式等参数。

一般情况下，用户可以通过Web界面或特定的管理软件进行AP的配置和管理。

配置好的AP可以自动选择信道、监测网络状况、进行维护和故障排除等工作。

二、AC（Access Controller）1.AC的定义AC是Access Controller的缩写，即接入控制器。

AC是无线局域网中的一个关键设备，主要负责对AP进行集中管理和控制。

AC通过与AP 建立连接，并下发相应的配置和策略，对AP进行统一管理和控制。

2.AC的功能2.1.非常多的AP可以通过AC进行集中管理，包括统一配置、升级、监控等。

NETSYS AC 产品使用手册深圳市网域科技有限公司二零零九年五月目录第一章简介 (5)1.1NETSYS AC解决方案 (6)1.2产品功能 (6)1.3多功能和高性能的结合 (7)第二章网络部署架构 (7)2.1NETSYS AC部署模式 (7)2.2网络结构典型实例 (11)第三章设备安装 (13)3.1检查连通情况 (14)3.2初始登陆账号 (15)3.3系统登录界面 (15)3.4系统界面说明 (16)3.5故障恢复 (17)第四章设备管理 (18)4.1设备状态 (18)4.2设备控制 (19)4.3网络配置 (20)4.4双线路说明 (23)第五章防火墙 (24)5.1安全策略 (24)5.2对象配置 (29)5.3防火墙日志 (32)5.4快速配置 (33)第六章VPN (33)6.1功能配置说明 (34)6.2隧道监视 (35)6.3设备认证 (36)6.4智能模式 (36)6.6隧道配置 (37)6.7日志管理 (38)6.8移动客户端 (38)6.9VPN配置实例 (39)第七章用户管理 (41)7.1用户类型 (41)7.2修改企业信息 (43)7.3添加企业部门 (43)7.4手工添加员工 (44)7.5修改用户姓名 (47)7.6新认证用户 (47)7.7免监控IP (47)7.8认证定制 (48)第八章上网行为管理 (48)8.1文件过滤 (49)8.2网页过滤 (50)8.3应用层过滤 (50)8.4审计策略模版和配置 (51)8.5带宽控制 (53)8.6流量监视 (56)8.7配置实例 (58)第九章桌面行为管理 (62)9.1桌面行为 (63)9.2资源审计 (66)9.3模块审计 (67)9.4日志审计 (68)9.5进程审计 (72)9.6单机维护 (73)9.7拓扑编辑 (75)第十章数据管理 (80)10.1界面说明 (80)10.2功能说明 (81)10.3报表中心 (82)第十一章文档安全 (83)11.1基本原理 (84)11.2基本部署步骤 (85)11.3文档管理 (91)11.4文档加密常见问题 (95)第十二章网络磁盘 (96)12.1工作模式 (96)12.2基本功能 (96)12.3基本配置 (97)第一章简介现代企业越来越离不开电脑和网络，但是电脑和网络的管理成为一大问题，员工经常用电脑来聊天，做私事、打游戏、下载、访问网站，这样不仅影响工作，而且对公司文化建设产生不好的影响。

深信服上网行为管理-管理员手册深信服电子科技有限公司■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。

任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录第1章前言.......................................................... 错误!未定义书签。

第2章系统管理...................................................... 错误!未定义书签。

设备登录....................................................... 错误!未定义书签。

修改管理员密码............................................. 错误!未定义书签。

创建二级管理员............................................. 错误!未定义书签。

系统基本信息配置............................................... 错误!未定义书签。

序列号..................................................... 错误!未定义书签。

系统时间................................................... 错误!未定义书签。

规则库升级................................................. 错误!未定义书签。

全局排除地址............................................... 错误!未定义书签。

设备配置备份与恢复......................................... 错误!未定义书签。

银行Wifi上网行为审计方案一、无线wifi的安全审计功能人员通过银行wifi访问互联网信息，如果向互联网发布一些过激言论、反动信息等，不仅会对银行形象产生负面影响，甚至如果触犯了国家的法律招致有关部门的调查，还会牵连面临法律风险，因此，必须对用户的上网行为进行管理并审计风险行为，以便有据可查。

上网行为管理产品，能为用户提供专业的用户管理、应用控制、网站过滤、内容审计、流量管理和行为分析等功能。

可以帮助客户达成上网行为可视、减少安全风险，减少信息泄密、遵从法律法规、提升工作效率、优化带宽资源等等实用功能。

通过选用通过公安部安全审计入围设备，结合中国电信综合信息服务提供商在网络接入与安全的专业技术优势，提供安全接入综合解决方案，合理配置安全策略，提供可视化管理工具，用户行为分析等应用功能，为银行提供用户wifi 接入安全审计，满足互联网上网规范，同时可以满足银行业务的营销分析需求。

上网行为管理设备功能列表如下：二、上网行为管理部署可选方案AC工作模式有两种：一种是集中管理，集中转发。

即所有AP的管理数据流和终端的业务数据流都需要由AC来转发；另外一种是集中管理，分布转发。

即所有AP的管理数据流由AC转发，而业务数据流则在部署在本地的三层设备转发。

方案一：AC的工作模式设置为集中管理，集中转发。

上网行为管理设备可部署在2个位置，汇聚出口或者AC与核心交换机之间。

可根据设备的多少选择部署上网行为设备管理平台和专用的上网行为管理日志服务器，以便于管理。

图示如下：1、选择上网行为管理设备部署在AC与核心交换机之间，那么可根据用户数量的增长，相应的扩容行为管理设备，不会造成投资浪费，同时安全性相对较高。

2、选择上网行为管理设备部署在上网出口，那么需评估总体用户数量，设备性能需能够支撑未来的用户增长。

方案优点：网络结构简单，上网行为管理设备部署集中，管理维护方便。

缺点：出口汇聚流量过于集中，出口带宽成本高，地市分行无直接管理权限。

深信服上网行为管理-管理员手册深信服电子科技有限公司本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。

任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录第1 章前言 (5)第2 章系统管理 (5)2.1 设备登录 (5)2.2 管理员配置 (7)2.2.1 修改管理员密码 (7)2.2.2 创建二级管理员 (7)2.3 系统基本信息配置 (9)2.3.1 序列号 (9)2.3.2 系统时间 (10)2.3.3 规则库升级 (10)2.3.4 全局排除地址 (11)2.3.5 设备配置备份与恢复 (11)2.3.6WEBUI 选项 (12)2.3.7 远程维护 (12)第3 章网络配置 (13)3.1 部署模式 (13)3.2 静态路由 (17)第4 章策略管理 (18)4.1 用户认证与管理 (18)4.1.1 用户组管理 (18)4.1.2 认证策略 (19)4.1.3 不需要认证 (19)4.1.4IP/MAC 绑定 ....................................4.1.5 不允许认证 (26)4.2 策略管理 (27)4.2.1 购物娱乐类网站 (27)4.2.2P2P 及P2P 流媒体封堵 (30)4.2.3 外发文件封堵 (33)4.2.4 上网审计 (36)4.3 流量管理 (38)4.3.1 线路带宽配置 (38)4.3.2 保证通道 (39)4.3.3 限制通道 (42)4.4 终端接入管理 (45)4.4.1 共享接入管理 (45)第5 章日志中心管理 (47)5.1 日志中心配置 (47)5.1.1 准备工作 (47)5.1.2 外置日志中心安装过程 (48)5.1.3 日志中心登录 ..................................5.1.4 同步策略设置 (53)5.1.5AC 同步配置 (54)5.2 日志中心登录 (55)5.2.1 内置日志中心登录 (55)5.2.2 外置日志中心登录 (55)5.3 日志查询 (56)5.3.1 所有行为日志 (56)5.3.2 网站访问日志 (59)5.3.3 邮件收发日志 (61)5.3.4 发帖/发微博日志 (62)5.3.5 其他日志 (65)5.3.6 日志导出 (65)5.3 流量时长分析 (66)5.4 报表中心 (67)5.5 系统管理 (68)第1 章前言本手册用于讲解 AC 常见功能操作方法，为管理员提供日常策略维护指导。

AC AP组网方案1. 概述本文档旨在介绍AC (Access Controller) AP (Access Point)组网方案。

AC AP组网方案是一种无线局域网（WLAN）架构，其中AC作为中央管理节点，负责管理多个AP设备的接入和配置。

本文将介绍AC AP组网的基本原理、架构和部署步骤。

2. 基本原理AC AP组网方案的基本原理是将无线接入点AP与AC连接，并通过AC对AP进行统一配置和管理。

AP负责提供无线网络信号，而AC负责控制和管理AP。

用户通过AP连接到AC，并通过AC实现接入控制、认证和流量管理等功能。

3. 架构AC AP组网方案的架构主要包括以下几个组件：•AC（Access Controller）: AC是组网的中央管理节点，负责管理AP 设备，实现对AP的配置、控制和管理。

AC可以是物理设备或虚拟设备。

•AP（Access Point）: AP作为接入节点，负责提供无线信号和接受用户连接请求。

AP会将用户请求发送给AC进行处理。

•用户设备：包括各种无线终端设备，如手机、平板电脑等。

用户设备通过AP连接到WLAN并获取网络服务。

AC和AP的连接可以通过有线或无线方式完成。

一般情况下，AC和AP之间会通过有线网络连接，以保证更高的稳定性和传输速度。

4. 部署步骤以下是AC AP组网方案的部署步骤：步骤一：选择AC和AP设备根据实际需求选择合适的AC和AP设备。

AC设备应具备足够的处理能力和稳定性，以满足大量AP的管理需求。

AP设备应具备良好的接入能力和信号覆盖范围。

步骤二：规划网络拓扑根据网络需求和实际场景，规划网络拓扑结构。

确定AC和AP的位置和数量，并规划用户设备的接入范围和覆盖区域。

步骤三：连接AC和AP将AC和AP设备通过有线或无线方式连接起来。

如果使用有线连接，需要将AC和AP连接到同一个局域网中的交换机上。

如果使用无线连接，需要配置无线设备之间的连接参数。

步骤四：配置AC通过AC的管理界面或命令行界面进行AC的基本配置。