下载文档原格式
配置手册集客网关AC V3文档版本：V1.0版权声明copyright©2018集客科技保留对本文档及本声明的一切权利。
未得到集客科技的书面许可，任何单位和个人不得以任何方式或形式对本文档的部分内容或全部进行复制、摘录、备份、修改、传播、翻译成其他语言、将其全部或部分用于商业用途。
GECOOS为集客科技的商标。
本文档提及的其他所有商标或注册商标，由各自的所有人拥有。
免责声明您所购买的产品、服务或特性等应受商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。
除非合同另有约定，集客科技对本文档内容不做任何明示或默示的声明或保证。
由于产品版本升级或其他原因，本文档内容会不定期进行更新。
集客科技保留在没有任何通知或者提示的情况下对文档内容进行修改的权利。
本手册仅作为使用指导。
集客科技在编写本手册时已尽力保证其内容准确可靠，但并不确保手册内容完全没有错误或遗漏，本手册中的所有信息也不构成任何明示或暗示的担保。
感谢您选择我们的产品！阅读此说明书有益于配置、管理和维护本产品，祝您使用愉快！读者对象本书适合下列人员阅读●网络工程师●技术推广人员●网络管理员技术支持●集客科技官方网站：●●QQ交流群：53177852●集客科技技术支持与反馈信箱：*****************本书约定●本手册部分举例的显示信息中可能含有其它产品系列的内容（如产品型号、描述等），具体显示信息请以实际使用的设备信息为准。
●本手册所说的网关是指“集客网关AC”。
1默认参数 (8)2网关设置 (8)2.1网关登录 (8)2.1.1控制台登录管理 (8)2.1.2WEB登录管理 (9)2.1.3网口绑定 (9)2.1.4DNS参数 (10)2.1.5内网设置 (11)2.1.6VLAN管理 (12)2.1.7PPTP客户端 (12)2.1.8网口状态 (13)2.2AC控制器 (13)2.2.1基本设置 (14)2.2.2模板列表 (14)2.2.3无线AP列表 (15)2.2.４接入点列表 (16)2.2.５用户列表 (17)2.2.６黑白名单 (17)2.2.７状态统计 (18)2.3热点运营 (18)2.3.1基础设置 (18)2.3.3黑名单MAC (19)2.3.4认证列表 (20)2.3.5认证日志 (20)2.4路由管理 (21)2.4.1静态路由 (21)2.4.2多线路由 (21)2.4.3默认路由 (22)2.5应用服务 (23)2.5.1DHCP服务 (23)2.5.2DNS代理 (24)2.5.3动态DNS (25)2.6访问控制 (25)2.6.1IPMAC绑定 (25)2.6.2端口映射 (26)2.6.3NET转换 (26)2.6.4单机限速 (27)2.7系统管理 (27)2.7.1系统管理 (27)2.7.2备份修复 (28)2.7.3升级管理 (28)2.7.4重启关机 (29)2.8系统工具 (30)2.8.1PING测试 (30)2.8.2子网计算 (30)2.8.3网络抓包 (31)2.8.4日志分析 (31)2.8.5系统注册 (32)2.9状态监控 (32)2.9.1主机监控 (32)概述集客网关AC：集路由、AP管理、营销认证、流量控制等功能为一体智能网关。
1、版本查看_display version 查看内部设备版本display version 查看设备版本标准信息如果AC版本低于R2109P01（B58D011）版本，请联系H3C济南办事处山东移动项目组获取R2109P01 （B58D011）或按照要求升级至相关更高项目版本。
WX6103-CMW520-R2109P01.bin、wa2100.bin、wa2100_update.bin、wa2200_fit.bin将以上R2109P01及配套版本文件上传AC flash中，以R2109P01版本进行升级注意事项：记录设备升级完成并开始提供AP接入服务的时间点输出AC、AP软件版本信息升级AC版本时不要下挂任何AP<H3C>dir //查看当前内存储存版本信息[H3C] tftp server-address{ get | put | sget }source-filename<H3C>boot-loader file wx6103-cmw520-r2109p01.bin main<H3C>delete /unreserved 版本名2、VLAN及接口配置命令集AC板卡配置<H3C>system-view //进入配置模式[H3C] vlan X //创建VLAN X[H3C] interface vlan X //进入VLAN X的子接口[H3C-vlan-interface x] ip address x.x.x.x x.x.x.x //为VLAN设置IP地址[H3C]interface Ten-GigabitEthernet1/0/1 //进入10GE背板接口，如果又两块AC控制板，则需要进入1/0/1与2/0/1[H3C-Ten-GigabitEthernet1/0/1]port link-type trunk //设置背板接口为TRUNK模式[H3C-Ten-GigabitEthernet1/0/1]port trunk permit vlan X to X //允许TRUNK端口通过的VLAN号[H3C-Ten-GigabitEthernet1/0/1]port trunk pvid vlan 4094 //任何没有VLAN标记的数据全部打上VLAN 4094交换板卡配置<H3C>OAP connect slot 0<H3C>system-view[H3C]interface Ten-GigabitEthernet0/0/1 //进入10GE背板接口，如果又两块AC控制板，则需要进入0/0/1与0/0/2 [H3C-Ten-GigabitEthernet1/0/1]port link-type trunk //设置背板接口为TRUNK模式[H3C-Ten-GigabitEthernet1/0/1]port trunk permit vlan X to X //允许TRUNK端口通过的VLAN号[H3C-Ten-GigabitEthernet1/0/1]port trunk pvid vlan 4094 //任何没有VLAN标记的数据全部打上VLAN 4094[H3C] interface GigabitEthernet0/0/x //进入交换板接口[H3C-GigabitEthernet0/0/x]port link-type trunk //设置端口TRUNK端口[H3C-GigabitEthernet0/0/x]port trunk permit vlan x to x //trunk端口允许通过的VLAN3、DHCP地址池配置[H3C]dhcp enable[H3C]dhcp server ip-pool poolname //设置一个地址池，名字自己起[H3C-dhcp-pool-poolname]network X.X.X.X 24 //给地址池分配一个地址段[H3C]dis dhcp server ip-in-use all说明：如果想给两个VLAN配置不同的DHCP地址池，那么需要将两个VLAN的子接口的地址分别同两个地址池的地址段相同。
公司的无线设备越来越多，超过了150个，原有的2个AP已不堪重负，看来又得当一当网管了，向领导审批，采购设备，抽休息时间把无线网络进行了改造，并加入了Portal 认证，方便来宾用户，记录下整个安装配置流程。
在网络的前期规划中，使用了三层交换机，将地址分段，并开启DHCP，192.168.0.1 为路由器，192.168.1.0/24 段分配给内部服务器使用, 192.168.2.0/24 分配给工作组，192.168.3.0/24 分配给无线设备使用，扩容升级直接将原有192.168.3.0/24 段的2台AP拿掉，接入WX3010E无线控制器，再将7个AP 设备挂在无线控制器下，如图所示。
改造后将使用3个SSID，分别是 Office-WIFI （办公使用） Office-WIFI-5G （办公5G频段）Office-Guest （无密码提供给来宾使用，需要Portal 认证，放置公司自定义宣传页）页脚内容1在网上能查阅到很多H3C网络设备的配置，都是基于控制台命令配置的，但对于我这非网管职业的人来说重新学习一套系统的配置成本太高，用的少也容易忘记，于是尝试摸索通过WEB配置，没想到2小时不到就搞定了，后面的Portal 认证则多花费了一点时间。
WX3010E 无线控制器内部包含了一个交换面板和无线控制器两个模块，无线控制器WEB网管默认IP为192.168.0.100 交换面板WEB网管默认IP为192.168.0.101 用户名密码均为admin , 因需求只需要实现无线覆盖，直接使用二层模式即可，不用配置交换面板。
配置无线控制器IP，将WX3010E的1端口连接PC，设置PC网卡IP 192.168.0.2 子网255.255.255.0 给控制器上电，等待10分钟左右，启动完成后登陆WEB网管192.168.0.100，(推荐使用Chrome 浏览器，在使用IE11和Firefox 中总遇到一些页面兼容性问题)，选择快速配置，注意在3/9 步骤配置设备IP地址，其它的配置可以在后面进行，完成后设备IP会立即生效，PC的IP先不用修改，接着去配置AP。
AC+AP组网配置手册 在实际工程中，最常用的就是AC+AP的组网模式，使用AC+AP组网模式有一个前提条件，所有组网的设备都必须是rippleOS固件，下面给大家具体讲一下AC+AP组网模式的配置方法，参考以下网络拓扑图。
1、配置好AC路由器上网 2、将AC路由器的LAN口（或AC下交换机的端口）和下级设备的WAN口用网线连接，然后给下级设备通电（先接网线，再通电） 3、此时下级设备会自动变为AP，它的所有配置信息均从AC处同步过来 此时，AC+AP的组网就设置好了，现在只需要在AC界面的AP设置里即可查看到AP的状态信息。
图1 AC+AP组网拓扑图 AP设置AP设置中，可以对AP别名，2.4G和5G的信道、发射功率、最大接入人数等参数进行修改。
AP别名用于多AP时，备注AP的安装位置，区分AP，便于排查故障。
当空间内有多个AP覆盖时，需要错开信道，建议使用1,6,11三个信道，若为高密度覆盖时，建议降低设备发射功率，降低AP间的干扰。
并限制AP的最大接入数，达到负载均衡。
新版本增加了AP自动信道功能，在AC的AP管理界面点击“所有AP自动信道”，此AC下的所有AP会自动根据周边其他AP的信道分布情况找一个相对干扰较小的信道来分布信号。
图2 AP管理界面 POE交换机选择指导大型网络中使用了高端交换机，交换机端口默认不支持多vlan传输。
常规端口使用access模式，这样导致认证网络段地址不可用，终端连接不上认证SSID，免认证SSID正常使用。
针对以上情况，需要及时判断网络构造和设备使用情况，谨慎选择和购买交换机。
交换机选择指导： 普通交换机或POE：设备无需做任何配置； 高端设备：交换机端口配置为trunk口模式（购买前请确认所有设备端口都能支持trunk口模式） 交换机需要创建vlan3用于所有端口使用，请勿占用vlan3。
AP与AC知识介绍AP (Access Point)和AC (Access Controller) 是无线网络中两个重要的组件。
AP 是无线网络的接入点，负责实现终端设备与无线网络之间的连接。
AC 是无线网络的控制器，负责对AP进行统一管理和控制，提供更好的网络性能和安全保障。
下面将详细介绍AP和AC的知识。
一、AP（Access Point）1.AP的定义AP是Access Point的缩写，即接入点。
它是无线局域网中的一个关键设备，用于提供无线网络的覆盖与连接。
AP主要功能包括接收来自终端设备的数据，与有线网络连接，以及将数据转发给相应的接收端。
2.AP的工作原理AP通过无线电波与终端设备进行无线通信。
它接收终端设备发送的数据，并将数据按照网络规则进行处理和转发。
AP还可以与有线网络连接，将无线数据转换成有线数据，并通过有线网络传输到其他设备。
3.AP的分类根据工作频率，AP可以分为2.4GHz和5GHz两种。
2.4GHz频段的AP 信号传输距离较远，穿墙能力较强，但信号受到其他设备干扰较多；5GHz 频段的AP信号穿墙能力相对较差，但信号稳定性较强。
根据传输速率，AP可以分为802.11b/g/n/ac等不同标准。
4.AP的配置和管理AP的配置和管理包括设置无线网络的名称（SSID）、频率、加密方式等参数。
一般情况下，用户可以通过Web界面或特定的管理软件进行AP的配置和管理。
配置好的AP可以自动选择信道、监测网络状况、进行维护和故障排除等工作。
二、AC（Access Controller）1.AC的定义AC是Access Controller的缩写，即接入控制器。
AC是无线局域网中的一个关键设备，主要负责对AP进行集中管理和控制。
AC通过与AP 建立连接，并下发相应的配置和策略，对AP进行统一管理和控制。
2.AC的功能2.1.非常多的AP可以通过AC进行集中管理，包括统一配置、升级、监控等。
一．无线局域网的特点及应用环境 (1)二．无线网络标准 (2)四．无线局域网的架构 (2)五．解决问题 (3)六. 安全建议 (3)七．施工细节 (4)一．无线局域网的特点及应用环境1. 无线局域网的特点无线局域网的出现使有线网络所遇到的问题迎刃而解，它可以使用户任意对有线网络进行扩展和延伸.只是在有线网络的基础上通过无线接入器、无线网桥、无线网卡等无线设备使无线通信得以实现。
在不进行传统的布线的同时，提供有线局域网的所有功能,无线局域网内可以使用无线AC来管理大量的AP,当AP的增加时,就可接入无线AC而形成一个大型的集中管理系。
2。
无线局域网具有传统有线网络无法比拟的特点：灵活性，不受线缆的限制，可以随意增加和配置工作站；低成本，无线局域网不再需要大量的工程布线，同时节省了线路维护的费用；移动性，不受时间、空间的限制，用户可在网络中漫游；易安装，对于有线网络来说，无线局域网的组建、配置和维护更为容易. 而且，通信范围不受环境条件的限制,网络传输覆盖范围大大的拓展，室外可以传输几十公里、室内可以传输数十、几百米。
在网络数据传输方面也有与有线网络等效的安全加密措施。
3.所有这些无线局域网的特点使其可以广泛使用在以下的领域:移动办公的环境:大型企业、医院等移动工作的人员应用的环境；难以布线的环境:历史建筑、校园、工厂车间、城市建筑群、大型的仓库等不能布线或者难于布线的环境；频繁变化的环境：活动的办公室、零售商店、售票点、医院、以及野外勘测、试验、军事、公安和银行金融等，以及流动办公、网络结构经常变化或者临时组建的局域网;特殊项目的局域网：航空公司、机场、货运公司、码头、展览和交易会等；小型网络用户：办公室、家庭办公室(SOHO）用户;二．无线网络标准1.IEEE 802。
11标准IEEE 802。
11标准是无线局域网的标准之一,是无线领域目前最为成熟的网络标准。
该标准定义了OSI七层模型中的物理层（PHY）和媒体访问控制层（MAC）的协议规范，其中MAC层是重点。
路由器配置中的三种模式路由器有三种基本的访问模式：1、用户模式（User EXEC）用户模式是路由器启动时的缺省模式，提供有限的路由器访问权限，允许执行一些非破坏性的操作，如查看路由器的配置参数，测试路由器的连通性等，但不能对路由器配置做任何改动。
该模式下的提示符（Prompt）为“＞”。
show interface命令，查看路由器接口信息，即为用户模式下的命令。
2、特权模式(Privileged EXEC)特权模式，也叫使能（enable）模式，可对路由器进行更多的操作，使用的命令集比用户模式多，可对路由器进行更高级的测试，如使用debug命令。
在用户模式下通过使能口令进入特权模式。
提示符为“＃”。
Show running-config即为特权模式命令。
3、配置模式(Global Configuration)配置模式是路由器的最高操作模式，可以设置路由器上的运行的硬件和软件的相关参数；配置各接口、路由协议和广域网协议；设置用户和访问密码等。
在特权模式“＃”提示符下输入config命令，进入配置模式。
四、IP路由的配置Ip路由的配置主要完成以下任务：一是配置局域网LAN接口和广域网WAN接口；二是激活IP 路由协议；三是配置广域网协议。
具体配置方法如下：1、LAN接口的配置LAN接口是路由器与局域网的连接点，每个LAN接口与一个子网相连，配置LAN接口就是将LAN接口子网地址范围内的一个IP地址分配给LAN接口。
配置方法如下：①．在特权模式下输入config t命令，按回车，路由器进入配置模式；②．在配置模式下输入要配置的接口名，如interface ethernet 0，按回车，提示符变为config-if；③．输入ip address＋IP地址和子网掩码，如：ip address 200.38.118.9 255.255.255.0。
④．配置完成后按Ctrl+Z退出配置，回到特权模式。
可用show ip interface e0命令查看配置参数。
深信服AC上网行为管理系统介绍1)AC产品简况深信服AC系列产品是目前网络行为识别率最高、性能最强的专业上网行为管理设备。
深信服AC系列上网行为管理产品拥有着领先的网络行为识别能力，除了识别普通的明文数据外，AC还可识别加密的流量和应用，并通过基于统计学的网络行为智能检测技术(NBID)，对用户最新面临的应用进行管理，进而提高用户的工作效率，避免机密信息的泄漏。
由于采用了高性能的硬件平台，以及不受硬盘空间限制、可独立部署的数据中心，深信服AC的性能领先于其他同类产品，更好的满足了大规模网络的苛刻要求。
目前，在中国上网行为管理的高端市场中，深信服AC拥有着极高的占有率，其客户包括：中国电力投资集团、中国环境监测总站、卫生部卫生监督中心、北海舰队、中国银行、中银保险、华夏基金、东风日产、比亚迪汽车、四川长虹、天士力集团等大型知名用户。
2)AC功能特点高性价比✓百兆设备，多WAN口设计；✓支持2条Internet线路的带宽叠加，扩大网络出口带宽;主要技术特点：✓深度内容检测技术，封堵所有P2P软件✓邮件延迟审计专利，保证所有邮件先延迟、后发送；✓监控所有即时通讯软件(QQ、MSN等)聊天记录；✓独有的网络访问准入规则，只允许符合上网策略的用户连接Internet；✓详细的日志中心，记录所有上网行为；✓分组管理，对特定组启用监控/不监控；三．产品安装及测试1.AC核心价值介绍下面介绍AC为用户带来的几大核心价值:1)网络带宽管理网络流量管理AC 上网行为管理产品通过审计、控制、优化和带宽叠加等功能，协助管理者全面分析和优化广域网带宽资源。
AC 的数据中心（Network Data Center， NDC）对局域网发生的所有网络行为进行记录、分析和趋势报告。
借助图形化的数据和报表，用户可以直观地了解到哪些服务占用了广域网宝贵的带宽资源，网页浏览，收发邮件，还是P2P 下载。
同样，我们还可以了解到哪个员工在网上购物方面表现出了异于常人的活跃，哪些部门在上班时间观看了最多的在线影片。
A C部署的三种模式
路由模式_简介
设备以路由模式部署时，AC的工作方式与路由器相当，具备基本的路由转发及NAT功能。
一般在客户还没有相应的网关设备，需要将AC做网关使用时，建议以路由模式部署。
路由模式下支持AC所有的功能。
如果需要使用NAT、VPN、DHCP等功能时，AC必须以路由模式部署，其它工作模式不支持实现这些功能。
路由模式_部署指导
首选需要了解用户的实际需求，以下几种情况必须使用路由模式部署：
1、用户必须要用到AC的VPN、NAT（代理上网和端口映射）、DHCP这几个功能。
2、用户在新规划建设的网络中来部署AC，想把AC当作一台网关设备部署在网络出口处。
3、用户网络中已有防火墙或者路由器了，但出于某方面的原因想用AC替换掉原有的防火墙或者路由器并代理内网用户上网。
路由模式_基本配置思路
1、网口配置：确定设备外网口及地址信息，如果是固定IP，则填写运营商给的IP地址及网关；如果是ADSL拔号上网，则填写运营商给的拔号账号和密码；确定内网口的IP地址信息；
2、确定内网是否为多网段网络环境，如果是的话需要添加相应的回包路由，将到内网各网段的数据回指给设备下接的三层设备。
3、用户是否需要通过AC设备上网，如果是的话，需要设置代理上网规则，填写需要代理上网的内网网段。
网桥模式_简介
设备以网桥模式部署时对客户原有的网络基本没有改动。
网桥模式部署AC 时，对客户来说AC就是个透明的设备，如果因为AC自身的原因而导致网络中断时可以开启硬件bypass功能，即可恢复网络通信。
网桥模式部署时AC不支持NAT（代理上网和端口映射）、VPN、DHCP功能，除此之外AC的其它功能如URL过滤、流控等均可实现。
网桥模式部署时AC支持硬件bypass功能（其它模式部署均没有硬件bypass)。
网桥模式_2种类型
1、网桥多网口：网桥多网口是指设备只做一个网桥，但内外网口不是一一对应的，可能内网口需要接多个网口，也可能外网口需要接多个网口，各个网口之间的数据都可以设置转发，设备的ARP表只维持一份。
2、多网桥：多网桥是指一台设备可以做多个网桥，相当于多个交换机，和网桥多网口的区别是：内外网口是一一对应的；网口属于同一个网桥才能进行数据转发，不同网桥接口之间的数据不能转发。
网桥模式_部署指导
1、网桥模式部署相比路由模式对客户的网络影响较小，当客户确定不需要使用AC的VPN、NAT、DHCP功能，且内网已有相应的网关设备时，建议使用网桥模式部署。
2、根据客户的网络结构决定AC采用多网桥或网桥多网口的方式。
网桥多网口常见应用场景：
a.两条线路分别接FW1和FW2，内网接交换机，设备在交换机和防火墙之间，网桥模式部署，单进双出做网桥多网口。
b.内网核心交换机和路由器都做双机，加入两台设备，双进单出做网桥多网口。
多网桥常见应用场景:
a.设备一进一出做单网桥
b.客户内网有VRRP或HSRP环境
注意事项：
网桥模式部署时，需要考虑AC所串接的防火墙和交换机之间的网段是否存在空闲的主机IP地址，如果有则分配一个该网段的IP地址给AC作为网桥的IP 地址，如果没有，则使用管理口管理设备：
1、AC的网桥IP可配置一个不属于内网任意网段的IP地址，默认网关设置成255.255.255.255；
2、同时将管理口（DMZ口）接到交换机上并配置管理口地址；
3、最后设置缺省路由，下一跳指向交换机的接口地址。
配置完毕后，设备上网或者管理员管理设备均通过管理口实现。
旁路模式_简介
旁路模式主要用于实现监控功能，完全不需要改变用户的网络环境，通过把设备的监听口接在交换机的镜像口或者接在HUB上，实现对上网数据的监控。
这种模式对用户的网络环境完全没有影响，即使宕机也不会对用户的网络造成中断。
旁路模式是AC三种工作模式中最简单但也是功能最弱的一种部署方式，该模式下AC只用于上网行为的审计和基于TCP应用的控制，对基于UDP协议的应用无法控制。
不支持流量管理、准入系统、NAT、 VPN、 DHCP等功能。
(AC4.0版本开始旁路模式下支持准入，需要将内网到1.2.3.4的流量镜像给设备）
旁路模式_部署指导
1、旁路模式是所有部署模式中最简单的一种，但也是功能实现较弱的一种部署方式。
当客户的需求只是上网审计和基于TCP的应用过滤时，可以考虑此种部署方式，常见于高校、大型国有企业专门用于AC作审计；
2、旁路部署时一般设备是接在核心交换机上，核心交换机通过将镜像功能将需要审计的流量镜像过来；
3、旁路模式部署时采用管理口（DMZ）配置的IP地址进行管理，其它所有接口均可作为监听口，可使用一个口或者是多个口同时作为监听口，监听口无需任何配置。
旁路模式部署配置思路
1、旁路模式部署时将AC的监听口接在交换机的镜像口上，交换机需要将上下行流量镜像到AC。
2、旁路模式部署时必须配置管理口IP地址进行管理，监听口可以接除管理口外的任意网口，可以同时接多个监听口。
3、需要确认所有要进行审计的内网网段（即监控网段）；需要确认内网是否有服务器提供访问时也要进行记录。
4、管理口不仅用于管理，还可用于与外置数据中心同步、作TCP控制时发reset包使用，所以管理口的地址最好不要随意配置。
