深信服上网行为管理设备AC不能识别终端MAC地址的问题

默认情况下，深信服上网行为管理不会获取到终端的mac地址，只会获取到IP地址，如下图。注意：其他厂商设备都可以先使用这两组OID尝试通过snmp获取arp表信息。通过端口镜像，在核心交换机和AC之间重新跳根线（找空闲接口即可）MAC OID对应的是交换机里面，MAC地址列表的OID值信息。IP OID对应的是交换机里面，IP地址列表的OID值信息。需要在核心交换机上配置以下命令开启SNMP。交换机配置端口镜像到和AC相连接的接口。有两种方式可以获取到终端mac地址。

行为管理全笔记

防火墙配置安全策略后，一些应用从网络禁用，但是个别人需要访问这些被禁用的应用程序，该怎么办？ 做允许策略，配置允许地址，将IP加到允许地址中，此IP就可以访问被禁用的应用程序。 但是，局域网如果是开启了DHCP，动态地址，哪该怎么办呢？ 在允许地址中添加设备的mac地址，用mac地址代替ip 但是局域网一般都是三层，尤其是开启了DHCP的局域网，大家都知道二层是mac地址，三层是IP，显然三层交换机发给上层设备防火墙的是IP，并非mac；但是三层交换下接二层交换机，二层交换机将mac地址告诉了.

（4）配置跨三层MAC识别，让防火墙从交换机获取正确的ARP表项（注意三层需要开启SNMP功能，防火墙需要制定三层的地址与正确的团体名），注意放行防火墙local_any的流量，否则同步不成功。，这是因为数据包在经过一个三层设备的时候，该数据包的源MAC会变成该三层设备出接口的MAC地址，这是IP通信基础转发的原理。（4）防火墙一定要放行Local到Trust（以实际拓扑为准，防火墙对接三层交换机接口所在的区域），如果不放行，防火墙的流量是发送不出去，导致失败。（1）配置思路与上面一样。

排障、避坑

深信服上网行为管理的学习笔记，由于AC软件版本更新相关特性可能变动，仅供参考哈。。 权威内容请访问深信服官方社区：https://bbs.sangfor.com.cn/ 目录 默认IP 接口保留地址 路由模式 网桥模式 旁路模式 恢复密码 部署模式 AC 路由模式 旁路模式（镜像） 网桥模式 认证模式（12.0） SG 路由模式 旁路模式（镜像） 网桥模式 认证模式 单臂模式（代理） 代理环境部署 协议剥离支持模式 网桥 路由 网桥（仅trunk环.

文章转载自：http://www.harbing.com/Product/Sangfor/Sangfor-AC1100.php 设备功能介绍与特性： 　识别作为管理的基础，是上网行为管理产品功能是否健全的有利保障。SANGFOR- AC上网行为管理具有强大的识别功能。基于用户识别的功能支持以IP、MAC、IP/MAC绑定、用户名密码、USB-Key识别，公用账号认证，同时支持LDAP认证、Ra...

文章目录认证技术框架1.不需要认证技术1.1数据包特征信息1.2不需要认证配置思路1.3不需要认证效果显示2.IP/MAC地址绑定技术2.1工作原理2.2配置思路2.3 配置结果显示2.4总结（1）设备无法获取交换机的ARP表的排查思路（2）如果以设备网桥模式部署在30位掩码的网络环境中如何获取交换机的 ARP表？（3）IP/MAC绑定失败3.密码认证技术3.1需求3.2密码认证实战分析3.3配置...

本篇文章将详细讲解如何完成深信服 AC 设备的基础配置，实现快速上线。

因环境开始迁移，对网络IP等都要进行变更，所以AC要从最基本的配置部署网关模式-多网桥开始： 环境： 内网核心交换机->AC->AF->net 完成后，网口配置如下 上网策略按需求创建 ![在这里插入图片描述](https://img-blog.csdnimg.cn/202105062126 到这里，基本配置就完成了，可以给需要认证的电脑mac地址加入相应的用户管理 和认证策略组里面 ...

🔒 在企业网络管理中，基于MAC地址进行上网控制是常见的安全管控手段。深信服的AC（上网行为管理）和AF（下一代防火墙）产品均可实现该功能，目前这两项功能隐藏的还有点深。

旁挂模式部署。

是什么？——控制内部用户上网行为的设备。在深信服公司中，被称作AC。 大纲 一、为什么需要上网行为管理？ 1.带宽滥用； 2.上网难监管； 3.信息泄露； 4.网络违法； 5.安全威胁。 二、上网行为管理 三要素： 1.用户和终端可视可控； 2.应用和内容可视可控； 3.流量可视可控。 上网行为的五大安全需求： 1.用户认证： 2.网页过滤： 3.应用控制： 4.流量管理： 5.行为审计： 三、上网行为管理的应用场景 1.互联网行为管控； 2.一体化网关..

本文针对深信服AC上网行为管理中在线用户强制注销失效的常见问题，提供了系统性的六步排查法。核心原因通常在于用户绑定免认证或宽松认证策略，导致会话终止后用户被自动重新认证。文章详细阐述了从检查用户绑定状态、认证策略到终端验证的完整诊断流程，并给出了针对不同场景的具体解决方案与最佳实践，帮助管理员彻底解决强制注销失灵问题。

深信服V13.0.47苹果手机 IOS141个账号绑定2个终端上网。

本文详细介绍了深信服AC上网行为管理设备的三种部署模式：路由、网桥和旁路，从开箱初始化到具体配置步骤，提供了全面的实战指南和避坑建议。无论是作为网络出口网关的路由模式，还是透明部署的网桥模式，亦或是纯审计的旁路模式，都能帮助企业高效管理网络流量，满足不同场景需求。