参考

https://www.h3c.com/cn/d_202402/2053311_30005_0.htm

3  共享上网监控配置举例：阻断惩罚

3.1.1  组网需求

如图1所示，某高校给已注册交费的学生开通上网账号，要求一个账号只能允许一个学生使用，禁止一个账号多人共享使用的情况，当发现存在共享上网行为的热点时自动将用户阻断，但允许一台电脑和1个移动设备同时接入的情况，使用设备的的ge0和ge3接口以三层路由模式部署在网络中，设备上联出口FW，下联三层设备路由器。设备上开启防共享功能，检测共享上网行为并进行阻断和提醒。

图1 防共享组网

3.1.2  配置思路

·              配置设备接口地址及路由。

·              配置共享检测地址对象。

·              配置用户识别范围。

·              配置控制策略默认规则。

·              开启防共享功能。

3.1.3  使用版本

本举例是在R6616版本上进行配置和验证的。

3.1.4  配置步骤

(1)      配置路由接口

如图2、图3所示，进入网络配置>接口配置，点击编辑ge0、ge3操作，把ge0、ge3的地址分别配置为172.16.30.2/24、172.16.10.2/24。

图2 配置ge0接口

图3 配置ge3接口

(2)      配置静态路由

如图4配置访问外网的默认路由及去往内网用户网段172.16.11.0/24,172.16.12.0/24路由。

图4 配置静态路由

(3)      配置防共享用户地址对象

如图5所示，进入“策略配置>对象管理>地址对象>地址对象”，点击<新建>按钮创建防共享用户地址对象，设置地址为172.16.11.0/24，点击<提交>。

图5 配置防共享用户地址对象

(4)      配置用户识别范围

如图6所示，进入“用户管理>认证管理>高级选项>全局配置”页面，识别范围选择“防共享用户”，其它配置默认，提交配置。

图6 用户识别范围

(5)      修改控制策略默认规则

如图7所示，进入“策略配置>控制策略”，选择默认规则为允许。

图7 修改默认规则

(6)      开启防共享功能

如图8所示，进入“策略配置 > 共享接入管理 > 共享接入配置”页面，配置防共享参数。

图8 防共享配置

3.1.5  配置注意事项

·              无线热点开启NAT功能，开启DHCP，配置地址池范围为172.16.12.2/24~172.16.12.254/24。无线热点使用固定IP或拨号上网。

·              共享接入用户NAT后网段必须在用户识别范围中，否则会导致共享接入检测不到共享用户。

3.1.6  验证配置

如图9所示，某学生使用1台PC和1个移动终端访问网络，检测到共享上网行为，上网被阻断，并收到阻断提醒。

图9 共享接入监控状态冻结

如图10所示， 设备向终端推送阻断提示

图10 阻断提示