f1000-ai-55-inode

方案一：通过RADIUS服务器下发固定IP（推荐）

1. 用户使用iNode登录，输入AD域账号密码。
2. F1000防火墙将认证请求转发给RADIUS服务器。
3. RADIUS服务器验证AD域凭证，并在认证通过的响应报文中，携带特定的Framed-IP-Address属性（即预分配给该用户的固定IP）下发给防火墙。
4. 防火墙根据此属性，为用户分配指定的IP地址。

1. 在RADIUS服务器（如iMC）上：
   • 配置AD域作为认证源。
   • 在用户管理或策略中，为每个需要固定IP的域用户，静态绑定一个Framed-IP-Address。
2. 在华三F1000防火墙上：
   • 配置认证域，并指定RADIUS服务器。
   • 在接口或安全策略中，引用此认证域进行用户认证。
   • 确保地址分配方式与RADIUS下发配合。

方案二：在防火墙上配置基于用户/用户组的静态地址绑定

1. 在F1000上创建与AD域同步的用户/用户组。
2. 配置一个地址池，或直接指定一个IP地址段。
3. 建立绑定关系：将特定的用户或用户组，与地址池中的某个固定IP或一个IP范围进行绑定。

给您的具体建议

1. 首选方案一：如果贵单位有RADIUS服务器（如iMC），强烈推荐此方案。它管理灵活，在RADIUS上即可完成用户与IP的绑定，无需改动防火墙配置，且易于审计。
2. 与深信服AC的协同：
   • 一旦域用户获得了固定IP，您就可以在深信服AC上，以这些固定IP为条件，配置精确的流量控制、访问权限、行为审计等策略。
   • 例如，在AC策略中，可以设置为“源IP=10.1.1.100（研发部张三）的用户，禁止访问视频网站”。
3. 验证与测试：
   • 配置完成后，让用户使用iNode客户端登录。
   • 在F1000防火墙上使用 display access-user命令查看在线用户信息，确认该用户获取的IP地址是否符合预设的固定IP。
   • 在深信服AC上观察该IP的流量是否出现，并测试策略是否生效。

一、核心原理

• 动态地址池（默认，随机分配）
• 用户静态绑定 IP（优先，匹配域账号→固定 IP）
• AD 域用户组静态绑定 IP 段（批量绑定）

二、推荐方案：用户级静态绑定（最精准）

1. 先建 SSL VPN 地址池（Web）

1. 登录 F1000 Web → VPN → SSL VPN → 地址池
2. 新建地址池：
   • 名称：SSL-POOL
   • 地址段：10.200.0.0/24（和内网、深信服 AC 路由可达）
   • 网关：10.200.0.1（F1000 内网口或虚拟网关）
   • DNS：内网 DNS（能解析域）
3. 保存。

2. 域用户绑定固定 IP（Web，关键）

1. 进入 用户与认证 → 用户管理 → 域用户（AD 同步过来的）
2. 找到目标域用户（如 DOMAIN\user01）→ 编辑
3. 切换到 VPN → SSL VPN：
   • 勾选：启用静态 IP
   • 静态 IP：10.200.0.101（每个用户一个固定 IP）
   • 地址池：选刚才建的 SSL-POOL
4. 保存。

3. 虚拟网关调用地址池（Web）

1. VPN → SSL VPN → 虚拟网关
2. 编辑你的 iNode 用的虚拟网关：
   • 地址池：SSL-POOL
   • 认证：选AD 域认证
3. 保存。

4. 命令行一键配置（可直接复制）

三、备选方案：域用户组绑定 IP 段（批量）

1. Web → 用户与认证 → 用户组 → 同步 AD 组
2. 编辑 AD 组 → VPN → SSL VPN
   • 静态 IP 段：10.200.0.100-10.200.0.199
   • 地址池：SSL-POOL
3. 组内用户登录会从该段固定分配一个 IP（不变）。

四、深信服 AC 配合要点

1. F1000 要把 10.200.0.0/24 路由指向深信服 AC（或内网网关）
2. 深信服 AC 添加源 IP 策略：
   • 源 IP：10.200.0.101（对应域用户）
   • 动作：允许 / 限流 / 审计
3. 确保 F1000 到 AC路由可达、无 NAT。

五、iNode 客户端无需特殊设置

• 正常导入配置、选域账号登录
• 连接后自动获取绑定的固定 IP
• 验证：ipconfig 查看 VPN 网卡 IP 是否为设定值。

六、常见坑

1. 地址池和内网冲突：换网段（如 10.200.0.0/24）
2. 域用户看不到静态 IP 选项：升级 F1000 固件到R8515 及以上
3. IP 不生效：重启 SSL VPN 服务、重新同步 AD 用户

1. 
   

2. 要实现域用户登录时获取固定IP，需要在 802.1X 认证体系的配合下进行。核心思路是，固定IP的分配策略和绑定信息不在 iNode 客户端配置，而是由核心的认证/授权服务器（H3C iMC EIA 或微软AD）或接入交换机来强制执行的。

   802.1X协议主要负责身份认证，并不直接处理IP分配。因此，固定IP的实现通常是通过RADIUS服务器在认证过程中下发，或在接入设备上做静态绑定。您提到的“制作了inode”，通常意味着您使用的是H3C的整套方案，即使用iMC EIA作为RADIUS服务器。

   方案一：在 iMC EIA 中绑定IP（推荐）

   适用场景：使用 iMC EIA 作为认证服务器。这是H3C方案中最直接、最推荐的方式。

   操作路径：在 iMC 管理平台中将用户帐号与指定IP进行绑定。域用户在通过认证时，EIA会将该IP作为授权信息下发给交换机，交换机再强制执行。

   1. 接入用户配置：在 用户 > 接入用户 页面，为域用户建立或关联一个接入帐号。

   2. 绑定IP地址：

      • 方法一（经典）：在用户详情页的接入信息标签页，找到用户IP地址字段，直接填入指定IP即可。

      • 方法二（IP管理）：通过资源 > 终端准入管理 > IP地址分配预先规划IP池，然后在准入配置 > IP/MAC绑定中建立终端MAC地址与IP的绑定关系。

   3. 最终生效：认证成功后，交换机将强制该用户使用绑定的IP上网，如有冲突，iMC可以触发告警并阻止接入。

   方案二：在 AD 域中定义用户属性

   适用场景：不想依赖 iMC 平台，希望直接利用AD域控下发IP。

   操作路径：利用AD域控中为每个域用户定义的标准RADIUS属性，来下发固定IP。

   1. 配置AD属性：在域用户的属性编辑器中，找到并编辑 msRADIUSFramedIPAddress 属性，填入要分配的固定IP地址。

   2. 认证服务器对接：需要确保你的RADIUS服务器（如 NPS）能读取此AD属性，并在 Access-Accept 报文中携带 Framed-IP-Address 属性返回给交换机。方案三：在交换机端口上静态绑定IP

   适用场景：IP策略与物理位置（端口）强相关，对端口下的所有用户均生效。

   操作路径：在连接终端的交换机接口下，直接进行静态绑定。

   1. 查询MAC地址：首先通过 display mac-address 命令，查看并记录终端的MAC地址。

   2. 进入接口并绑定：

      <H3C> system-view

      [H3C] interface gigabitethernet 1/0/1 [H3C-GigabitEthernet1/0/1] ip source binding ip-address 192.168.1.100 mac-address xxxx-xxxx-xxxx [H3C-GigabitEthernet1/0/1] ip verify source ip-address mac-address配置后，该端口只允许指定MAC使用指定IP通信。

   3. 确认AD对接：最后，确保交换机的RADIUS认证能正确指向AD域控进行用户验证。

    交换机与深信服 AC 的基础配置

   无论选择哪种方案，以下与深信服 AC 配合的基础配置都是必须的，请务必提前完成并验证：

   1. 全局开启认证：

      [H3C] dot1x

      [H3C] mac-authentication

   2. 配置RADIUS方案并指向AC：

      [H3C] radius scheme sangfor

      [H3C-radius-sangfor] primary authentication 192.168.1.100 # 深信服AC的IP地址 [H3C-radius-sangfor] key authentication simple your-shared-key

   3. 配置ISP域并应用：

      [H3C] domain name office

      [H3C-isp-office] authentication lan-access radius-scheme sangfor [H3C] domain default enable office

   4. 接口启用802.1X：

      [H3C] interface gigabitethernet 1/0/1

      [H3C-GigabitEthernet1/0/1] dot1x

    重要注意事项

   • IP地址管理：请确保分配的固定IP，在深信服AC和核心交换机上均已做好对应的放通策略。

   • 避免冲突：分配的固定IP必须在VLAN网段内，且不能与其他设备冲突。建议将此IP地址在DHCP地址池中设为排除地址。

   • MAC地址获取：绑定操作前，务必准确获取终端的真实MAC地址。Windows系统可通过 ipconfig /all 命令查看。

   同步数据：启动系统内置的数据同步工具，将原有配置和监控数据同步至所有新节点，并等待同步完成。

 验证要点

• 集群状态：查看集群状态页面，确认所有节点在线、心跳正常、数据同步进度为 100%。

• 业务功能：核对设备的告警、性能指标和拓扑视图是否与单机阶段一致。

• 故障切换：手动模拟主节点故障，验证从节点能否正常接管业务，且数据不中断