ACG1000A 用户敏感配置

用户敏感？ 是mac敏感吧

H3C> en 

H3C# configure terminal 

H3C(config)#

【举例】

# 配置用户MAC敏感

(config)# user mac-sensitive enable  开启用户MAC敏感

ACG1000‑A R6606 用户敏感（MAC 敏感）完整配置
版本：i‑Ware 1.10 Release6606；已经完成SNMP 跨三层 MAC 学习，能学到终端 IP‑MAC 表项，核心就是开启用户 MAC 敏感，让身份识别优先匹配 MAC，而不是优先匹配 IP。
概念：用户敏感 = MAC 敏感；跨三层拿到真实 MAC 之后，MAC 敏感才能生效；如果不开 MAC 敏感，设备只看 IP，IP 一变用户就变成匿名。
一、命令行关键配置（R6606 版本）
shell
# 1、开启用户身份识别全局开关
user‑identify enable

# 2、开启MAC敏感（用户敏感，核心命令）
user‑identify mac‑sensitive enable

# 3、可选：设置MAC老化时间，默认300秒，跨三层环境建议调大，例600s
user‑identify mac‑sensitive aging‑time 600

# 4、查看确认是否开启
display user‑identify mac‑sensitive
输出显示MAC‑Sensitive: Enabled代表已经开启。
Web 界面路径（R6606）
用户管理 → 高级选项 → 用户识别
勾选：启用 MAC 敏感（用户敏感），设置老化时间，提交保存。
二、前置校验（必须确认，否则开了也不生效）
1、确认跨三层 SNMP 同步已经拿到 IP‑MAC
shell
display snmp‑sync arp‑table
能看到内网终端真实 IP + 真实 MAC，不是网关接口 MAC才算正常；如果只有网关 MAC，说明 SNMP 跨三层配置错误。
2、检查全局用户识别开启
shell
display user‑identify status
User‑identify: Enabled
3、用户绑定方式（两种场景二选一）
场景 A：本地手工创建用户，绑定 MAC
Web：用户管理‑用户组织结构‑新建用户 → 绑定范围填写 MAC 地址，不要只填 IP。
流量过来，设备拿到真实 MAC，MAC 敏感开启后，就匹配到该用户，在线用户不再匿名。
命令行静态 IP‑MAC 绑定（仅地址绑定，≠用户账号绑定）：
shell
ipmac‑binding static ip 192.168.1.10 mac xx‑xx‑xx‑xx‑xx‑xx
⚠️ipmac‑binding只是地址绑定，不等于账号绑定；想要报表 / 策略显示用户名，必须在用户对象上绑定 MAC，不是仅 ipmac‑binding 表。
场景 B：AD/LDAP 域账号场景（域环境）
配置 LDAP 服务器，同步域账号；
需要 AD 单点登录（POP3/NTLM）拿到登录账号，同时依靠跨三层 SNMP 拿到 MAC；
MAC 敏感开启后：同一 MAC 换 IP，仍然识别为同一个域用户。
R6606 老版本不能通过 SNMP 直接拿域账号，必须依赖单点登录组件获取登录用户名，SNMP 只负责拿 MAC。
三、常见故障现象 & 排查
现象 1：已经开 MAC 敏感，在线用户仍然匿名
1）确认display snmp‑sync arp‑table有终端真实 MAC；如果还是网关 MAC：
核对网关交换机 SNMP v2c 团体名、ACG 的 SNMP 同步配置；网关允许 ACG 读 SNMP；网关 ARP 表要有终端表项；
2）终端重新触发流量：旧会话不会自动刷新，需要终端重新访问网络，新建会话才会做 MAC 匹配；
3）用户对象绑定的是 IP，没有绑定 MAC；改成绑定 MAC。
现象 2：终端换 IP 之后，策略不跟随用户（还是匿名）
确认user‑identify mac‑sensitive enable已经开启；
看 mac‑sensitive 老化时间，如果老化太短，表项被清空，重新变成匿名，建议 5‑10 分钟。
现象 3：开启 MAC 敏感后，部分无线用户识别错乱
无线用户网关在 AC，AC 控制器也需要加入 SNMP 同步列表，ACG 读取 AC 的 ARP 表获取无线终端 MAC，只同步核心交换机拿不到无线终端 MAC。
四、策略调用注意点
控制策略、审计策略的源条件引用用户 / 用户组对象，不要只引用 IP 对象；MAC 敏感生效后，同一 MAC 更换 IP，策略依旧匹配该用户。
五、R6606 版本重要限制
R6606 版本老旧，数据库为 PG+SQLite，性能弱，内网终端数量大时，开启 MAC 敏感会增加 CP 开销，内网规模 > 500 终端关注 CPU 使用率；
不支持 Restful 用户同步；域账号必须靠单点登录拿账号，SNMP 只能拿 MAC；
升级提示：该版本很老，后续稳定版本 R6616P02，升级前完整备份配置，R6606 升级 R6616 会重建数据库，历史审计日志全部丢失。