SANGFOR-ACv110-腳本方式單點(diǎn)登錄測(cè)試指導(dǎo)書

測(cè)試指導(dǎo)書測(cè)試指導(dǎo)書“:///“第“:///“第1頁(yè)，共27頁(yè)深信服公司版權(quán)全部SANGFOR_AC_v11.0_腳本方式單點(diǎn)登錄測(cè)試指導(dǎo)書深信服科技測(cè)試指導(dǎo)書測(cè)試指導(dǎo)書“:///“第“:///“第10頁(yè)，共27頁(yè)深信服公司版權(quán)全部名目\l“_TOC_250013“介紹 3\l“_TOC_250012“總體說(shuō)明 3\l“_TOC_250011“文檔目的 3\l“_TOC_250010“縮寫和商定 3\l“_TOC_250009“需求背景 3\l“_TOC_250008“實(shí)現(xiàn)方式 4\l“_TOC_250007“測(cè)試環(huán)境 4\l“_TOC_250006“測(cè)試拓?fù)?4\l“_TOC_250005“測(cè)試條件 5\l“_TOC_250004“預(yù)期測(cè)試效果 6\l“_TOC_250003“測(cè)試過(guò)程 6\l“_TOC_250002“測(cè)試效果 18\l“_TOC_250001“高級(jí)用法 19\l“_TOC_250000“留意事項(xiàng) 25介紹總體說(shuō)明完成該文檔的過(guò)程中，不行刪除文檔構(gòu)造，但撰寫本文檔時(shí)，可以自行進(jìn)展內(nèi)容和構(gòu)造的擴(kuò)展。無(wú)內(nèi)容可寫的章節(jié)，請(qǐng)保持現(xiàn)有斜體字描述。模板中現(xiàn)有的黑體字、非斜體字務(wù)必予以保存。文檔目的為了便利快速到達(dá)功能測(cè)試效果，削減現(xiàn)場(chǎng)測(cè)試消滅問(wèn)題機(jī)率?？s寫和商定AD域：WindowsActiveDirectoryLogon：?jiǎn)吸c(diǎn)登錄上線腳本Logoff：?jiǎn)吸c(diǎn)登錄下線腳本Gpmc.msc：windows2023server翻開域組策略命令Gpupate.exe/force：刷組策略命令，更改組策略后，需執(zhí)行此命令使更改馬上生效Rsop.msc：參加域的PC上執(zhí)行，可以通過(guò)此命令查看PC是否獵取到域組策略Gpresult.exe：參加域的PCPC是否獵取到域的組策略Logon及l(fā)ogoff腳本方式單點(diǎn)登錄兼容以下操作系統(tǒng)：需求背景AD域單點(diǎn)登錄適用于客戶內(nèi)網(wǎng)已有AD域統(tǒng)一治理內(nèi)網(wǎng)用戶，部署AC后，期望AC和AD域結(jié)合實(shí)現(xiàn)平滑認(rèn)證〔即終端PC開機(jī)通過(guò)域帳號(hào)登錄AD域后自動(dòng)通過(guò)AC認(rèn)證上網(wǎng)，無(wú)需再次人為通過(guò)AC認(rèn)證，對(duì)終端用戶透亮〕期望以域用戶的身份實(shí)名上網(wǎng)，實(shí)名記錄用戶上網(wǎng)日志。實(shí)現(xiàn)方式logon腳本〔登錄腳本〕及l(fā)ogff〔注銷腳本〕，當(dāng)域用戶登錄域時(shí)，獵取到相應(yīng)組策略，執(zhí)行l(wèi)ogon腳本向AC認(rèn)證上線；當(dāng)域用戶從域中注銷時(shí)，執(zhí)行l(wèi)ogff腳本向AC懇求注銷下線，整個(gè)過(guò)程對(duì)終端用戶透亮。PC開機(jī)使用域帳號(hào)登錄AD域PC獵取組策略PC執(zhí)行l(wèi)ogon登錄腳本向AC發(fā)起上線認(rèn)證測(cè)試環(huán)境測(cè)試拓?fù)銩D域部署在內(nèi)網(wǎng)交換機(jī)，如以下圖所示。此文主要以此環(huán)境介紹腳本單點(diǎn)的登錄的測(cè)試方法。腳本單點(diǎn)登錄另一種使用場(chǎng)景是員工在總公司與分公司出差，實(shí)現(xiàn)平滑認(rèn)證。具體需求是公司總部和分公司都有一臺(tái)AC，總公司員工在總部時(shí)使用單點(diǎn)登錄通過(guò)總公司是通過(guò)分公司的AC上網(wǎng)，所以期望出差員工登錄到總部域時(shí)，也能夠通過(guò)分支AC單點(diǎn)登錄上網(wǎng)。這局部需求在此文檔第7章節(jié)“高級(jí)用法”中介紹。測(cè)試條件需要確保內(nèi)網(wǎng)測(cè)試電腦已成功登錄域，且和AC通信正?！才cACudp1773，udp1775端口通信正?！愁A(yù)備好單點(diǎn)登錄腳本并上傳到AD域上，腳本可從設(shè)備上下載并解壓，如以下圖預(yù)期測(cè)試效果單點(diǎn)登錄認(rèn)證及注銷正常，應(yīng)當(dāng)有如下效果AC認(rèn)證，翻開網(wǎng)頁(yè)無(wú)法再次認(rèn)證，且在線用戶治理可以看到測(cè)試PC以域用戶上線。PC上網(wǎng)，查看數(shù)據(jù)中心日志記錄用戶名為域用戶。AC下線，即設(shè)備在線用戶治理看不到測(cè)試機(jī)在線。測(cè)試過(guò)程AC上配置上的配置可以分為建LDAP效勞器，建認(rèn)證策略及配置單點(diǎn)登錄3個(gè)步驟，具體如下：建LDAP效勞器，如以下圖所示【留意】【留意】帳號(hào)的有效及修改域帳號(hào)的密碼，如以下圖所示上圖“增外部認(rèn)證效勞器”頁(yè)面，有“同步配置”和“高級(jí)選項(xiàng)”兩個(gè)頁(yè)面，AD域及sun域默認(rèn)只配置“根本配置”即可，“同步配置”和“高級(jí)選項(xiàng)”保持默認(rèn)，其它域按常規(guī)配置無(wú)法讀取到域構(gòu)造時(shí)，可以通過(guò)調(diào)整“同步配置”參數(shù)。389；假設(shè)是父子域，如父域sangfor,子域ac.sangfor,ssl.sangfor等，且外部認(rèn)證效勞器配置的是父域的地址，則端口需要填3268。④建好域效勞器，域組織構(gòu)造會(huì)自動(dòng)同步至設(shè)備后臺(tái)，默認(rèn)1個(gè)小時(shí)觸發(fā)一次自動(dòng)同OU構(gòu)造變化，變化后的構(gòu)造需要馬上同步至設(shè)備，則點(diǎn)擊以下圖的“馬上同步全部LDAP”按鈕建單點(diǎn)登錄認(rèn)證策略，如以下圖所示【留意】上圖“單點(diǎn)登錄失敗的用戶”有三種處理方式，分別為“不需要認(rèn)證，自動(dòng)上當(dāng)用戶對(duì)認(rèn)證失敗比較敏感，即使認(rèn)證失敗了，也不期望內(nèi)網(wǎng)用戶上網(wǎng)需要密碼認(rèn)終端用戶完全透亮；上，則選擇“密碼認(rèn)證”，假設(shè)單點(diǎn)登錄失敗，則承受用戶名密碼認(rèn)證；當(dāng)用戶對(duì)認(rèn)證要求嚴(yán)格，即用戶產(chǎn)生的全部上網(wǎng)日志必需要準(zhǔn)確記錄到具體域用戶不成功的用戶翻開網(wǎng)頁(yè)重定至如以下圖頁(yè)面，從圖中鏈接下載“身份認(rèn)證工具〔logon〕”雙擊進(jìn)展手動(dòng)認(rèn)證。測(cè)試指導(dǎo)書測(cè)試指導(dǎo)書“:///“第“:///“第11頁(yè)，共27頁(yè)深信服公司版權(quán)全部配置單點(diǎn)登錄AD上配置logon腳本時(shí)的密鑰要保持全都。AD域上配置以windows2023server為例，AD域的配置主要有建組策略配置logon登錄腳本，配置logoff注銷腳本，強(qiáng)制刷組策略。建組策略并配置logon登錄腳本，以實(shí)現(xiàn)用戶開機(jī)登錄域時(shí)，自動(dòng)通過(guò)AC認(rèn)證AD域效勞器“運(yùn)行”輸入gpmc.msc，翻開組策略編輯器，如以下圖。測(cè)試指導(dǎo)書測(cè)試指導(dǎo)書“:///“第“:///“第12頁(yè)，共27頁(yè)深信服公司版權(quán)全部右建需要測(cè)試單點(diǎn)登錄的OU，并選擇“在這個(gè)域中創(chuàng)立GPO并在此處鏈接”，如以下圖，建名稱為“腳本單點(diǎn)登錄”的組策略右鍵選中建的單點(diǎn)登錄組策略“腳本單點(diǎn)登錄”，并編輯，如以下圖腳本參數(shù)，配置格式如以下圖，點(diǎn)擊“掃瞄”添加腳本。logon腳本參數(shù)最簡(jiǎn)潔acipUDP1775〔需要和AC鑰保持全都〕，1775sangfor。腳本配置完畢【留意】AC11.0的logon腳本參數(shù)配置時(shí)只支持udp1775端口。AC11.0同時(shí)也兼容老版本的logon，假設(shè)使用老版本的logon，則使用udp1773端口。假設(shè)是在IPv6環(huán)境，只支持使用11.0的logon，不支持使用11.0之前老版本的logonlogoff腳本，以實(shí)現(xiàn)用戶從域中注銷時(shí)，可以自動(dòng)從AC下線，如以下圖參數(shù)，點(diǎn)擊“掃瞄”添加logoff腳本。logoff參數(shù)只配置ACIP地址即可，如以下圖腳本配置完畢刷組策略為了使用更改的組策略馬上生效，需要刷組策略，刷組策略命令為gpupdate.exe/force，如以下圖測(cè)試指導(dǎo)書測(cè)試指導(dǎo)書“:///“第“:///“第18頁(yè)，共27頁(yè)深信服公司版權(quán)全部【留意】由于腳本單點(diǎn)登錄需要修改域組策略，且腳本會(huì)下發(fā)到客戶端PC，所以測(cè)試階段建議只針對(duì)需要測(cè)試的OU配置logon和logoff腳本，不要整個(gè)域配置logon，logoff腳本。經(jīng)和客戶協(xié)商后，假設(shè)全域用戶都需要單點(diǎn)登錄，則只需要修改和Logoff腳本即可實(shí)現(xiàn)全部域用戶單點(diǎn)登錄。測(cè)試效果單點(diǎn)登錄認(rèn)證及注銷正常，效果如下AC認(rèn)證，翻開網(wǎng)頁(yè)無(wú)法再次認(rèn)證，且在線用戶治理可以看到測(cè)試PC以域用戶上線，如以下圖。PC上網(wǎng)，查看數(shù)據(jù)中心日志記錄用戶名為域用戶，如以下圖。測(cè)試指導(dǎo)書測(cè)試指導(dǎo)書“:///“第“:///“第19頁(yè)，共27頁(yè)深信服公司版權(quán)全部AC下線，即設(shè)備在線用戶治理看不到測(cè)試機(jī)在線。Logon默認(rèn)啟用了首次執(zhí)行將Logon復(fù)制到PC啟動(dòng)項(xiàng)中，當(dāng)下次同一個(gè)域帳號(hào)再次登錄域時(shí)，即使登錄域失敗〔如離線登錄域〕，也會(huì)不影響正常單點(diǎn)登錄認(rèn)證，開機(jī)啟動(dòng)時(shí)會(huì)執(zhí)行啟動(dòng)項(xiàng)中上次下發(fā)的Logon。所以測(cè)試電腦啟動(dòng)項(xiàng)中，會(huì)看到logon已下發(fā)，運(yùn)行中輸入“%appdata%\Microsoft\Windows\StartMenu\Programs\Startup\”，翻開windows啟動(dòng)項(xiàng)，如以下圖。logon默認(rèn)啟用了常駐內(nèi)存功能，常駐內(nèi)存功能實(shí)時(shí)檢測(cè)PCIP變化，當(dāng)?shù)刂钒l(fā)生變化，則馬上將變化后的IP地址單點(diǎn)登錄上線，以實(shí)現(xiàn)IP變化實(shí)現(xiàn)認(rèn)證平滑切換。所以在任務(wù)治理器中，可以看到Logon.exe始終在運(yùn)行。高級(jí)用法logon腳本參數(shù)配置的根本方法，也是最常用的方法。這里介紹logon腳本參數(shù)的另外兩種高級(jí)用法，可以實(shí)現(xiàn)更多的功能。多個(gè)參數(shù)組合使用，實(shí)現(xiàn)更多功能以“Title1=value1Title2=value2Title15=value15”的形式帶多個(gè)參數(shù)〔1個(gè)到15〕，參數(shù)間以空格隔開，如以下圖配置表示客戶端電腦全部IP都單點(diǎn)登錄，其中ac_ip及key兩個(gè)參數(shù)必需配置，其它參數(shù)可選?？梢远x的參數(shù)及適用場(chǎng)景見下表所示。測(cè)試指導(dǎo)書測(cè)試指導(dǎo)書“:///“第“:///“第21頁(yè)，共27頁(yè)深信服公司版權(quán)全部命令行參數(shù)名sinforIP配置文件參數(shù)合法值單位默認(rèn)值有效范圍適用場(chǎng)景名en_runAlEnableRunAlways0、1---10、1是則啟動(dòng)常駐內(nèi)存功能，否則運(yùn)行一次后退出。常駐內(nèi)存功能實(shí)時(shí)檢測(cè)IP變化，當(dāng)IP變化時(shí)，馬上重單點(diǎn)登錄，對(duì)終端用戶無(wú)感知，一般用于DHCP環(huán)境，從一個(gè)位置移動(dòng)到另一個(gè)位置，IP變化后自動(dòng)平滑單點(diǎn)登錄。en_ckSignEnableSignature0、1---00、1是否啟動(dòng)檢驗(yàn)數(shù)字簽名功能〔鑒別進(jìn)程唯一性〕。防止內(nèi)網(wǎng)某些同名進(jìn)程和logon沖en_repeatLEnableRepeatLogon0、1---00、1突，導(dǎo)致誤殺logon是否啟動(dòng)重復(fù)登錄功能。適AC啟認(rèn)真跳功能AC錯(cuò)誤的注銷用戶。en_copyStart EnableCopyStartup 0、1 1

是否開啟將程序拷貝到啟動(dòng)名目功能。將logon拷貝到本地啟動(dòng)名目，用戶下次假設(shè)離線登錄域，則可以直接從本機(jī)運(yùn)行，解決離線登錄域的問(wèn)題，提高單點(diǎn)登錄成功baklogP BaklogPath

--- 空串

Logon運(yùn)行日志默認(rèn)保存合法路法路徑在%appdata%名目，假設(shè)此徑名目沒(méi)有讀寫權(quán)限，可以將日志打印到指定路徑(指定的路徑最多包含一層文件夾，當(dāng)指定路徑?jīng)]權(quán)限寫時(shí)，會(huì)恢復(fù)默認(rèn)日志路徑)en_heartBEnableHeartBeat0、1---00、1是否啟動(dòng)心跳功能。當(dāng)注銷腳本運(yùn)行失敗時(shí)，可以通過(guò)心跳功能實(shí)現(xiàn)注銷en_responseEnableResponse0、1、2---20、1、2啟動(dòng)、關(guān)閉或者自動(dòng)配置回包功能en_logon_AIPLogonALLIP0、1---00、1是否啟動(dòng)登錄全部IP功能。PC有多個(gè)IP地址，單點(diǎn)登錄上報(bào)的IP是隨機(jī)的，可以啟用此功能將全部IP上報(bào)單點(diǎn)登錄en_logoff_OIPLogoffOldIP0、1---00、1是否啟動(dòng)注銷舊IP功能〔是即在PC從IP_A變化到IP_BIP_A〕ac_ipsinforIP合法IP---~255.255.2AC的IP55.255keyshareKey任意---123最長(zhǎng)23個(gè)共享密鑰ASCII字符〔大小寫敏感、支持特別字碼字符符〕portPort1773、------1775IPv4支持udp1773及1775UDP1775IPv6只支持udp1775reLogon_IRepeatLogonInterval正整數(shù)秒180[10,1000]重復(fù)登錄時(shí)間間隔heart_beatIHeartBeatInterval正整數(shù)秒30[10,50]發(fā)送心跳的時(shí)間間隔checkIP_ICheckIPInterval正整數(shù)秒10[1,100]檢測(cè)IP變化的時(shí)間間隔timeoutResponseTimeOut正整數(shù)秒5[1,50]等待回包的超時(shí)時(shí)間retry_timesRetryTimes正整數(shù)次3[1,20]一次性發(fā)送登錄包的次數(shù)測(cè)試指導(dǎo)書測(cè)試指導(dǎo)書“:///“第“:///“第22頁(yè)，共27頁(yè)深信服公司版權(quán)全部【留意】①logon多個(gè)參數(shù)組合的方式，ac_ip及key兩個(gè)參數(shù)必需配置，其它參數(shù)可選?！疤D(zhuǎn)至內(nèi)置提示頁(yè)面”下載Logon.exe會(huì)導(dǎo)致簽名無(wú)效，所以通過(guò)設(shè)置參數(shù)en_ckSign，來(lái)打算是否要檢驗(yàn)數(shù)字簽名〔缺省不檢驗(yàn)〕③假設(shè)使logon.exe心跳開啟有效，則AC也要開啟心跳檢測(cè)，AC上開啟方法如下④IP檢測(cè)的時(shí)間間隔必需小于等于重復(fù)登錄的時(shí)間間隔〔否則自動(dòng)調(diào)整為〔reLogon_I-1,IP檢測(cè)的時(shí)間間隔的下限〕的最大值〕；〔否則自動(dòng)調(diào)整〔reLogon_I-1,發(fā)送心跳的時(shí)間間隔的下限〕的最大值〕⑥logoff腳本沒(méi)有此用法，只有第6章節(jié)介紹的根本用法通過(guò)sinforIP配置文件掌握l(shuí)ogon參數(shù)前面介紹的通過(guò)命令行掌握l(shuí)ogon參數(shù)的方法一般適用在登錄域時(shí)，通過(guò)一臺(tái)AC單點(diǎn)AC單點(diǎn)登錄，則無(wú)法實(shí)現(xiàn)，下面介紹Logon的另一種用法，通過(guò)sinforIP配置文件掌握l(shuí)ogon參數(shù)，實(shí)現(xiàn)登錄時(shí)同時(shí)通過(guò)多臺(tái)AC認(rèn)證。適用場(chǎng)景公司總部和分公司都有一臺(tái)AC，總公司員工在總部時(shí)使用單點(diǎn)登錄通過(guò)總公司AC上過(guò)分公司的AC上網(wǎng)，所以期望出差員工登錄到總部域時(shí)，也能夠通過(guò)分支AC單點(diǎn)登錄上網(wǎng)。實(shí)現(xiàn)方式配置文件定義多臺(tái)AC，如同時(shí)定義總公司和分公司兩臺(tái)AC，將sinforIP和logon通過(guò)域組策略下發(fā)給用戶，當(dāng)終端用戶登錄域時(shí)，logon從sinforIP中讀取AC地址，向兩臺(tái)AC發(fā)起認(rèn)證，從而實(shí)現(xiàn)同時(shí)向多臺(tái)AC認(rèn)證的功能。配置步驟AD域上配置〔logon配置，logoff配置，刷組策略〕，其中AC上的配置及AD域上logoff配置和前面章節(jié)介紹一樣，這里只介紹AD域上logon配置配置sinforIP配置文件，如以下圖配置文件，logon及l(fā)ogoff腳本都可以從設(shè)備上直接下載，下載說(shuō)明參考4.2章節(jié)。以下圖為sinforIP配置文件說(shuō)明，依據(jù)此說(shuō)明配置好必要的sinforIP配置文件。配置文件，logon及l(fā)ogoff傳到AD域效勞器，并配置logon，如以下圖配置logon參數(shù)，如以下圖。點(diǎn)擊“掃瞄”，添加logon腳本。腳本參數(shù)填寫“-a”或留空。填寫“-a”表示向全部AC發(fā)3次登錄信息不等待回復(fù)，留空表示向全部AC發(fā)送次登錄信息〔retry_times可配，參考7.1章節(jié)中的表格說(shuō)明〕，且等待AC回包。推舉腳本參數(shù)寫“-a”。至此，logon通過(guò)sinforIP掌握參數(shù)的高級(jí)用法已介紹完比，其它的配置，如logoff〔logoff不能通過(guò)sinforIP掌握參數(shù)〕，刷組策略以及效果的測(cè)試全部和第5章節(jié)中介紹的一樣。留意事項(xiàng)AC結(jié)合認(rèn)證，且域中有同名用戶，為了區(qū)分是不同域中的用戶，需要啟用以下圖配置。測(cè)試指導(dǎo)書測(cè)試指導(dǎo)書“:///“第“:///“第26頁(yè)，共27頁(yè)深信服公司版權(quán)全部AC會(huì)給用戶名自動(dòng)加上@“mailto:如support@“域后綴，如support@，如以下圖AC上線〔在線用戶治理才可以看到〕，程序會(huì)10分鐘檢測(cè)一次，假設(shè)始終沒(méi)有流量，在線用戶治理看不到用戶上線?？蛻魧?shí)際場(chǎng)景中使用最多的是logon常規(guī)用法，即第5章