无线接入终端上网行为管控

无线接入终端上网行为管控

1 需求

当无线终端经过无线路由器（如下简称AP）接入公司局域网再访问公网时，若是想经过部署在局域网出口的上网行为管理设备（例如深信服的AC）进行终端上网行为的管控时，对于无线接入终端须要具备以下要求。

一、 无线接入终端不能经过AP进行NAT地址转换而接入公司局域网；

二、 无线接入终端须要获取公司局域网的IP地址；

2 分析

对于上述2点要求，缘由以下。

一、 若是无线接入终端是经过AP获取的独立IP段地址（此地址段与公司局域网的IP段地址无关），并经过AP进行NAT地址转换时，在AC上记录到的只是AP的WAN口地址，没法记录到无线终端的IP地址，所以，全部的上网行为日志记录都没法与无线终端进行匹配。所以，不能经过AP进行NAT地址转接而接入公司局域网；

二、 同理，每台无线接入终端须要获取公司局域网的IP地址，而非经过其它设备进行NAT地址转换后的地址，以保证每台无线接入终端在AC上认证为单独的一台终端或单个用户。

3 方法

根据上述要求，对于AP应该进行以下配置。

一、 AP不须要配置WAN口，只须要配置LAN口，配置一个公司局域网IP地址，此地址只用于无线路由器的管理；

二、 关闭AP的DHCP功能；

三、 配置好AP的无线SSID配置；

四、 将公司局域网网线接入AP的随意一个LAN口；

无线终端经过AP的无线SSID接入网络，并经过公司局域网的DHCP获取动态IP地址，就能够在AC中进行管控了。

 

李政

2012-05-08