一些企事業(yè)單位的局域網(wǎng)出于安全需要，必須指定的mac地址才可以聯(lián)網(wǎng)和訪問(wèn)服務(wù)器資源。在本例中，我將結(jié)合WSG上網(wǎng)行為管理網(wǎng)關(guān)，來(lái)介紹如何通過(guò)客戶(hù)機(jī)的MAC地址來(lái)對(duì)客戶(hù)端進(jìn)行身份認(rèn)證，只有通過(guò)認(rèn)證的客戶(hù)端設(shè)備才可以訪問(wèn)網(wǎng)絡(luò)資源。網(wǎng)絡(luò)結(jié)構(gòu)圖如下：
如上圖所示，把一臺(tái)WSG上網(wǎng)行為管理網(wǎng)關(guān)串接在服務(wù)器網(wǎng)段、互聯(lián)網(wǎng)和內(nèi)網(wǎng)交換機(jī)之間，從而控制內(nèi)網(wǎng)的客戶(hù)機(jī)電腦到服務(wù)器網(wǎng)段和外網(wǎng)的訪問(wèn)。在本例中，我們采用的是網(wǎng)橋部署模式，網(wǎng)橋的配置如下圖：
在WSG的網(wǎng)橋設(shè)置中定義內(nèi)網(wǎng)的IP段（不包括服務(wù)器網(wǎng)段），這樣就可以同時(shí)實(shí)現(xiàn)對(duì)外網(wǎng)訪問(wèn)和到服務(wù)器網(wǎng)段的訪問(wèn)管控。其他的相關(guān)策略配置如下：
1. 把允許的MAC地址加入組配置
2. 應(yīng)用過(guò)濾中禁止所有訪問(wèn)
在“行為管理”-“應(yīng)用過(guò)濾”模塊中，先對(duì)所有人都采用禁止所有的應(yīng)用過(guò)濾策略。
3. 再對(duì)指定的組放行
在“行為管理”-“例外設(shè)置”中，對(duì)允許的mac地址組添加例外策略?？梢苑判兴校部梢苑判兄付ǖ膬?nèi)容（IP地址、域名、端口等），還可以放行指定的應(yīng)用協(xié)議。如下圖：
放行指定的網(wǎng)站或者IP：
放行指定的應(yīng)用協(xié)議：
經(jīng)過(guò)上述的配置步驟后，內(nèi)網(wǎng)的客戶(hù)機(jī)如需訪問(wèn)外網(wǎng)或者訪問(wèn)服務(wù)器，都需要先經(jīng)過(guò)授權(quán)才可以進(jìn)行訪問(wèn)。
