深信服AC/AF通过MAC地址禁止上网操作指南

🔒 在企业网络管理中，基于MAC地址进行上网控制是常见的安全管控手段。深信服的AC（上网行为管理）和AF（下一代防火墙）产品均可实现该功能，目前这两项功能隐藏的还有点深。

🔍 一、功能应用场景

• 访客设备管控

  ：限制未授权设备接入

• 离职员工设备

  ：快速阻断已离职人员的终端

• 违规设备处置

  ：对病毒感染的设备进行快速隔离

🛠️ 二、AC设备配置流程

1. 登录管理界面

• 访问 https://[AC_IP]

• 使用管理员账号登录

2. 添加要管控的电脑范围

路径：接入管理 →接入认证→PORTAL认证→认证策略→ 新增

在[认证范围]，填写需要管控电脑的MAC地址；

3. 上网策略配置

路径：认证策略 → 认证方式

选择[不允许认证（禁止上网）]

🔧 三、AF设备配置方法

1. 先启用【高级配置】

默认策略里只有根据IP地址禁用网络，所以需要先启用高级配置才可以

路径：通用设置 → 网络参数 → 高级配置

2. 安全策略配置

路径：策略 →访问控制 →应用控制策略 →新增

在源地址出 勾选[MAC地址]

⚠️ 四、注意事项

• MAC地址欺骗防护：建议同时启用802.1X认证

• 移动设备管理：MAC地址可能随机化，需配合其他认证方式

• 策略优先级：确保禁止策略置于允许策略之前

✅ 五、效果验证

• 使用arp -a命令确认设备MAC地址

• 被禁设备访问任意网站应显示"网络访问被拒绝"

• 在设备日志中可查看对应拦截记录

💡 小贴士：建议定期审计MAC地址列表，及时清理无效条目

通过上述配置，企业可以快速有效地基于MAC地址实施网络访问控制。需要注意的是，MAC地址过滤应作为整体安全策略的一部分，建议结合IP/MAC绑定、终端认证等多种方式构建立体防护体系。如需更详细的配置指导，可访问深信服官方知识库查询最新技术文档。

---

意见交流、商务合作、投稿请发邮件至:support@lan.wiki