上网先亮身份：USG认证策略加本地Portal按人管权限

不少单位管上网只管到IP：给研发一段地址、给行政一段地址，策略跟着网段走。麻烦在于员工换工位、改IP，策略就跟着失灵。华为USG防火墙的用户身份管理换了个思路——先把流量的源IP识别成"人"，再按人下策略。配合本地Portal认证，员工打开浏览器先弹认证页，输入账号密码通过后才能访问外网，权限跟人走、换座位也不乱。

两个关键机制

官方文档讲清了这套体系的两个关键点：

• 用户认证通过后，设备把IP地址与用户名的对应关系记进在线用户表；用户IP变了就要重新认证，对应关系随时更新，权限控制始终跟着人；
• 策略里可以直接拿"用户"当匹配条件，实现基于用户的访问控制，而不是对着IP段猜。

认证从触发方式上分两类：会话认证是用户用HTTP/HTTPS访问网络时，流量命中认证策略，设备把访问请求重定向到本地Portal认证页面，认证通过才放行；事前认证针对FTP等其他协议，用户先主动访问认证页面认证过再干活。本地Portal还分本地认证（设备拿本地用户校验账号密码）与服务器认证（转发给RADIUS、AD等服务器校验），小单位用本地认证就能起步。

认证策略怎么配（命令照抄官方文档）

设备缺省存在一条所有条件为any、动作为不认证的缺省策略，要认证先建规则：

system-view
auth-policy
rule name research_auth
 source-zone trust
 source-address 10.1.1.0 24
 action portal

几点官方提醒值得照着做：认证策略各匹配条件之间是"与"关系，同一条件内多个数据是"或"关系；配多条规则时先写条件精确的、再写条件宽泛的，保证精确规则在上方；如果设备上配了NAT，源地址要写转换前的私网IP。另外用户访问DNS的解析报文要放行，否则认证页面都弹不出来。

落地建议

先把一两个部门划进认证范围试运行，账号在防火墙上批量建好，权限策略按用户或安全组下发；打印机、考勤机这类不能弹页面的设备，用免认证规则单独豁免。跑顺之后再逐步扩面，员工端感知只是"打开网页先登录一次"，接受度不低。

上网权限按人管，离职停号当天就生效，这比改IP段省心得多。贵州诚鑫致达科技给中小企业部署上网行为与身份认证体系，从账号规划到策略上线全程落地，想把网管从IP段里解放出来的单位可以联系我们聊聊方案。

企业存储选型参考｜贵州诚鑫致达

做核心业务 SAN 存储与高可靠应用，群晖机型参考：UC3400 · UC3200 · SA3600。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。