从 IP 维度换到用户维度
传统策略以 IP 为匹配对象，可一旦用户换设备、走无线漫游或使用 DHCP，IP 与人的对应关系就会漂移，策略随之失准。用户策略把认证身份作为匹配依据：用户先经过认证，设备再按用户或用户组放行，策略跟着人走而不是跟着地址走。它成立的前提是认证源与安全设备完成了联动。
基本信息
| 适用平台 | 华为 USG、深信服 AF 等支持用户认证与策略联动的安全设备 |
|---|---|
| 认证源 | 本地用户、AD/LDAP、RADIUS、Portal 认证、单点登录 |
| 联动方式 | 设备作为认证客户端，或与认证平台对接同步用户身份 |
| 策略引用 | 安全策略中按用户或用户组作为匹配条件 |
典型使用场景
- 员工访问权限：按部门用户组放行不同系统，人员调岗只改组关系
- 访客与员工区分：访客走独立认证与独立策略，不与内网资源混在同一条规则里
- 离职即时失效：账号在认证源停用后，权限同步失效，不必等策略清理
- 无线与移动办公：终端在网段间漫游时，权限不再因 IP 变化而失效
- 审计清晰：日志里记录用户身份，而不是一串无法追责的地址
实施顺序
实施顺序
1. 打通认证源：AD/LDAP、RADIUS 或 Portal，先确认能取到用户与组信息
2. 规划用户组与命名规范，避免出现含义不明的组名
3. 按组下发差异化安全策略，从灰度部门开始验证
4. 用户访问测试：确认策略生效且日志中能看到身份信息
5. 推广前定义认证服务器故障时的降级行为（放行还是拒绝）常见问题与方向
| 现象 | 可能原因 | 处理方向 |
|---|---|---|
| 策略不生效 | 用户未认证或身份未同步 | 查认证状态与联动日志 |
| 权限忽有忽无 | IP 与身份绑定漂移 | 排查 DHCP 续租与漫游 |
| 认证后仍被拦 | 策略优先级或引用错误 | 核对规则顺序与引用对象 |
| 认证服务器故障后全网异常 | 降级策略未定义 | 提前明确故障处置方式 |
认证服务器故障时的降级策略必须提前定义：放行会带来权限放大风险，拒绝会造成全断，两种后果都要和业务方一起确认。