【正文】 圖表 1 EAD解決方案安全準入應用模型圖 杭州華三通信 技術有限公司 202073 內部資料，請勿擴散 第 20 頁 , 共 20 頁 安全準入工作流程 ? 身份驗證： 用戶終端接入網絡時，首先進行用戶身份認證，非法用戶將被拒絕接入網絡。主要與 Portal認證相配合 ，實現網絡出口或是關鍵數據區(qū)域的認證保護。在 提醒 模式下，安全客戶端檢查用戶終端的安全狀態(tài)信息，并將不合格項以彈出窗口的形式提供給終端用戶，同時提供修復指導和相關鏈接。 3. 通過安全認證網關和策略服務器、客戶端配合，解決了網絡上多廠商設備共存的問題； 4. 其余同接入層準入控制。 ? 隔離區(qū)的設置、第三方服務器的設置、 CAMS自助服務器 和 EAD安全代理服務器的 設置等信息同接入層準入控制。而這時的企業(yè)網絡通常為多廠商設備共存，很難單獨使用 一家廠商的設備實施網絡的準入控制，這種情況下，視網絡規(guī)模大小，我們推薦使用一臺或多臺網關設備作為強制認證控制器，使用基于 Portal的認證協(xié)議， 與 iNode客戶端、安全策略服務器配合完成 EAD端點準入防御 。尤其是在對用戶原有企業(yè)網絡進行改造，實施 EAD解決方案時，可以將原有匯聚層設備替換為支持 EAD解決方案的 H3C匯聚層設備，實現 EAD解決方案的應用。 2. 合法用戶接入網絡后，其訪問權限受 S30/35/39/50系列 交換機中的 ACL控制。 3. CAMS通知接入設備 （ S30/35/36系列或其他 支持 EAD解決方案 的交換機） ，將該用戶的訪問權限限制到隔離區(qū)內。 ? 在 接入 交換機（ S30/35/36系列 交換機）中 要 部署 ，強制進行基于用戶的 和動態(tài) ACL、 VLAN控制 。 Windows 管理服務集成 ? 活動目錄探索 ： SMS 20xx可以自動探索用戶和系統(tǒng)的活動目錄屬性，包括組織單元容器和組級成員。 ? 提高權限的 Windows安裝服務 ： 鑒于 SMS 20xx支持 Windows安裝服務 (.msi)，在一個組件安裝過程中，可以在關聯的帳戶間切換，允許在 “向下鎖定 ”的系統(tǒng)上安裝自我復原的應用程序。 ? 實時監(jiān)控系統(tǒng)安全狀態(tài)，包括是否更改安全設置、是否發(fā)現新病毒等，并將安全事件定時上報到安全策略服務器，用于事后進行安全審計。聯動設備接收到安全策略服務器下發(fā)的隔離指令后， 目前 可以通過 動態(tài) ACL方式限制用戶的訪問權限；同樣，收到解除用戶隔離的指令后也可以在線解除對用戶終端的隔離。 此類服務器通常放置于網絡 隔離區(qū)中，用于終端進行自我修復 操作 。安全策略服務器定義了對用戶終端進行準入控制的一系列策略，包括用戶終端安全狀態(tài)評估配置、補丁檢查項配置、安全策略配置、終端修復配置以及對終端用戶的隔離方式配置等。 安全防護主要是對終端接入網絡進行認證，保證只有安全的終端才能接入網絡，對達不到安全要求的終端可以進行修復，保障終端和網絡的安全；安全監(jiān)控是指在上網過程中，系統(tǒng)實時監(jiān)控用戶終端的安全 狀態(tài)，并針對用戶終端的安全事件采取相應的應對措施，實時保障網絡安全。 端點準入防御 (EAD)方案 技術 建議書 杭州華三通信技術有限公司 杭州華三通信 技術有限公司 202073 內部資料，請勿擴散 第 2 頁 , 共 2 頁 目 錄 1 概述 ................................................................................................................... 4 2 EAD端點準入防御解決方案介紹 ........................................................................ 4 方案思路 ................................................................................................. 5 方案組成部分 .......................................................................................... 5 EAD安全策略服務器 ........................................................................ 6 修復服務器 ...................................................................................... 7 安全聯動設備 .................................................................................. 7 安全客戶端 ...................................................................................... 7 3 EAD與 Microsoft SMS聯動推薦 ........................................................................... 8 EAD與微軟 SMS聯動介紹 ........................................................................ 8 EAD與 SMS聯動技術優(yōu)勢 ........................................................................ 9 Microsoft SMS功能概述 ........................................................................... 9 4 EAD解決方案組網部署 .................................................................................... 11 新建網絡部署 ........................................................................................ 11 接入層準入控制 .............................................................................. 11 1. 方案組網 ............................................................................................ 11 2. 組網設備 ............................................................................................ 12 3. 方案說明 ............................................................................................ 12 4. 流程說明 ............................................................................................ 13 5. 實施效果 ............................................................................................ 13 匯聚層準入控制 .............................................................................. 14 1. 方案組網 ............................................................................................ 14 2. 組網設備 ............................................................................................ 14 3. 方案說明 ............................................................................................ 15 4. 流程說明 ................................................................................