【文章內容簡介】 特定的VLAN當中進行修復。網絡準入控制從物理上保證只有經過身份認證和安全認證的電腦才能接入企業(yè)網絡上，并且使用者也經過了身份認證，將不安全的電腦和用戶拒之門外，徹底消除蠕蟲病毒、木馬的侵害及別有用心的偷窺和網絡濫用。圖3 天珣支持主流網絡廠商的交換機設備，支持的廠家包括CISCO、H3C、華為、3COM、銳捷、DLink等業(yè)界主流網絡廠商，最大限度保護用戶在網絡設備的已有投資。，包括用戶名/密碼、IP地址、MAC地址、計算機安全狀態(tài)、接入有效期等一種或多種條件的組合。，創(chuàng)造性支持漫游IP網段準入控制擴展認證功能，加入客戶端歸屬網段概念?？蛻舳寺谓尤敕菤w屬網段，系統(tǒng)將強制其通過DHCP獲取漫游網段的IP地址。 基于EOU的網絡準入控制天珣支持思科NAC的EAP Over UDP網絡準入，如果匯聚層采用的是CISCO支持EOU協(xié)議的網絡設備，依然可以驗證終端的安全狀態(tài)，隔離不安全的終端，用戶電腦無客戶端程序則重定向用戶的URL訪問到指定的網頁進行安裝，并修復其安全漏洞。天珣擴展了EoU協(xié)議，支持在EoU協(xié)議上的用戶認證，只有經過用戶認證才能繼續(xù)進行安全驗證。圖4 基于EOU的網絡準入控制示例圖 應用準入控制天珣采用多種策略網關，為企業(yè)的關鍵系統(tǒng)和應用提供準入控制手段。只有受天珣管理并且符合安全策略的電腦才允許訪問企業(yè)的這些系統(tǒng)及應用。系統(tǒng)及應用準入控制為企業(yè)關鍵的業(yè)務系統(tǒng)提供最后的安全保證，杜絕非授權訪問或黑客攻擊。圖5 應用準入控制示例圖天珣已經支持的應用準入類型非常豐富，用戶總能其中找到一種或幾種適合自己網絡和合規(guī)管理要求的應用平臺，在該平臺上面同時啟用應用準入。天珣已經支持的應用準入類型有：按應用系統(tǒng)分類：Web、Mail、DNS、ISA Proxy。按操作系統(tǒng)分類：Windows、Linux。下表是天珣已經具備針對不同的應用的策略網關類型，總可以從下面的表中，找到一種或幾種適合的應用準入控制方案：表3針對不同應用天珣具備豐富的策略網關類型 策略網關類型支持的應用類型不同平臺下可選擇的策略網關WindowsLinuxWeb應用IIS策略網關中性策略網關for LinuxProxy應用ISA策略網關中性策略網關for LinuxDNS應用中性策略網關for Windows中性策略網關for Linux其他應用類型中性策略網關for Windows中性策略網關for Linux除此之外，天珣能夠啟明星辰天清漢馬USG實現(xiàn)準入控制互動，由USG擔當準入控制網關，當終端需要通過USG進行訪問時，由USG和天珣聯(lián)動，只容許認證通過并且安全狀態(tài)符合要求的終端通過USG進行訪問。天珣應用準入控制可以單獨只啟用一種平臺應用準入，也可以同時啟用多個平臺應用準入，也可以網絡準入控制同時啟用，組成“網絡準入+應用準入”復合準入控制體系，全面覆蓋用戶內網每一個區(qū)域和角落。 客戶端準入控制安裝有天珣系統(tǒng)客戶端的桌面電腦在接受訪問時，可以根據管理員的配置檢查對方的電腦是否運行了天珣系統(tǒng)客戶端，并檢查自身的安全狀態(tài)是否符合規(guī)范。如果對方電腦未安裝客戶端，或本機不符合安全策略要求，則拒絕其訪問。圖6 客戶端準入控制示例圖當天珣客戶端電腦訪問網絡，也會先檢查自身的安全狀態(tài)是否合格，如果不合格，將限制自身的網絡訪問。天珣客戶端準入控制，創(chuàng)造性將每一臺終端都成為準入控制點，保證每臺終端只接受安全可信的終端進行訪問，并只在安全狀態(tài)合格時訪問網絡，實現(xiàn)最細粒度準入控制。天珣客戶端具備網絡阻斷功能，在客戶端安全狀態(tài)不符合要求時，客戶端自身能不依賴網絡設備、不依賴網絡上其他的電腦或設備獨立執(zhí)行網絡訪問阻斷天珣更支持強大的選擇性阻斷，在客戶端安全狀態(tài)不符合要求時，客戶端能根據管理員的配置，通過進程、端口、目標地址等選擇性地阻止部分非緊急業(yè)務的網絡訪問，而允許其他緊急業(yè)務的網絡訪問。，選擇性阻斷技術保證客戶端安全狀態(tài)的改變不會導致交換機端口狀態(tài)的頻繁切換或VLAN的頻繁切換而影響交換機和網絡的性能；當啟用基于EoU時，選擇性阻斷技術保證客戶端安全狀態(tài)的改變不會導致交換機頻繁下載ACL而影響交換機和網絡的性能。當不啟用網絡準入時，選擇性阻斷保證客戶端不依賴其他任何設備執(zhí)行緊急業(yè)務和非緊急業(yè)務的分類阻斷。 網絡準入增值應用 動態(tài)VLANVLAN在控制廣播域的范圍、網絡安全、第三層地址的管理、和網絡資源的集中管理方面有重要的意義。傳統(tǒng)的基于交換機端口劃分VLAN的方式因為不靈活以及對管理員的工作量太大而不能滿足今天移動用戶的VLAN管理需求。天珣可以根據用戶的登錄名或電腦MAC地址動態(tài)劃分VLAN，無論用戶移動到公司的哪個地點接入到網絡，都將可以自動屬于他被分配的VLAN，而不用管理員手工干預。 動態(tài)ACL在交換機的傳統(tǒng)ACL配置中，只能針對端口或IP地址設置ACL。天珣能夠在EoU的環(huán)境下，針對登錄用戶名和電腦的MAC地址為每一臺電腦下發(fā)動態(tài)ACL，極大地擴展了交換機的配置能力。 外來電腦管理對于外來電腦，企業(yè)有時很難要求其與本公司電腦啟用相同的安全策略。 VLAN，或通過啟用訪客策略，嚴格限制外來電腦的訪問權限，即使其安全狀態(tài)不符合規(guī)范，甚至有蠕蟲病毒或木馬，也不會對企業(yè)網絡造成危害，同時杜絕了任何外來電腦的非授權訪問問題。 桌面管理功能具備執(zhí)行力的終端合規(guī)管理，要求精確和完整的終端信息作為合規(guī)管理基礎，因此合規(guī)管理系統(tǒng)需要精確和完整的桌面信息管理。天珣改變傳統(tǒng)的桌面管理軟件多是一種“盡力而為”的管理模式，即需要用戶配合安裝客戶端，運行客戶端，如果用戶卸載或停用客戶端，管理員將對客戶電腦失去管理，依托準入控制技術，確保100%的終端都部署和運行了客戶端軟件，第一次使管理員有了確定性的桌面管理手段，管理企業(yè)IT資產，管理桌面運行軟件，進行補丁管理，軟件分發(fā)，控制PC的外設使用，并使用創(chuàng)新的“按需支援（HOD : Help On Demand ）”技術進行遠程桌面支持。與安全防護功能集成的桌面管理將使管理員有了全新的管理手段，并使管理手段擁有前所未有的執(zhí)行力。 資產管理由于電腦硬件及軟件的更新和變化，IT維護人員和財務部門對企業(yè)的IT資產的管理和統(tǒng)計經常處于一種無序及手工統(tǒng)計的狀態(tài)，當IT資產更新頻繁時，原來的IT資產管理記錄往往由于管理的滯后和對實際情況的掌握程度不夠無法及時更新，從而造成IT資產管理的混亂，維護人員對于IT資產的最新情況不了解也對IT運行服務造成了障礙。天珣資產管理模塊自動收集企業(yè)用戶的IT設備的硬件配置，如客戶端計算機的BIOS參數、CPU型號、內存數量，硬盤類型，硬盤序列號，硬盤容量及分區(qū)，主板序列號等，顯卡類型，各種外設等信息；軟件信息，如操作系統(tǒng)，安裝軟件等；以及跟蹤相關信息的變化。為管理員進行系統(tǒng)維護，技術支持，軟件部署，IT開支預算及統(tǒng)計提供及時的信息。開放靈活的架構天珣通用桌面管理套件資產管理采用開放式架構，使用Windows腳本技術，靈活動態(tài)收集企業(yè)資產信息。天珣策略系統(tǒng)的開放架構的腳本技術使資產收集腳本規(guī)則化，系統(tǒng)不用更新客戶端程序就能改變信息采集方式，改變數據庫內容，改變顯示方式。這些腳本可以由啟明星辰提供，也可由系統(tǒng)管理員根據自己的需要自己定制，這種靈活性是天珣通用桌面管理套件資產優(yōu)于其它系統(tǒng)的最主要特征。集中的Web管理控制臺管理員可以從一個中央控制臺保存和追蹤各系統(tǒng)的有關信息，例如處理器類型、BIOS 類型及序列號、顯示適配器、內存、硬盤等。差異化傳輸客戶端在初次掃描時會將全部信息都傳輸給服務器，在以后的掃描及傳輸過程中，只對有變化的部分傳輸給服務器，這樣大大提高傳輸效率，減小傳輸過程對網絡的影響。 Help On Demand遠程桌面天珣HOD系統(tǒng)在企業(yè)中心IT部門對在各園區(qū)的需要幫助的計算機進行遠程操作，幫助遠程的客戶端進行異地操作和檢查系統(tǒng)問題，充分發(fā)揮、共享中心IT部門的技術優(yōu)勢，為企業(yè)IT部門節(jié)省各園區(qū)駐地成本和交通成本，節(jié)省時間，提高運維服務的效率，達到成本與服務質量的雙重效益。天珣HOD完全符合企業(yè)的現(xiàn)實需求，并獨具有多種工作模式，可以完全覆蓋企業(yè)多種遠程幫助和支持的情況。天珣HOD主要的工作模式：NULL客戶端模式和Agent模式。NULL客戶端模式：用戶端無需安裝任何軟件，用戶需要幫助時從企業(yè)內部網上下載客戶端軟件，只能由用戶主動向管理員發(fā)起連接，管理員在管理端操作用戶的電腦，幫助用戶排除故障，故障排除后自動銷毀客戶端程序。用戶可以看見管理員所有的操