北信源網(wǎng)絡(luò)接入控制系統(tǒng)工作原理與功能對比(編輯修改稿)
2025-07-25 09:26 本頁面
【文章內(nèi)容簡介】 統(tǒng)有效結(jié)合起來，為 HWPTDNACWP0016客戶的內(nèi)網(wǎng)終端安全管理提供有效的安全保障。. 旁路干擾準(zhǔn)入控制技術(shù) 在 OOB 準(zhǔn)入控制模式的發(fā)展趨勢下，北信源公司研發(fā)了基于旁路干擾模式的準(zhǔn)入控制方法，該準(zhǔn)入控制方法采用和策略路由模式一致的旁路部署方法，是北信源公司在準(zhǔn)入控制發(fā)展理念的基礎(chǔ)上自主創(chuàng)新的新型準(zhǔn)入控制技術(shù)，相對于策略路由準(zhǔn)入控制模式，旁路干擾準(zhǔn)入控制模式有著更為突出的安全特性。策略路由準(zhǔn)入控制模式雖然采用旁路部署模式，但是從技術(shù)原理上來說，采用的是流量劫持的方式對上行業(yè)務(wù)流進(jìn)行篩選。而旁路干擾準(zhǔn)入模式采用的是流量復(fù)制的模式對上行業(yè)務(wù)流量進(jìn)行篩選，在篩選過后再采用旁路干擾的方式中斷現(xiàn)行業(yè)務(wù)流，是真正的旁路部署模式，不需要對現(xiàn)行業(yè)務(wù)流的走向進(jìn)行任何改動(dòng)，就像在快速運(yùn)行的高速公路旁邊部署了一臺監(jiān)控?cái)z像頭，當(dāng)發(fā)現(xiàn)違規(guī)車輛時(shí)通過點(diǎn)對點(diǎn)的對話方式，讓違規(guī)車輛自動(dòng)接受處罰。由于旁路干擾準(zhǔn)入控制模式真正的旁路部署特性，其對現(xiàn)行業(yè)務(wù)流沒有任何影響，因此相對于所有準(zhǔn)入控制模式來說，有著得天獨(dú)厚、無法比擬的安全性，其具體的業(yè)務(wù)流程參考下圖：圖 5 旁路干擾準(zhǔn)入控制模式示例流程旁路干擾準(zhǔn)入控制模式要求核心設(shè)備（通常是核心或者匯聚層交換機(jī)）具備流量鏡像的功能，相對與策略路由來說，有更多的交換機(jī)都支持流量鏡像功 HWPTDNACWP0017能，因此對于不同網(wǎng)絡(luò)環(huán)境的適應(yīng)性更加強(qiáng)大。除此之外，即使核心設(shè)備不支持流量鏡像功能，也可以采用 TAP 分流的方式對流量進(jìn)行復(fù)制分流，而這僅僅只需要增加一臺分流/分光設(shè)備即可。. 透明網(wǎng)橋準(zhǔn)入控制技術(shù)在不支持策略路由或者旁路鏡像的環(huán)境下，為了滿足客戶網(wǎng)絡(luò)環(huán)境下的準(zhǔn)入控制需求，采用串接的方式實(shí)現(xiàn)準(zhǔn)入控制便顯得尤為重要了。透明網(wǎng)橋技術(shù)已經(jīng)被大多數(shù)網(wǎng)絡(luò)安全設(shè)備接受和認(rèn)可，也是目前為止在網(wǎng)絡(luò)關(guān)口層面控制最為嚴(yán)格的部署技術(shù)，北信源網(wǎng)絡(luò)接入控制系統(tǒng)在不改變現(xiàn)有拓?fù)涞那闆r下將網(wǎng)橋串接到網(wǎng)絡(luò)當(dāng)中，采用 ACL 的方式對流量 IP 進(jìn)行過濾，對不可信不安全的終端進(jìn)行隔離修復(fù)。圖 6 透明網(wǎng)橋準(zhǔn)入控制模式示例流程. 虛擬網(wǎng)關(guān)準(zhǔn)入控制技術(shù)虛擬網(wǎng)關(guān)是基于 VLAN（Virtual Local Area Network）和 SNMP（Simple Network Management Protocol ）兩種技術(shù)，在 VLAN 環(huán)境中，把設(shè)備接入的 HWPTDNACWP0018VLAN 分為可信 VLAN 和不可信 VLAN，判斷對應(yīng)設(shè)備是否通過認(rèn)證：未通過，則通過 SNMP Write，將對應(yīng)設(shè)備所接交換機(jī)端口所處 VLAN，切為不可信VLAN，以后，該設(shè)備再訪問網(wǎng)絡(luò)，將會(huì)被重定向，直至認(rèn)證通過后，虛擬網(wǎng)關(guān)才將其所處 VLAN, 切換為可信 VLAN，正常上網(wǎng)。. 局域網(wǎng)控制技術(shù)無論是策略路由、旁路干擾還是透明網(wǎng)橋準(zhǔn)入控制技術(shù)，都是基于網(wǎng)絡(luò)核心節(jié)點(diǎn)的網(wǎng)絡(luò)接入控制技術(shù)，并不能真正對局域網(wǎng)終端節(jié)點(diǎn)之間的互訪進(jìn)行授信控制。在以往的所有準(zhǔn)入控制技術(shù)當(dāng)中，對于局域網(wǎng)之間互訪的授信控制是基于接入交換機(jī)端口的控制（） 、IP 地址獲取控制（DHCP Enforcer）或者通過 VLAN 技術(shù)進(jìn)行隔離。北信源網(wǎng)絡(luò)接入控制系統(tǒng)授予了終端可信判斷的能力，對于安裝有北信源網(wǎng)絡(luò)接入控制系統(tǒng) Agent 的終端，可以自動(dòng)判斷來訪者的可信程度，如果發(fā)現(xiàn)來訪者是不安全不可信的終端，Agent 會(huì)丟棄來訪的數(shù)據(jù)包請求，阻止不可信終端對自身的訪問。采用終端自判斷的方式將局域網(wǎng)訪問控制從網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備下放到終端自身，不僅可以降低網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備自身的壓力，還可以規(guī)避其它局域網(wǎng)訪問控制技術(shù)的缺陷，例如 對 hub、傻瓜式交換機(jī)下終端互訪無法控制的問題以及采用手動(dòng)設(shè)置 IP 規(guī)避 DHCP 自動(dòng)獲取的 IP 控制等。而由于安裝 Agent 進(jìn)行注冊是入網(wǎng)授信必須經(jīng)歷的一個(gè)環(huán)節(jié)，因此采用終端自判斷的局域網(wǎng)控制技術(shù)，可以完全有效的控制局域網(wǎng)終
法律信息相關(guān)推薦
鄂ICP備17016276號-1