拓帆終端準入控制解決方案探析-資料下載頁
2025-05-15 01:36本頁面
【正文】 indows Vista 等。不同版本的操作系統(tǒng)所帶的軟件不同。在一個企業(yè)中，也常會出現(xiàn)蘋果操作系統(tǒng)，Linux， Unix 等。要想做到對這些操作系統(tǒng)兼容，只有用操作系統(tǒng)自帶的游覽器作為客戶端。所以，一個好的網(wǎng)絡(luò)準入控制平臺，應(yīng)該支持不需要安裝客戶端軟件，而可以用游覽器做為客戶端完成接入控制。 18 / 19 利用 IP 中心下發(fā)技術(shù)，建立網(wǎng)絡(luò)隔離區(qū)要滿足以上的要求，一個方法就是利用 IP 中心下發(fā)技術(shù)，建立網(wǎng)絡(luò)接入隔離區(qū)。當一個未經(jīng)確認和判斷的終端接入網(wǎng)絡(luò)時，首先對這個終端分配一個隔離區(qū)的 IP 網(wǎng)址。隔離區(qū)的網(wǎng)段與辦公區(qū)的網(wǎng)段不同，網(wǎng)絡(luò)通訊互不相通，這就做到了網(wǎng)絡(luò)的三層隔離。當隔離網(wǎng)與辦公網(wǎng)實現(xiàn)了三層隔離后，不明終端就無法通過 TCP/IP 協(xié)議進行網(wǎng)絡(luò)訪問。無法訪問各種應(yīng)用服務(wù)器，如：郵件服務(wù)器，財務(wù)服務(wù)器，數(shù)據(jù)庫，文件服務(wù)器等。對于一些功能較強的交換器，不但可以做到三層網(wǎng)絡(luò)，還可以實現(xiàn)網(wǎng)絡(luò)的二層隔離，即：VLAN 隔離。這樣進一步保證了辦公網(wǎng)的網(wǎng)絡(luò)隔離和安全。在隔離網(wǎng)中，網(wǎng)絡(luò)準入控制平臺會對接入的不明終端推送認證頁面。當用戶輸入用戶名和密碼后，網(wǎng)絡(luò)準入控制平臺會鑒別用戶身份和權(quán)限，對用戶使用的終端分配辦公網(wǎng)的 IP 網(wǎng)址。 配合接入設(shè)備，防止私改 IP 網(wǎng)址私改 IP 的情況多發(fā)生于固定 IP 的網(wǎng)絡(luò)中。國內(nèi)一些部門，為了能及時確定 IP 的使用者，常常對每個人使用的終端指定 IP 網(wǎng)址。但是由于缺乏靜態(tài) IP、中心下發(fā)的技術(shù)，因此多采用在終端上設(shè)置并綁定 IP 網(wǎng)址。讓每一個用戶學(xué)會設(shè)置 IP 網(wǎng)址是一件耗時耗力的事情。同時，一旦用戶學(xué)會了如何設(shè)置 IP 網(wǎng)址，就總會有用戶因為各種各樣的原因，自己私改 IP 網(wǎng)址。網(wǎng)管人員常常采用加裝客戶端軟件，防止用戶私改 IP 網(wǎng)址。但是，病毒也是軟件，病毒也能改變終端的 IP 網(wǎng)址。同時，網(wǎng)管人員無法控制沒有安裝客戶端軟件的終端私設(shè) IP 后接入網(wǎng)絡(luò)。要想從根本上解決這一問題，只有采取靜態(tài) IP、中心下發(fā)的策略。中心 IP 下發(fā)可以通過DHCP 協(xié)議實現(xiàn)。其實，DHCP 協(xié)議只是一種中心下發(fā)的協(xié)議。與綁定終端與 IP 網(wǎng)址并不矛盾。比較熟悉 DHCP 服務(wù)器的人，就知道如何使用 DHCP 對特定終端下發(fā)指定 IP 網(wǎng)址。由于，IP 可以經(jīng)由網(wǎng)絡(luò)接入設(shè)備下發(fā)給終端，網(wǎng)絡(luò)接入設(shè)備就能夠記錄哪個 IP 網(wǎng)址是由哪個端口分配出去的。進而可以對網(wǎng)絡(luò)的邊界進行控制和保護。在交換器上，這一功能被稱作 DHCP Snooping 功能和 IP Source Guard 功能。DHCP Snooping 功能可以監(jiān)察 DHCP 協(xié)議，記錄那些 IP/MAC 地址對是經(jīng)由哪個端口下發(fā)的。如果，從這個端口有不同的終端接入，那么交換器就會啟動 IP Source Guard 功能，阻斷數(shù)據(jù)包上傳。所以，在設(shè)計網(wǎng)絡(luò)準入控制平臺時，應(yīng)將 DHCP 服務(wù)器集成進去。這樣，有利于對網(wǎng)絡(luò)的邊界進行保護和控制，有利于對網(wǎng)址進行統(tǒng)一管理。 19 / 19 對老舊網(wǎng)絡(luò)進行 ARP 檢測一個好的網(wǎng)絡(luò)準入控制平臺應(yīng)該具有對網(wǎng)絡(luò)的 ARP 進行檢測的功能。當一個終端接入到網(wǎng)絡(luò)中時，終端在進行網(wǎng)絡(luò)通信時，會在網(wǎng)絡(luò)中廣播 ARP 請求和 RARP 請求。當終端進行 IP 地址改動時，或進行 MAC 地址改動時，也同樣會廣播 ARP 請求。對 ARP 的廣播進行檢測，可以在老舊網(wǎng)絡(luò)中及時發(fā)現(xiàn)非法終端的接入和私改、私設(shè) IP 地址。五、 總結(jié)網(wǎng)絡(luò)準入控制是非常重要和關(guān)鍵的，但由于現(xiàn)有網(wǎng)絡(luò)設(shè)備廠家的利益和技術(shù)能力的限制，常常無法做到即兼容老舊設(shè)備和老舊網(wǎng)絡(luò)，又不用安裝客戶端。這也就造成了網(wǎng)絡(luò)準入控制的實施難度。拓帆提出了一種新的網(wǎng)絡(luò)準入控制的方案：既不用安裝客戶端，又可以兼容老舊網(wǎng)絡(luò)。這樣，不但節(jié)省了企業(yè)的成本，減少了企業(yè)實施網(wǎng)絡(luò)準入控制的難度，而且使企業(yè)可以分步驟，分階段地實施網(wǎng)絡(luò)準入控制。拓帆的產(chǎn)品在實現(xiàn)網(wǎng)絡(luò)準入控制的基礎(chǔ)上，更前進了一步。拓帆的產(chǎn)品以網(wǎng)絡(luò)邊界保護為基礎(chǔ)，對網(wǎng)址進行管理，保證了人與網(wǎng)址的對應(yīng)關(guān)系。幫助企業(yè)實現(xiàn)了實名制網(wǎng)絡(luò)。同時，拓帆產(chǎn)品還可以同各廠家的各種網(wǎng)絡(luò)設(shè)備進行了整合。使得網(wǎng)管人員可以對網(wǎng)絡(luò)按人、按部門、按級別進行實名制網(wǎng)絡(luò)管理。使得企業(yè)可以更高效、更安全地管理網(wǎng)
公司管理相關(guān)推薦
鄂ICP備17016276號-1