拓帆終端準(zhǔn)入控制解決方案探析-資料下載頁
2025-05-15 01:36本頁面
【正文】 indows Vista 等。不同版本的操作系統(tǒng)所帶的軟件不同。在一個(gè)企業(yè)中，也常會出現(xiàn)蘋果操作系統(tǒng)，Linux， Unix 等。要想做到對這些操作系統(tǒng)兼容，只有用操作系統(tǒng)自帶的游覽器作為客戶端。所以，一個(gè)好的網(wǎng)絡(luò)準(zhǔn)入控制平臺，應(yīng)該支持不需要安裝客戶端軟件，而可以用游覽器做為客戶端完成接入控制。 18 / 19 利用 IP 中心下發(fā)技術(shù)，建立網(wǎng)絡(luò)隔離區(qū)要滿足以上的要求，一個(gè)方法就是利用 IP 中心下發(fā)技術(shù)，建立網(wǎng)絡(luò)接入隔離區(qū)。當(dāng)一個(gè)未經(jīng)確認(rèn)和判斷的終端接入網(wǎng)絡(luò)時(shí)，首先對這個(gè)終端分配一個(gè)隔離區(qū)的 IP 網(wǎng)址。隔離區(qū)的網(wǎng)段與辦公區(qū)的網(wǎng)段不同，網(wǎng)絡(luò)通訊互不相通，這就做到了網(wǎng)絡(luò)的三層隔離。當(dāng)隔離網(wǎng)與辦公網(wǎng)實(shí)現(xiàn)了三層隔離后，不明終端就無法通過 TCP/IP 協(xié)議進(jìn)行網(wǎng)絡(luò)訪問。無法訪問各種應(yīng)用服務(wù)器，如：郵件服務(wù)器，財(cái)務(wù)服務(wù)器，數(shù)據(jù)庫，文件服務(wù)器等。對于一些功能較強(qiáng)的交換器，不但可以做到三層網(wǎng)絡(luò)，還可以實(shí)現(xiàn)網(wǎng)絡(luò)的二層隔離，即：VLAN 隔離。這樣進(jìn)一步保證了辦公網(wǎng)的網(wǎng)絡(luò)隔離和安全。在隔離網(wǎng)中，網(wǎng)絡(luò)準(zhǔn)入控制平臺會對接入的不明終端推送認(rèn)證頁面。當(dāng)用戶輸入用戶名和密碼后，網(wǎng)絡(luò)準(zhǔn)入控制平臺會鑒別用戶身份和權(quán)限，對用戶使用的終端分配辦公網(wǎng)的 IP 網(wǎng)址。 配合接入設(shè)備，防止私改 IP 網(wǎng)址私改 IP 的情況多發(fā)生于固定 IP 的網(wǎng)絡(luò)中。國內(nèi)一些部門，為了能及時(shí)確定 IP 的使用者，常常對每個(gè)人使用的終端指定 IP 網(wǎng)址。但是由于缺乏靜態(tài) IP、中心下發(fā)的技術(shù)，因此多采用在終端上設(shè)置并綁定 IP 網(wǎng)址。讓每一個(gè)用戶學(xué)會設(shè)置 IP 網(wǎng)址是一件耗時(shí)耗力的事情。同時(shí)，一旦用戶學(xué)會了如何設(shè)置 IP 網(wǎng)址，就總會有用戶因?yàn)楦鞣N各樣的原因，自己私改 IP 網(wǎng)址。網(wǎng)管人員常常采用加裝客戶端軟件，防止用戶私改 IP 網(wǎng)址。但是，病毒也是軟件，病毒也能改變終端的 IP 網(wǎng)址。同時(shí)，網(wǎng)管人員無法控制沒有安裝客戶端軟件的終端私設(shè) IP 后接入網(wǎng)絡(luò)。要想從根本上解決這一問題，只有采取靜態(tài) IP、中心下發(fā)的策略。中心 IP 下發(fā)可以通過DHCP 協(xié)議實(shí)現(xiàn)。其實(shí)，DHCP 協(xié)議只是一種中心下發(fā)的協(xié)議。與綁定終端與 IP 網(wǎng)址并不矛盾。比較熟悉 DHCP 服務(wù)器的人，就知道如何使用 DHCP 對特定終端下發(fā)指定 IP 網(wǎng)址。由于，IP 可以經(jīng)由網(wǎng)絡(luò)接入設(shè)備下發(fā)給終端，網(wǎng)絡(luò)接入設(shè)備就能夠記錄哪個(gè) IP 網(wǎng)址是由哪個(gè)端口分配出去的。進(jìn)而可以對網(wǎng)絡(luò)的邊界進(jìn)行控制和保護(hù)。在交換器上，這一功能被稱作 DHCP Snooping 功能和 IP Source Guard 功能。DHCP Snooping 功能可以監(jiān)察 DHCP 協(xié)議，記錄那些 IP/MAC 地址對是經(jīng)由哪個(gè)端口下發(fā)的。如果，從這個(gè)端口有不同的終端接入，那么交換器就會啟動 IP Source Guard 功能，阻斷數(shù)據(jù)包上傳。所以，在設(shè)計(jì)網(wǎng)絡(luò)準(zhǔn)入控制平臺時(shí)，應(yīng)將 DHCP 服務(wù)器集成進(jìn)去。這樣，有利于對網(wǎng)絡(luò)的邊界進(jìn)行保護(hù)和控制，有利于對網(wǎng)址進(jìn)行統(tǒng)一管理。 19 / 19 對老舊網(wǎng)絡(luò)進(jìn)行 ARP 檢測一個(gè)好的網(wǎng)絡(luò)準(zhǔn)入控制平臺應(yīng)該具有對網(wǎng)絡(luò)的 ARP 進(jìn)行檢測的功能。當(dāng)一個(gè)終端接入到網(wǎng)絡(luò)中時(shí)，終端在進(jìn)行網(wǎng)絡(luò)通信時(shí)，會在網(wǎng)絡(luò)中廣播 ARP 請求和 RARP 請求。當(dāng)終端進(jìn)行 IP 地址改動時(shí)，或進(jìn)行 MAC 地址改動時(shí)，也同樣會廣播 ARP 請求。對 ARP 的廣播進(jìn)行檢測，可以在老舊網(wǎng)絡(luò)中及時(shí)發(fā)現(xiàn)非法終端的接入和私改、私設(shè) IP 地址。五、 總結(jié)網(wǎng)絡(luò)準(zhǔn)入控制是非常重要和關(guān)鍵的，但由于現(xiàn)有網(wǎng)絡(luò)設(shè)備廠家的利益和技術(shù)能力的限制，常常無法做到即兼容老舊設(shè)備和老舊網(wǎng)絡(luò)，又不用安裝客戶端。這也就造成了網(wǎng)絡(luò)準(zhǔn)入控制的實(shí)施難度。拓帆提出了一種新的網(wǎng)絡(luò)準(zhǔn)入控制的方案：既不用安裝客戶端，又可以兼容老舊網(wǎng)絡(luò)。這樣，不但節(jié)省了企業(yè)的成本，減少了企業(yè)實(shí)施網(wǎng)絡(luò)準(zhǔn)入控制的難度，而且使企業(yè)可以分步驟，分階段地實(shí)施網(wǎng)絡(luò)準(zhǔn)入控制。拓帆的產(chǎn)品在實(shí)現(xiàn)網(wǎng)絡(luò)準(zhǔn)入控制的基礎(chǔ)上，更前進(jìn)了一步。拓帆的產(chǎn)品以網(wǎng)絡(luò)邊界保護(hù)為基礎(chǔ)，對網(wǎng)址進(jìn)行管理，保證了人與網(wǎng)址的對應(yīng)關(guān)系。幫助企業(yè)實(shí)現(xiàn)了實(shí)名制網(wǎng)絡(luò)。同時(shí)，拓帆產(chǎn)品還可以同各廠家的各種網(wǎng)絡(luò)設(shè)備進(jìn)行了整合。使得網(wǎng)管人員可以對網(wǎng)絡(luò)按人、按部門、按級別進(jìn)行實(shí)名制網(wǎng)絡(luò)管理。使得企業(yè)可以更高效、更安全地管理網(wǎng)
公司管理相關(guān)推薦
鄂ICP備17016276號-1