網(wǎng)絡(luò)運維|網(wǎng)絡(luò)接入控制NAC

2020-04-27 13:36 作者：艾銻無限 瀏覽量：

大家好，我是一枚從事IT外包的網(wǎng)絡(luò)運維工程師，今天和大家聊點安全方面的技術(shù)，這次咱們就聊一聊網(wǎng)絡(luò)接入控制技術(shù)。

NAC概述

簡介

NAC（Network Admission Control）稱為網(wǎng)絡(luò)接入控制，通過對接入網(wǎng)絡(luò)的客戶端和用戶的認(rèn)證保證網(wǎng)絡(luò)的安全，是一種“端到端”的安全技術(shù)。

三種認(rèn)證方式比較

NAC包括三種認(rèn)證方式：802.1X認(rèn)證、MAC認(rèn)證和Portal認(rèn)證。由于三種認(rèn)證方式認(rèn)證原理不同，各自適合的場景也有所差異，實際應(yīng)用中，可以根據(jù)場景部署某一種合適的認(rèn)證方式，也可以部署幾種認(rèn)證方式組成的混合認(rèn)證，混合認(rèn)證的組合方式以設(shè)備實際支持為準(zhǔn)。三種認(rèn)證方式比較如圖2所示。

圖2  認(rèn)證方式對比

NAC與AAA

NAC與AAA互相配合，共同完成接入認(rèn)證功能。

· NAC：用于用戶和接入設(shè)備之間的交互。NAC負(fù)責(zé)控制用戶的接入方式，即用戶采用802.1X，MAC或Portal中的哪一種方式接入，接入過程中的各類參數(shù)和定時器。確保合法用戶和接入設(shè)備建立安全穩(wěn)定的連接。

· AAA：用于接入設(shè)備與認(rèn)證服務(wù)器之間的交互。AAA服務(wù)器通過對接入用戶進(jìn)行認(rèn)證、授權(quán)和計費實現(xiàn)對接入用戶訪問權(quán)限的控制。

NAC應(yīng)用場景

如圖3所示，某企業(yè)中機(jī)要室通過RouterB連接到RouterA，辦公區(qū)通過RouterC連接到RouterA，訪客區(qū)通過AP連接到RouterA。為保證企業(yè)內(nèi)部網(wǎng)絡(luò)的安全性，需控制用戶對網(wǎng)絡(luò)的訪問，只有通過認(rèn)證的用戶，才允許訪問管理員授權(quán)的網(wǎng)絡(luò)資源。
圖3  通過NAC控制企業(yè)用戶訪問網(wǎng)絡(luò)示意圖 


機(jī)要室內(nèi)終端類型較多而且打印機(jī)數(shù)量遠(yuǎn)大于員工數(shù)量，因此可在RouterA的接口Eth2/0/1上同時部署802.1X認(rèn)證和MAC認(rèn)證并且優(yōu)先觸發(fā)MAC認(rèn)證，同時配置用戶的接入模式為多用戶單獨認(rèn)證接入（multi-authen）。

辦公區(qū)內(nèi)用戶安全控制的要求較為嚴(yán)格，因此可在RouterC上僅連接PC的接口Eth2/0/1和Eth2/0/2上部署802.1X認(rèn)證，同時配置用戶的接入模式為單用戶接入（single-terminal）；連接IP Phone和PC的接口Eth2/0/3上部署802.1X認(rèn)證和MAC認(rèn)證，同時配置用戶的接入模式為單用戶通過語音終端接入（single-voice-with-data）。

訪客區(qū)用戶流動性較大并且網(wǎng)絡(luò)訪問權(quán)限較低，因此可在RouterA的接口Eth2/0/3上部署Portal認(rèn)證，同時配置用戶的接入模式為多用戶共享權(quán)限接入（multi-share）。

艾銻無限科技專業(yè)：IT外包、企業(yè)外包、北京IT外包、桌面運維、弱電工程、網(wǎng)站開發(fā)、wifi覆蓋方案,網(wǎng)絡(luò)外包,網(wǎng)絡(luò)管理服務(wù),網(wǎng)管外包,綜合布線,服務(wù)器運維服務(wù),中小企業(yè)it外包服務(wù),服務(wù)器維保公司,硬件運維,網(wǎng)站運維服務(wù)
 
以上文章由北京艾銻無限科技發(fā)展有限公司整理