?

網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)，在很多企業(yè)中已經(jīng)應(yīng)用到實(shí)際工作過程中，但是很多企業(yè)對(duì)于網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)的安裝模式還不太清楚 ，筆者這次總結(jié)了以下幾種模式，企業(yè)的管理者可以根據(jù)企業(yè)實(shí)際的網(wǎng)絡(luò)環(huán)境部署適合企業(yè)內(nèi)部的管理模式：

?

干路網(wǎng)關(guān)級(jí)準(zhǔn)入方案

依據(jù)用戶對(duì)于上網(wǎng)認(rèn)證的需求，我們建議部署安秉信息網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)來搭建整個(gè)安全準(zhǔn)入管理平臺(tái)。同時(shí)，按照安秉信息科技在眾多成熟案例中的經(jīng)驗(yàn)和技術(shù)實(shí)現(xiàn)標(biāo)準(zhǔn)，我們建議在內(nèi)網(wǎng)的核心交換機(jī)上進(jìn)行基于網(wǎng)絡(luò)流量的準(zhǔn)入控制，采用干路部署模式與安秉信息入網(wǎng)規(guī)范管理系統(tǒng)進(jìn)行聯(lián)動(dòng)，對(duì)入網(wǎng)設(shè)備進(jìn)行強(qiáng)行的身份認(rèn)證及安全性檢查處理，已達(dá)到合法、合規(guī)的安全入網(wǎng)目標(biāo)。

?

旁路網(wǎng)絡(luò)準(zhǔn)入部署方案

針對(duì)核心服務(wù)器關(guān)鍵應(yīng)用保護(hù)的需求，我們推薦使用旁路的終端應(yīng)用準(zhǔn)入控制。準(zhǔn)入設(shè)備接到核心交換機(jī)上，在核心交換上制作端口鏡像，將流向服務(wù)器的數(shù)據(jù)鏡像到準(zhǔn)入設(shè)備上，準(zhǔn)入設(shè)備獲取數(shù)據(jù)后與服務(wù)器、終端聯(lián)動(dòng)進(jìn)行準(zhǔn)入控制。

端口鏡像是將指定端口(源端口)、VLAN(源 VLAN)或CPU(源CPU)的報(bào)文復(fù)制一份到其它端口(目的端口),目的端口會(huì)與數(shù)據(jù)監(jiān)測(cè)設(shè)備相連,用戶利用這些數(shù)據(jù)監(jiān)測(cè)設(shè)備來。由于準(zhǔn)入設(shè)備獲取的是備份的數(shù)據(jù)，所以準(zhǔn)入設(shè)備的性能、故障等因素不會(huì)影響到網(wǎng)絡(luò)穩(wěn)定。

?

基于策略路由的網(wǎng)絡(luò)準(zhǔn)入控制

基于策略路由（PBR）的準(zhǔn)入方案是通過在核心交換機(jī)上捕獲所有訪問核心業(yè)務(wù)服務(wù)器的數(shù)據(jù)流量，并通過策略路由將捕獲的流量發(fā)往指定的下一跳網(wǎng)絡(luò)準(zhǔn)入設(shè)備，這樣所有訪問核心服務(wù)器的設(shè)備都會(huì)被網(wǎng)絡(luò)準(zhǔn)入設(shè)備所控制，從而達(dá)到保護(hù)核心服務(wù)器，對(duì)入網(wǎng)訪問設(shè)備進(jìn)行準(zhǔn)入控制的安全目標(biāo)。

策略路由只不過是復(fù)雜的靜態(tài)路由，靜態(tài)路由是基于報(bào)文的目的地址，將報(bào)文轉(zhuǎn)發(fā)到指定的下一跳路由器，但策略路由是基于報(bào)文源地址轉(zhuǎn)發(fā)報(bào)文至指定的下一跳路由器。策略路由還可以鏈接到擴(kuò)展IP訪問列表，以便路由器可以基于像協(xié)議類型和端口號(hào)這樣的標(biāo)志進(jìn)行路由選擇。同策略路由一樣，策略路由會(huì)對(duì)路由器的路由選擇產(chǎn)生影響，但僅限于那些配置了策略路由的路由器。