什么是网络接入控制（NAC）？

为什么需要网络接入控制？

在传统的园区网络建设思路中，一般认为园区内部网络是安全的，安全威胁主要来自外界。因此各种安全措施基本上都围绕着如何抵御外部的攻击来部署，如部署防火墙等。但是，许多重大的安全漏洞往往出现在网络内部，例如园区内部员工在浏览某些网站时，一些间谍软件、木马程序等恶意软件也会不知不觉地被下载到电脑中，并在内网传播，产生严重的安全隐患。因此，在园区网络中，任何一台终端的安全状态（主要是指终端的防病毒能力、补丁级别和系统安全设置）都将直接影响到整个网络的安全。另外，园区网络出现大量非法接入和非授权访问用户时，也会导致业务系统遭受破坏、关键信息资产泄漏的风险。

NAC方案能够有效的管理网络访问权限、及时的更新系统补丁、升级病毒库，让管理员更快捷的查找、隔离及修复不安全的终端，满足园区网络内部的安全需求。

网络接入控制具备哪些能力？

NAC具备以下能力：

网络接入控制是如何实现的？

NAC方案包括三个关键组件：安全终端、网络准入设备、服务器系统。

• 安全终端：安全终端是安装在用户终端系统上的软件，是对用户终端进行身份认证、安全状态评估以及安全策略实施的主体。
• 网络准入设备：网络准入设备是网络中安全策略的实施点，负责按照客户网络制定的安全策略，实施相应的准入控制（允许、拒绝、隔离或限制）。

  华为NAC方案支持802.1X、MAC认证和Portal等多种认证方式。在各种认证方式下，网络准入设备辅助用户终端与准入服务器进行认证。网络准入设备可以是交换机、路由器、无线接入点或其它安全设备，通过这些网络准入设备，实现强制用户准入认证、拒绝非法用户的网络访问、隔离不健康终端、为“合法用户、健康终端”提供网络服务的目的。

• 服务器系统：服务器系统包括准入控制服务器、病毒/补丁/软件服务器和业务服务器。

  准入控制服务器是NAC方案的核心，用户在身份认证和安全检查通过前就可以访问，主要负责对用户进行认证和安全审核，实施安全策略，并且与网络准入设备联动，下发用户权限。用户已通过身份认证但终端安全检查未通过时，一般会访问病毒/补丁/软件服务器，进行终端上病毒库的自动更新、操作系统和应用软件的补丁安装和更新等，以满足终端安全检查的要求。业务服务器用于企业业务管理，只有通过认证和授权后的用户才能访问。

以企业网络为例，网络中的用户通常可以分为员工、合作伙伴和访客，针对不同的用户角色，NAC方案可实现为其定制不同的网络接入和权限控制规则。

• 员工：主要指具有固定办公地点以及长期工作合同的用户。员工通常使用公司设备作为办公设备，公司设备一般在员工领取时已预安装了安全终端，员工认证通过后一般具有公司网络充分的访问权限。
• 合作伙伴：主要指流动性较大，企业约束力较低的合作伙伴等。这些人员会在一定时期内接入企业网络，并访问网络内的部分服务器。这类人员通常也使用安装了安全终端的公司设备，但是，由于此类人员安全性较低，权限应当严格受控。
• 访客：主要指一次性接入企业网络的访客人员。通常通过无线方式接入，权限仅限于借助企业网络访问Internet，与员工、合作伙伴之间要进行严格隔离，以防止企业信息资产泄露。

网络接入控制的应用

NAC方案可以应用在很多网络场景中，例如企业园区网络场景、BYOD场景、物联网场景、公共WIFI网络场景等。