北信源网络接入控制系统工作原理与功能对比

HWP-TD-NAC-WP-0011北信源网络接入控制系统工作原理与功能北京北信源软件股份有限公司HWP-TD-NAC-WP-0012目录1.整体说明....................................................................................................32.核心技术....................................................................................................32.1.重定向技术...................................................................................................................32.2.策略路由准入控制技术...............................................................................................42.3.旁路干扰准入控制技术...............................................................................................62.4.透明网桥准入控制技术...............................................................................................72.5.虚拟网关准入控制技术...............................................................................................72.6.局域网控制技术...........................................................................................................82.7.身份认证技术...............................................................................................................82.8.安检修复技术...............................................................................................................92.9.桌面系统联动...............................................................................................................93.产品功能对比...........................................................................................10HWP-TD-NAC-WP-00131.整体说明准入网关对接入设备进行访问控制，对于未注册用户进行WEB重定向进行注册；注册后的用户进行认证或安检后可以访问网络；管理员可以配置采取何种准入控制方式，如策略路由，旁路监听，透明网桥，虚拟网关等；同时可以选择使用不同的认证类型，如本地认证，Radius认证，AD域认证等，而认证途径采取网关强制重定向；准入网关整体上对准入的控制可分为两类，一类是网关自己控制数据的流通，另一类则是通过配置交换机，让交换机来控制数据包的流通。目前准入网关实现的策略路由和旁路监听，透明网桥等准入控制均属于前者，也就是网关自己通过放行或丢弃、阻断数据包，来达到准入控制，对于数据包的阻断是基于tcp实现的；而虚拟网关则是通过控制交换机VLAN来达到准入控制；2.核心技术为了适应不同业务环境下的统一入网控制，北信源网络接入控制系统采用多种核心技术设计，支持多种准入控制模式，实现从多角度多维度的终端入网安全控制。2.1.重定向技术接入控制的目的是为了阻止不可信终端随意接入网络，对于不可信终端的判定需要一个过程，如何在判定过程中进行良好的提示,这就对产品的人机界面设计提出了较高的要求。业界通常的做法是针对http性质的业务访问进行重定向，以往针对http的业务区分主要基于业务端口（主要为80端口），对于非80业务端口的http业务不能有效区分。针对以上情况，北信源网络接入控制系统对http业务进行了深度识别，除80端口的http业务可以进行有效重定向之外，HWP-TD-NAC-WP-0014针对非80端口的http业务也能进行有效的识别和重定向。除此之外，北信源网络接入控制系统针对终端入网的控制流程进行了重定向优化，针对终端入网注册、认证、安检、修复的整个流程进行了人性化的设计，整个重定向过程符合终端入网习惯，贯穿终端入网的全过程，并在重定向页面提供人性化帮助提示，主要表现在以下几大方面:针对未注册终端，提供重定向下载页面供终端进行Agent下载和注册；针对未通过身份认证的用户，提供多种认证重定向页面，认证方式可供用户选择；提供人性化的安检评分重定向页面，采用Ajax技术，使得安检结果可以在重定向页面自动刷新，自动评分，并在重定向页面提供一键修复策略；在终端入网的每个重定向环节提供帮助说明，对业务操作提供帮助链接，帮助终端使用者自动解决入网过程的所有问题，减少网络管理人员的参与，提高网络管理的效率，降低人工成本；重定向页面的提供不基于特定的IE浏览器，只要是http的业务形式，无论是采用IE浏览器访问，还是采用客户端登录（例如QQ登录），或是客户端弹出窗口（例如QQ、飞信弹出内容模式）都可以进行重定向。2.2.策略路由准入控制技术在过去，所有的准入控制模式几乎都是基于网络链路节点来进行控制的，从终端PC、网络交换设备、路由器防火墙等，所有的控制节点都放在了网络转发或传输设备本身。这种模式不仅加重了网络基础设施的压力，同时也更容易形成单点故障，对网络业务本身可能造成不可连续性运营的困扰。随着近年来准入控制技术的不断发展，越来越多的准入控制技术都采用了OOB（OutOfBand）模式，即所谓旁路部署模式，在准入控制产品的本身出现故障的情况下，并不会影响网络业务本身的可持续性运营，网络准入控制技术的发展也由此迈向了一个新的台阶。北信源网络接入控制系统的策略路由模式，要求网络基础设施的核心设备HWP-TD-NAC-WP-0015（例如核心交换机）支持策略路由功能，通过将上行业务请求通过策略路由的控制定向到北信源网络接入控制系统，经由北信源网络接入控制系统针对终端的可信程度进行认证和判定后，采用丢弃或者正常转发到原路由下一跳的方式，对终端入网进行安全可信的筛选，从而达到准入控制的效果，具体流程可以参考以下流程示意图：图4策略路由准入控制模式示例流程由于策略路由模式只针对上行业务请求进行处理，不会影响下行业务返回的正常转发，也不影响网络路由和拓扑的更改，其安全性也得到了更多的保障，因而比较适合于大多数网络环境。另外，大多数支持策略路由的核心设备同时也支持逃生模式，核心设备在确认策略路由的下一跳不可达的情况下，可以按照策略配置自动选择原有默认路由，从安全角度来看，即使准入控制设备失去功效，也不会影响业务的正常转发，从而保证网络业务的可持续运营，因此，相对于以往的准入控制模式，策略路由模式无异于更受欢迎。北信源网络接入控制系统完美的利用了核心设备策略路由的特性，结合北信源公司安全接入控制理念，并和北信源内网安全管理系统有效结合起来，为客户的内网终端安全管理提供有效的安全保障。HWP-TD-NAC-WP-00162.3.旁路干扰准入控制技术在OOB准入控制模式的发展趋势下，北信源公司研发了基于旁路干扰模式的准入控制方法，该准入控制方法采用和策略路由模式一致的旁路部署方法，是北信源公司在准入控制发展理念的基础上自主创新的新型准入控制技术，相对于策略路由准入控制模式，旁路干扰准入控制模式有着更为突出的安全特性。策略路由准入控制模式虽然采用旁路部署模式，但是从技术原理上来说，采用的是流量劫持的方式对上行业务流进行筛选。而旁路干扰准入模式采用的是流量复制的模式对上行业务流量进行筛选，在筛选过后再采用旁路干扰的方式中断现行业务流，是真正的旁路部署模式，不需要对现行业务流的走向进行任何改动，就像在快速运行的高速公路旁边部署了一台监控摄像头，当发现违规车辆时通过点对点的对话方式，让违规车辆自动接受处罚。由于旁路干扰准入控制模式真正的旁路部署特性，其对现行业务流没有任何影响，因此相对于所有准入控制模式来说，有着得天独厚、无法比拟的安全性，其具体的业务流程参考下图：图5旁路干扰准入控制模式示例流程旁路干扰准入控制模式要求核心设备（通常是核心或者汇聚层交换机）具备流量镜像的功能，相对与策略路由来说，有更多的交换机都支持流量镜像功能，因此对于不同网络环境的适应性更加强大。除此之外，即使核心设备不支持流量镜像功能，也可以采用TAP分流的方式对流量进行复制分流，而这仅仅只需要增加一台分流/分光设备即可。HWP-TD-NAC-WP-00172.4.透明网桥准入控制技术在不支持策略路由或者旁路镜像的环境下，为了满足客户网络环境下的准入控制需求，采用串接的方式实现准入控制便显得尤为重要了。透明网桥技术已经被大多数网络安全设备接受和认可，也是目前为止在网络关口层面控制最为严格的部署技术，北信源网络接入控制系统在不改变现有拓扑的情况下将网桥串接到网络当中，采用ACL的方式对流量IP进行过滤，对不可信不安全的终端进行隔离修复。图6透明网桥准入控制模式示例流程2.5.虚拟网关准入控制技术虚拟网关是基于VLAN（VirtualLocalAreaNetwork）和SNMP（SimpleNetworkManagementProtocol）两种技术，在VLAN环境中，把设备接入的VLAN分为可信VLAN和不可信VLAN，判断对应设备是否通过认证：未通过，则通过SNMPWrite，将对应设备所接交换机端口所处VLAN，切为不可信VLAN，以后，该设备再访问网络，将会被重定向，直至认证通过后，虚拟网关才将其所HWP-TD-NAC-WP-0018处VLAN,切换为可信VLAN，正常上网。2.6.局域网控制技术无论是策略路由、旁路干扰还是透明网桥准入控制技术，都是基于网络核心节点的网络接入控制技术，并不能真正对局域网终端节点之间的互访进行授信控制。在以往的所有准入控制技术当中，对于局域网之间互访的授信控制是基于接入交换机端口的控制（802.1X）、IP地址获取控制（DHCPEnforcer）或者通过VLAN技术进行隔离。北信源网络接入控制系统授予了终端可信判断的能力，对于安装有北信源网络接入控制系统Agent的终端，可以自动判断来访者的可信程度，如果发现来访者是不安全不可信的终端，Agent会丢弃来访的数据包请求，阻止不可信终端对自身的访问。采用终端自判断的方式将局域网访问控制从网络节点设备下放到终端自身，不仅可以降低网络节点设备自身的压力，还可以规避其它局域网访问控制技术的缺陷，例如802.1x对hub、傻瓜式交换机下终端互访无法控制的问题以及采用手动设置IP规避DHCP自动获取的IP控制等。而由于安装Agent进行注册是入网授信必须经历的一个环节，因此采用终端自判断的局域网控制技术，可以完全有效的控制局域网终端之间的授信访问过程。2.7.身份认证技术身份认证是终端可信认证的一个重要环节，随着信息安全技术的不断发展，针对身份认证安全可靠的特性也提