Juniper 网络准入控制解决方案-

！！第第PAGE4需求分析管理成为系统管理员越来数量众多在信息系统中桌面系统病毒和安全攻击病毒蠕虫和间谍软件等新兴网络安全威逼连续损害客户利益并使机构损失大量的金钱、生产率和机会。与此同时，移动计算的普及进一步加剧了威逼。动用户能够从家里或公共热点连接互联网或办公室网络 — 常在无意中轻易地感染病毒并将其带进企业环境，进而感染网络。对病毒统操作系统的病机很简洁被攻击和被病毒感染；软件升级与补丁安装：操作系统补丁包，传统的手工安装要花费系统管理员大量时间；远程监控与维护为提高效率，系统管理员经常需要做远程支持，挂念用户快速准时解决机问题。系统管理员与机用户仅依靠电话很难远程解决问题。网络接入把握还是学问资产，始终需要在接入价值与安全风险之间找到最佳平衡点。繁利用最终用户设备渗入企业环境。即时消息传递（）或对等间应用进入网络。的安全带来重大的隐患。选择适合的网络准入把握产品系统。系统应当至少具备如下特性：Windows策略；网络强制身份认证。支持用户名、密码；WindowsRADIUS；AAA权限认证。防火墙/IDP（4－7）支持802.1X的交换机，AP（2层准入）5．6．防病毒，终端防护软件(端点)统一终端管理：·基于网络地址，用户身份，终端状态的把握·统一配置的个人防火墙策略·对终端供应修复功能支持最多的终端防护软件·预定义的检查：防病毒，个人防火墙，防恶意软件，操作系统等·自定义检查：JEDI，自定义文件，进程，注册表等·无需客户端的手工安装·通过扫瞄器自动的下载安装，削减管理员的工作量9．对用户的主机实现跨操作系统平台的支持。10．对用户网络改动最小、最少。Juniper网络公司统一接入把握（UAC）是全面的网络接入把握解决方案，端点安全性和智能，以便将接入把握扩展到整个企业网络中。一起，Juniper网络公司UAC解决方案可挂念企业对试图接入网络的用户和设繁变化的网络威逼。UACv2.0解决方案通过第3层—第7层掩盖功能。Juniperv2.0和网络位置信息结合在一起，为每名用户创建特定会话的接入把握策略。Juniper统一接入把握解决方案把握，以爱护公司资产的安全性并满足法规遵从要求。应对问题：JuniperUAC统一访问把握解决方案主要解决用户网络面临的如下问题：不同用户的网络准入把握问题。不同用户终端的应用访问把握问题以及权限定制和分发问题。终端的安全性评估与管理问题。相关法案，Sarbanes-Oxley（塞班斯法案。)符合性和审计的要求。解决方案的特性：JuniperUAC（包括802.1xTNC，将用户终端的身份标识、网络标识和终端安全状况进行集中的认证和授权，并且将用户权限和策略自动的下发到网络当中的执行点（第第PAGE7！交换机和无线接入点等现以下功能：基于终端的身份标识、网络标识和终端状况的统一的认证和授权。不符合安全策略的主机，可以进行修复。对内部网络终端的接入和访问进行把握。IPSec用户终端访问整个过程中的安全检查，保证安全的连续性。解决方案好处：针对终端的安全防护：UAC行集中的认证和授权，统一的在网络把握点进行策略的下发。Juniper口，可以很好的与业界的其他方案，如防病毒，补丁管理、AAAJuniper解决方案优势：当中选择最佳或者最为适合的产品。系统平台的支持。2－7JuniperUAC构成：Juniper统一接入把握（UAC）解决方案v2.0包括用作集中策略管理器的InfranetUAC（载的客户端，如客户端的设备；把握器和代理还包含Juniper通过在2005年收购FunkSoftware获得的整合特性，如OdysseyAccessClient（OAC）802.1X恳求特性和Steel-BeltedRadius身份认证服务。Infranet把握器是经过加固的策略管理服务器，可收集用户验证、端点安全入。随后，把握器在安排IP地址前在网络边缘通过802.1X并且／或在网络接入把握粒度。UAC代理JuniperInstallerService安装或通过其他方法进行部署。代理同时供应JuniperOAC802.1X功能以及L3－7Windows设备的特定功能，如IPSecVPN（允许实现从端点到防火墙的加密）ActiveDirectory单一登录等。代理供应的主机检查器功能也被部署在已售出的几千个JuniperSecureAccessSSLVPN产防恶意软件和个人防火墙等。UAC代理可通过预定义的主机检查策略以及UACMD5校验和检查，以验证应用是否有效。UAC工作原理在用户向把握器提交认证信息前，用户恳求（802.1X或非802.1x模式，通过设置用于端点的基于扫瞄器的代理供应）便揭示了大量不同的最终用户特IP和MAC地址、网络接口（内部或外部、数字证书（话、扫瞄器类型、SSL版本以及端点安全检查结果等。几乎全部常用的AAA设置中，包括现有的RADIUSLDAP、AD、NetegritySiteMinder、证书／PKI服务器及匿名验证服务器等。把握器将用户认证信息（如组群的成员关系的环境中格外有用。接入把握的第三步即最终一步是制订资源策略，以管理网络和资源的接入。例如VLAN安排及／或供应商特定的属性等基于L2RADIUS属性的策略以及管理对IP地址／子网掩码及／或端口接入的L3策略。IDP策略或URL过滤等第第PAGE10！L7策略供应更动态的威逼管理。典型部署方式JuniperUAC（如防病毒，补丁管理，身份认证系统AAAJuniperICICUAC的解决方案对最终的用户是透亮     的，终端电脑无需预先安装客户端软IEIC了最终用户的体验。产品介绍Juniper网络公司统一接入把握v2.0（UACv2.0）解决方案将用户身份、把握策略。您可使用802.1X将其部署在第2层，或使用防火墙的部署方法将3UACv2.0，802.1X3层设置用于资源接入把握。UACv2.0解决方案中的产品包括：InfranetAAA的连接点。把握器还供应来自SBR的集成802.1X功能。UACInfranetOAC功能在第2层接入网络的方法、在第3层接入网络的方法、主机检访客部署模式，但此时您将无法下载任何软件。Infranet把握器Juniper统一接入把握解决方案的核心是InfranetUAC代理部署到端点（或者以无代理模式来收集信息Infranet播到策略执行点，这些执行点既可在通过802.1X授予IP地址之前部署在网的细粒度。Infranet把握器将JuniperSecureAccessSSLVPN略把握引擎与企业现有的AAA／身份识别及接入管理基础设施无缝集成，并允的、策略特定的订正功能。Infranet把握器可设置为审计模式，从而无需执行策略也能够获悉法规遵从状况。Infranet把握器包含两种型号：Infranet把握器4000（IC4000）和Infranet6000（IC6000。IC4000署，以供应高可用性。IC6000设计用于大型企业，能够同时处理几万个并发端点。IC6000UAC代理UACInfranetJuniperInstallerService安装或通过其他方法进行部署。UAC代理同时供应来自JuniperOdysseyAccessClient的集成802.1X功能以及第37层功能，如在客户端侧动态执行策略的集成个人防火墙。UAC代理还包括面对Windows设备的特定功能，如IPSecVPN（允许实现从端点到防火墙的加密）ActiveDirectory单一登录等。主机检查器功能允许管理员扫描端点UAC还可执行对组件的定制检查，如对注册表和端口状态进行检查，并可执行MD5第第PAGE11！特性和优势统一接入把握解决方案的主要特性和优势可概括为以下三个主要方面：动态的接入把握基于标准的解决方案利用现有的AAA、交换和安全基础设施投资特性Infranet把握器

说明 优势允许动态激活所选的Juniper防火墙执行器功能，包括入侵将端点评估用户身份识别将端点和用户身份识别动态防护功能、防病毒、日志记录与实时网络策略执行功能捆绑在一起以便实时设置防和Web过滤等从而节省时捆绑在一起 火墙配置／规章 并执行安全策略依据需要动态设置UAC代理并供应无代理的方法进行允许对全部用户实施接入控设置UAC代理 接入把握 制，包括访客、承包商和员安全接入产品在SSLVPN市利用Juniper的Secure 利用Juniper的Secure 场处于领先地位，并在全球AccessSSLVPN策略引擎 AccessSSLVPN策略引擎 千个部署中得到了实践验证第第PAGE14利用JuniperSteel-BeltedRadius单个集中策略引擎动态验证策略利用现有的AAA投资动态角色映射混合策略模式细粒度的审计和日志用户的定制说明Infranet

使用Infranet把握器的组件完成802.1X验证任务在会话登录前以及整个会话期间执行接入把握支持802.1XRADIUSLDAPAD、RSAACE、NIS、证书服务器（PKI）登录／密码、NetegritySiteMinder、RSACleartrust和Oblix（Oracle）利用广泛的属性来满足安全面显示前必需满足的管理员可定制接入策略以简洁明白的方式供应细粒度的审计和日志功能支持通过自管理平台智能地隔离违规用户包括：满足TNC标准，以便与任何其他符合要求的安全Windows登录、用于将IPSec应用到

无需购买更多设备，从而节省了时间和金钱验证前评估、验证、角色映射和资源把握，均在一个位置完成轻松设置并管理网络资源策略规章部署解决方案无需对现有基础设施进行叉式升级执行点动态传播策略执行，无论是基于802.1X的还是基于第3层掩盖功能的策略可随着端点或网络环境的变化而变化利用企业现有的名目、PKI及严格的验证机制方面的投话制订动态的验证策略可在验证前及验证后的整个会话期间执行安全要求确保安全策略体现出业务要求的变化们所试图接入的资源以及遵从状态，进行具体的日志记录供应任何挂念，然后在完成入角色中爱护经过验证的端点不受恶意／违规端点的影响，并允许企轻量级代理可依据需要由 桌面的本机客户端，和面对Infranet把握器动态设置 Mac和Linux的无代理执

业对即使他们无权管理的端点保持接入把握允许通过预定义的主机检查工端点评估

可在登录时运行或依据管理 具进行实时网络策略管理，员定义的时间间隔在用户会 以支持广泛的最佳端点安全话期间定期运行 决方案；自动监控病毒特征！！

当端点接入的网络段不受802.1X基础设施或执行器爱护时，实施防火墙策略可选的MicrosoftIPSec执行功能供应经过验证和加