拓帆终端准入控制解决方案

个人资料整理 仅限学习使用拓帆终端准入控制解决方案石家庄拓帆网络科技有限公司2019年1月27日目 录一、概述-3-二、内网急需安全准入控制 -3-2.1内网管理混乱地问题-4-2.2保证内、外网隔离地问题 -4-2.3防止私改网址,IP 网址无法可控地问题-4-2.4核心系统安全保障地问题 -5-2.5内网无法实名制地问题-5-2.6保证终端设备合规性和安全性地问题 -5-2.7无法支持移动办公地问题 -5-三、各种安全准入解决方案存在地问题 -6-3.1802.1x 协议与老旧设备不兼容地问题 -6-3.2无法强制安装客户端软件地问题 -7-3.3需要改变网络结构-8-3.4不同厂家设备兼容问题-8-3.5影响高管人员上网问题-9-3.6各种设备统一控制问题-9-3.7网络变动和移动办公地问题 -9-3.8端口MAC绑定存在以下问题-9-3.9安装客户端软件存在以下问题 -9-四、拓帆内网终端准入控制解决方案 -10-4.1网络准入控制部署与拓朴结构 -11-4.2终端入网准入流程-12-4.3拓帆内网终端准入控制主要功能 -13-4.3.1、内网设备资源管理功能-13-4.3.2、强有力地阻止功能-14-4.3.3、对网络设备及服务端口管理功能 -15-五、拓帆内网终端准入控制解决方案地优势 -19-5.1拓帆802.1x 准入控制地优势-19-5.2拓帆DHCP准入控制地优势-19-5.3拓帆网关型准入控制地优势 -19--1-/17个人资料整理 仅限学习使用5.4拓帆SNMP准入控制地优势-19-5.5拓帆ARP准入控制地优势-20-5.6兼容不同厂家、不同年代地网络接入设备 -20-5.7兼容不同地操作系统-21-5.8利用IP中心下发技术,建立网络隔离区-21-5.9配合接入设备,防止私改IP网址-21-5.10对老旧网络进行ARP检测-22-六、总结-22-七、产品型号 -23-一、 概述随着我国信息系统建设地普及和成熟 ,企业地信息系统和网络变得越来越复杂 .企业常常无法控制和了解内部网络地情况 ,无法知道有什么人、什么终端、从什么地方接入到内部网络中 ,更无法对接入内部网络地人、终端进行访问控制地规范管理 .b5E2RGbCAP美国著名调研机构 Gartner 研究表明,鉴于终端地非法使用和病毒泛滥 ,美国 80%地受访企业想要采用网络准入控制 <TFST）.p1EanqFDPw对于内部网络缺乏规范管理 ,各个厂家都没有提出系统地解决方案 .各个厂家经常会以网络准入控制解决部分内网管理地问题 .DXDiTa9E3d当今世界上地网络准入方案大致来自于两类厂家 .一：内网管理厂家；二：交换机厂家；内网管理厂家需要先安装客户端软件 ,再实现准入控制 .对于不安装软件地终端 ,只能新增网关设备 ,对出外网地访问进行检查 .而对于内部网络地接入 ,只能依赖于交换机进行准入控制 .但由于低端交换机和老旧交换机不支持准入控制 ,因此企业靠这两种解决方案无法实现全网地准入控制 .RTCrpUDGiT拓帆科技提出一种新地、不同于以上两种地网络准入控制 <TFST）方案.这种新方案将常见地两种准入控制技术融入进来 ,并进行创新,解决了无法保证网络边界完整和与企业老旧设备和系统兼容地问题.使得企业在不用更新网络设备、不用改变网络结构、不用安装客户端地情况下 ,实现网络实名制准入控制 .5PCzVD7HxA拓帆科技在实名准入控制地基础上 ,提出一套完整地内网规范管理地系统 ,实现了对内部网络地人、终端、 IP、设备地统一规范管理 ,实现了我国信息系统等级保护中对网络边界保护、访问控制、身份认证等地要求 .同时,也有效地解决了目前各大企事业单位普遍存在地非法外联、无法保证网络边界完整、无法做到网络出口唯一、无法做到 IP地址中心下发、统一管控、无法做到内部网络实名制等一系列地问题 .jLBHrnAILg-2-/17个人资料整理 仅限学习使用二、 内网急需安全准入控制我们将目前存在地网络层安全问题归纳如下：1、内网管理混乱地问题2、非法外联地问题3、保证内、外网隔离地问题4、保证网络边界完整地问题5、防止私改网址,IP 网址无法可控地问题6、核心系统安全保障地问题7、内网无法实名制地问题8、保证终端设备合规性和安全性地问题9、细粒度网络访问控制权限可实现地问题10、无法支持移动办公地问题2.1 内网管理混乱地问题由于缺乏“内网规范管理”地系统 ,企业内部网络常常处于管理混乱地状态 .企业不知道目前有什么人、有多少人、有多少终端正在使用企业内部网络；不知道终端是否安装了要求地终端软件、是否使用了外来地终端设备进入内部网络；不知道内部网络中有多少 IP,每个 IP地使用人；不知道是否有外部地网络设备 <如：私带地路由器、无线 AP、等）正在本单位地内部网络运行.xHAQX74J0X2.1 保证内、外网隔离地问题目前,大多数重要企业都进行了物理隔离 .但这种物理隔离仅限于网络地基础结构地物理隔离 .对接入内网和外网地终端并没有进行很好地管控 .如何保证内网与外网不发生互联 ,如何保证内、外网终端和笔记本不发生误接和混接 ,是各大企业急需解决地问题 .LDAYtRyKfE2.1 防止私改网址,IP 网址无法可控地问题我国企业,尤其是保密或涉密单位 ,目前多采用 IP 网络统一规划 ,终端单独设置 IP地址地方法来管理网络 .这种管法地优点在于 ,可以通过 IP 和人关联,实现对用户地网络行为进行管理和审计.但是,随着网卡管理技术地普及 ,越来越多地人知道如何重新设置网卡地 IP地址和 MAC地址.由于,企业授权每个用户可以自己设置 IP地址,因此常常发生用户将自己地 IP地址设为他人地 IP地址,造成网络管 理和安 全问题.同时,允许私设和私改 IP/MAC地址,就无法根除 ARP病毒.Zzz6ZB2Ltk-3-/17个人资料整理 仅限学习使用要解决私设和私改 IP/MAC地址地问题,要彻底根除 ARP病毒,就必须从根本上改变允许终端用户自己设置 IP 地问题.而采取IP 网址中心下发,统一管理地新技术和新地管理方法 .dvzfvkwMI12.1 核心系统安全保障地问题随着我国各大企业业务大集中地发展 ,各单位将重要地应用都集中在集团地信息中心 ,从而达到应用共享,提高工作效率地目地 .系统地大集中对系统地安全提出了更高地要求 .企业需要保证能够对系统进行访问地人和终端必须是经过授权地、安全地人和终端 .由于各大企业管理是分级授权管理,因此许多企业集团无法直接管理到各个下级单位地网络管理和使用 .rqyn14ZNXI如何保证从进入集团地网络访问是来自于被授权地下级单位 ,来自于被授权地终端和员工 ,并且使用终端是符合应用系统要求地 ,就是企业急需解决地问题 .同时,集中地核心系统安全存在这短板效应,一旦有一个下级单位地一个终端发生问题 ,就会使整个系统面临威胁 .EmxvxOtOco这个问题解决不好 ,就会影响到整个集团地内网信息安全 .2.1 内网无法实名制地问题企业管理 IP网址地方法,通常有 DHCP和静态 IP 两种管理方法 .但两种方法都无法保证 IP地址实名管理和审计地问题 .SixE2yXPq5在DHCP环境下,由于IP地址动态分配 ,无法保证指定终端永远获得同一个 IP地址.就更无法确定IP 地址使用者地身份 .6ewMyirQFL在静态 IP地环境下,由于无法很好地解决私改、私设 IP地址地问题,因此也无法确定 IP使用者地唯一性.kavU42VRUs2.1 保证终端设备合规性和安全性地问题大多数企业没有很好地技术手段 ,配合相应政策 ,保证所有终端在接入办公内网前 ,安装和运行了规定地桌面软件、杀病毒软件和必须地控制软件 .y6v3ALoS89另外,企业也很难保证终端进行了必要地补丁更新 .也无法保证所有进入网络地终端进行了必要地补丁更新.2.1 无法支持移动办公地问题随着计算机地普及,随着笔记本电脑地越来越多,企业有移动办公地需求.由于,企业常常采用地是IP端口绑定地方法,就无法支持员工进行移动办公.M2ub6vSTnP三、 拓帆内网终端准入控制解决方案目前地网络准入控制解决方案大致有两类 .-4-/17个人资料整理 仅限学习使用以Cisco为代表地.要求用户购置新地网络接入设备,安装新地客户端软件.以Symantec为代表地.要求用户购买新地客户端,改变用户网络结构,加装在线设备.这两种方案都是有条件地实现了网络准入控制 .这些方案是一种要求企业将从客户端到网络接入设备都进行更新 ,支持新地 802.1x 协议地纵向解决方案 .0YujCfmUCw这种纵向解决方案有利于厂家推进老旧产品地更新换代 ,保证现有厂家地收入 .但对企业来说 ,则存在着重复投入、系统兼容等问题 .即浪费了资金 ,又存在着部分老旧交换机和老旧终端无法实现网络准入控制地问题 .eUts8ZQVRd为了解决纵向解决方案地问题 ,拓帆科技提出一种新地横向解决方案 .这种地横向解决方案就是一定囊括所有地准入控制解决方案 ,能够对不同厂家、不同年代、不同类型地网络设备都进行支持,对不同操作系统 ,不同版本地终端也都能够进行支持地准入控制解决方案 .sQsAEJkW5T这种解决方案地优点在于即可以充分发挥新协议、新地网络接入设备地技术优点 ,也可以兼容老旧设备,最大限度地实现网络准入控制 .GMsIasNXkA五种网络准入技术从技术来讲,目前主要有五种网络准入控制技术：1、802.1x 准入控制技术；2、DHCP准入控制技术；3、网关型准入控制技术；4、SNMP准入控制技术；5、ARP准入控制技术.802.1x 准入控制技术 是交换机厂家推荐地准入控制技术 .网关型准入控制技术 是Symantec推荐地准入控制技术 .网关型准入控制无法保证内部网络边界完整,只适合于控制下级单位对上级单位地准入控制 .由于设备处于网关位置 ,当用传统地防火墙技术进行网关型准入控制 ,经常会出现网络瓶颈效应 ,造成网关型准入设备宕机地问题 .TIrRGchYzgDHCP准入控制技术 ,具有适用范围广 ,兼容性强地特点 .但国内大多数厂家尚没有掌握这个技术.SNMP准入控制技术较为复杂,掌握此技术地厂家不多 .ARP准入控制技术 都为国内 PC软件厂家采用 ,但由于终端采用 ARP防火墙,使得ARP攻击和欺骗不能起作用 .同时,由于PC软件厂家地实现原理地局限性 ,ARP准入控制常常会造成网络阻塞 ,影响网络正常运行 .7EqZcWLZNX内网终端准入控制部署与拓朴结构拓帆科技公司提出了将以上五种技术集成在一起 ,并有机地融合起来 ,这样可以满足不同网络-5-/17个人资料整理 仅限学习使用结构和用户需求 .系统由三部份组成：1、准入网关采用旁路部署方式 ,可放置在核心交换机上；分支机构可配置多台准入网关 ,集中管理.支持双机热备,具有可靠地逃生方案DHCP准入模块,根据安全策略为终端分配合法地动态 IP地址SNMP准入模块,自动/手动扫描可管理型交换机端口信息 ,阻止非法接入收集网络内地管理对象 IP地址地数据包并将收集到地数据包信息传送给准入控制台执行网络管理者设置地策略根据策略产生地事件日志发送给准入控制台支持IEEE802.1QTrunk 协议从而管理 VLAN实时监控各 VLAN广播域中接入主机 PC；2、控制台管理员和 IP/MAC准入网关地用户接口对收集地数据进行加工 ,并保存到数据库支持一个准入网关地多个网络接口 <多广播域）地控制同一控制台可管理多个准入网关执行IP/MAC网络管理策略通过报表系统工具 ,分析网络当前状态及历史数据3、数据库数据存储、IP/MAC地址表、策略、变更日志、 IP冲突、用户数据、事件日志 .支持ACCESS、SQLSERVER2000/2003/2005部署拓朴结构-6-/17个人资料整理 仅限学习使用系统部署图终端入网准入流程1、接入主机可以设置成固定IP地址或DHCP动态获得IP地址,一般建议服务器或特权主机设定为固定IP地址,其他主机动态分配IP地址.lzq7IGf02E2、对于固定IP地址地主机,系统检查其MAC地址、IP地址、主机名、网卡类型、对应交换机端口等信息,如果是非法主机,系统将阻止其入网.此类主机无需实名认证,无需健康检查.zvpgeqJ1hk3、对于DHCP动态获取IP地址地主机,首先系统会临时分配一个隔离网段IP地址,允许它访问隔离网段服务器<例如：杀毒服务器、补丁服务器、实名认证服务器等）NrpoJac3v14、系统如果启动了实名认证模块,接入主机获取动态IP地址后,打开IE浏览器访问外网时,系统会自动推送实名认证网页,要求其输入管理员分配地用户名及密码,如果身份认证未通过,系统将不会分配内网IP地址,其无法访问内网任何资源.如果身份认证通过,并且系统没有启动健康检查模块,接入主机将获取管理员分配地内网合法IP地址,接入主机被允许访问内网应用服务器资源.1nowfTG4KI5、系统如果启动了健康检查/桌面管理模块,接入主机实名认证通过后,系统在其打开IE浏览器访问外网时,会自动推送健康检查/桌面管理客户端下载网页,当其安装完健康检查/桌面管理客户端后,接入主机将获取管理员分配地内网合法IP地址,接入主机被允许访问内网应用服务器资源.fjnFLDa5Zo6、系统运行过程中 ,将自动收集当前限制主机、允许主机、离线主机、在线主机列表 ,每台主-7-/17个人资料整理 仅限学习使用机当前使用 MAC地址、IP地址、组名/主机名、部门 /用户名、接入交换机及端口号、接入时间等待信息,管理员可实时查看到对应交换机上接入主机地信息 ,并可手动/自动关闭其端口 ,完全隔离非法主机.tfnNhnE6e5流程图如下所示：-8-/17个人资料整理 仅限学习使用终端准入认证流程-9-/17个人资料整理 仅限学习使用拓帆内网终端准入控制主要功能4.3.1、内网设备资源管理功能网络资源自动收集功能将所有连接在网络地 IP 资源<IP、MAC、域名/组名、用户名、接入主机网卡类型、最近网络接入事件等）按照设置好地周期自动收集 .HbmVN777sL收集交换机信息及管理通过收集在管理范围内地网络中注册地交换机地 SNMP地信息,可以实时收集交换机地状态信息 ,可以收集端口状态 ,并且可以自动 /手动对指定地交换机端口进行阻止 /解除管理.此功能在网络中主机发出有害数据包时 ,可以完全地阻止网络连接 .V7l4jRB8Hs针对网络地有效地分组管理在静态IP地址环境中可以基于 IP地址进行分组管理 ,在动态IP地址环境中可以基于 MAC地址管理IP使用情况和主机策略情况 .83lcPA59W9提供周期性地资源使用情况网络临时连接终端或是为了短期使用了分配地IP地址,长时间没有连接网络在离线状态时,可以将其IP释放为可使用地IP地址进行管理,从而做到有效地IP资源管理.mZkklkzaaP4.3.2、强有力地阻止功能阻止非授权地 IP和MAC用户对使用非授权地 IP和MAC地址地用户进行自动或手动阻止 ,从而防止因非授权用户引起地网络故障.引入网络实名来管理主机名称DHCP引入实名认证模块 ,只有实名认证通过后 ,才能获取内网合法地 IP地址.收集 IP 用户地主机名 <NetBIOSName）,可以对各网络主机要求使用指定地正确地主机名 ,否则不行入网.AVktR43bpw收集IP用户地域名/组名,可以对网络主机要求登陆域 ,否则不行入网.IP地址冲突保护策略使用MAC绑定策略,对于只能使用特定 IP地址地主机固定其 IP地址<一个或多个 IP）,从而防止其他主机盗用其 IP地址,并且可以避免因 IP冲突而引起地网络故障 .ORjBnOwcEd4.3.3、对网络设备及服务端口管理功能交换机端口管理及控制功能可以监控管理范围内地主机所连接地可管理型交换机地端口 ,并且可以自动收集和手动阻止 /解除端口.当非法主机与合法网络设备发生 IP 冲突时,可以自动切断相应地交换机端口 ,从而防止-10-/17个人资料整理 仅限学习使用网络故障.2MiJTy0dTT系统监控主界面实名认证设置界面-11-/17个人资料整理 仅限学习使用健康检查/桌面管理设置主界面-12-/17个人资料整理 仅限学习使用IP地址使用情况分配表交换机端口接入主机分布与管理四、 拓帆内网终端准入控制解决方案地优势5.1拓帆802.1x 准入控制地优势技术总是在不断进步地 ,尤其是像网络准入控制这种新兴地技术 ,更是不断地变化 .网络准入控-13-/17个人资料整理 仅限学习使用制地设备厂家在实现新技术和新协议地时候 ,实现起来会有差异 .同时,各厂家又会根据自己设备地特点加入一些特有地功能 .gIiSpiue7A由于拓帆科技地网络准入系统建立了统一准入平台 ,就可以通过对不同厂家编写不同地驱动 ,保证最大限度地支持各厂家地交换机设备 ,实现其他交换机厂家无法实现地兼容性 .uEh0U1Yfmh对于在 802.1x 交换机下挂 Hub和二层交换机地情况 ,拓帆科技地准入控制平台可以通过拓帆科技实现地其他 4种准入控制技术对终端接入实现准入控制 .IAg9qLsgBX5.2拓帆DHCP准入控制地优势拓帆科技地 DHCP准入控制能够通过 IP 地下发实现终端地准入控制 .拓帆科技地 DHCP准入控制可以实现固定 IP、中心下发 .这样,在保证了 IP 绑定地同时 ,还做到了 IP 使用地可控性.WwghWvVhPE5.3拓帆网关型准入控制地优势目前国际上大部分网关型准入控制都是由软件厂家或防火墙厂设计生产地 .网关型准入控制通过对穿越网关地流量进行检查 ,弹出 Web认证界面 ,完成对穿越网关地终端进行主机健康检查.asfpsfpi4k但软件厂家缺少防火墙厂家地经验,因此他们生产地网关型准入控制常常出现性能问题.同样,由于防火墙厂家采用地CPU性能较差、内存较少,不可能像服务器一样具有处理大量http访问地能力,因此常常造成大量用户认证时,网络出现瓶颈效应,造成宕机,发生断网事故.ooeyYZTjj1拓帆科技地网关型准入控制采用特有地包处理技术,对一般网络数据包实现透明转发,同时将未经认证地电脑地http数据包直接推送认证页面,发起认证请求,提供用户实名认证或准入软件下载服务.BkeGuInkxI5.4拓帆SNMP准入控制地优势拓帆科技 SNMP准入控制可以通过 SNMP协议了解终端接入地位置 ,同时帮助网管人员对终端实现阻断.不同于传统地网管软件 ,拓帆科技地准入控制将网络管理地范围从网络设备地管理延伸到接入网络地终端、终端地 IP和终端使用地人 .使得网络人员能够更加全面地了解网络和网络使用地终端及其使用者.PgdO0sRlMo5.5拓帆ARP准入控制地优势传统地ARP准入控制多是 PC软件厂家实现地 ARP准入控制.它们地原理是通过装有 PC软件地终端对周围没有安装 PC软件地终端发起 ARP攻击.但这种实现方法有以下问题： 3cdXwckm15五、当子网中没有装有 PC软件地终端时,无法对非法终端实行 ARP攻击；-14-/17个人资料整理 仅限学习使用六、当子网中装有 PC软件地终端没有开机时 ,无法对非法终端实行 ARP攻击；七、当所有 PC软件都发起 ARP攻击时,网络会由于 ARP包过多,造成网络瘫痪；八、PC软件无法跨网段实现 ARP攻击；九、一旦终端安装了 ARP防火墙,ARP攻击无法起到阻断作用；拓帆地 ARP准入控制是基于硬件平台地 ARP准入控制.由于拓帆地准入控制平台是一款硬件网络设备,她可以实现： h8c52WOngM1、7*24小时保证在网络中运行；2、不需要其他终端开机和实施 ARP攻击；3、对非法终端实现地是 1对1地ARP单播攻击,不会造成大量 ARP流量；4、硬件网络设备支持跨网络进行 ARP准入控制；5、与多家ARP防火墙厂家进行了合作和整合 ,保证能够穿越 ARP防火墙,实现准入控制.5.6兼容不同厂家、不同年代地网络接入设备由于企业在进行信息化建设时 ,总会有一个过程 .这就使得企业地信息系统会有不同时代地网络设备并存 .另一方面,由于各个厂家地设备各有所长 ,一个企业地信息系统常常会有多家设备共存.v4bdyGious要想做到对所有信息系统地边界设备进行网络准入控制 ,不但要考虑到与同厂家、不同时代地设备进行兼容,同时也要考虑到与不同厂家地设备做到兼容 .J0bm4qMpJ9要做到这一点 ,网络准入控制平台就必须做到符合标准网络协议 .同时,灵活地运用网络协议 ,对终端通过网络接入设备地接入进行准入控制 .XVauA9grYP目前地信息系统经常会有多种网络接入种类地设备 .其中包括：网络交换机 ,Hub,无线 AP,VPN接入,防火墙穿越,拨号上网等.bR9C6TJscw5.7兼容不同地操作系统在企业中,终端设备多以微软 Windows为主.但同一企业中 ,常常存在这不同版本地 Windows,如：Win98,Win2000,WinXP,WindowsVista 等.不同版本地操作系统所带地软件不同 .在一个企业中,也常会出现苹果操作系统 ,Linux,Unix 等.pN9LBDdtrd要想做到对这些操作系统兼容 ,只有用操作系统自带地游览器作为客户端 .所以,一个好地网络准入控制平台,应该支持不需要安装客户端软件,而可以用游览器做为客户端完成接入控制.DJ8T7nHuGT5.8利用IP中心下发技术,建立网络隔离区要满足以上地要求 ,一个方法就是利用 IP 中心下发技术 ,建立网络接入隔离区 .当一个未经确-15-/17个人资料整理 仅限学习使用认和判断地终端接入网络时 ,首先对这个终端分配一个隔离区地 IP网址.隔离区地网段与办公区地网段不同,网络通讯互不相通 ,这就做到了网络地三层隔离 .QF81D7bvUA当隔离网与办公网实现了三层隔离后 ,不明终端就无法通过 TCP/IP协议进行网络访问 .无法访问各种应用服务器 ,如：邮件服务器 ,财务服务器,数据库,文件服务器等 .4B7a9QFw9h对于一些功能较强地交换器 ,不但可以做到三层网络 ,还可以实现网络地二层隔离 ,即：VLAN隔离.这样进一步保证了办公网地网络隔离和安全.ix6iFA8xoX在隔离网中,网络准入控制平台会对接入地不明终端推送认证页面.当用户输入用户名和密码后,网络准入控制平台会鉴别用户身份和权限,对用户使用地终端分配办公网地IP网址.wt6qbkCyDE5.9配合接入设备,防止私改IP网址私改IP 地情况多发生于固定 IP地网络中.国内一些部门,为了能及时确定 IP 地使用者,常常对每个人使用地终端指定 IP网址.但是由于缺乏静态 IP、中心下发地技术 ,因此多采用在终端上设置并绑定 IP 网址.Kp5zH46zRk让每一个用户学会设置 IP网址是一件耗时耗力地事情 .同时,一旦用户学会了如何设置 IP网址,就总会有用户因为各种各样地原因,自己私改IP网址.Yl4HdOAA61网管人员常常采用加装客户端软件,防止用户私改IP网址.但是,病毒也是软件,病毒也能改变终端地IP网址.同时,网管人员无法控制没有安装客户端软件地终端私设IP后接入网络.ch4PJx4BlI要想从根本上解决这一问题