天融信网络安全准入系统TopNAC技术白皮书V1.0

天融信网络安全准入系统TopNAC技术白皮书V1.0文档编制说明：本白皮书依据天融信官网产品页与官方产品彩页的公开资料整理，用于产品方案说明、方案汇报与招投标技术附件参考。文中不涉及具体硬件型号、吞吐性能、并发终端数等选型参数，相关数据请以天融信官方最新产品规格书与报价清单为准。一、产品概述天融信网络安全准入系统（以下简称TopNAC）是具有自主知识产权的网络准入控制产品，采用专用硬件架构和安全操作系统设计，可在不改变用户现有网络结构的前提下，对各种复杂网络实现准入控制。系统提供802.1X、Portal、透明网关、策略路由、虚拟网关、端口镜像等多种准入技术，支持在复杂网络环境中混合准入模式应用，对终端接入网络实现“认证、检查、管控”，使违规终端无法接入内部网络，达成终端接入合规可信的目标。一句话定位：TopNAC是部署在园区网、内网边界与终端接入侧的准入控制网关，核心解决“谁能接入、接入的终端是否合规、接入后能访问什么”三个问题。二、建设背景与需求分析2.1内网终端接入面临的主要风险私接乱接：员工私自接入路由器、随身WiFi、交换机，形成不受管控的旁路网络。非法接入：非授权终端、外来笔记本、仿冒终端接入内网，冒用合法IP或MAC。终端不合规：未安装杀毒软件、关闭系统防护、私自安装违规软件，带病入网。外设与数据外泄：U盘、光驱、蓝牙、无线网卡等外设随意使用，敏感数据随意外带。非法外联：内网终端同时连接互联网或移动网络，形成内外网桥接通道。资产不清、事件难追溯：终端数量、归属、位置信息分散，安全事件发生后难以定位到人到机。2.2合规与管理要求《网络安全法》与网络安全等级保护制度对网络访问控制、终端接入管理、安全审计均提出明确要求，等级保护对象应具备“限制非法终端接入、控制终端访问范围、留存接入行为审计记录”的能力。TopNAC对应的合规落点为网络访问控制、终端接入认证、非法外联管控与接入行为审计，可作为等级保护测评中相关控制项的落地技术手段。管理层面，运维部门普遍面临终端类型多、配置参差、人力有限的问题，需要一套集中化的准入与资产管理平台，把“入网审批、合规检查、策略下发、事件定位”纳入统一流程。三、系统架构与技术原理3.1总体架构TopNAC采用专用硬件架构与安全操作系统，整体由准入控制引擎、认证与授权模块、终端合规检查模块、资产与策略管理模块、审计与可视化模块构成，对外通过标准协议与交换机、无线控制器、认证服务器（AD／LDAP、短信网关）联动。部署位置灵活：在终端网络可达的前提下，准入设备可安装在接入层或核心层等任意位置，对终端入网实施合法性与合规性验证；多种准入模式均支持旁路部署，透明网关模式支持串联部署。3.2准入控制基本流程身份认证：终端接入时先完成使用者身份认证，支持用户名／密码、短信网关、AD／LDAP系统联动等多种认证方式。终端注册与审核：终端需完成注册审核，实现“人—机”关系绑定，既确认接入人员合法，也确认终端设备合法。多要素校验：对终端ID、MAC、IP、用户名、交换机IP、交换机端口等要素组合校验，确认终端在配置、位置、人员三个维度真实可信。合规健康检查：按策略对终端执行系统层面、软件、杀毒、外设、驱动等检查，以评分制给出健康结论。隔离与修复：不满足健康准入条件的终端被划入隔离区域，仅可访问修复资源，系统提供修复向导引导用户完成整改。放行与持续管控：检查通过后按授权策略放行，并在接入期间持续执行外设、外联、访问范围等管控与审计。3.3准入技术模式与适用场景准入模式实现方式典型适用场景802.1X准入基于交换机、无线控制器的802.1X认证实现入网控制，可覆盖有线与无线接入有线和无线统一认证、终端类型相对规范的办公网Portal准入通过Web页面完成认证，无客户端方式即可入网访客、外来人员、终端类型复杂或不便安装客户端的场景透明网关准入以二层透明网关方式串接于网络中实施准入，无需改动现有网络结构核心业务区保护、需要串接管控的关键网段策略路由准入通过策略路由将终端流量牵引至准入设备完成认证与管控旁路部署、核心层集中引流的园区网虚拟网关准入以虚拟网关方式实现准入控制，减少对现网改造的依赖网络结构复杂、难以逐段改造的分支或多区域网络端口镜像准入基于端口镜像流量实现旁路监测与准入管控以审计与发现为主、要求旁路接入不影响业务的场景上述模式可在同一台设备上混合应用，用一套系统同时覆盖办公区、生产区、访客区、无线区等差异化网络环境，避免多套准入系统并存带来的策略割裂。四、核心功能4.1身份认证与实名制管理将使用者与终端进行关系绑定，实现终端实名制管理。认证方式支持用户名／密码、短信网关、AD／LDAP系统联动认证等，并可对终端执行注册审核，确保接入人员与终端设备双重合法。4.2终端入网安全检查与修复系统对入网终端执行多要素信息检查与多项健康内容检查，健康检查支持按组织、按部门配置差异化要求，采用评分制组合形成灵活的合规检查策略。检查维度检查内容身份与位置要素终端硬件ID、终端MAC、终端IP、用户名、交换机IP、交换机端口等多要素组合校验系统层面检查操作系统与安全配置状态检查，按策略判定是否满足基线要求服务检查必须运行／禁止运行服务检查软件检查必须安装／禁止安装软件检查杀毒软件检查杀毒软件安装及运行状态检查外设与驱动检查接口外设使用状态、驱动信息检查检查不合规的终端进入隔离区，仅可访问修复资源，由修复向导引导用户逐项整改，整改复检通过后自动放行，形成“检查—隔离—修复—复检—放行”的闭环。4.3全面的终端管控能力入网控制：基于终端IP、MAC、协议、端口、VLAN等信息进行接入控制与访问范围限制。外设管控：对终端接口外设进行监控，并可对所有接口外设实施启停控制。非法外联处置：对存在非法外联行为的终端，可按策略给予提示、断网、重启等不同级别的处罚。差异化授权：按不同客户、不同区域分配差异化网络区域和访问权限，实现最小必要访问。4.4终端资产集中管理提供一键资产扫描发现、资产导入导出、资产手工录入等管理能力，可查看交换机设备接口状态、主机连接等详细信息，实现入网资产“可发现、可审批、可查询”，将分散的终端资产纳入统一台账。4.5审计与可视化管理以图形化方式展示准入设备与入网终端状态信息，实时获取、实时掌握、实时管理，并辅以统计分析。入网、认证、检查、隔离、外联等行为均留痕，支持安全事件的快速定位与追溯。五、部署架构与典型应用场景5.1旁路部署TopNAC支持旁路部署模式，多种准入模式均可在旁路下应用。在终端网络可达的前提下，准入设备可安装在接入层或核心层等任意位置，对终端入网实施合法与合规验证，业务链路不经设备转发，改造风险低、上线周期短。5.2串联部署采用透明网关准入模式时，可采取串联部署，将准入设备串接于受保护网络之前，用于保护核心业务区域与网络。串联模式无需网络设备功能支持，设备提供硬件BYPASS功能，异常时自动直通，保障业务连续性。5.3典型场景场景场景特征TopNAC解决的问题大中型园区内网网络结构复杂、终端分散在多个楼栋与分支，准入设备可部署于接入层或核心层任意位置统一准入策略、资产集中管理、事件可定位到人到机访客接入合作伙伴互访常态化，访客终端安全性不可控，易越权访问内部资源规范访客入网流程、定位访客身份、防止越权访问与内部数据泄露无线接入无线终端类型多，接入位置随移动变化有线无线统一准入，无线终端同样执行身份与合规校验核心业务区保护财务、研发、生产控制等高价值区域，对业务连续性要求高串联透明网关管控＋硬件BYPASS，缩小暴露面且不影响业务内外网隔离与非法外联管控终端同时具备内网与互联网／移动网络接入条件非法外联识别与提示、断网、重启等分级处置六、可靠性与自身安全性设计硬件BYPASS：串联部署时设备掉电或异常自动直通，避免准入设备成为业务单点。双机热备：支持双机热备部署，主备切换不影响终端在网状态。双操作系统冷备：支持双操作系统冷备，系统损坏时可切换至备份系统。系统逃生工具：单机模式下具备系统逃生工具，便于应急恢复。安全操作系统：产品基于专用硬件架构和安全操作系统设计，自身攻击面小。七、客户价值建立接入管理流程：提供完整的接入管理流程与细粒度准入功能，规范终端入网流程标准。构建安全可信准入体系：杜绝非法终端接入，同时兼顾准入控制的安全性、唯一性与可控性。直观高效的可视化管理：终端与设备状态图形化呈现，实时掌握、实时管理。减轻运维工作量：资产集中化管理，减少人工登记与逐台核查。八、实施建议现状梳理：盘点网段结构、接入层与核心层设备型号、认证系统（AD／LDAP）现状、终端类型与数量分布。模式选型：依据现网改造容忍度确定准入模式组合——改造条件受限优先旁路类模式，核心区保护采用透明网关串联。策略设计：按组织与部门分级制定合规检查策略与访问授权策略，先覆盖关键区域，再全网推广。试点验证：选择1—2个部门试点，验证认证联动、隔离修复体验与业务兼容性，形成问题清单。全网推广与运营：分批上线，配套入网须知与培训；建立策略周期性复核机制，结合审计数据持续优化。九、资料说明本白皮书内容来源于天融信官网TopN