如何挑选网络准入控制产品？
发布网友
发布时间：2022-04-22 04:06
共2个回答
热心网友
时间：2024-01-23 13:59
一般考虑到要部署准入控制系统的单位，信息化建设已经达到了一定高度，网络环境已经建设好，存在多种网络设备和复杂终端设备。作为网络准入控制系统的选择，要考虑产品是否支持多种入网强制技术，是否支持多样化的异构终端识别（如：智能手机、平板电脑、字符终端、网络打印机等），以适应各种复杂性的网络环境。所以选择准入控制产品必须能够适应用户多种多样的信息系统环境，准入控制系统厂商应该能够提供各种环境下的准入控制方案，尽量避免进行大范围的网络改造。
二.框架先进，控制力强
1、基于端点系统的架构Software-base NAC；主要是桌面厂商的产品，采用ARP干扰、终端代理软件的软件防火墙等技术。
2、基于基础网络设备联动的架构—Infrastructure-base NAC；主要是各个网络设备厂家和部分桌面管理厂商，采用的是802.1X、PORTAL、EOU等技术。
3、基于应用设备的架构—Appliance-base NAC；主要是专业准入控制厂商，如ForeScout、盈高科技、Sysgate SNAC。采用的是策略路由、MVG、VLAN控制等技术。
综观这三种框架的进化与发展，现在完全基于Software-base的架构，范围及控制力度有限，目前已不被用户接纳；而大多数网络设备厂商现在主要推崇Infrastructure-base的架构，可以促进他们网络设备的市场销售，但是对网络设备要求高，需要特定型号和厂家的设备。存在互相设置壁垒的问题；现在国外比较新兴的是采用Appliance-base 架构的NAC设备，这种NAC设备对网络设备的种类、型号几乎无要求，在降低部署难度的同时可以达到很好控制力度。
目前市场认可度比较好的NAC方案，是Appliance-base NAC，即第三代准入系统架构。
三.高可靠性，确保业务连续性
用户一旦建成网络准入控制系统后，就意味着所有终端每天进入网络，都依赖于这套网络准入控制系统的解决方案。现在市面上的网络准入控制方案有纯软件、有纯硬件也有软硬件结合的。软件系统通常安装在用户提供的服务器上，价格相对较便宜，但是性能和稳定性受限于服务器和操作系统；硬件系统由于采用了专用的硬件和操作系统，稳定性高，性能可控，但是价格通常较高。建议用户根据自身网络规模和网络重要性，进行合理的选择。
另外选择无论哪种方案，一定要求有完善的逃生方案，具备“Fail-Open”模式，不存在单点故障。绝对不能因为网络准入控制系统的建设影响业务连续性，导致正常办公业务无法开展。
四.配套服务完善，响应及时
建设网络准入控制项目不同于部署网关型的产品，只部署在一点，需要进行改动时，仅仅对其一点进行改动就可以了。而网络准入控制系统的部署关系到网络中的每一台终端、每一个使用者，缺乏部署经验，盲目的进行部署，势必造成大范围的问题。因此要建设好网络准入控制的项目，一定需要有一个相关项目经验丰富，具有良好风险管理的专业技术服务团队支撑。
在项目建设前期，需要能够规划出适合用户网络的准入控制解决方案。从安全、管理、项目建设成本、风险控制等方面都要有详细的计划。在项目实施时，需要有一套完整的项目建设计划与配套的项目管理制度。在项目运行后，一定要有及时响应的客服体系。技术服务水平的好坏在准入控制项目中尤为突出。
实现内网安全的基础在于屏蔽一切不安全的设备和人员接入网络，并且规范用户接入网络的权限。
热心网友
时间：2024-01-23 13:59
选择一款网络准入控制产品，应该从以下几个功能点来考虑入手：
入网管理
管理员可以对计算机接入网络进行管理,标记，授权或拒绝、删除管理等功能
接入报警
对于未被允许及不合规的非法计算机接入网络系统会自动报警并提示客户端和管理端
内置服务识别
网络拓扑发现与设备类型识别，Radius服务器、HA热备、DHCP服务等
终端认证方式支持
MAC地址\IP地址\用户名和密码\机器指纹\U-KEY\智能卡\数字证书认证\LDAP及无缝结合域AD管理认证\手机短信\实名认证等。
级联支持
对于大型用户，支持vlan，准入服务器支持分布式级联部署
安全检测
自带默认终端入网安全合规检测库、支持自定义合规检测条件、支持漏洞自动修复、杀毒软件检测等
终端补丁检测
评估客户端的补丁安装是否合格，包括：操作系统(Windows 98/me/2000/XP/2003/Vista/win7/win10/win2008 )。
智能终端设备接入
支持手持\移动等智能终端的接入管理
终端运行状态实时检测
可以对上线用户终端的系统信息进行实时检测，发现异常客户端或被卸载时自动阻断网络，强制安装。
网络隔离区
对于安全状态评估不合格的用户，可以*其访问权限，被隔离到网络隔离区，待危险终端到达安全级别后方可入网。
