網(wǎng)絡訪問控制技術介紹

1、網(wǎng)絡訪問控制技術介紹技術創(chuàng)新，變革未來網(wǎng)絡訪問控制是網(wǎng)絡管理的重要內容通過安全策略阻止不符合安全要求的終端訪問網(wǎng)絡對WEB訪問用戶進行控制通過ACL過濾非法用戶相關技術：EAD、PORTAL、ACL引入掌握EAD安全防御系統(tǒng)原理與配置掌握PORTAL認證原理與配置掌握以太網(wǎng)ACL的分類和使用課程目標學習完本課程，您應該能夠：EAD解決方案PORTAL認證以太網(wǎng)訪問控制列表目錄EAD概述EAD（Endpoint Admission Defense，端點準入防御）是一種安全防御解決方案，能彌補傳統(tǒng)的單點安全防御的不足服務器區(qū)域安全策略服務器防病毒服務器補丁服務器用戶區(qū)域接入設備EAD工作原理安全客

2、戶端安全聯(lián)動設備安全策略服務器防病毒/補丁服務器用戶訪問網(wǎng)絡前的身份驗證對合法用戶控制網(wǎng)絡權限，下發(fā)安全策略與第三方桌面管理系統(tǒng)協(xié)同檢查終端安全狀態(tài)安全策略檢查結果上報安全策略服務器根據(jù)檢查結果控制訪問權限安全檢查不合格用戶進入隔離區(qū)，進行系統(tǒng)修復和軟件升級安全客戶端平臺防病毒客戶端認證軟件其他插件EAD配置配置策略服務器配置EAD快速部署免認證網(wǎng)段配置EAD快速部署重定向URLSWA-radius-name security-policy-server ip-addressSWA dot1x free-ip ip-address mask-address | mask-length SWA

3、dot1x url url-stringEAD配置示例InternetPCASWAWEB server/24服務器區(qū)域E1/0/1E1/0/2SWA-radius-name security-policy-server SWA dot1x free-ip 24SWA dot1x url SWA dot1xSWA interface ethernet1/0/1SWA-Ethernet1/0/1 dot1x安全策略服務器/24防病毒服務器通過配置EAD快速部署，使用戶在通過認證前訪問WEB服務器而下載客戶端軟件EAD解決方案PORTAL認證以太網(wǎng)訪問控制列表目錄PORTAL概述Portal認證通常

4、也稱為WEB認證，是一種運營商常用的，通過強制用戶到門戶網(wǎng)站進行認證的方式主要包括認證客戶端、接入設備、Portal服務器、認證/計費服務器、安全策略服務器安全策略服務器認證/計費服務器Portal服務器接入設備認證客戶端PORTAL認證方式三層認證方式客戶端與接入設備間有三層設備直接獲得IP地址非三層認證方式客戶端與接入設備間沒有三層設備直接獲得IP地址進行認證二次地址分配認證PORTAL直接認證方式的認證過程認證客戶端Portal服務器接入設備安全策略 服務器認證/計費 服務器（1）發(fā)起連接（2）CHAP認證交互（3）認證請求（4）RADIUS協(xié) 議的認證交互（5）認證應答（6）通知用戶

5、上線成功（7）認證應答確認（8）安全檢測信息交互（9）授權定時器PORTAL二次地址分配方式的認證過程認證客戶端Portal服務器接入設備認證/計費 服務器（1）發(fā)起連接（2）CHAP認證交互（3）認證請求（4）RADIUS協(xié) 議的認證交互（5）認證應答（6）認證成功（11）IP變化確認（12）安全檢測信息交互（13）授權定時器（7）用戶獲得新IP（8）發(fā)現(xiàn)用戶IP變化（9）檢測用戶IP變化（10）通知用戶 上線成功安全策略 服務器PORTAL配置配置Portal服務器在接口下啟用Portal協(xié)議并指定認證方式SWA portal server server-name ip ip-addres

6、s key key-string | port port-id | url url-string SWA-Vlan-interface100 portal server server-name method direct | layer3 | redhcp PORTAL配置示例 PCA /24SWA Eth1/0/2/24 Eth1/0/100/24Portal服務器11/24RADIUSl服務器12/24安全策略服務器13/24 SWA portal server newpt ip 11 key portal port 50100 url 11/portalSWA interface Eth

7、ernet 1/0/2SWA-Ethernet1/0/2 portal server newpt method directPortal服務器端口號為50100Portal認證方式為直接方式EAD解決方案PORTAL認證以太網(wǎng)訪問控制列表目錄ACL概述ACL（Access Control List，訪問控制列表）通過配置對報文的匹配規(guī)則和處理操作來實現(xiàn)包過濾功能匹配條件源MAC地址、目的MAC地址源IP地址、目的IP地址端口號自定義ACL還可以應用在QoS、路由策略等方面ACL分類與構成根據(jù)ACL序號進行分類基本ACL：序號為20002999高級ACL：序號為30003999二層ACL：序號為

8、40004999用戶自定義ACL：序號為50005999ACL的構成包括規(guī)則（rule）和時間段（time-range）ACL匹配順序ACL支持兩種匹配順序（match-order）配置匹配（config）：按照用戶配置規(guī)則的先后順序進行規(guī)則匹配自動排序（auto）：按照“深度優(yōu)先”的順序進行規(guī)則匹配“深度優(yōu)先”順序判斷原則基本ACL：比較源IP地址范圍、規(guī)則ID高級ACL：比較協(xié)議范圍、源IP/目的IP地址范圍、四層端口號范圍、規(guī)則ID二層ACL：比較源MAC/目的MAC范圍、規(guī)則IDACL配置定義時間段創(chuàng)建ACL，并指定ACL序號與匹配順序配置規(guī)則（以基本ACL為例）SWA acl num

9、ber acl-number name acl-name match-order auto | config SWA time-range time-name start-time to end-time days from time1 date1 to time2 date2 | from time1 to date1 to time2 date2 | to time2 date2 SWA-acl-basic-num rule rule-id deny | permit fragment | logging | source sour-addr sour-wildcard | any | time-range time-name ACL配置示例每天8:0018:00，禁止HostA訪問工資查詢服務器工資查詢服務器SWAEth1/0/1Eth1/0/2 HostA 0011-0011-0011HostBSWA time-range test 8:00 18:00 dailySWA acl number 2000SWA-acl-basic-2000 rule 1 deny source 0 time-range testSWA-Ethernet1/0/1