網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)集中式管理方案

網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)集中式管理方案1、項(xiàng)目背景1.1目前網(wǎng)絡(luò)安全概況自從在股份公司和下屬分公司在業(yè)務(wù)系統(tǒng)上大力推廣信息化發(fā)展策略，目前公司運(yùn)作的網(wǎng)絡(luò)是由17家公司的內(nèi)部網(wǎng)絡(luò)通過(guò)MPLSVPN網(wǎng)絡(luò)構(gòu)成的廣域網(wǎng)，規(guī)模龐大。同時(shí)信息技術(shù)的快速發(fā)展導(dǎo)致信息網(wǎng)絡(luò)所起的作用越來(lái)越巨大，股份公司及下屬分公司的連接密度越來(lái)越大，人員交流和業(yè)務(wù)系統(tǒng)的使用網(wǎng)絡(luò)更為頻繁，終端所面臨的各種安全問(wèn)題也越來(lái)越突出。各個(gè)公司的內(nèi)網(wǎng)構(gòu)建因規(guī)模大小和建設(shè)時(shí)間的不同，網(wǎng)絡(luò)的使用情況也不一樣，特別是網(wǎng)絡(luò)設(shè)備的品牌和型號(hào)各異，而且員工和訪客攜帶的電腦或者手機(jī)終端等可以隨意接入公司網(wǎng)絡(luò)，在信息安全管理上存在很大的管理難度和安全風(fēng)險(xiǎn)。2017年6月1日，《國(guó)家網(wǎng)絡(luò)安全法》頒布，明確要求各單位加強(qiáng)網(wǎng)絡(luò)安全建設(shè)，而且股份公司屬于上市公司，在網(wǎng)絡(luò)安全上必須加強(qiáng)安全防范措施，增加網(wǎng)絡(luò)準(zhǔn)入控制和審計(jì)手段，完善公司的信息化安全體系。1.2網(wǎng)絡(luò)架構(gòu)概況基于業(yè)務(wù)需求和網(wǎng)絡(luò)穩(wěn)定性需求，整個(gè)股份公司的各分支公司都是通過(guò)租用聯(lián)通公司的MPLSVPN專線網(wǎng)絡(luò)解決公司之間的網(wǎng)絡(luò)連接，其中股份公司和南沙公司的網(wǎng)絡(luò)訪問(wèn)需求最大。MPLSVPN網(wǎng)絡(luò)拓?fù)鋱D大概如下：圖1MPLSVPN網(wǎng)絡(luò)拓?fù)鋱D概圖各公司內(nèi)網(wǎng)網(wǎng)絡(luò)架構(gòu)概圖如下圖2所示：圖2各公司內(nèi)部網(wǎng)絡(luò)拓?fù)鋱D概圖1.3各公司的調(diào)研情況經(jīng)調(diào)研統(tǒng)計(jì)，各公司的設(shè)備使用的情況如下表1:公司名稱網(wǎng)絡(luò)交換機(jī)品牌網(wǎng)絡(luò)設(shè)備數(shù)量接入終端數(shù)量電腦辦公人員數(shù)量是否支持802.1X廣州股份公司H3C、華為、TP-LINK、D-LINK30250300H3C、華為支持，12臺(tái)其他不支持。南沙分公司H3C，TP-LINK無(wú)線554005004臺(tái)不支持從化分公司神州數(shù)碼1373129支持海豐分公司3COM134572不支持珠豐分公司華為85076支持新豐分公司3COM84550不支持中山分公司3com，TP-link176070不支持東莞分公司3COM147099不支持梅州分公司3COM、華為、科思28140160華為支持、3com和科思不支持陽(yáng)江分公司3com44047不支持湛江分公司神州數(shù)碼31149165支持永信分公司Sunsea1臺(tái)21020不支持圖3網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)的網(wǎng)絡(luò)架構(gòu)圖本方案部署詳解如下：（1）股份公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)集中管控中心，其他分公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)為不可管控的準(zhǔn)入代理設(shè)備，其由管控中心集中管理。（2）分別在股份公司和南沙公司搭建AD域控服務(wù)器，提供員工域用戶信息給員工用來(lái)做認(rèn)證準(zhǔn)入功能，這兩臺(tái)服務(wù)器進(jìn)行數(shù)據(jù)同步。其他分公司也是由網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)通過(guò)網(wǎng)絡(luò)連接AD域控制服務(wù)器讀取員工域用戶信息做認(rèn)證。（3）逃生機(jī)制原理處理方法：當(dāng)網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)失效時(shí)，系統(tǒng)自動(dòng)切換到無(wú)認(rèn)證的網(wǎng)絡(luò)模式，使已經(jīng)準(zhǔn)入認(rèn)證過(guò)后的終端設(shè)備或新接入網(wǎng)的終端設(shè)備不受通信影響。（4）故障點(diǎn)詳細(xì)分析和應(yīng)緊處理方式：故障點(diǎn)1、股份公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)故障時(shí)，作為管控中心的單點(diǎn)故障將會(huì)直接影響到所有公司包括股份公司本地內(nèi)網(wǎng)的網(wǎng)絡(luò)準(zhǔn)入失效，會(huì)對(duì)新需要入網(wǎng)的終端設(shè)備無(wú)法認(rèn)證入網(wǎng)，而已經(jīng)認(rèn)證后的設(shè)備在不中斷內(nèi)網(wǎng)連接的情況下其公司的內(nèi)部網(wǎng)絡(luò)通信不受影響。此時(shí)單點(diǎn)故障發(fā)生后，所有公司各自啟用網(wǎng)絡(luò)逃生機(jī)制，取消網(wǎng)絡(luò)認(rèn)證功能，自動(dòng)切換到無(wú)認(rèn)證的網(wǎng)絡(luò)接入模式，保證內(nèi)網(wǎng)的正常使用。當(dāng)設(shè)備系統(tǒng)恢復(fù)后，可切換回認(rèn)證模式，恢復(fù)網(wǎng)絡(luò)準(zhǔn)入控制。故障點(diǎn)2、本方案采用的是單控制中心，當(dāng)股份公司VPN線路端出現(xiàn)故障時(shí)，16家分公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)將無(wú)法通過(guò)VPN線路連接到管控中心，這會(huì)導(dǎo)致16家分公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)同時(shí)失效，會(huì)對(duì)新需要入網(wǎng)的終端設(shè)備無(wú)法認(rèn)證入網(wǎng)，而已經(jīng)認(rèn)證后的設(shè)備在不中斷內(nèi)網(wǎng)連接的情況下在其公司的內(nèi)部網(wǎng)通信不受影響，當(dāng)此故障點(diǎn)發(fā)生后，16家分公司都會(huì)啟用逃生機(jī)制自動(dòng)切換到無(wú)認(rèn)證模式的接入。故障點(diǎn)3、當(dāng)某個(gè)分公司的VPN線路端發(fā)生單點(diǎn)網(wǎng)絡(luò)故障或者網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)發(fā)生的單點(diǎn)設(shè)備故障，此時(shí)此分公司內(nèi)部的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)都會(huì)失效，會(huì)對(duì)于新需要入網(wǎng)的終端設(shè)備無(wú)法認(rèn)證入網(wǎng)，而已經(jīng)認(rèn)證后的設(shè)備在不中斷內(nèi)網(wǎng)連接的情況下在其公司的內(nèi)網(wǎng)通信不受影響，此分公司會(huì)啟用逃生機(jī)制自動(dòng)切換到無(wú)認(rèn)證模式的接入。4招標(biāo)技術(shù)要求股份公司原有一套網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)（使用標(biāo)準(zhǔn)的DHCP和802.1X準(zhǔn)入技術(shù)），但是不能滿足此方案中的所有需求。為了做到利舊的原則，原有的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)原則上不做淘汰，新準(zhǔn)入系統(tǒng)最好能兼容或者最大限度的利用原有的準(zhǔn)入系統(tǒng)。具體的準(zhǔn)入系統(tǒng)技術(shù)要求如下：總體要求：支持總共不少于3500終端的準(zhǔn)入性能許可，準(zhǔn)入方案中需要說(shuō)明是利用原有準(zhǔn)入硬件系統(tǒng)只提供軟件還是提供新的硬件系統(tǒng)，如果提供新硬件，需要新硬件ALLInOne要求，單臺(tái)設(shè)備支持所有功能，無(wú)需再配置服務(wù)器或者第三方系統(tǒng)軟件，并說(shuō)明如何利用原有準(zhǔn)入系統(tǒng)。16個(gè)分公司要做到股份公司統(tǒng)一準(zhǔn)入管理；準(zhǔn)入方案要具有可擴(kuò)展性，為以后公司的容災(zāi)擴(kuò)展提供方便，方案中要說(shuō)明。提供應(yīng)急逃生方案。（2）內(nèi)網(wǎng)接入控制技術(shù)要求：基于DHCP的Webportal認(rèn)證接入，同時(shí)可結(jié)合802.1X準(zhǔn)入一起使用支持無(wú)客戶端準(zhǔn)入無(wú)線接入控制支持老舊交換機(jī)和Hub的接入控制不得使用串接、策略路由、更改交換機(jī)VLAN的準(zhǔn)入控制技術(shù)建立接入隔離網(wǎng)，隔離不明終端支持來(lái)賓訪客網(wǎng)。（3）用戶管理要求：能結(jié)合AD域用戶，自動(dòng)同步AD域用戶，實(shí)現(xiàn)AD域單點(diǎn)登錄用戶自注冊(cè)、自服務(wù)定制用戶口令安全等級(jí)、弱口令字典、過(guò)期時(shí)間用戶口令防暴力破解支持外聯(lián)LDAP、SQL用戶數(shù)據(jù)庫(kù)（4）IP地址管理要求接入網(wǎng)絡(luò)非法IP自動(dòng)隔離，杜絕非法設(shè)置IP造成IP沖突內(nèi)嵌DHCP服務(wù)，認(rèn)證后的DHCP地址分配基于組/角色/終端的IP地址下發(fā)，IP統(tǒng)一可視化管理基于認(rèn)證的IP地址管理交換機(jī)端口接入人及狀態(tài)的圖像直觀顯示（5）認(rèn)證要求：可以做到無(wú)客戶端強(qiáng)制認(rèn)證支持動(dòng)態(tài)口令牌和動(dòng)態(tài)口令卡內(nèi)嵌RADIUS服務(wù)器、RADIUS統(tǒng)一認(rèn)證基于用戶、部門或角色定義認(rèn)證強(qiáng)度短信方式多因素認(rèn)證其他網(wǎng)絡(luò)設(shè)備的ID擴(kuò)展接口(API)支持第三方認(rèn)證系統(tǒng)，并實(shí)現(xiàn)無(wú)縫集成。（6）啞終端準(zhǔn)入要求：支持啞終端設(shè)備指紋掃描，無(wú)需安裝客戶端或插件，識(shí)別唯一設(shè)備類型啞終端設(shè)備指紋支持：防范非法終端仿冒設(shè)備（網(wǎng)絡(luò)打印機(jī)、網(wǎng)絡(luò)攝像頭等）（7）主機(jī)健康檢測(cè)要求：強(qiáng)制插件安裝對(duì)終端殺毒軟件檢查，防止無(wú)殺毒能力終端入網(wǎng)能夠檢查終端網(wǎng)卡的唯一性、禁止Proxy代理按不同網(wǎng)段定制不同主機(jī)健康檢查策略按不同的終端組定制不同主機(jī)健康檢查策略。（8）用戶上網(wǎng)、下網(wǎng)審計(jì)要求：IP使用人實(shí)時(shí)和歷史記錄查找IP網(wǎng)段當(dāng)前使用人及狀態(tài)直觀圖表顯示用戶IP實(shí)時(shí)和歷史記錄查找對(duì)IP日志的按用戶管理和查找可提供詳盡的報(bào)表以及標(biāo)準(zhǔn)的日志導(dǎo)出、存貯、查詢功能。（9）部署方式及應(yīng)急災(zāi)備：旁路式部署，不改變網(wǎng)絡(luò)結(jié)構(gòu)可實(shí)現(xiàn)多級(jí)分布、分級(jí)部署，由一個(gè)平臺(tái)統(tǒng)一管理可實(shí)現(xiàn)跨路由的數(shù)據(jù)分布式同步多臺(tái)互為容災(zāi)熱備(Active/Active)設(shè)備支持異地容災(zāi)、本地雙機(jī)冗余熱備（HA）等5產(chǎn)品購(gòu)買清單產(chǎn)品名稱數(shù)量備注網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)1股份公司使用，3年的4小時(shí)內(nèi)提供股份公司的備機(jī)服務(wù)。網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)16其他16家分公司使用，根據(jù)用戶和終端數(shù)量抉擇性能需求。6項(xiàng)目實(shí)施周期因本方案是以股份公司為整體設(shè)計(jì)的方案，牽涉公司單位共有17家，所以實(shí)施周期會(huì)比較長(zhǎng)，實(shí)施安裝需要分3期，由信息部系統(tǒng)組和廠家技術(shù)支持為主，各分公司系統(tǒng)管理員協(xié)助，每公司逐個(gè)部門迭代安裝設(shè)置推進(jìn)。具體實(shí)施周期安排如下：第一期實(shí)施內(nèi)容時(shí)間周期廣州股份公司安裝網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)，對(duì)網(wǎng)絡(luò)終端設(shè)備和人員的注冊(cè)和綁定，對(duì)計(jì)算機(jī)用戶的網(wǎng)絡(luò)認(rèn)證技術(shù)指導(dǎo)和使用培訓(xùn)等。1