1、網(wǎng)絡(luò)訪問(wèn)控制技術(shù)介紹技術(shù)創(chuàng)新，變革未來(lái)網(wǎng)絡(luò)訪問(wèn)控制是網(wǎng)絡(luò)管理的重要內(nèi)容通過(guò)安全策略阻止不符合安全要求的終端訪問(wèn)網(wǎng)絡(luò)對(duì)WEB訪問(wèn)用戶(hù)進(jìn)行控制通過(guò)ACL過(guò)濾非法用戶(hù)相關(guān)技術(shù)：EAD、PORTAL、ACL引入掌握EAD安全防御系統(tǒng)原理與配置掌握PORTAL認(rèn)證原理與配置掌握以太網(wǎng)ACL的分類(lèi)和使用課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠：EAD解決方案PORTAL認(rèn)證以太網(wǎng)訪問(wèn)控制列表目錄EAD概述EAD（Endpoint Admission Defense，端點(diǎn)準(zhǔn)入防御）是一種安全防御解決方案，能彌補(bǔ)傳統(tǒng)的單點(diǎn)安全防御的不足服務(wù)器區(qū)域安全策略服務(wù)器防病毒服務(wù)器補(bǔ)丁服務(wù)器用戶(hù)區(qū)域接入設(shè)備EAD工作原理安全客

2、戶(hù)端安全聯(lián)動(dòng)設(shè)備安全策略服務(wù)器防病毒/補(bǔ)丁服務(wù)器用戶(hù)訪問(wèn)網(wǎng)絡(luò)前的身份驗(yàn)證對(duì)合法用戶(hù)控制網(wǎng)絡(luò)權(quán)限，下發(fā)安全策略與第三方桌面管理系統(tǒng)協(xié)同檢查終端安全狀態(tài)安全策略檢查結(jié)果上報(bào)安全策略服務(wù)器根據(jù)檢查結(jié)果控制訪問(wèn)權(quán)限安全檢查不合格用戶(hù)進(jìn)入隔離區(qū)，進(jìn)行系統(tǒng)修復(fù)和軟件升級(jí)安全客戶(hù)端平臺(tái)防病毒客戶(hù)端認(rèn)證軟件其他插件EAD配置配置策略服務(wù)器配置EAD快速部署免認(rèn)證網(wǎng)段配置EAD快速部署重定向URLSWA-radius-name security-policy-server ip-addressSWA dot1x free-ip ip-address mask-address | mask-length SWA

3、dot1x url url-stringEAD配置示例InternetPCASWAWEB server/24服務(wù)器區(qū)域E1/0/1E1/0/2SWA-radius-name security-policy-server SWA dot1x free-ip 24SWA dot1x url SWA dot1xSWA interface ethernet1/0/1SWA-Ethernet1/0/1 dot1x安全策略服務(wù)器/24防病毒服務(wù)器通過(guò)配置EAD快速部署，使用戶(hù)在通過(guò)認(rèn)證前訪問(wèn)WEB服務(wù)器而下載客戶(hù)端軟件EAD解決方案PORTAL認(rèn)證以太網(wǎng)訪問(wèn)控制列表目錄PORTAL概述Portal認(rèn)證通常

4、也稱(chēng)為WEB認(rèn)證，是一種運(yùn)營(yíng)商常用的，通過(guò)強(qiáng)制用戶(hù)到門(mén)戶(hù)網(wǎng)站進(jìn)行認(rèn)證的方式主要包括認(rèn)證客戶(hù)端、接入設(shè)備、Portal服務(wù)器、認(rèn)證/計(jì)費(fèi)服務(wù)器、安全策略服務(wù)器安全策略服務(wù)器認(rèn)證/計(jì)費(fèi)服務(wù)器Portal服務(wù)器接入設(shè)備認(rèn)證客戶(hù)端PORTAL認(rèn)證方式三層認(rèn)證方式客戶(hù)端與接入設(shè)備間有三層設(shè)備直接獲得IP地址非三層認(rèn)證方式客戶(hù)端與接入設(shè)備間沒(méi)有三層設(shè)備直接獲得IP地址進(jìn)行認(rèn)證二次地址分配認(rèn)證PORTAL直接認(rèn)證方式的認(rèn)證過(guò)程認(rèn)證客戶(hù)端Portal服務(wù)器接入設(shè)備安全策略 服務(wù)器認(rèn)證/計(jì)費(fèi) 服務(wù)器（1）發(fā)起連接（2）CHAP認(rèn)證交互（3）認(rèn)證請(qǐng)求（4）RADIUS協(xié) 議的認(rèn)證交互（5）認(rèn)證應(yīng)答（6）通知用戶(hù)

5、上線成功（7）認(rèn)證應(yīng)答確認(rèn)（8）安全檢測(cè)信息交互（9）授權(quán)定時(shí)器PORTAL二次地址分配方式的認(rèn)證過(guò)程認(rèn)證客戶(hù)端Portal服務(wù)器接入設(shè)備認(rèn)證/計(jì)費(fèi) 服務(wù)器（1）發(fā)起連接（2）CHAP認(rèn)證交互（3）認(rèn)證請(qǐng)求（4）RADIUS協(xié) 議的認(rèn)證交互（5）認(rèn)證應(yīng)答（6）認(rèn)證成功（11）IP變化確認(rèn)（12）安全檢測(cè)信息交互（13）授權(quán)定時(shí)器（7）用戶(hù)獲得新IP（8）發(fā)現(xiàn)用戶(hù)IP變化（9）檢測(cè)用戶(hù)IP變化（10）通知用戶(hù) 上線成功安全策略 服務(wù)器PORTAL配置配置Portal服務(wù)器在接口下啟用Portal協(xié)議并指定認(rèn)證方式SWA portal server server-name ip ip-addres

6、s key key-string | port port-id | url url-string SWA-Vlan-interface100 portal server server-name method direct | layer3 | redhcp PORTAL配置示例 PCA /24SWA Eth1/0/2/24 Eth1/0/100/24Portal服務(wù)器11/24RADIUSl服務(wù)器12/24安全策略服務(wù)器13/24 SWA portal server newpt ip 11 key portal port 50100 url 11/portalSWA interface Eth

7、ernet 1/0/2SWA-Ethernet1/0/2 portal server newpt method directPortal服務(wù)器端口號(hào)為50100Portal認(rèn)證方式為直接方式EAD解決方案PORTAL認(rèn)證以太網(wǎng)訪問(wèn)控制列表目錄ACL概述ACL（Access Control List，訪問(wèn)控制列表）通過(guò)配置對(duì)報(bào)文的匹配規(guī)則和處理操作來(lái)實(shí)現(xiàn)包過(guò)濾功能匹配條件源MAC地址、目的MAC地址源IP地址、目的IP地址端口號(hào)自定義ACL還可以應(yīng)用在QoS、路由策略等方面ACL分類(lèi)與構(gòu)成根據(jù)ACL序號(hào)進(jìn)行分類(lèi)基本ACL：序號(hào)為20002999高級(jí)ACL：序號(hào)為30003999二層ACL：序號(hào)為

8、40004999用戶(hù)自定義ACL：序號(hào)為50005999ACL的構(gòu)成包括規(guī)則（rule）和時(shí)間段（time-range）ACL匹配順序ACL支持兩種匹配順序（match-order）配置匹配（config）：按照用戶(hù)配置規(guī)則的先后順序進(jìn)行規(guī)則匹配自動(dòng)排序（auto）：按照“深度優(yōu)先”的順序進(jìn)行規(guī)則匹配“深度優(yōu)先”順序判斷原則基本ACL：比較源IP地址范圍、規(guī)則ID高級(jí)ACL：比較協(xié)議范圍、源IP/目的IP地址范圍、四層端口號(hào)范圍、規(guī)則ID二層ACL：比較源MAC/目的MAC范圍、規(guī)則IDACL配置定義時(shí)間段創(chuàng)建ACL，并指定ACL序號(hào)與匹配順序配置規(guī)則（以基本ACL為例）SWA acl num

9、ber acl-number name acl-name match-order auto | config SWA time-range time-name start-time to end-time days from time1 date1 to time2 date2 | from time1 to date1 to time2 date2 | to time2 date2 SWA-acl-basic-num rule rule-id deny | permit fragment | logging | source sour-addr sour-wildcard | any | time-range time-name ACL配置示例每天8:0018:00，禁止HostA訪問(wèn)工資查詢(xún)服務(wù)器工資查詢(xún)服務(wù)器SWAEth1/0/1Eth1/0/2 HostA 0011-0011-0011HostBSWA time-range test 8:00 18:00 dailySWA acl number 2000SWA-acl-basic-2000 rule 1 deny source 0 time-range testSWA-Ethernet1/0/1