網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)集中式管理方案

1、網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)集中式管理方案1、項(xiàng)目背景1.1 目前網(wǎng)絡(luò)安全概況自從在股份公司和下屬分公司在業(yè)務(wù)系統(tǒng)上大力推廣信息化發(fā)展策略，目前公司運(yùn)作的網(wǎng)絡(luò)是由17家公司的內(nèi)部網(wǎng)絡(luò)通過MPLS VPN網(wǎng)絡(luò)構(gòu)成的廣域網(wǎng)，規(guī)模龐大。同時信息技術(shù)的快速發(fā)展導(dǎo)致信息網(wǎng)絡(luò)所起的作用越來越巨大，股份公司及下屬分公司的連接密度越來越大，人員交流和業(yè)務(wù)系統(tǒng)的使用網(wǎng)絡(luò)更為頻繁，終端所面臨的各種安全問題也越來越突出。各個公司的內(nèi)網(wǎng)構(gòu)建因規(guī)模大小和建設(shè)時間的不同，網(wǎng)絡(luò)的使用情況也不一樣，特別是網(wǎng)絡(luò)設(shè)備的品牌和型號各異，而且員工和訪客攜帶的電腦或者手機(jī)終端等可以隨意接入公司網(wǎng)絡(luò)，在信息安全管理上存在很大的管理難度和安全風(fēng)險。201

2、7年6月1日，國家網(wǎng)絡(luò)安全法頒布，明確要求各單位加強(qiáng)網(wǎng)絡(luò)安全建設(shè)，而且股份公司屬于上市公司，在網(wǎng)絡(luò)安全上必須加強(qiáng)安全防范措施，增加網(wǎng)絡(luò)準(zhǔn)入控制和審計手段，完善公司的信息化安全體系。1.2 網(wǎng)絡(luò)架構(gòu)概況基于業(yè)務(wù)需求和網(wǎng)絡(luò)穩(wěn)定性需求，整個股份公司的各分支公司都是通過租用聯(lián)通公司的MPLS VPN專線網(wǎng)絡(luò)解決公司之間的網(wǎng)絡(luò)連接，其中股份公司和南沙公司的網(wǎng)絡(luò)訪問需求最大。MPLS VPN網(wǎng)絡(luò)拓?fù)鋱D大概如下：圖1 MPLS VPN 網(wǎng)絡(luò)拓?fù)鋱D概圖 各公司內(nèi)網(wǎng)網(wǎng)絡(luò)架構(gòu)概圖如下圖2所示：圖2 各公司內(nèi)部網(wǎng)絡(luò)拓?fù)鋱D概圖1.3 各公司的調(diào)研情況經(jīng)調(diào)研統(tǒng)計，各公司的設(shè)備使用的情況如下表1:公司名稱網(wǎng)絡(luò)交換機(jī)品牌網(wǎng)

3、絡(luò)設(shè)備數(shù)量接入終端數(shù)量電腦辦公人員數(shù)量是否支持802.1X廣州股份公司H3C、華為、TP-LINK、D-LINK30250300H3C、華為支持，12臺其他不支持。南沙分公司H3C，TP-LINK無線554005004臺不支持從化分公司神州數(shù)碼1373129支持海豐分公司3COM134572不支持珠豐分公司華為85076支持新豐分公司3COM84550不支持中山分公司3com，TP-link176070不支持東莞分公司3COM147099不支持梅州分公司3COM、華為、科思28140160華為支持、3com和科思不支持陽江分公司3com44047不支持湛江分公司神州數(shù)碼31149165支持永信

4、分公司Sunsea 1臺21020不支持榮鑫分公司華為、D-LINK880112華為支持、D-LINK不支持廣西分公司華為9臺、3COM 1臺10138170華為支持湖南分公司H3C 20115130支持河北分公司3com,華為23140145不支持汕頭分公司3COM266不支持 表1 各公司的網(wǎng)絡(luò)設(shè)備和終端調(diào)研表 從表1中可以看出各公司的人員、終端設(shè)備和網(wǎng)絡(luò)設(shè)備等等都情況各異，需要從多角度考慮信息安全的管理技術(shù)問題和網(wǎng)絡(luò)準(zhǔn)入方案的技術(shù)可行性。1.4 信息安全管理的存在風(fēng)險目前，各公司都存在如下的信息安全管理風(fēng)險：（1） 公司內(nèi)部無法對未授權(quán)的外來電腦及智能終端接入內(nèi)網(wǎng)的行為進(jìn)行有效的認(rèn)證控制

5、和管理。外來人員或者員工能夠輕易地把終端設(shè)備接入到辦公網(wǎng)，特別是惡意用戶（如黑客，商業(yè)間諜）的接入，可能會導(dǎo)致公司機(jī)密文件被竊取，或者網(wǎng)絡(luò)服務(wù)器被攻擊等等網(wǎng)絡(luò)安全事件發(fā)生，造成嚴(yán)重的后果。隨著無線WIFI的普及，私自增加外聯(lián)WIFI設(shè)備用于移動端設(shè)備上互聯(lián)網(wǎng)，內(nèi)部網(wǎng)絡(luò)安全更加難以控制管理。如何做到有線和無線WIFI統(tǒng)一的網(wǎng)絡(luò)入網(wǎng)管理，是安全的重中之重。（2） 篡改終端硬件信息。比如：當(dāng)某些員工知道領(lǐng)導(dǎo)的IP地址權(quán)限比較高的時候，把自己的計算機(jī)也設(shè)置為領(lǐng)導(dǎo)的IP，于是獲取了和領(lǐng)導(dǎo)一樣的權(quán)限，導(dǎo)致領(lǐng)導(dǎo)身份被假冒，或者和領(lǐng)導(dǎo)使用的計算機(jī)造成IP地址沖突而導(dǎo)致被沖突的計算機(jī)網(wǎng)絡(luò)故障，這樣會直接影響業(yè)務(wù)

6、辦公。（3）因?yàn)楣緝?nèi)網(wǎng)的很多網(wǎng)絡(luò)設(shè)備是不可管理，當(dāng)網(wǎng)絡(luò)內(nèi)部出現(xiàn)網(wǎng)絡(luò)安全事件的時候，很難查詢到IP地址或者設(shè)備MAC地址的使用信息，難以定位到責(zé)任人。 （4）因各分公司和股份公司之間的網(wǎng)絡(luò)已經(jīng)通過MPLS VPN線路構(gòu)建成了一個規(guī)模更大的廣域網(wǎng)架構(gòu)，只要有一個地方的網(wǎng)絡(luò)安全出現(xiàn)風(fēng)險，其他地方的網(wǎng)絡(luò)安全風(fēng)險也會受影響。所以，對終端設(shè)備進(jìn)行網(wǎng)絡(luò)準(zhǔn)入控制是保證股份公司網(wǎng)絡(luò)信息安全的一種安全邊界管理手段，需要做到全局考慮，做到分布式部署、集中管理，集中信息統(tǒng)一展示，以股份公司為整體設(shè)計一個適合本公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)，構(gòu)建公司內(nèi)部網(wǎng)絡(luò)的邊界管理保障體系，用于保障股份公司的網(wǎng)絡(luò)信息安全。2 網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)的詳

7、細(xì)需求2.1 系統(tǒng)功能需求2.1.1 準(zhǔn)入控制 要保證網(wǎng)絡(luò)邊界的安全性以及完整性，就必須實(shí)現(xiàn)網(wǎng)絡(luò)準(zhǔn)入控制，支持對接入網(wǎng)絡(luò)的人員和終端進(jìn)行身份認(rèn)證和準(zhǔn)入檢查，防止非授權(quán)用戶、非法終端、不安全終端接入辦公網(wǎng)，做到安全有效的攔截。其中終端檢查包括終端硬件信息檢查，防病毒軟件檢查，系統(tǒng)版本及補(bǔ)丁檢查等。2.1.2 用戶管理 能夠?qū)τ脩魧?shí)現(xiàn)按人、按部門、按級別進(jìn)行管理，用戶數(shù)據(jù)能夠從AD域中導(dǎo)入。支持第三方認(rèn)證服務(wù)（如radius，LDAP,AD,SQL等認(rèn)證方式）。2.1.3 IP地址的管理必須做到杜絕非法設(shè)置靜態(tài)IP地址并能主動檢測和攔截此更改動作行為，阻攔此終端的網(wǎng)絡(luò)連接。要能夠按部門、按角色、按

8、人（ID）分配IP或IP網(wǎng)段。能確定IP的目前使用人和過去使用者。2.1.4 設(shè)置訪客特定區(qū)域。因公司業(yè)務(wù)交流需求，能夠?yàn)樵L客提供特殊通道，訪客經(jīng)過審批授權(quán)允許后，訪客可以借助公司網(wǎng)絡(luò)資源連接互聯(lián)網(wǎng)，還可以授權(quán)訪客能夠訪問指定開放的內(nèi)部資源。2.1.5 用戶認(rèn)證登錄管理因公司的管理需求，將在股份公司范圍內(nèi)推廣域控制管理模式，對于加入域的電腦能夠結(jié)合域用戶作為認(rèn)證需求，域用戶聯(lián)網(wǎng)登錄桌面系統(tǒng)時進(jìn)行網(wǎng)絡(luò)準(zhǔn)入認(rèn)證。未加入域的終端能夠提供簡易的認(rèn)證方式，同時也可以通過域用戶做認(rèn)證。系統(tǒng)支持修改認(rèn)證用戶的密碼。能夠做到用戶漫游，即在分公司能都通過內(nèi)部用戶登錄網(wǎng)絡(luò)，到總部和其他分部也可以用此用戶登錄，獲取

9、同等權(quán)限。2.1.6 審計日志管理系統(tǒng)能夠詳細(xì)日志的審計功能，能夠?qū)徲嬙O(shè)備、人員、使用IP地址之間的關(guān)聯(lián)信息，能夠快速審計到設(shè)備使用責(zé)任人。2.1.7 防止用戶卸載軟件，支持無客戶端準(zhǔn)入規(guī)則，防止網(wǎng)絡(luò)架構(gòu)變更出現(xiàn)準(zhǔn)入漏洞。出于網(wǎng)絡(luò)準(zhǔn)入安全和嚴(yán)謹(jǐn)?shù)目刂埔?，網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)必須能夠做到對于未安裝客戶端軟件或者卸載安裝客戶端軟件的終端設(shè)備先認(rèn)證后才能入網(wǎng)。必須做到防止用戶通過假冒合法電腦網(wǎng)絡(luò)配置信息未經(jīng)授權(quán)認(rèn)證進(jìn)入公司內(nèi)網(wǎng)。必須做到防止用戶私自增加無線路由器或者非可管交換機(jī)（HUB）改變了網(wǎng)絡(luò)架構(gòu)而出現(xiàn)網(wǎng)絡(luò)準(zhǔn)入控制漏洞，導(dǎo)致未認(rèn)證進(jìn)入公司內(nèi)網(wǎng)的現(xiàn)象。2.1.8 系統(tǒng)的穩(wěn)定性和可靠性鑒于網(wǎng)絡(luò)準(zhǔn)入控制的穩(wěn)

10、定性和可靠性，在網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)出現(xiàn)宕機(jī)或者因系統(tǒng)故障無法提供認(rèn)證時，能夠提供網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)在長時間內(nèi)無法恢復(fù)的緊急預(yù)案措施，保證系統(tǒng)能夠快速切換到無認(rèn)證狀態(tài)下，保證網(wǎng)絡(luò)的正常使用。當(dāng)網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)恢復(fù)正常時候時，快速切換到認(rèn)證狀態(tài)，保證網(wǎng)絡(luò)的準(zhǔn)入認(rèn)證控制。2.1.9 系統(tǒng)管理簡單方便因各分公司的系統(tǒng)維護(hù)人員的技術(shù)水平有限，有些分公司甚至缺少系統(tǒng)維護(hù)崗位人員，所以此系統(tǒng)應(yīng)該偏向簡單化，易管理維護(hù)。2.1.10 網(wǎng)絡(luò)設(shè)備利舊優(yōu)先 因?yàn)榭紤]到本方案部署規(guī)模比較大，特別因產(chǎn)品方案不同對網(wǎng)絡(luò)設(shè)備的支持功能需求也會有所不同。股份公司原有一臺網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)，但是有些新的功能需求不能滿足，從技術(shù)和投資成本上考慮，優(yōu)先

11、考慮現(xiàn)有網(wǎng)絡(luò)設(shè)備的利舊問題，減少額外的費(fèi)用支出，做到真正有效的費(fèi)用節(jié)省。3 部署方案設(shè)計根據(jù)公司對網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)的實(shí)際需求和技術(shù)討論確認(rèn)，本方案采取單控制器的集中式管理方式，在股份公司部署一套網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)作為管控中心，同時也負(fù)責(zé)股份公司本地網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備的準(zhǔn)入控制，其他16家公司根據(jù)需求不同而選擇不同性能的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)，通過VPN網(wǎng)絡(luò)連接股份公司的管控中心，由管控中心統(tǒng)一管控，由各公司的管理用戶分角色管理。網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)的網(wǎng)絡(luò)架構(gòu)圖如下圖3所示：圖3 網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)的網(wǎng)絡(luò)架構(gòu)圖本方案部署詳解如下： （1）股份公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)集中管控中心，其他分公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)為不可管控的準(zhǔn)入代理設(shè)備，其由管控中

12、心集中管理。（2）分別在股份公司和南沙公司搭建AD域控服務(wù)器，提供員工域用戶信息給員工用來做認(rèn)證準(zhǔn)入功能，這兩臺服務(wù)器進(jìn)行數(shù)據(jù)同步。其他分公司也是由網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)通過網(wǎng)絡(luò)連接AD域控制服務(wù)器讀取員工域用戶信息做認(rèn)證。（3）逃生機(jī)制原理處理方法：當(dāng)網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)失效時，系統(tǒng)自動切換到無認(rèn)證的網(wǎng)絡(luò)模式，使已經(jīng)準(zhǔn)入認(rèn)證過后的終端設(shè)備或新接入網(wǎng)的終端設(shè)備不受通信影響。（4）故障點(diǎn)詳細(xì)分析和應(yīng)緊處理方式：故障點(diǎn)1、股份公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)故障時，作為管控中心的單點(diǎn)故障將會直接影響到所有公司包括股份公司本地內(nèi)網(wǎng)的網(wǎng)絡(luò)準(zhǔn)入失效，會對新需要入網(wǎng)的終端設(shè)備無法認(rèn)證入網(wǎng)，而已經(jīng)認(rèn)證后的設(shè)備在不中斷內(nèi)網(wǎng)連接的情況下其公司

13、的內(nèi)部網(wǎng)絡(luò)通信不受影響。此時單點(diǎn)故障發(fā)生后，所有公司各自啟用網(wǎng)絡(luò)逃生機(jī)制，取消網(wǎng)絡(luò)認(rèn)證功能，自動切換到無認(rèn)證的網(wǎng)絡(luò)接入模式，保證內(nèi)網(wǎng)的正常使用。當(dāng)設(shè)備系統(tǒng)恢復(fù)后，可切換回認(rèn)證模式，恢復(fù)網(wǎng)絡(luò)準(zhǔn)入控制。故障點(diǎn)2、本方案采用的是單控制中心，當(dāng)股份公司VPN線路端出現(xiàn)故障時，16家分公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)將無法通過VPN線路連接到管控中心，這會導(dǎo)致16家分公司的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)同時失效，會對新需要入網(wǎng)的終端設(shè)備無法認(rèn)證入網(wǎng)，而已經(jīng)認(rèn)證后的設(shè)備在不中斷內(nèi)網(wǎng)連接的情況下在其公司的內(nèi)部網(wǎng)通信不受影響，當(dāng)此故障點(diǎn)發(fā)生后，16家分公司都會啟用逃生機(jī)制自動切換到無認(rèn)證模式的接入。 故障點(diǎn)3、當(dāng)某個分公司的VPN線路端發(fā)生

14、單點(diǎn)網(wǎng)絡(luò)故障或者網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)發(fā)生的單點(diǎn)設(shè)備故障，此時此分公司內(nèi)部的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)都會失效，會對于新需要入網(wǎng)的終端設(shè)備無法認(rèn)證入網(wǎng)，而已經(jīng)認(rèn)證后的設(shè)備在不中斷內(nèi)網(wǎng)連接的情況下在其公司的內(nèi)網(wǎng)通信不受影響，此分公司會啟用逃生機(jī)制自動切換到無認(rèn)證模式的接入。 4 招標(biāo)技術(shù)要求股份公司原有一套網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)（使用標(biāo)準(zhǔn)的DHCP和802.1X準(zhǔn)入技術(shù)），但是不能滿足此方案中的所有需求。為了做到利舊的原則，原有的網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)原則上不做淘汰，新準(zhǔn)入系統(tǒng)最好能兼容或者最大限度的利用原有的準(zhǔn)入系統(tǒng)。具體的準(zhǔn)入系統(tǒng)技術(shù)要求如下：（1） 總體要求：n 支持總共不少于3500終端的準(zhǔn)入性能許可，準(zhǔn)入方案中需要說明是利用原有

15、準(zhǔn)入硬件系統(tǒng)只提供軟件還是提供新的硬件系統(tǒng)，如果提供新硬件，需要新硬件ALL In One要求，單臺設(shè)備支持所有功能，無需再配置服務(wù)器或者第三方系統(tǒng)軟件，并說明如何利用原有準(zhǔn)入系統(tǒng)。n 16個分公司要做到股份公司統(tǒng)一準(zhǔn)入管理；n 準(zhǔn)入方案要具有可擴(kuò)展性，為以后公司的容災(zāi)擴(kuò)展提供方便，方案中要說明。n 提供應(yīng)急逃生方案。（2）內(nèi)網(wǎng)接入控制技術(shù)要求：n 基于DHCP的Webportal認(rèn)證接入，同時可結(jié)合802.1X準(zhǔn)入一起使用n 支持無客戶端準(zhǔn)入n 無線接入控制n 支持老舊交換機(jī)和Hub的接入控制n 不得使用串接、策略路由、更改交換機(jī)VLAN的準(zhǔn)入控制技術(shù)n 建立接入隔離網(wǎng)，隔離不明終端n 支持

16、來賓訪客網(wǎng)。（3）用戶管理要求：n 能結(jié)合AD域用戶，自動同步AD域用戶，實(shí)現(xiàn)AD域單點(diǎn)登錄n 用戶自注冊、自服務(wù)n 定制用戶口令安全等級、弱口令字典、過期時間n 用戶口令防暴力破解n 支持外聯(lián)LDAP、SQL用戶數(shù)據(jù)庫（4）IP地址管理要求n 接入網(wǎng)絡(luò)非法IP自動隔離，杜絕非法設(shè)置IP造成IP沖突n 內(nèi)嵌DHCP服務(wù)，認(rèn)證后的DHCP地址分配n 基于組/角色/終端的IP地址下發(fā)，IP統(tǒng)一可視化管理n 基于認(rèn)證的IP地址管理n 交換機(jī)端口接入人及狀態(tài)的圖像直觀顯示（5）認(rèn)證要求：n 可以做到無客戶端強(qiáng)制認(rèn)證n 支持動態(tài)口令牌和動態(tài)口令卡n 內(nèi)嵌RADIUS服務(wù)器、RADIUS統(tǒng)一認(rèn)證n 基于用

17、戶、部門或角色定義認(rèn)證強(qiáng)度n 短信方式多因素認(rèn)證n 其他網(wǎng)絡(luò)設(shè)備的ID擴(kuò)展接口(API)n 支持第三方認(rèn)證系統(tǒng)，并實(shí)現(xiàn)無縫集成。（6）啞終端準(zhǔn)入要求：n 支持啞終端設(shè)備指紋掃描，無需安裝客戶端或插件，識別唯一設(shè)備類型n 啞終端設(shè)備指紋支持：防范非法終端仿冒設(shè)備（網(wǎng)絡(luò)打印機(jī)、網(wǎng)絡(luò)攝像頭等）（7）主機(jī)健康檢測要求：n 強(qiáng)制插件安裝n 對終端殺毒軟件檢查，防止無殺毒能力終端入網(wǎng)n 能夠檢查終端網(wǎng)卡的唯一性、禁止Proxy代理n 按不同網(wǎng)段定制不同主機(jī)健康檢查策略n 按不同的終端組定制不同主機(jī)健康檢查策略。（8）用戶上網(wǎng)、下網(wǎng)審計要求：n IP使用人實(shí)時和歷史記錄查找n IP網(wǎng)段當(dāng)前使用人及狀態(tài)直觀圖

18、表顯示n 用戶IP實(shí)時和歷史記錄查找n 對IP日志的按用戶管理和查找n 可提供詳盡的報表以及標(biāo)準(zhǔn)的日志導(dǎo)出、存貯、查詢功能。（9）部署方式及應(yīng)急災(zāi)備：n 旁路式部署，不改變網(wǎng)絡(luò)結(jié)構(gòu)n 可實(shí)現(xiàn)多級分布、分級部署，由一個平臺統(tǒng)一管理n 可實(shí)現(xiàn)跨路由的數(shù)據(jù)分布式同步n 多臺互為容災(zāi)熱備(Active/Active)n 設(shè)備支持異地容災(zāi)、本地雙機(jī)冗余熱備（HA）等5 產(chǎn)品購買清單產(chǎn)品名稱數(shù)量備注網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)1股份公司使用，3年的4小時內(nèi)提供股份公司的備機(jī)服務(wù)。網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)16其他16家分公司使用，根據(jù)用戶和終端數(shù)量抉擇性能需求。6 項(xiàng)目實(shí)施周期 因本方案是以股份公司為整體設(shè)計的方案，牽涉公司單位共有17家，所以實(shí)施周期會比較長，實(shí)施安裝需要分3期，由信息