[宝界终端准入--IPMAC准入实施方案20140602.docVIP

宝界IP/MAC准入解决方案 一、需求背景 1.1、为什么要用IP/MAC准入？ 目前在许多网络中, 对IPMAC的管理, 是通过交换机在端口上做IP/MAC绑定, 但存在如下一些问题： 管理员需要熟练掌握交换机设置命令 ； 用户主机IP一旦绑定交换机端口，就不能在内网随意移动物理位置； 管理员没有统一监控管理平台，只能使用Excel 表格手工管理统计IP/MAC 地址； 管理员无法了解当前动态IP/MAC占用状态； Office 用户变更自己的IP地址，从而引起IP冲突，交换机不会报警； ??使用上网行为管理网关在网络出口处做IP/MAC绑定实现有限的安全准入功能，存在如下问题： 只能限制客户端PC出外网时，必需是指定的IP/MAC地址； 不能实现入网即准入； 不能有效防止内网IP冲突； 无法显示内网IP资源分配情况； 无法与交换机联动，显示交换机状态，主动切断/开启交换机端口 使用内网管理软件限制用户修改IP/MAC实现IP地址管理存在如下问题： 必须安装客户端后才能控制，如果是一些硬件设备（交换机、路由器、Linux、Unix主机），无法安装客户端； 客户端与杀毒软件、操作系统有兼容性问题； 如果接入PC不主动安装内网客户端，则无法控制； 移动PC主机，如笔记本出外网，需要网络管理员在内网管理系统中手动解除IP地址改动限制； 无法对DHCP环境做MAC地址准入管理； 当处于离线状态时，别人同样可以使用你的IP，上线之后造成IP冲突； 针对以上存在的问题，所以需要专业的IP/MAC准入来实现对内网主机的接入控制。 1.2、什么样用户需要IP/MAC准入？ 金融、军队、医院、涉密的企事业等行业类用户，对外来电脑的接入需要做严格控制。 原先采用在交换机上做IP/MAC绑定，使用交换机命令行方式来做端口绑定，工作量很大，而且不灵活，不懂交换机配置的人做不了，时间长了，MAC地址是谁，记不住，只能用EXCEL来记，对当前网络的动态情况不能了解，到底IP谁在用，现在可以分配那个IP，完全凭个人记忆和猜测，对于笔机本需要在多个交换机之间移动接入的情况不能适用 。 使用宝界准入控制系统，可以自动的对交换机做IP/MAC绑定，可以直观显示当前各网段的IP使用情况，支持笔机本在多个交换机之间移动接入。极大地方便了网络的有效管理，减轻了网管的工作量。 二、解决方案 2.1、IP/MAC准入工作原理 宝界终端准入控制系统利用交换机智能联动技术，，telnet/ssh到交换机, 把合法主机的IP/MAC地址对对应绑定, 建立白名单列表，当系统发现非法终端在限制主机列表中，则自动的在三层交换机上执行ARP绑定命令，将非法终端的IP地址绑定错误的MAC地址即终端准入设备的接口的MAC地址，以达到准入的目的。 2.2、IP/MAC准入部署拓朴图 网络拓朴结构 网络拓朴说明： 1、终端准入设备是旁路方式接在核心交换机上, 由于准入设备是多接口的，对于网段数不多的网络，可以一个接口管理一个VLAN，各网段分别接入准入设备的不同接口，各自进行准入控制。 2、对于多VLAN的，可以采用核心交换机的TRUNK口接准入设备的一个接口，这样可以一个准入接口可以管理多个VLAN。实现每个VLAN的准入控制。 3、终端准入设备与核心交换机通过TELNET/SSH方式联动。 2.3 IP/MAC准入服务相关设置 2.3.1、IP/MAC自动绑定参数设置 【启用IP/MAC检测】 ：绑定引擎是指利用交换机智能联动技术，当系统发现非法终端在限制主机列表中，则自动的在三层交换机上执行ARP绑定命令，将非法终端的IP地址绑定错误的MAC地址即终端准入设备的接口的MAC地址，以达到准入的目的。 登陆地址：三层交换机的IP地址。 登陆端口：缺省使用Telnet方式登陆交换机，缺省端口号为TCP 23，当使用SSH登陆，端口号要改为22 使用SSH登陆：本复选框勾选表示使用SSH方式登陆三层交换机，执行预定IP/MAC绑定命令。 设备类型：交换机品牌，目前支持思科、H3C、华为、中兴、锐捷、神州数码LINKSYS等 用户名： 三层交换机TELNET或SSH登陆用户名称 登陆口令：三层交换机TELNET或SSH登陆用户名称对应的口令 特权口令：三层交换机TELNET或SSH进入特权模式所需的口令，某些三层交换机没有特权模式，本选项可不填写。 绑定命令：系统自动在三层交换机上执行绑定命令，例如：如果三层交换机是思科交换机，则可用交换机内置命令：arp %I %.2M arpa，进IP/MAC自动绑定，其中%I代表入网主机的IP地址，%.2M代表入网主机的MAC地址。 解除命令：系统自动在三层交换机上执行解除绑定命令，例如：如果三层交换机是思科交换