华为网络准入操纵及终端平安方案.pdfVIP

华为网络准入操纵及终端平安方案

一、面临挑战

企业网络从有线向无线转型的进程中，为保障网络平安，需实现有线无线一体化

准入。而单一的解决方案，不能知足复杂网络环境下的多样化准入操纵需求：

多用户角色：传统的网络环境下，要紧应用对象为企业员工，但在移动办公

场景下，应用对象可扩展至访客、领导、VIP会员等多种用户角色，需基于用户

角色在访问权限上做区别；

多分支异构：多分支机构中网络架构也会存在不同，如何做统一地接入治理，

实现一体化认证，是一项重大的技术挑战；

多终端接入：传统网络要紧利用PC连接，随着移动终端的普及，终端的数

量及类型也随之增多，用户的体验要求也愈来愈高，同时也带来了更多平安上的

挑战。

二、解决方案

1.华为网络准入操纵及终端平安方案概述

宁盾网络准入操纵及终端平安方案基于对终端风险和用户身份的真实性进

行双重验证，判定是不是准入网络和取得访问权限，实现接入网络终端及用户身

份的双重可信，提升网络平安。

其平安治理逻辑是先对接入内网终端进行合规性检查，并确认接入网络用

户身份的真实性，依照终端风险和用户角色动态给予访问权限，并和第三方网络

审计和态势感知平台联动，实现内外网上网实名审计和主动防御。

在此方案中，华为无线WLC开启portal认证，认证效劳器指向宁盾认证效

劳平台，有线部份通过NDACE结合AM做portal的统一准入，最终实现有线无

线的一体化准入操纵。

2.身份认证方式

2.1员工场景

①用户名密码认证，用户名密码能够创建，也能够与AD、LDAP同步帐号信息；

②支持802.1X认证；

③支持802.1x+portal认证；

④支持802.1x+portal+动态码认证。

2.2访客场景

①短信认证，可设定短信内容模版、短信验证码有效期及长度等；

②微信认证，通过关注微信公众号进行认证连接上网；

③支持二次无感知认证，可设定有效期，超过有效期的访客须通过其他认证方式

登录；

④支持协助扫码认证，快速授权上网，实现访客与被访人之间可追溯；

⑤支持访客自助申请认证，由指定人员审批申请信息，增强内外网访问平安操纵；

⑥支持邮箱认证，访客能够通过邮箱认证接入网络。

三、方案价值

1.用户+终端平安：基于终端风险及用户角色，实现动态网络访问权限分派，多

维终端平安评估（是不是AD成员主机、是不是安装杀毒软件和及时更新等），加

上基于用户角色做策略，实现不同角色访问权限的操纵，从而提升网络平安；

2.认证方式：支持多种认证方式，可一种或多种同时利用，知足不同企业不同

用户的网络准入操纵需求；

3.多分支接入：支持多分支统一接入治理，实现单点认证，全网无缝漫游，幸免

出网二次认证登岸；

4.实名审计：通过与外网上网行为设备或内网应用防火墙联动，实现基于用户的

上网行为实名审计，并通过与宁盾既有效户身份数据联动，完成对异样上网的实

名追索，幸免异样上网对企业造成的法律及平安风险；

5.防私接：支持防非法私接功能，避免非法路由器及设备网络，如随身WIFI插

入网络形成热点，对内网平安造成隐患；

6.账号平安：可结合宁盾双因素认证方案，通过动态密码技术，双重保障终端用

户准入网络身份平安。