AC移动终端管理解决方案_03.docxVIP

AC移动终端管理

解决方案

深信服科技股份有限公司

需求背景

随着移动终端接入企业网的方式越来越简化,，一个小小的360wifi就能发布无线信号给其他PC和移动终端接入使用。这种移动接入的方式越灵活简便，给企业带来的安全管控问题却越多：

1、用户私接的wifi设备安全性低，容易给整个网络带来明显的安全缺口；

2、接入的PC或移动终端等设备本身安全性不可控，给整体网络带来较大的安全隐患；

目前这个问题关注的客户数量非常多，我们对9864个客户进行配置抽样调查，发现有21.9%的客户希望有办法能解决。

要帮助客户解决这些问题，AC改进原有的移动终端识别功能，提供更低误判和漏判率的产品，帮助用户发现网络中的移动终端，并配合组织行政要求，对移动终端进行互联网访问的管控。

部署方案

部署说明：手机、PAD等移动终端通过无线路由器、PC插入360wifi创建的wifi网络等环境下上网，AC无论在网关、网桥和旁路哪种部署模式下，都能发现移动终端的接入。

技术方案

排除信任的IP和用户

不少企业内部已经部署了无线，对于合法的AP接入，管理员默认放行，而对于非法接入的AP或者用户，则需要管控。

如果AP做无线路由器，直接填AP的IP；如果AP做无线网桥，填上AP做DHCP的网段。加入信任列表的移动终端将不再出现在移动终端列表中。

发现移动终端

当手机、PAD、PC等终端通过无线接入经过AC上网时，在AC上能看到移动终端的IP、所属用户组、通过规则发现的终端类型、发现时间。

判断是否是移动终端接入，主要通过AC内置的移动应用规则来识别，其中包括IM社交、在线视频、生活、新闻资讯、地铁、下载客户端、移动浏览器、PC端手机助手等类型的应用，例如微信、移动QQ、新浪微博、优酷、91助手等常见于手持终端的app应用。

通过无线接入的方式，包括360wifi、小米wifi、小度wifi、无线路由器、PC上安装的共享上网软件等，一旦移动终端接入上网，AC就能发现。

管理非法接入的移动终端

把合法IP和用户加入信任列表后，经过这些IP网段上网和使用这些用户名上线的移动终端将不会出现在移动终端发现的列表中。

对新发现的违法移动终端，可选择“拒绝此移动终端”，禁止该移动终端上网，此时经过该IP的所有访问将会被拒绝；或“发送告警邮件”，提醒管理员该IP有非法的移动终端接入。

移动终端发现趋势

针对最近7天、30天，AC对每天发现的移动终端数量做一个趋势统计，便于管理员发现管理的有效性。

示例：手机通过PC上的360wifi上网被发现后无法上网

在PC上插入360wifi：

360wif创建无线网络：

一个安卓、一个IOS的手机连接360wifi创建的wifi：

两个移动终端通过AC去上网

AC发现100.100.50.100有IOS、Android的移动终端接入，但未拒绝

禁止通过手机终端通过360wifi上网，点击“拒绝此移动终端”：

两个移动终端，包括该PC上网不成功，提示“移动终端访问被拒绝”