精华推荐
特级Python爬虫全面
打基础！探索前端开
Redis大厂性能提升 
企业级Golang运维架
高薪游戏开发架构师
融汇技术精华 全面
|
2832| 27
|
H3C EAD终端准入控制解决方案超清版
[复制链接]
|
|
H3C EAD终端准入控制解决方案超清版 文档节选：在园区网中部署 在广域网中部署 目前，IT管理员更多关注外网的防护，包括部署IPS/IDS、防火墙等设 备，但是实际中更多的网络安全事件都是由脆弱的用户终端和“失控” 的局域网使用行为引起。在局域网中，用户终端不及时升级系统补丁和 病毒库的现象普遍存在；私设代理服务器、私自访问外部网络、滥用禁 用软件等行为也比比皆是。“失控”的用户终端一旦接入网络，就相当 于安全威胁绕过了IPS/IDS、防火墙这些“马其诺防线”，直接面对网络 核心业务。因此保证用户终端的安全，对用户的局域网访问行为进行有 效的控制，是保证网络安全运行的前提，也是目前局域网安全管理急需 解决的问题。 EAD提供了一个全新的安全防御体系，将终端安全状态与网络接入控制 相融合，加强了对用户/终端的集中管理，提高了网络终端的主动防御能 力。EAD方案通过智能客户端、安全策略服务器、接入设备以及第三方 服务器的联动，可以将不符合安全要求的终端限制在“隔离区”内，防 止“危险”终端对局域网安全的损害，避免“易感”终端受病毒、蠕虫 的攻击，从而大幅度提升了局域网抵御新兴安全威胁的能力。 为了确保只有符合安全标准的用户接入网络，EAD通过交换机的配合， 强制用户在接入网络前通过802.1X等方式进行身份认证和安全状态评 估，帮助管理员实施安全策略，确保终端病毒库和系统补丁得到及时更 新，降低病毒和蠕虫蔓延的风险，阻止来自网络内部的安全威胁。 接入层交换机实施EAD的组网方案 EAD可以配合接入层交换机，通过802.1X认证方式实现对接入用户的控 制。在这种组网方案中，策略强制执行点在接入层交换机上，具有对不 符合安全策略的用户隔离严格的特点，可以有效防止来自网络内部的安 全威胁（注，这种组网方案要求接入交换机支持EAD功能）。如下图： EAD可以与H3C、华为、Cisco等多个主流设备厂商的交换机进行广泛配 合，通过ACL、VLAN、客户端ACL等用户权限的下发，对接入层用户的 网络访问进行控制。 汇聚层交换机实施EAD的组网方案 如果接入交换机不支持EAD功能，也可以在汇聚交换机上启用EAD功能 来执行终端的控制。在这种组网方案中，安全策略的强制执行点在汇聚 层交换机上，对于接入层交换机内部之间的互访，可以启用端口隔离、 PVLAN等安全功能，来防止接入层交换机内部主机的相互影响。而对 于接入层采用Hub、非智能交换机的多个用户，可以考虑在汇聚层部署 H3C交换机，通过H3C基于MAC地址的802.1X功能，实现对每个用户的身 份识别和安全策略管理。同时，EAD还可以将ACL网络访问规则下发到 客户端，实现更进一步的用户权限控制。如下图： 对于拥有分支或下属机构的单位，由于存在对分支机构的管理相对松散 的状况，从而存在各种安全漏洞和网络失控行为。当一些不能确保安全 的分支机构用户通过专线、拨号等广域网技术访问总部网络时，就会使 总部受到非法攻击和病毒感染的几率成倍增加，这样的途径甚至会被黑 客利用成为攻击内部网络的“帮凶”。如何确保分支机构的用户终端安 全状态符合安全策略，如何在保证广域网用户访问总部的同时消除广 域网带来的安全威胁，这些问题都成为IT管理员不得不面对的挑战。同 时，分支机构的技术力量比较薄弱，采用的网络设备对标准协议的支持 程度不一，都成为在实施准入控制时需要考虑的问题。 为解决上述问题，H3C提供EAD广域网终端控制方案，可以在总部路由 器、分支路由器或BAS设备中强制用户进行Portal认证和安全状态检查， 确保用户访问总部时具有符合标准的安全状态。EAD广域网终端控制方 案基于Portal协议进行身份认证和安全认证。
购买主题
本主题需向作者支付 2 金币 才能浏览
| |
发表于 2014-2-12 18:57:34
| ||
发表于 2014-3-16 16:09:40
| ||
| ||
| ||
| ||
| ||
| ||
| ||
| ||