北信源网络接入控制管理系统白皮书v3.0

《北信源网络接入控制管理系统白皮书v3.0》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、北信源网络接入控制管理系统产品白皮书北信源网络接入控制管理系统产品白皮书北京北信源软件股份有限公司15北信源网络接入控制管理系统产品白皮书版权声明本手册的所有内容，其版权属于北京北信源软件股份有限公司（以下简称北信源公司）所有，未经北信源许可，任何人不得仿制、拷贝、转译或任意引用。本手册没有任何形式的担保、立场倾向或其他暗示。商标声明本手册中所谈及的产品名称仅做识别之用，而这些名称可能属于其他公司的注册商标或是版权，其他提到的商标，均属各该商标注册人所有，恕不逐一列明。产品声明本手册中提到的产品功能或性能可能因产品具体型号、配备环境、配置方法不

2、同而有所差异，由此可能产生的差异为正常现象，相关问题请咨询北信源公司技术服务人员。免责声明若因本手册或其所提到的任何信息引起的直接或间接的资料流失、利益损失，北信源公司及其员工均不承担任何责任。15北信源网络接入控制管理系统产品白皮书目录1.系统概述42.系统架构43.系统组成63.1.策略服务器63.2.认证客户端63.3.Radius认证服务器73.4.Radius认证系统73.5.硬件接入网关（可选配）84.系统特性84.1.全面的安全检查84.2.技术的先进性84.3.功能的可扩展性84.4.系统可整合性94.5.无缝扩展与升级95.系

3、统功能95.1.准入身份认证95.2.完整性检查功能105.3.安全修复功能105.4.管理与报表115.5.终端安全策略设置126.典型应用136.1.802.1x环境应用136.2.非802.1x环境应用146.3.VPN环境应用156.4.域环境应用1515北信源网络接入控制管理系统产品白皮书1.系统概述北信源网络接入控制管理系统能够强制提升企业网络终端的接入安全，保证企业网络保护机制不被间断，使网络安全得到更有效提升。与此同时，还可以对于远程接入企业内部网络的计算机进行身份、唯一性及安全认证。通过网络安全准入控制不仅能够将终端设备接入控

4、制扩展到超出简单远程访问及路由器、专有协议和已管理设备的限定之外，还能够覆盖到企业网络的每一个角落，甚至是当使用者的移动设备离开企业网络时，仍能有效的提供终端设备接入控制的执行。北信源网络接入控制管理系统可以保护整个企业内部网络，包括可管理的（企业台式机、手提电脑、服务器）以及不可管理的（外部访客、合作伙伴、客户）终端安全接入内部网络，保护网络接入的安全性。2.系统架构网络准入控制能够勾勒企业终端接入的安全基线，屏蔽一切不安全的设备和人员接入网络，规范用户接入网络的行为。对于未安装终端代理软件或已安装终端代理软件但不符合安全策略要求(防病毒软件

5、、病毒特征库升级、补丁、系统安全设置、违规软件等)的终端设备，能够禁止其访问网络，或进行网络VLAN隔离，并主动对其安全修复。北信源网络准入控制管理系统策略架构由安全检查、接入认证和安全修复三个方面实现。其模型如下图：15北信源网络接入控制管理系统产品白皮书网络接入控制安全访问模型安全检查根据系统进程、文件、注册表等设置的检查结果来判断：Ø用户身份是否合法Ø主机防火墙是否安装并运行Ø防病毒软件是否安装并运行，病毒特征库是否及时更新Ø操作系统关键安全补丁是否安装Ø操作系统安全配置是否妥当Ø是否感染特定病毒实体Ø是否安装违规软件接入认证根据上述检查

6、结果，通过服务器和网络设备以及终端PC联动来决定：Ø拒绝终端/用户接入Ø容许终端/用户接入Ø隔离终端/用户（单机隔离，VLAN隔离）Ø限制终端/用户访问权限安全修复在隔离或限制接入的情况下，还可以通过自动修复来恢复正常的网络访问权限。修复的内容包括：15北信源网络接入控制管理系统产品白皮书Ø自动开启IE，连接内部安全网站上相关的提示页面Ø自动分发病毒专杀工具Ø自动升级病毒特征库Ø自动分发操作系统关键补丁Ø自动纠正错误的系统配置1.系统组成北信源网络接入控制管理系统由策略服务器、认证客户端、Radius认证服务器、Radius认证系统，以及硬件接

7、入网关（可选）几部分组成。1.1.策略服务器策略服务器是本系统的策略管理中心，提供系统的参数配置和安全策略管理。安全策略管理包括802.1x协议接入认证、安全检查策略定义的配置、策略制订分发、网络分组、认证客户端配置、数据报表输出等任务。1.2.认证客户端认证客户端安装在终端计算机，根据用户名和密码向认证服务器发起认证，能够根据策略服务器分发的安全策略对终端主机进行安全检查，依据获取的主机的安全状态，配合认证系统，实现工作区、隔离区、修复区的自动切换。15北信源网络接入控制管理系统产品白皮书网络接入认证控制示意图1.1.Radius认证服务器R

8、adius认证服务器用于接收客户端认证请求信息数据包并进行验证，根据网络环境可使用微软的IAS，CISCOACS或LINUXFREERADIUS等系统