论文部分内容阅读
网络接入控制（Network Admission Control，NAC）是一套网络准入控制技术和网络安全通信解决办法的总称。如今，NAC更新到了3.0版本，在新的架构中可允许网络用户只接入兼容和信任的端点设备（个人电脑、服务器和PDA 等），也可以限制来宾不符合规范的设备进入网络。
ＮＡＣ的阻礙
与很多机构的预测恰恰相反，在一些未部署NAC的企业中，随着抵御蠕虫和恶意软件的方法逐渐增多，部署NAC的热情开始减退。许多公司有可能将延缓对NAC的实施，而是使用基础设施提供的特性，例如Microsoft网络接入保护（NAP）应用或者结合实施这两项解决方案。
早在2003年，思科与网络联盟、赛门铁克和趋势科技三家国际反病毒厂商共同推出网络准入控制联盟计划，让网络与反病毒配合，共同向未知病毒宣战。
思科基于路由器实现了第一代NAC，基于交换机实现了第二代NAC。这些技术和组件都是以思科自身的网络设备作为网络控制策略的执行者，即由端点代理程序（Agent）的协助来报告端点装置的状态是否符合公司制定的策略，例如：是否对操作系统或防毒软件进行更新，是否开启个人防火墙等。
然后，由网络设备来决定是否准许该装置与网络内其他设备有通信行为。但由于这套解决方案必须搭配思科的网络设备才有可能实施，让网络架构的更新成为企业引入NAC的阻碍之一。
第三代ＮＡＣ关键性变革
而第三代的NAC Appliance则是网关型的硬件设备，允许网络管理员在有线、无线和远程访问用户及其终端设备访问网络资源前，能先对其机器的状态进行验证、授权、评估和安全性修复操作。它能识别出如笔记本型计算机、桌上型计算机或其他相关公司资产的连网设备，是否符合安全性政策，并在其进入网络存取前修补漏洞。
采用“一进一出”的in-band模式时，NAC Appliance本身就是一个策略的执行器，所有连接网络的设备都必须经由NAC Appliance的检查——这样做的缺点是有使用人数的限制，当网络装置过多时，单靠一台NAC Appliance来执行网络存取控制可能会有延迟问题产生。
而out-of-band的模式则是将认证与评估使用者状态的工作导入这台Appliance，然后通知端点所在的交换器，依照端点的状态作网络的切换（隔离-修复-上线）。
第三代NAC主要体现在客户端自动修复能力上。具备自我修补的能力更能提升企业网络的使用效率，例如普通用户因防病毒库代码尚未更新而被拒绝进入生产网络时，新一代NAC能唤醒端点装置的防毒软件进行更新，并将更新的病毒码推送至该装置，在装置更新完后再回到正常网络中。
网络接入控制技术应用的另一个重要趋势是用于限制来宾利用公司网络访问互联网。思科推出了NAC Guest Server设施和NAC Profiler设施来快速响应市场趋势，一个Guest Server能够与多个NAC设施或思科无线局域网控制器通信，并为访客网络提供调配、管理和报告功能。
NAC Profiler则支持管理员更轻松地找到并监控NAC环境中未经验证的设备（如IP电话和打印机）。不光如此，思科还推出了面向ISR路由器的NAC设施模块，使用户能够更轻松、更加经济高效地在远程办公室实施NAC。
由此不难看出企业内部各种应用依靠网络的连接进行信息交换和协同，使得NAC的架构越来越受重视，以期望通过对网络访问的控制来保护网络内部各个终端的安全。
ＮＡＣ的阻礙
与很多机构的预测恰恰相反，在一些未部署NAC的企业中，随着抵御蠕虫和恶意软件的方法逐渐增多，部署NAC的热情开始减退。许多公司有可能将延缓对NAC的实施，而是使用基础设施提供的特性，例如Microsoft网络接入保护（NAP）应用或者结合实施这两项解决方案。
早在2003年，思科与网络联盟、赛门铁克和趋势科技三家国际反病毒厂商共同推出网络准入控制联盟计划，让网络与反病毒配合，共同向未知病毒宣战。
思科基于路由器实现了第一代NAC，基于交换机实现了第二代NAC。这些技术和组件都是以思科自身的网络设备作为网络控制策略的执行者，即由端点代理程序（Agent）的协助来报告端点装置的状态是否符合公司制定的策略，例如：是否对操作系统或防毒软件进行更新，是否开启个人防火墙等。
然后，由网络设备来决定是否准许该装置与网络内其他设备有通信行为。但由于这套解决方案必须搭配思科的网络设备才有可能实施，让网络架构的更新成为企业引入NAC的阻碍之一。
第三代ＮＡＣ关键性变革
而第三代的NAC Appliance则是网关型的硬件设备，允许网络管理员在有线、无线和远程访问用户及其终端设备访问网络资源前，能先对其机器的状态进行验证、授权、评估和安全性修复操作。它能识别出如笔记本型计算机、桌上型计算机或其他相关公司资产的连网设备，是否符合安全性政策，并在其进入网络存取前修补漏洞。
采用“一进一出”的in-band模式时，NAC Appliance本身就是一个策略的执行器，所有连接网络的设备都必须经由NAC Appliance的检查——这样做的缺点是有使用人数的限制，当网络装置过多时，单靠一台NAC Appliance来执行网络存取控制可能会有延迟问题产生。
而out-of-band的模式则是将认证与评估使用者状态的工作导入这台Appliance，然后通知端点所在的交换器，依照端点的状态作网络的切换（隔离-修复-上线）。
第三代NAC主要体现在客户端自动修复能力上。具备自我修补的能力更能提升企业网络的使用效率，例如普通用户因防病毒库代码尚未更新而被拒绝进入生产网络时，新一代NAC能唤醒端点装置的防毒软件进行更新，并将更新的病毒码推送至该装置，在装置更新完后再回到正常网络中。
网络接入控制技术应用的另一个重要趋势是用于限制来宾利用公司网络访问互联网。思科推出了NAC Guest Server设施和NAC Profiler设施来快速响应市场趋势，一个Guest Server能够与多个NAC设施或思科无线局域网控制器通信，并为访客网络提供调配、管理和报告功能。
NAC Profiler则支持管理员更轻松地找到并监控NAC环境中未经验证的设备（如IP电话和打印机）。不光如此，思科还推出了面向ISR路由器的NAC设施模块，使用户能够更轻松、更加经济高效地在远程办公室实施NAC。
由此不难看出企业内部各种应用依靠网络的连接进行信息交换和协同，使得NAC的架构越来越受重视，以期望通过对网络访问的控制来保护网络内部各个终端的安全。