盈高入网规范管理系统介绍

合集下载

ASM入网规范管理系统_准入控制技术快速配置手册

任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

商标：盈高、INFOGO是盈高科技的注册商标，未经允许，不得引用。

目录第一章策略路由快速配置 ---------------------------------------------------------------------------- 31.1ASM系统界面配置------------------------------------------------------------------------- 31.1.1网卡配置 --------------------------------------------------------------------------- 31.1.2策略路由参数配置---------------------------------------------------------------- 31.2网络联动设备配置 ------------------------------------------------------------------------ 51.2.1CISCO交换机配置 --------------------------------------------------------------- 51.2.2H3C交换机配置 ------------------------------------------------------------------ 61.2.2.1 policy-based-route方法配置 -------------------------------------------- 61.2.2.2 qos policy方法配置 ------------------------------------------------------- 71.2.2.3 route policy方法配置 ---------------------------------------------------- 71.2.2.4 traffic-redirect方法配置----------------------------------------------- 81.2.3华为交换机配置------------------------------------------------------------------- 81.2.3.1 traffic-policy方法配置-------------------------------------------------- 81.2.3.2 traffic-redirect方法配置----------------------------------------------- 91.2.3.3 route policy方法配置 ---------------------------------------------------- 9第二章VG虚拟网关快速配置---------------------------------------------------------------------- 102.1ASM系统界面配置 -------------------------------------------------------------------- 102.1.1网卡配置---------------------------------------------------------------------------- 102.1.2 VG虚拟网关参数设置------------------------------------------------------------- 102.2网络联动设备配置 ------------------------------------------------------------------- 13 第三章EOU认证技术快速配置 -------------------------------------------------------------------- 143.1ASM系统界面配置 -------------------------------------------------------------------- 143.1.1 网卡配置 ------------------------------------------------------------------------- 143.1.2 EOU参数配置------------------------------------------------------------------- 143.2网络联动设备配置 ------------------------------------------------------------------- 17 第四章PORTAL认证技术快速配置 --------------------------------------------------------------- 194.1ASM系统界面配置 -------------------------------------------------------------------- 194.1.1网卡配置---------------------------------------------------------------------------- 194.1.2 PORTAL参数设置 ----------------------------------------------------------------- 194.2网络联动设备配置 ------------------------------------------------------------------- 21 第五章透明网桥快速配置 -------------------------------------------------------------------------- 225.1ASM系统界面配置 -------------------------------------------------------------------- 225.1.1网卡配置---------------------------------------------------------------------------- 225.1.2透明网桥参数配置----------------------------------------------------------------- 22第一章策略路由快速配置1.1ASM系统界面配置1.1.1网卡配置启用ETH0和ETH2两块网卡并配置IP地址：ETH0与联动网络设备相连，配置的IP 地址作为策略路由的下一跳地址；ETH2配置的IP地址需要全网或者控制的网段能够访问。

ASM盈高入网规范管理系统操作手册

任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

商标：盈高、INFOGO是盈高科技的注册商标，未经允许，不得引用。

目录1.说明 ------------------------------------------- 错误!未定义书签。

2.ASM设备外观图解-------------------------------- 错误!未定义书签。

3.登录方式---------------------------------------- 错误!未定义书签。

4.操作界面说明------------------------------------ 错误!未定义书签。

首页----------------------------------------------错误!未定义书签。

模块界面------------------------------------------错误!未定义书签。

5.用户首次配置------------------------------------ 错误!未定义书签。

启用旁路模式--------------------------------------错误!未定义书签。

启用串联模式--------------------------------------错误!未定义书签。

系统基本设置--------------------------------------错误!未定义书签。

邮件提醒------------------------------------------错误!未定义书签。

盈高入网规范管理系统策略路由快速配置手册

盈高入网规范管理系统策略路由快速配置手册INFOGO A ccess S tandard M anagement System未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录1.ASM系统界面配置 (1)1.1网卡参数配置 (1)1.2产品界面个性化定制 (1)2.组织架构与人员信息创建 (2)2.1角色创建 (2)2.2组织架构管理 (2)2.3用户管理 (3)3.准入技术选择 (3)3.1准入模式选择 (3)3.2例外参数添加 (4)3.3NAT穿越配置 (5)4.网络相关配置 (6)4.1设备部署示意图 (6)4.2交换机策略路由命令 (7)4.3防火墙端口开放 (8)5.入网流程配置 (9)5.1开启身份认证 (9)5.2控件安装设置 (10)5.3开启注册审核 (10)5.4安全检查设置 (12)6.交换机联动管理 (12)7.告警信息配置 (13)1.ASM系统界面配置1.1网卡参数配置启用 ETH0 和 ETH2 两块网卡并配置 IP 地址：ETH0 与联动网络设备相连，配置的 IP地址作为策略路由的下一跳地址；ETH2 配置的 IP 地址需要全网或者控制的网段能够访问。

界面操作步骤：点击“系统设置”---“IP地址设置”,如下图：图1. 网卡参数配置1.2产品界面个性化定制设置准入设备基本信息：单位名称、界面名称显示等。

点击“系统设置”---“产品个性化定制”，如下图：图2. 网卡参数配置2.组织架构与人员信息创建2.1角色创建创建“角色”，盈高ASM将根据角色将人员、部门与角色一一对应起来，便于后续准入策略的下发、网络访问权限的控制等灵活控制。

ASM可实现对于不同角色的人员进行不同的准入策略与网络访问权限控制。

点击“用户管理”---“角色列表”---“添加角色”，如下图：图3. 添加角色2.2组织架构管理创建各单位的部门组织架构。

点击“用户管理”---“组织架构树”---“添加新组织架构”，创建部门，如下图：图4. 创建部门ASM支持组织架构以excel方式批量导入，模板中所使用字体均全部使用宋体，如下图：图5. 批量导入部门2.3用户管理创建本地用户名、密码，用户单位人员入网的身份认证。

盈高入网规范管理系统策略路由快速配置手册

ASM可实现对于不同角色的人员进行不同的准入策略与网络访问权限控制。

点击“用户管理”---“角色列表”---“添加角色”，如下图：图3. 添加角色2.2组织架构管理创建各单位的部门组织架构。

盈高入网规范管理系统介绍

完全支持
总拥有成本
对接入维和部署相对简单系统故障后，用户网络接入自动“逃生”
准入系统冗余
部署条件
需要Radius、802.1x交换机、安装客户端、配置计算机参数等，部署条件相互牵制
如果要实现引导介面，资金成本和技术成本很高，并且用户体验不会有本质性的改善接入方法复杂、无法通过技术手段进行接入审批，很难为管理手段提供技术支撑交换机接口、企业级无线SSID 能防止非授权计算机访问任何网络资源
用户体验
来宾接入
计算机接入控制能力
L2-OOB-VG：虚拟网关
18
ASM优势点
强制性高适应性强 1
强制终端准入和安检修复的需求阻断未授权终端入网的需求
2
ASM
3
不装常驻客户端的需求兼容多品牌设备不改变网络结构的定制化策略管理的需求一键式智能化修复的需求
策略智能
管理细化 4
对软硬件管理和统计报表的需求对网络接入层可视化管理的需求
接入层交换机以Trunk方式接入汇聚层、客户端自动部署有引导介面，并可以根据策略自动修复，引导用户安全接入网络来宾可以通过系统提交入网申请，审批后入网，很好的为管理手段提供技术支撑交换机接口、HUB、不可网管交换机能防止非授权计算机访问任何网络资源
核心交换机支持策略路由技术，客户端自动部署有引导介面，并可以根据策略自动修复，引导用户安全接入网络来宾可以通过系统提交入网申请，审批后入网，很好的为管理手段提供技术支撑企业级无线、家用无线路由器、 HUB、交换机、不可网管交换机不能防止计算机与本网段计算机的通信
23
ASM案例分析某商业银行
需求：接入内网终端的身份合法性、健康性以及访问的权限做控制和管理。

网络准入控制系统功能简介

网络准入控制系统（ASM入网规范管理系统）特点概述ASM（Admission Standard Management入网规范管理系统），是盈高科技自主知识产权的集成化终端安全管理平台，是完全基于最先进的第三代准入控制技术的纯硬件网络准入控制系统。

秉承了“不改变网络、灵活客户端、终端安全集成化”的特性。

改变了业界传统的将准入控制系统作为一个单独功能产品的做法，率先提出准入平台的概念。

ASM入网规范的功能特点主要有以下几点：1、清晰的边界划分ASM6000能够兼容各种混合网络环境和数十种网络设备，提供了从桥接、PBR(Policy-Based-Routing)、MVG的各种实现方案。

系统能够支持内置身份认证，外部Email、Radius、LDAP、AD域、短信、指纹、CA系统、USB- KEY等多种认证方式。

在认证的基础上提供完善的角色、安全域、来宾权限管理。

使用户从设备和人员两方面进行网络边界的划定。

2、广泛的网络适应ASM6000全面兼容各种终端和网络设备，广泛适应异构系统、BYOD、BYON的应用。

采用先进的设备特征采集技术，能够自动识别多种设备，有效的对设备进行标示和固定。

自动识别的设备包括：各种交换机、路由器、PC、IPHONE、IPAD、安卓系统等。

3、安检策略丰富完善ASM6000具备丰富的核心规范库，提供了数十种基础安全规范。

根据盈高科技多年来在入网规范领域的经验总结，系统还提供了符合行业特征的安全规范，包括：电子政务外网、电子政务内网、军队、军工制造、能源电力、电信、移动、医疗卫生、生产制造企业等。

这就使用户能够快速进行安全规范应用。

4、安全定位灵活多样ASM6000提供了一个全网安全管理和展示的平台，能够对全网拓扑和设备状态进行展示。

可以进一步向下细化定位，直至每台终端设备。

也可以通过终端设备向上检索，找到其连接的网络设备。

终端管理不再是孤立的被看待，而是作为网络的一个部分，整体的进行管理。

ASM

准入流程
准入的功能在于验证内网设备的身份和安全性。

规范落实

接入控制，资产收集

部分典型用户
•金融业电力行业
•乐清电厂 •天荒坪抽水蓄能发电有限公司 •长兴电厂 •大唐湘潭发电有限责任公司 •温州电厂 •舟山市电力局 •鄞州供电局 •奉化供电局 •宁海供电局 •临海供电局 •临安供电局 •平湖供电局 •海盐供电局 •龙游供电局 •余姚供电局 •义乌供电局 •东阳供电局 •浦江供电局 •萧山供电局 •富阳供电局 •临安供电局 •… •浙江省进出口银行 •中国银监会浙江省监管局 •绍兴银行 •华夏银行杭州分行 •华夏银行绍兴分行 •广发银行（杭州分行） •中信实业银行（杭州分行） •天津市商业银行 •贵州省农信 •山西长治农信 •…

谢谢观赏

1、目前内网安全现状
2、与传统防火墙的区别
3、盈高ASM准入控制系统优势

与传统防火墙等安全产品的不同点？
传统防火墙
外网安全产品
准ห้องสมุดไป่ตู้控制管理系统
内网安全产品

1、目前内网安全现状
2、与传统防火墙的区别
3、盈高ASM准入控制系统优势

ASM盈高入网管理规范系统
盈高ASM入网规范管理系统是一套基于最先进的第三代准入控制技术的纯硬件准入控制系统，秉承“不改变网络、不装客户端”的特性，为您解决网络
准入控制的合规性要求，达到“违规不入网、入网必合规”的管理规范。

ASM盈高入网规范管理系统
朱振鸿

1、目前内网安全现状
2、与传统防火墙的区别
3、盈高ASM准入控制系统优势

ASM入网规范管理系统_用户快速配置手册V1[1].0

任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录用户首次配置 (3)1.1启用旁路模式 (3)1.2启用串联模式 (3)1.3用户信息配置 (4)1.4部门设置 (7)1.5客户机认证参数设置 (8)用户首次配置如果您是第一次登录ASM系统，为了方便今后的工作，我们建议您先进行一些初始化配置。

1.1 启用旁路模式如果ASM是采用串联方式接入您的网络，请跳过此步骤，直接进入启用串联网络。

当ASM采用旁路方式接入您的网络时，必须为执行接入的eth2口分配一个网络中可用的ip地址。

操作步骤为“系统设置”模块→“网络参数设置”选项，进入如下界面：图 1.1. 11、勾选ETH2的启用框；2、为ETH2配置一个您网络中可用的ip地址、子网掩码、网关。

3、点击“完成配置”。

在ASM系统已经通过eth2口接入您网络的情况下，远程ping eth2口的ip地址。

如果无法ping通，请联系我们的技术工程师。

1.2 启用串联模式如果ASM系统是采用旁路方式接入您的网络，请跳过此步骤，进入用户信息提示配置。

请将ASM的eth0口与您需要进行准入控制的内部网络相连，将eth3口与您的外部网络相连。

具体连接方式可能需要依据您的网络拓扑而定，您可以预先咨询我们的技术工程师。

操作步骤为“系统设置”模块→“网络参数设置”选项，进入如下界面：图 1.2. 11、勾选ETH0、ETH1 的启用框。

2、点击“完成配置”。

注：关于串联接入的具体参数设置，请参考操作手册中的透明网桥配置。

1.3 用户信息配置为了让ASM更好地融入您的网络，请先将您的用户信息写入ASM的界面中。

ASM入网规范管理系统-准入控制技术快速配置手册

任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录第一章策略路由快速配置------------------------------------------------------------------------------------- 31.1ASM系统界面配置--------------------------------------------------------------------------------- 31.1.1网卡配置 ----------------------------------------------------------------------------------- 31.1.2策略路由参数配置----------------------------------------------------------------------- 31.2网络联动设备配置 -------------------------------------------------------------------------------- 51.2.1CISCO交换机配置 ---------------------------------------------------------------------- 51.2.2H3C交换机配置 ------------------------------------------------------------------------- 61.2.2.1 policy-based-route方法配置------------------------------------------------- 61.2.2.2 qos policy方法配置 ------------------------------------------------------------- 71.2.2.3 route policy方法配置 ---------------------------------------------------------- 71.2.2.4 traffic-redirect方法配置 ---------------------------------------------------- 81.2.3华为交换机配置-------------------------------------------------------------------------- 81.2.3.1 traffic-policy方法配置 ------------------------------------------------------- 81.2.3.2 traffic-redirect方法配置 ---------------------------------------------------- 91.2.3.3 route policy方法配置 ---------------------------------------------------------- 9 第二章VG虚拟网关快速配置 ------------------------------------------------------------------------------ 102.1ASM系统界面配置----------------------------------------------------------------------------- 102.1.1网卡配置 ------------------------------------------------------------------------------------- 102.1.2 VG虚拟网关参数设置 -------------------------------------------------------------------- 102.2网络联动设备配置 ---------------------------------------------------------------------------- 13 第三章EOU认证技术快速配置----------------------------------------------------------------------------- 143.1ASM系统界面配置----------------------------------------------------------------------------- 143.1.1 网卡配置 ---------------------------------------------------------------------------------- 143.1.2 EOU参数配置 --------------------------------------------------------------------------- 143.2网络联动设备配置 ---------------------------------------------------------------------------- 17 第四章PORTAL认证技术快速配置 ----------------------------------------------------------------------- 194.1ASM系统界面配置----------------------------------------------------------------------------- 194.1.1网卡配置 ------------------------------------------------------------------------------------- 194.1.2 PORTAL参数设置-------------------------------------------------------------------------- 194.2网络联动设备配置 ---------------------------------------------------------------------------- 21 第五章透明网桥快速配置------------------------------------------------------------------------------------ 225.1ASM系统界面配置----------------------------------------------------------------------------- 225.1.1网卡配置 ------------------------------------------------------------------------------------- 225.1.2透明网桥参数配置------------------------------------------------------------------------- 22第一章策略路由快速配置1.1ASM系统界面配置1.1.1网卡配置启用ETH0和ETH2两块网卡并配置IP地址：ETH0与联动网络设备相连，配置的IP 地址作为策略路由的下一跳地址；ETH2配置的IP地址需要全网或者控制的网段能够访问。

ASM盈高入网规范管理系统操作手册V精编

任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录1.说明 -----------------------------------------------------------2.ASM设备外观图解------------------------------------------------3.登录方式--------------------------------------------------------4.操作界面说明----------------------------------------------------4.1首页------------------------------------------------------4.2模块界面--------------------------------------------------5.用户首次配置----------------------------------------------------5.1启用旁路模式----------------------------------------------5.2启用串联模式----------------------------------------------5.3系统基本设置---------------------------- 错误！未定义书签。

5.4邮件提醒--------------------------------------------------5.5短信提醒设置----------------------------------------------5.6部门管理--------------------------------------------------5.7注册与认证------------------------------------------------5.7.1安全域配置---------------------------------------------5.7.1认证角色管理-------------------------------------------5.7.1用户管理-----------------------------------------------5.7.1来宾认证参数-------------------------------------------5.7.1全局参数设置-------------------------------------------5.7.1注册参数配置----------------------------------------- 145.7.1认证参数配置-------------------------------------------5.7.1用户名密码认证-----------------------------------------5.7.1UKey认证----------------------------------------------5.7.1手机短信认证-------------------------------------------5.7.1Email认证---------------------------------------------5.7.1LDAP服务器配置----------------------------------------5.7.1AD域认证参数设置--------------------------------------5.7.1身份认证记录-------------------------------------------5.7.1动态验证码获取记录-------------------------------------5.8配置入网规范----------------------------------------------5.8.1标准行业入网规范库-------------------------------------5.8.2自定义规范---------------------------------------------5.8.3高级属性-----------------------------------------------5.9配置网络联动控制------------------------------------------5.9.1EOU认证技术设置---------------------------------------5.9.2PORTAL认证技术设置------------------------------------5.9.3透明网桥设置-------------------------------------------5.9.4策略路由设置-------------------------------------------5.9.5MVG网关设置-------------------------------------------5.10配置双机热备----------------------------------------------6.用户日常使用----------------------------------------------------6.1新设备注册检查--------------------------------------------6.2审核接入设备----------------------------------------------6.3设备管理--------------------------------------------------添加可信设备-------------------------------------------取消可信设备-------------------------------------------设备安装软件信息---------------------------------------6.4隔离设备--------------------------------------------------6.5设备和用户绑定--------------------------------------------6.6立刻认证安检----------------------------------------------6.7信息导入--------------------------------------------------6.8IP地址池------------------------------------------------- 36.9IP/MAC绑定------------------------------------------------添加IP/MAC绑定----------------------------------------导入IP/MAC绑定---------------------- 错误！未指定书签。

盈高网络准入控制系统——超过500家政府单位的选择

盈高网络准入控制系统——超过500家政府单位的选择盈高科技是国内最早进行专业网络准入控制技术研究的厂家之一，成立至今已有八年多，一直致力于为用户提供最优质的网络准入控制服务和最卓越的网络安全服务。

在广大用户的大力支持下，目前盈高科技已经成长为一家实力强大的网络准入控制厂商，在各行各业都产生了极大的影响力。

特别是在政府行业，盈高产品已经成为了政府单位网络安全管理的首选。

据近日国内权威研究机构发布的网络准入控制市场调研报告显示，盈高科技在网络准入控制综合市场份额占比第一，同时是政府行业市场份额占比第一的准入控制厂商，在政府行业所占市场份额远超行业第二名。

目前，盈高科技在政府行业的客户已经超过500家。

我们在此梳理盈高科技与各政府单位携手建设安全网络的历程，以此献给一直默默支持我们的用户。

2006年-2008年深入了解各政府单位的安全管理需求，深耕于产品这两年内，盈高科技投入大量人力与资金成功打造了国内首个平台化的准入控制系统并完成了国内首个无客户端准入实施案例。

2009年签约浙江省苏州市政府、湖南省湘西州州委等2009年，盈高科技在政府行业的深耕细作已初见成果，大量政府单位开始部署盈高科技网络准入控制系统，并取得了显著的部署效果。

2010年签约浙江省委办公厅、浙江省国土资源局等2010年，盈高科技开始广泛地与省一级行政单位开展网络安全建设合作，并获得了浙江省高新技术企业称号。

2011年签约北京市工商行政管理局、湖南省财政厅、福建省工商行政管理局等2011年，盈高科技的产品与服务逐渐成为业内楷模，成功参与公安部网络准入控制行业标准的制定，是参与该标准制定的唯一国内厂商。

2012年签约上海市国资委、浙江省纪委、浙江省统计局等2012年，成功帮助上海市国资委打造一体化的终端安全管理体系，并成为了高用户满意度的典型案例。

荣获2012年最具价值的信息安全解决方案奖。

2013年山东省委办公厅、广东省审计厅、河南省公安厅、江西省财政厅等2013年，盈高科技在政府行业的影响力持续扩大，数以百计的政府单位选择盈高准入控制产品，盈高ASM用户总数突破100万。

ASM盈高入网规范管理系统--产品说明书

任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录1建设入网规范管理系统的必要性 (4)1.1解决内网安全所面临的严重问题 (4)1.1.1安全管理规范落实的问题 (4)1.1.2接入用户及设备的实名制 (4)1.1.3人机对应管理机制落实的问题 (4)1.1.4快速发现设备隐患及智能修复的问题 (5)1.1.5安全检查规则库不能更新升级的问题 (5)1.1.6网络结构复杂、新老设备兼容的问题 (5)1.1.7内网分角色分区域访问控制的问题 (6)1.1.8日益增多的移动办公与特殊情况处理的问题 (6)1.1.9用户来宾的访问控制与管理问题 (6)1.1.10单点防御及分散管理的问题 (6)1.1.11实名入网安检日志审计问题 (7)1.1.12保证网络边界完整的问题 (7)1.2法令法规上的明确要求 (7)2如何选择入网规范管理系统？ (9)2.1具有很好的网络环境适应性，不需要大幅调整网络结构 (9)2.2选择成熟的、先进的网络准入控制方案 (9)2.3能够支持快速部署的，最好不安装客户端 (10)2.4具有高可靠性，一定要有很好的逃生方案 (11)2.5能够提供不断更新的安全检查引擎和规则库升级，具有较好的可扩展性 (11)2.6具备从认证、安检、修复、访问控制“一条龙”体系 (11)2.7需要经验丰富、具有风险管理的专业技术服务团队支撑 (12)3适合您的盈高入网规范管理系统 (13)3.1产品体系架构 (13)3.2产品主要解决问题说明 (14)3.2.1采用双实名制，解决入网人员与设备的合法性问题 (14)3.2.2多样化的身份认证方式，解决人员实名认证问题 (14)3.2.3综合入网控制、检查引擎及规范执行审计，有效解决网络安全规范无法落实的问题 (14)3.2.4提供用户与设备对应责任管理，建立“人机对应”负责制 (14)3.2.5制定各个行业有特色的安全检查规范库，解决安全检查单一的问题 (15)3.2.6“一键式”智能安全修复技术，大大降低管理员工作量 (15)3.2.7保持定期更新的安全检查引擎及规则库，给用户带去不仅仅是产品，更是持续的服务 (15)3.2.8集成多种入网强制技术，兼容各家网络设备，具有良好的网络适应性 . 163.2.9基于角色的动态授权，更好解决内网区域布控和访问控制问题 (16)3.2.10灵活的特殊例外设备处理，确保项目建设快速推进 (16)3.2.11来宾管理，解决来宾上网的同时保护用户内网资源 (16)3.2.12端点与网络集中管理相结合，一改“单点防御、分散管理”的局面 (17)3.2.13实名制日志审计报表，可以对网络各项规范执行情况了如指掌 (17)3.2.14及时的报警响应，让管理员随时掌握网络边界安全动态 (17)3.3ASM应用场景 (17)3.3.1局域网接入安全防护 (18)3.3.2关键区域数据保护 (18)3.3.3用户总部入口安全防护 (18)3.3.4用户分支出口安全防护 (18)4总结 (19)1建设入网规范管理系统的必要性1.1 解决内网安全所面临的严重问题1.1.1安全管理规范落实的问题目前各个政府单位及各行各业都建立了较为完整的网络安全管理规范，但很多时候落实情况不尽如人意，究其原因是缺乏行之有效的管理手段。

医疗行业解决方案--(盈高入网规范管理系统)

解决方案：盈高 ASM 准入系统提供全套的网络边界管理解决方案，可扫描发现全网的小路由（包括厂家型号、接入端口、接入终端）,默认情况下全部禁止，必须通过管理员批准方可入网。对网内的随身 WIFI 可全部禁止。提供全网拓扑生成，网络设备图形化（管理员可看到交换机面板使用情况、所接入终端），网络透视，终端定位等综合的管理手段。针对目前的万能钥匙类共享工具提供颗粒度的认证、审核手段，即使不设置 wifi 密码外来终端也无法接入。
2. 行业需求 ...............................................................................................................4 2.1. 政策需求..........................................................................................................4 2.1.1. 主管单位................................................................................................ 4 2.1.2. 政策法规................................................................................................ 4 2.2. 管理需求及解决方案...................................................................................... 5 2.2.1. IP 资源管理解决方案： .......................................................................5 2.2.2. 终端准入解决方案................................................................................ 6 2.2.3. 安全基线解决方案................................................................................ 6 2.2.4. 网络边界管理解决方案........................................................................ 7 2.2.5. 移动存储介质管理解决方案................................................................ 8 2.2.6. 访问权限限制解决方案........................................................................ 8 2.2.7. 哑终端解决方案.................................................................................... 9 2.2.8. 移动终端解决方案................................................................................ 9

盈高ASM入网规范管理产品移动应用概述

盈高ASM入网规范管理产品移动应用概述盈高ASM入网规范管理产品在移动系统的应用，现已有江苏省移动和广东移动肇庆分公司。

江苏移动是中国移动设在江苏的全资子公司，2010年客户总数已突破5000万，年运营收入超过“一天一个亿”，被誉为“省内规模最大、效益最好、发展最快的通信运营商”。

一、ASM应用场景大型用户往往拥有分支或下属机构，分支机构可以通过专线或WAN 连接总部。

某些用户甚至允许家庭办公用户或出差人员直接访问用户内部网络。

这种组网方式在开放型的企业中比较普遍，受到的安全威胁也更严重。

为了确保接入内部网的用户具有合法身份且符合安全标准，可以在总部入口路由器实施ASM 准入认证，强制接入的终端用户进行身份认证和安全状态检查。

现在江苏省移动和肇庆移动的应用是相同的。

移动公司一般有专门区域划分给日常运维的IT厂商，这片区域时常需要接入移动内部网络时，所以存在以下风险：1、外来人员的笔记本电脑可以随意通过运维区接入内部网络，身份合法性认证没有办法甄别；2、运维人员接入内部网络后，在访问内网资源时如何划分权限？3、运维人员接入终端是不是安全的，是否存在风险漏洞，如何快速完成对问题终端的修复？4、管理人员需要及时了解接入信息，发现风险。

二、内容细则三、实施说明江苏和肇庆移动分别采用了EOU方式和策略路由方式来做实施部署采用策略路由的方式对终端进行强制认证，只须配置一条策略路由将需要受控制的终端设备数据包汇聚到同一台设备（一般指核心交换机和路由器）。

然后将要受控制的终端设备上行数据包转发给ASM入网规范管理系统设备上，通过ASM入网规范管理系统设备对其进行身份认证和安全检查，达到与核心交换机作联动控制，对接入的终端用户自动下发相应的强制控制策略，限定非法用户不能随意接入到办公网络。

这种方式部署的可靠性较高，当ASM 入网规范管理系统设备出现故障的时候因为下一跳失效原则，将会采用之前的转发规则进行转发，使得不会对正常网络产生影响，给管理人员带来不必要的麻烦。

盈高-网络准入控制解决方案

7、支持分布式部署
ASM6000提供了控制器（ASC）产品，可以在网络规模特别大，网络结构特别复杂的情况下,将控制器部署在网络的不同区域，由中心设备统一对控制器进行管理，很好的适应巨系统的部署。
8、高可靠的自身安全性
ASM6000采用了专用安全操作系统（INFOGOOS）和专用的硬件平台。避免了通用系统的一系列不安全因素.在可用性方面采用了监控平台、自逃生、双机热备（HA）等众多高可用性技术。系统内置了看门狗(Watch Dog）,当系统出现故障或者网线松动的时候，将自动开启ByPass模式。
评估与管理evaluation & management
ASM6000通过丰富的安全检查技术手段与风险漏洞发现修复能力，配合宏观的统计数据,可以作为各种安全手段和安全规则进行持续改进的依据，为进一步提高安全管理和等保测评等工作提供重要支持。
方案特色及优势
1、清晰的边界划分
ASM6000能够兼容各种混合网络环境和数十种网络设备，提供了从桥接、PBR（Policy-Based—Routing)、MVG的各种实现方案。系统能够支持内置身份认证，外部Email、Radius、LDAP、AD域、短信、指纹、CA系统、USBKEY等多种认证方式。在认证的基础上提供完善的角色、安全域、来宾权限管理。使用户从设备和人员两方面进行网络边界的划定。
每秒事务数（次/秒）
800—2000
3500—7000
8000—22000
最大吞吐量Mbps
300—1000
Hale Waihona Puke 1500-28003000—4000
产品部署
1、典型环境部署
将盈高入网规范管理系统ASM6000通过旁路连接,部署在网络核心交换机上.启用PBR或MVG等方式，开启网络准入.根据对终端安全、管理的不同要求，对网络拓扑进行展示，对各种网络设备进行定位、状态管理、故障管理；可以与第三方身份认证系统进行整合，实现单点登录；对接入终端进行安全扫描和修复。实现基础的安全准入管理功能,完善内网安全。

盈高入网规范管理系统ASM6000产品说明V1.1

I 盈高入网规管理系统ASM600C平台产品说明V1.1 INFOGO A ccess S tandard M anagement System声明：本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等容，除另有特别注明，均属盈高科技所有，并受到有关产权及法保护。

任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

商标：盈高、INFOGO是盈高科技的注册商标，未经允许，不得引用。

1 产品概述 (1)1.1 “亚安全”带来的挑战 (1)1.2 安全准入的技术选择 (2)1.2.1 良好的网络及终端适应性 (2)1.2.2 先进的网络准入控制框架 (2)1.2.3 系统可靠性高 (3)1.2.4 专业的服务团队 (3)1.3 系统简介 (4)1.4 技术架构 (4)2 产品主要功能 (6)2.1 边界控制管理 (6)2.2 人员认证管理 (6)2.3 设备规管理 (8)2.4 操作行为管理 (11)2.5 视角报表管理 (12)2.6 分布部署管理 (13)3 产品技术特点 (14)3.1 安全高效的系统平台 (14)3.2 弹性系统设计 (14)3.3 设备采集智能化 (15)3.4 卫星式安全定位 (15)3.5 丰富的实名认证方式 (16)3.6 灵活全面的授权管理 (17)3.7 支持复杂大网络 (17)3.8 运行高可靠性 (17)4 部署方案 (18)4.1 典型部署 (18)4.2 高可用性部署 (19)4.3 复杂环境部署 (20)5 特别声明 (21)1 产品概述1.1 “亚安全”带来的挑战在大部分的用户网络中，对外部网络边界进行防护的安全设备如防火墙、UTM 、流控、IDS 等都已经部署到位，但是部网络的安全层次却很低，往往很容易就可以进入到单位部的信息系统中。

在这样的安全状况下，不用说黑客，就是普通员工也会有意无意地干出一些惊天动地的事情。