EAD准入网关旁挂部署白皮书

EAD网关旁挂部署白皮书杭州华三通信技术有限公司

Catalog 目录

EAD网关旁挂部署白皮书 (1)

1 EAD解决方案介绍 (3)

2 EAD解决方案的业务功能 (3)

3 网关旁挂型EAD解决方案典型组网 (3)

4 EAD网关旁挂型方案说明 (5)

5 网关型EAD解决方案特点说明 (5)

6 网关型EAD解决方案应用场景 (6)

结论 (6)

1 EAD解决方案介绍

以IMC为策略控制中心的终端准入控制（EAD）解决方案是解决企业网接入安全的综合解决方案。该方案从用户终端准入控制入手，整合网络接入控制与终端安全产品，通过安全客户端、安全策略服务器、网络设备以及第三方软件的联动，对接入网络的用户终端强制实施企业安全策略，严格控制终端用户的网络使用权限，可以加强用户终端的主动防御能力，大幅度提高网络安全。

2 EAD解决方案的业务功能

终端准入控制（EAD）解决方案，旨在整合孤立的单点防御系统，加强对用户的集中管理，统一实施企业安全策略，提高网络终端的主动抵抗能力。EAD方案通过安全客户端、安全策略服务器、接入设备以及防病毒软件的联动，可以将不符合安全要求的终端限制在“隔离区”内，防止“危险”终端对网络安全的损害，避免“易感”终端受病毒、蠕虫的攻击。其主要功能包括：n检查——检查用户终端的安全状态和防御能力

用户终端的安全状态包括两部分内容，一是操作系统补丁、防病毒软件版本、病毒库版本、是否感染病毒等反映终端防御能力的状态信息；二是用户终端安装的软件、运行的软件是否符合企业网络的安全需求。系统补丁、病毒库版本不及时更新的终端，容易遭受外部攻击，属于“易感”终端；已感染病毒的终端，会对网络中的其他设施发起攻击，属于“危险”终端。EAD通过对终端安全状态的检查，使得只有符合企业安全标准的终端才能正常访问网络，可以确保接入终端的合法与安全。

n隔离——隔离“危险”和“易感”终端

在EAD方案中，系统补丁、病毒库版本不及时更新或已感染病毒的用户终端，如果不符合管理员设定的企业安全策略，将被限制访问权限，只能访问病毒服务器、补丁服务器等用于系统修复的网络资源，这些受限的网络资源被称之为“隔离区”，目前通过动态ACL方式实现。

n修复——强制修复系统补丁、升级防病毒软件

EAD可以强制用户终端进行系统补丁和病毒库版本的升级。当不符合安全策略的用户终端被限制到“隔离区”以后，EAD可以自动提醒用户进行缺失补丁或最新病毒库的升级，配合防病毒服务器或补丁服务器，帮助用户完成手工或自动升级操作，达到提升终端主动防御能力的目的。完成修复并达到安全策略的要求以后，用户终端可以被取消隔离，正常访问网络。

n管理与监控

集中、统一的安全策略管理和安全事件监控是EAD方案的重要功能。企业安全策略的统一实施，需要有一个完善的安全策略管理平台来支撑。EAD提供了集接入策略、安全策略、服务策略、安全事件监控于一体的用户管理平台，可以帮助网络管理员定制基于用户身份的、个性化的网络安全策略。同时EAD可以通过安全策略服务器与安全客户端的配合，强制实施终端安全配置（如限制使用代理、限制使用双网卡等），监控指定人员的已安装程序列表、已安装补丁列表、已运行进程列表、共享目录信息、分区表、屏保设置、已启动服务列表等系统维护和安全信息。

3 网关旁挂型EAD解决方案典型组网

EAD解决方案同样适用于采用Portal+协议进行身份认证的组网环境。在这种组网环境下由EAD网关采用Portal+认证协议对接入用户进行准入控制，IMC与EAD网关通过Radius协议进行通信，由IMC完成对用户身份的认证、安全状态的检测实现EAD准入策略的控制。EAD网关一般

位于核心层或汇聚层交换设备的旁边，对去往需要保护的资源的流量通过EAD 网关进行准入控制，对于不通过EAD 网关进行转发的报文则不控制。Portal+方式的EAD 方案管理和组网相对简

单，对于交换机品牌不一的网络环境中，在不改动现有网络基础设施的前提下可以很好的完成对用户的端点准入控制。该模式比较适合于网络改造时的终端安全方案部署；对访问内网不作认证，只对访问外网进行认证计费的运营环境等。

图1 EAD 网关旁挂核心交换机组网示意图

在核心层交换机旁挂EAD 网关做三层Portal+认证时，核心交换机连接到EAD 网关的双向链路都为三层链路，且都运行路由协议。同时，在核心交换机上需要配置策略路由，将源地址为认证网段的报文重定向到EAD 网关上进行Portal+认证。

图2 EAD 网关三层旁挂方式数据流示意图

IMC

IMC

在上面的图中，客户端访问认证网段的数据流被重定向到EAD网关上，通过认证后去往认证网段。返回的数据流不经过旁挂的EAD网关设备，直接返回到客户端。对于去往非认证网段的数据流则可以直接到达目的地。

4 EAD网关旁挂型方案说明

?用户终端必须安装iNode EAD客户端（采用Portal+方式进行组网时，如果用户没有安装EAD 客户端，在用户通过浏览器访问外网时可以被强制重定向到客户端下载页面。这种方式使得EAD客户端的分发更加简单）。

?用户在访问外网前首先要进行Portal+认证和安全检查，否则只能访问EAD网关开放的网络资源。

?IMC中配置用户的服务策略、接入策略、安全策略，用户进行portal认证时，IMC验证用户身份的合法性，并基于用户角色（服务）向安全客户端下发安全评估策略（如检查病毒库版本、补丁安装情况等），完成身份和安全评估后，由IMC更新用户的ACL策略。

?补丁服务器（可选。可以是简单Windows共享服务器用于补丁下载；也可以是微软的WSUS/SMS服务器，用于自动补丁升级）必须部署于隔离区。

?防病毒服务器（可选）必须部署于隔离区，可以与补丁服务器共用一台主机。

?用户通过客户端发起认证后，由IMC验证用户身份的合法性，并根据用户身份确定网络接入的授权（如ACL、VLAN）。

?利用Portal+实现的网关型EAD部署方案对用户的接入控制不是十分严格，用户认证之前可以访问网关下的交换机内部网络资源。但这种模式对管理和组网的要求都相对简单。

5 网关型EAD解决方案特点说明

作为一种新兴的安全防御体系，EAD从端点准入控制入手，整合防病毒软件等单点安全产品，可以大幅度提高网络对病毒、蠕虫等新兴安全威胁的整体防御能力。网关型EAD解决方案除具有EAD解决方案的端点安全检查等特点外还具有以下明显的特点：

n用户访问控制点集中

网关型EAD解决方案，对用户的控制点集中在路由器上，可以发挥路由器的性能优势和Qos控制功能等。

n灵活、方便的部署与维护

EAD+EAD网关旁挂方案部署灵活，维护方便，可以按照网络管理员的要求区别对待不同身份的用户，定制不同的安全检查和隔离级别。EAD可以部署为监控模式（只记录不合格的用户终端，不进行修复提醒）、提醒模式（只做修复提醒，不进行网络隔离）和隔离模式，以适应用户对安全准入控制的不同要求。

n可扩展的安全解决方案，有效保护投资

EAD的旁挂部署方案是一个可扩展的安全解决方案，这种实现方式对现有的网络环境改造较小。在现有企业网中，只需在网络汇聚层或是核心层旁挂一台EAD网关交换机，即可实现访问外网和企业关键数据访问安全控制和防病毒的联动，达到准入安全控制的目的。

6 网关型EAD解决方案应用场景

6.1 网络中有多厂商设备

客户网络环境中拥有多种品牌的交换机，而且接入设备为非H3C品牌设备时，可以推荐用户使用EAD+EAD网关旁挂的组网解决方案。只需将EAD网关旁挂在网络核心或是汇聚交换机旁，就可以实现兼容多厂商设备的EAD解决方案。具体组网可以根据实际情况灵活掌握。

6.2 使用Portal+认证进行网络安全管理

当客户希望使用Portal+认证进行用户安全管理时，可以推广EAD+EAD网关组网解决方案。Portal+认证可以强制用户下载iNode客户端，方便iNode客户端的部署和安装。

6.3 重要数据中心安全访问管理

客户希望仅对访问企业关键数据中心的用户进行安全认证管理时，可以推广EAD+EAD网关组网解决方案。此种情况下可将EAD网关旁挂在企业关键数据中心交换设备上，对于每一个进入数据中心的用户进行强制的安全认证管理。

结论

EAD网关旁挂的EAD解决方案对于网络环境复杂的旧网改造和升级项目具有较大优势。客户可以在对现有网络基础设施不做改动的情况下直接将EAD网关旁挂在核心或汇聚层设备上，但是其用户访问控制力度不强，同时对网络基础结构的性能也会有一定影响，在推广使用时需要考虑这些不利因素，在客户可以接受的前提下进行推广。另外，EAD网关也可以串接在网络出口或关键区域前端做为带内的方式部署，这种模式类似于路由器的Portal部署模式，这里就不在复述。