宝界终端准入IP MAC准入实施方案0602Word格式.docx
《宝界终端准入IP MAC准入实施方案0602Word格式.docx》由会员分享,可在线阅读,更多相关《宝界终端准入IP MAC准入实施方案0602Word格式.docx(11页珍藏版)》请在冰豆网上搜索。
![宝界终端准入IP MAC准入实施方案0602Word格式.docx](https://file1.bdocx.com/fileroot1/2023-1/11/ce8d467a-2856-452d-94fe-0ae4921091e8/ce8d467a-2856-452d-94fe-0ae4921091e81.gif)
5、Office用户变更自己的IP地址,从而引起IP冲突,交换机不会报警;
使用上网行为管理网关在网络出口处做IP/MAC绑定实现有限的安全准入功能,存在如下问题:
1、只能限制客户端PC出外网时,必需是指定的IP/MAC地址;
2、不能实现入网即准入;
3、不能有效防止内网IP冲突;
4、无法显示内网IP资源分配情况;
5、无法与交换机联动,显示交换机状态,主动切断/开启交换机端口
使用内网管理软件限制用户修改IP/MAC实现IP地址管理存在如下问题:
1、必须安装客户端后才能控制,如果是一些硬件设备(交换机、路由器、Linux、Unix主机),无法安装客户端;
2、客户端与杀毒软件、操作系统有兼容性问题;
3、如果接入PC不主动安装内网客户端,则无法控制;
4、移动PC主机,如笔记本出外网,需要网络管理员在内网管理系统中手动解除IP地址改动限制;
5、无法对DHCP环境做MAC地址准入管理;
6、当处于离线状态时,别人同样可以使用你的IP,上线之后造成IP冲突;
针对以上存在的问题,所以需要专业的IP/MAC准入来实现对内网主机的接入控制。
1.2、什么样用户需要IP/MAC准入?
金融、军队、医院、涉密的企事业等行业类用户,对外来电脑的接入需要做严格控制。
原先采用在交换机上做IP/MAC绑定,使用交换机命令行方式来做端口绑定,工作量很大,而且不灵活,不懂交换机配置的人做不了,时间长了,MAC地址是谁,记不住,只能用EXCEL来记,对当前网络的动态情况不能了解,到底IP谁在用,现在可以分配那个IP,完全凭个人记忆和猜测,对于笔机本需要在多个交换机之间移动接入的情况不能适用。
使用宝界准入控制系统,可以自动的对交换机做IP/MAC绑定,可以直观显示当前各网段的IP使用情况,支持笔机本在多个交换机之间移动接入。
极大地方便了网络的有效管理,减轻了网管的工作量。
二、解决方案
2.1、IP/MAC准入工作原理
宝界终端准入控制系统利用交换机智能联动技术,,telnet/ssh到交换机,把合法主机的IP/MAC地址对对应绑定,建立白名单列表,当系统发现非法终端在限制主机列表中,则自动的在三层交换机上执行ARP绑定命令,将非法终端的IP地址绑定错误的MAC地址即终端准入设备的接口的MAC地址,以达到准入的目的。
2.2、IP/MAC准入部署拓朴图
网络拓朴结构
网络拓朴说明:
1、终端准入设备是旁路方式接在核心交换机上,由于准入设备是多接口的,对于网段数不多的网络,可以一个接口管理一个VLAN,各网段分别接入准入设备的不同接口,各自进行准入控制。
2、对于多VLAN的,可以采用核心交换机的TRUNK口接准入设备的一个接口,这样可以一个准入接口可以管理多个VLAN。
实现每个VLAN的准入控制。
3、终端准入设备与核心交换机通过TELNET/SSH方式联动。
2.3IP/MAC准入服务相关设置
2.3.1、IP/MAC自动绑定参数设置
【启用IP/MAC检测】:
绑定引擎是指利用交换机智能联动技术,当系统发现非法终端在限制主机列表中,则自动的在三层交换机上执行ARP绑定命令,将非法终端的IP地址绑定错误的MAC地址即终端准入设备的接口的MAC地址,以达到准入的目的。
登陆地址:
三层交换机的IP地址。
登陆端口:
缺省使用Telnet方式登陆交换机,缺省端口号为TCP23,当使用SSH登陆,端口号要改为22
使用SSH登陆:
本复选框勾选表示使用SSH方式登陆三层交换机,执行预定IP/MAC绑定命令。
设备类型:
交换机品牌,目前支持思科、H3C、华为、中兴、锐捷、神州数码LINKSYS等
用户名:
三层交换机TELNET或SSH登陆用户名称
登陆口令:
三层交换机TELNET或SSH登陆用户名称对应的口令
特权口令:
三层交换机TELNET或SSH进入特权模式所需的口令,某些三层交换机没有特权模式,本选项可不填写。
绑定命令:
系统自动在三层交换机上执行绑定命令,例如:
如果三层交换机是思科交换机,则可用交换机内置命令:
arp%I%.2Marpa,进IP/MAC自动绑定,其中%I代表入网主机的IP地址,%.2M代表入网主机的MAC地址。
解除命令:
系统自动在三层交换机上执行解除绑定命令,例如:
noarp%I,进IP/MAC自动绑定,其中%I代表入网主机的IP地址。
2.3.2IP/MAC批量绑定参数设置
可以通过准入设备事先定义好的交换机命令,直接在指定的交换机上执行。
1.交换机命令集配置
交换机命令集:
就是为了达到客户端准入控制目的,根据指定类型的交换机的自有的交互命令,由管理员自定义的批命令集合。
2.交换机命令集批量执行
1点击主界面工具栏【执行】按钮,弹出【网络命令执行】窗口,用户首先选择命令集执行的网段、执行的命令集针对的交换机设备、命令集针对交换机的端口、交换机管理员用户名、交换机管理员密码,然后点击【查看】按钮,检查一下动态生成命令脚本的正确性。
2选择管理主界面左边的TAB栏【交换机】,选择所有设备下需要执行命令的【交换机】,点击鼠标右键,弹出快捷菜单,选择【运行命令】,即可选择相关交换机命令集执行,本方式应用对象是所选择的交换机
3选择管理主界面左边的TAB栏【交换机】,选择所有设备下需要执行命令的交换机下的指定的端口,点击鼠标右键,弹出快捷菜单,选择【运行命令】,即可选择相关交换机命令集执行,本方式应用对象是所选择的交换机的端口。
4检查无误后,点击【执行】按钮,则手动的在在对应的交换机上执行定义的命令集脚本。
2.4、接入终端入网流程
1、新接入终端主机,由于不在准入的合法主机列表中,自动进入限制主机列表,系统将在三层交换机或接入层交换机上绑定错误的MAC地址,用户无法进入内网,通知网络管理者,要求接入内网。
2、网络管理员在准入控制界面中解除限制,设置白名单节点。
白名单节点可以限制其入网时间,计算机组名,主机名,接入终端的交换机名、交换机端口号、是否需要实名认证、是否需要安装桌面管理软件。
3、接入终端只有满足白名单节点规定的所有要求后,准入系统将此节点IP地址绑定到正确的MAC地址,或管理员手动批量IP/MAC绑定命令后,接入主机才能进入内网。
4、通过IP/MAC准入方式认证,即使非法主机冒充合法主机的IP/MAC,但组名,主机名,以及没有实名帐号,或没有安装相应的合规软件,只要不符合任何一个条件也是接入不了内网的。
三、常见问题
3.1IP/MAC准入的优缺点?
答:
不需要安装任何客户端;
适应所有网络环境;
同时增加了实名认证准入及与第三方安全软件联动的功能。
缺点:
需要交换机是可网管交换机,支持TELNET/SSH及SNMP等。
3.2IP/MAC准入实施过程中有那些注意点?
针对不同的交换机绑定命令不同,哪个层级交换机可网管,就可以做到在哪个层级做绑定。