技术分享
网络准入控制（NAC）旁路模式技术详解
网络准入控制（NAC）旁路模式部署方案 企业网络安全准入的高可用部署架构详解 一、什么是网络准入控制？ 网络准入控制 就像是你公司门口的智能安保系统。它确保只有授权的、健康
2025-11-06
网络准入控制（NAC）旁路模式部署方案
企业网络安全准入的高可用部署架构详解
一、什么是网络准入控制？
网络准入控制 就像是你公司门口的智能安保系统。它确保只有授权的、健康的设备（比如安装了杀毒软件、打了系统补丁的电脑）才能接入内部网络，访问核心资源。未经授权的设备或被感染的设备将被隔离在“维修区”或直接拒之门外。
二、部署拓扑：旁路模式
“旁路模式”指的是NAC设备不直接串联在网络流量路径上，而是通过一个镜像端口连接到核心交换机。
拓扑图示
拓扑关键点说明
物理连接：
NAC设备通过一个独立的网口连接到核心交换机的一个镜像端口上。
数据路径：
所有上网的业务流量依然直接经过防火墙和核心交换机，不流经NAC设备。
控制路径：
NAC设备通过发送控制指令（如SNMP、RADIUS、CLI命令）来指挥交换机执行操作。
三、核心工作原理详解：监控与控制分离
旁路部署的NAC工作原理可以概括为：“耳听八方，遥控指挥”。
工作原理流程图
1 第一阶段：监控与发现
- 流量镜像：核心交换机将所有端口（或关键VLAN）的流量复制一份，发送到NAC设备的监听口。
- 设备发现：NAC设备分析这些镜像流量。当一台新设备接入网络时，它通常会发送DHCP请求来获取IP地址，或发出第一个ARP请求、TCP SYN包。
- 触发认证：NAC一旦检测到这个“未知设备”的首次网络活动，立即将其标记为“未认证”状态，并准备启动认证流程。
2 第二阶段：身份认证与安全检查
- 重定向至Portal：未认证用户尝试打开浏览器时，HTTP请求会被重定向到专用认证Portal页面。
- 身份认证：用户在Portal页面上输入账号密码（如公司AD域账号）。
- 安全状态评估：NAC可能要求下载安全客户端，或通过浏览器检查设备安全状态（操作系统版本、杀毒软件状态、补丁安装情况等）。
3 第三阶段：授权与控制
- 策略执行：NAC根据认证结果和安全检查结果，决定给该设备分配什么样的网络权限。
- “遥控指挥”：NAC设备通过RADIUS、SNMP、API/CLI等协议向核心交换机发送控制指令。
- 网络权限切换：核心交换机收到指令后，立即改变该设备的网络属性（变更VLAN、应用ACL），实现权限控制。
四、旁路模式的优点与缺点
优点
高可用性，无单点故障：NAC宕机不影响现有已认证用户的网络流量。
部署简单：无需改动现有网络结构，仅需配置镜像端口，对业务影响极小。
性能无忧：不处理全网业务数据转发，性能压力小，不会成为带宽瓶颈。
缺点
控制依赖交换机配合：需要核心交换机支持RADIUS CoA等相关协议。
控制非绝对实时：对已在线不合规设备的隔离操作会有轻微延迟。
无法深度检测加密流量：对HTTPS等全加密流量的检测能力有限。
总结
网络准入硬件在核心交换机上的旁路部署，是一种策略与控制分离的优雅架构。它通过流量镜像实现全网设备的监控和发现，再通过标准协议（如RADIUS）远程指挥网络基础设施（交换机）执行端口、VLAN和ACL的策略变更，从而实现对终端设备的精准访问控制。
这种模式在保证业务高可用性的前提下，提供了强大的安全准入能力，是企业网络安全管理中兼顾安全与稳定的最佳实践之一。