网络准入控制使用说明

网络准入控制使用说明

IP-guard

的桌面管理系统可以详细地对计算机的操作行为进行详细的审计和严格的控制

,

但是仍然有一些用户通过重新格式化并安装操作系统

,

设置个人防火墙等等手段逃避行为监

管。而即使当管理员及时 发现这种情况以后，重新再部署桌面管理客户端都是一件繁琐和

恼人的工作。

网络准入控制功能就是为了解决这一问题而诞生的。

IP-guard

网络准入控制系统是一套专业的硬件系统， 能够对访问指定网络（如企业内

网、服务器等）

的计算机进行严 格的合规性审核，只有合规的计算机才能连入访问，未合规

的计算机可根据需要将其引导 至隔离区进行修复，或者完全阻断其访问。

更可以与

IP-guard 15

大模 块集成应用，避免内网

PC

脱离

IP- guard

管控。有效的保证内

网安全策略的执行，同时杜绝非 法连入带来的外泄风险。

1

网络架构

IP-guard

网络准入控制功能的工作模式有两种：网桥模式和路由模式。

企业内的网络常见的网络简易拓扑结构：

IP- guard

的网桥控制模式：

使用网 桥模式，可以对网络结构和配置不做任何修改，直接将准入设备串接进网络中

需要进行控 制的地方

（多数是重要的应用服务器或者网关处）

，对通过其的 网络通讯进行控

制。

IP-guard

的路由控制模式：

对核心交换机启用策略路由，

对跨网段的访问进行控制。

这种控制方式需要核心交换机

支持策略路由。

2

控制流程

当计算机或其他网络终端设 备接入网络时，

设备端会询问其提供验证的信息。

当安装了

客户端的计算机通过身份认证以后，

就可以访问正常的网络。

而没有通过认证的计算机则会

被放入到隔离区或完全阻断网络访问。< /p>

同时对于一些无法安装客户端的网络终端设备，

例如网络打印机，

系统可以通过配置白

名单的方式允许 这些网络设备接入网络。

对于一些外来的或者特殊权限的计算 机，

也可以通过设置白名单，

或者开辟特殊用户的

方式允许他们不安装客户端的情况下访问部分或者全部网络。

客

户

端

，

< br>允

合

法

许

访

问

互联网

止

访

问

ERP

服务器

< br>合法客户端

准入控制器

客

户

端

，

阻

非

法

限制访问的计算机或网络

阻

< br>止

后

，

进

入

修

复

区

非 法客户端

修复区

3

部署

3.1

设备介绍

IP- guard

网络控制设备（以下称控制器），分为三个型号：

IPG-1000

：

5

个百兆网卡，无管理端口；

RESET

键用于恢复出厂设置；

IPG-2000

：

3

个千兆网卡，其中管理端口为

EMP

；

IPG-3000

：

4

个千兆网卡，一组

BYPASS

（

ETH0

和

ETH1