北信源桌面终端标准化管理系统基于8021x协议的准入控

北信源⽹络接⼊控制系统⼯作原理与功能对⽐北信源⽹络接⼊控制系统⼯作原理与功能北京北信源软件股份有限公司⽬录1.整体说明 (3)2.核⼼技术 (3)2.1. 重定向技术 (3)2.2. 策略路由准⼊控制技术 (4)2.3. 旁路⼲扰准⼊控制技术 (6)2.4. 透明⽹桥准⼊控制技术 (7)2.5. 虚拟⽹关准⼊控制技术 (7)2.6. 局域⽹控制技术 (8)2.7. ⾝份认证技术 (8)2.8. 安检修复技术 (9)2.9. 桌⾯系统联动 (9)3.产品功能对⽐ (9)1.整体说明准⼊⽹关对接⼊设备进⾏访问控制，对于未注册⽤户进⾏WEB重定向进⾏注册；注册后的⽤户进⾏认证或安检后可以访问⽹络；管理员可以配置采取何种准⼊控制⽅式，如策略路由，旁路监听，透明⽹桥，虚拟⽹关等；同时可以选择使⽤不同的认证类型，如本地认证，Radius认证，AD域认证等，⽽认证途径采取⽹关强制重定向；准⼊⽹关整体上对准⼊的控制可分为两类，⼀类是⽹关⾃⼰控制数据的流通，另⼀类则是通过配置交换机，让交换机来控制数据包的流通。

⽬前准⼊⽹关实现的策略路由和旁路监听，透明⽹桥等准⼊控制均属于前者，也就是⽹关⾃⼰通过放⾏或丢弃、阻断数据包，来达到准⼊控制，对于数据包的阻断是基于tcp 实现的；⽽虚拟⽹关则是通过控制交换机VLAN来达到准⼊控制；2.核⼼技术为了适应不同业务环境下的统⼀⼊⽹控制，北信源⽹络接⼊控制系统采⽤多种核⼼技术设计，⽀持多种准⼊控制模式，实现从多⾓度多维度的终端⼊⽹安全控制。

2.1.重定向技术接⼊控制的⽬的是为了阻⽌不可信终端随意接⼊⽹络，对于不可信终端的判定需要⼀个过程，如何在判定过程中进⾏良好的提⽰,这就对产品的⼈机界⾯设计提出了较⾼的要求。

业界通常的做法是针对http性质的业务访问进⾏重定向，以往针对http的业务区分主要基于业务端⼝（主要为80端⼝），对于⾮80业务端⼝的http业务不能有效区分。

针对以上情况，北信源⽹络接⼊控制系统对http业务进⾏了深度识别，除80端⼝的http业务可以进⾏有效重定向之外，针对⾮80端⼝的http业务也能进⾏有效的识别和重定向。

北信源终端安全管理系统802.1x准入流程1．802.1x的认证过程可以描述如下(1) 客户端（PC）向接入设备（交换机）发送一个EAPoL-Start 报文，开始802.1x认证接入;(2) 接入设备（交换机）向客户端（PC）发送EAP-Request/Identity报文，要求客户端（PC）将用户名送上来;(3) 客户端（PC）回应一个EAP-Response/Identity给接入设备（交换机）的请求，其中包括用户名;(4) 接入设备（交换机）将EAP-Response/Identity报文封装到RADIUS Access-Request报文中，通过路由器发送给认证服务器;(5) 认证服务器产生一个Challenge，通过接入设备（交换机）将RADIUS Access-Challenge报文发送给客户端（PC），其中包含有EAP-Request/MD5-Challenge;(6) 接入设备（交换机）通过EAP-Request/MD5-Challenge发送给客户端（PC），要求客户端（PC）进行认证(7) 客户端（PC）收到EAP-Request/MD5-Challenge报文后，将密码和Challenge做MD5算法后的Challenged-Pass-word，在EAP-Response/MD5-Challenge回应给接入设备（交换机）(8) 接入设备（交换机）将Challenge，Challenged Password 和用户名一起送到RADIUS服务器，由RADIUS服务器进行认证(9)RADIUS服务器根据用户信息，做MD5算法，判断用户是否合法，然后回应认证成功/失败报文到接入设备（交换机）。

如果成功，携带协商参数，以及用户的相关业务属性给用户授权。

如果认证失败，则流程到此结束;(10) 如果认证通过，用户通过标准的DHCP协议(可以是DHCP Relay) ，通过接入设备（交换机）获取规划的IP地址;(11) 如果认证通过，用户正常上网。

北信源法院系统终端安全管理系统解决方案北京北信源软件股份有限公司2015年3月目录1. 前言 (4)1.1. 概述 (4)1.2. 应对策略 (5)2. 终端安全防护理念 (6)2.1. 安全理念 (6)2.2. 安全体系 (7)3. 终端安全管理解决方案 (8)3.1. 终端安全管理建设目标 (8)3.2. 终端安全管理方案设计原则 (8)3.3. 终端安全管理方案设计思路 (9)3.4. 终端安全管理解决方案实现 (11)3.4.1. 网络接入管理设计实现 (11)3.4.1.1. 网络接入管理概述 (11)3.4.1.2. 网络接入管理方案及思路 (11)3.4.2. 补丁及软件自动分发管理设计实现 (16)3.4.2.1. 补丁及软件自动分发管理概述 (16)3.4.2.2. 补丁及软件自动分发管理方案及思路 (16)3.4.3. 移动存储介质管理设计实现 (20)3.4.3.1. 移动存储介质管理概述 (20)3.4.3.2. 移动存储介质管理方案及思路 (20)3.4.4. 桌面终端管理设计实现 (23)3.4.4.1. 桌面终端管理概述 (23)3.4.4.2. 桌面终端管理方案及思路 (24)3.4.5. 终端安全审计设计实现 (35)3.4.5.1. 终端安全审计概述 (35)3.4.5.2. 终端安全审计方案及思路 (36)4. 方案总结 (41)1.前言1.1.概述随着法院信息化的飞速发展，业务和应用逐渐完全依赖于计算机网络和计算机终端。

为进一步提高法院信息系统内部的安全管理与技术控制水平，必须建立一套完整的终端安全管理体系，提高终端的安全管理水平。

由于法院信息系统内部缺乏必要管理手段，导致网络管理人员对终端管理的难度很大，难以发现有问题的电脑，从而计算机感染病毒，计算机被安装木马，部分员工使用非法软件，非法连接互联网等情况时有发生，无法对这些电脑进行定位，这些问题一旦发生，往往故障排查的时间非常长。

北信源终端安全管理系统802.1x准入流程北信源终端安全管理系统802.1x准入流程1．802.1x的认证过程可以描述如下(1) 客户端（PC）向接入设备（交换机）发送一个EAPoL-Start 报文，开始802.1x认证接入;(2) 接入设备（交换机）向客户端（PC）发送EAP-Request/Identity 报文，要求客户端（PC）将用户名送上来;(3) 客户端（PC）回应一个EAP-Response/Identity给接入设备（交换机）的请求，其中包括用户名;(4) 接入设备（交换机）将EAP-Response/Identity报文封装到RADIUS Access-Request报文中，通过路由器发送给认证服务器;(5) 认证服务器产生一个Challenge，通过接入设备（交换机）将RADIUS Access-Challenge报文发送给客户端（PC），其中包含有EAP-Request/MD5-Challenge;(6) 接入设备（交换机）通过EAP-Request/MD5-Challenge发送给客户端（PC），要求客户端（PC）进行认证(7) 客户端（PC）收到EAP-Request/MD5-Challenge报文后，将密码和Challenge做MD5算法后的Challenged-Pass-word，在EAP-Response/MD5-Challenge回应给接入设备（交换机）(8) 接入设备（交换机）将Challenge，Challenged Password和用户名一起送到RADIUS服务器，由RADIUS服务器进行认证(9)RADIUS服务器根据用户信息，做MD5算法，判断用户是否合法，然后回应认证成功/失败报文到接入设备（交换机）。

如果成功，携带协商参数，以及用户的相关业务属性给用户授权。

如果认证失败，则流程到此结束;(10) 如果认证通过，用户通过标准的DHCP协议(可以是DHCP Relay) ，通过接入设备（交换机）获取规划的IP地址;(11) 如果认证通过，用户正常上网。

常见准入控制技术分析网络准入控制NAC（Network Access control）的简称，准入控制是指对网络的边界进行保护，对接入网络的终端和终端的使用人进行合规性检查，准入控制让接入你网络的每一个人，每个终端都具有合法性，合规性，是可信的，主要是认证+授权，无计费（更加后台radius的不同和客户的不同可支持将不同的条件作为合规检查的条件）。

网络准入控制技术通常包括：根据分类网络准入控制技术主要包含以下三大类：一、基于网络设备的准入控制技术802.1X准入控制技术：IEEE 802.1X是IEEE制定关于用户接入网络的认证标准，二层协议，不需要到达三层，对设备的整体性能要求不高，可以有效降低建网成本；常用到EAP（扩展认证协议），可以提供良好的扩展性和适应性，实现对传统PPP认证架构的兼容；由于是IEEE标准所以被许多交换机厂家广泛支持，而且在国内许多的准入控制软件厂商中也得到广泛应用。

但很遗憾的是很多软件厂商做得很差，客户端维护麻烦，还需要修改网卡属性。

而且802.1X虽然是IEEE标准，但是各个交换机厂商在采用认证加密的算法可能不一样，很多国内厂商的客户端和radius都无法兼容市场上所有的厂商的802.1X认证。

802.1X主要采用VLAN 动态切换的方式授权客户端，近几年部分厂商开始支持通过下发ACL方式授权客户端。

802.1X目前的不足指出在于：由于是二层协议，同时802.1x在交换机上基本是端口插线加电即启动认证，所以在大多场合不支持，如VPN、WLAN、专线等环境,无法穿透3层网络环境。

而且在HUB的情况下.VLAN无法切换。

更有很多厂商无法解决HUB环境认证的问题。

CISCO EOU 准入控制技术：EAP OVER UDP ,是思科公司私有的准入控制技术；CISCO 3550 以上设备支持，传说此技术是CISCO 为了解决HUB环境下多设备认证而提出的，当然不可能是仅限于此目的；EOU技术工作在3层，采用UDP 封装，客户端开放UDP 21862 端口，由于是3层所以在很多地方比二层协议更灵活，如在灾备，设备例外，认证放行等特性上都较为灵活。

北信源网络接入控制管理系统产品白皮书北信源软件股份声明本手册的所有容，其属于北信源软件股份（以下简称北信源公司）所有，未经北信源许可，任何人不得仿制、拷贝、转译或任意引用。

本手册没有任何形式的担保、立场倾向或其他暗示。

商标声明本手册中所谈及的产品名称仅做识别之用，而这些名称可能属于其他公司的注册商标或是，其他提到的商标，均属各该商标注册人所有，恕不逐一列明。

产品声明本手册中提到的产品功能或性能可能因产品具体型号、配备环境、配置方法不同而有所差异，由此可能产生的差异为正常现象，相关问题请咨询北信源公司技术服务人员。

免责声明若因本手册或其所提到的任何信息引起的直接或间接的资料流失、利益损失，北信源公司及其员工均不承担任何责任。

目录1.系统概述 (4)2.系统架构 (4)3.系统组成 (6)3.1.策略服务器 (6)3.2.认证客户端 (6)3.3.Radius认证服务器 (7)3.4.Radius认证系统 (7)3.5.硬件接入网关（可选配） (8)4.系统特性 (8)4.1.全面的安全检查 (8)4.2.技术的先进性 (8)4.3.功能的可扩展性 (8)4.4.系统可整合性 (9)4.5.无缝扩展与升级 (9)5.系统功能 (9)5.1.准入身份认证 (9)5.2.完整性检查功能 (10)5.3.安全修复功能 (10)5.4.管理与报表 (11)5.5.终端安全策略设置 (12)6.典型应用 (13)6.1.802.1x环境应用 (13)6.2.非802.1x环境应用 (14)6.3.VPN环境应用 (15)6.4.域环境应用 (15)1.系统概述北信源网络接入控制管理系统能够强制提升企业网络终端的接入安全，保证企业网络保护机制不被间断，使网络安全得到更有效提升。

与此同时，还可以对于远程接入企业部网络的计算机进行身份、唯一性及安全认证。

通过网络安全准入控制不仅能够将终端设备接入控制扩展到超出简单远程访问及路由器、专有协议和已管理设备的限定之外，还能够覆盖到企业网络的每一个角落，甚至是当使用者的移动设备离开企业网络时，仍能有效的提供终端设备接入控制的执行。

与北信源网络准入控制系统的对比分析：1、管理服务器部署：北信源管理服务器部署时，需要分别安装多个服务器部件，并需严格按顺序安装。

操作比较繁琐，部署效率较低。

联软科技Leagview管理服务器部署时，仅一个安装包+一个SP补丁包即可，操作简便，简单易懂，部署效率高。

2、Radius认证服务器部署北信源安全准入管理中并无自己的Radius服务器，启用802.1x准入控制需安装第三方免费的Radius服务器（如IAS或者ACS的RADIUS认证服务器）才能实现802.1x准入控制。

北信源完全没有对Radius认证服务器的任何开发、维护能力，借助第三方Radius认证服务器，一旦出现网络准入故障，较难排查故障原因，而且对于终端接入的状态检查能力也较弱。

第三方Radius服务器单独部署配置，操作较为繁琐。

联软科技LeagView网络准入控制系统，采用独立自主研发的Radius认证服务器，能够支持802.1x、EoU等多种方式的网络准入控制检查认证，除了能够检查终端接入网络的用户帐号身份，还能够进一步检查终端自身的安全状态是否合规，能够检查接入终端硬件信息，对终端接入检查进行更为严格的绑定检查。

单台Radius最大能够支持2万终端用户认证，能够与管理服务器整合在一个平台下集中部署，也能够独立部署，安装和配置都十分简单。

3、网络准入控制接入方式北信源仅支持基于802.1x协议的准入控制方式，结合北信源自己的硬件VRV-BMG，还能够实现基于强制注册网关：在不完全支持802.1x的网络中可完成未注册终端访问网页时进行DNS重定向或HTTP重定向，以达到强制注册目的。

联软科技LeagView网络准入控制系统能支持基于802.1x协议的网络准入控制，还支持Cisco NAC架构中的EoU协议网络准入控制方式，同时联软科技还提供LeagView® UniAccess TM NAC Controller准入控制器（简称“NACC”），是一种基于Cisco EAP over UDP协议技术的硬件网关型设备，专为解决非802.1X 网络环境下（接入层交换机不支持802.1X ）的网络准入控制问题而设计。

常见准入控制技术分析常见准入控制技术分析网络准入控制NAC（Network Access control）的简称，准入控制是指对网络的边界进行保护，对接入网络的终端和终端的使用人进行合规性检查，准入控制让接入你网络的每一个人，每个终端都具有合法性，合规性，是可信的，主要是认证+授权，无计费（更加后台radius的不同和客户的不同可支持将不同的条件作为合规检查的条件）。

网络准入控制技术通常包括：根据分类网络准入控制技术主要包含以下三大类：一、基于网络设备的准入控制技术802.1X准入控制技术：IEEE 802.1X是IEEE制定关于用户接入网络的认证标准，二层协议，不需要到达三层，对设备的整体性能要求不高，可以有效降低建网成本；常用到EAP（扩展认证协议），可以提供良好的扩展性和适应性，实现对传统PPP认证架构的兼容；由于是IEEE标准所以被许多交换机厂家广泛支持，而且在国内许多的准入控制软件厂商中也得到广泛应用。

但很遗憾的是很多软件厂商做得很差，客户端维护麻烦，还需要修改网卡属性。

而且802.1X虽然是IEEE 标准，但是各个交换机厂商在采用认证加密的算法可能不一样，很多国内厂商的客户端和radius都无法兼容市场上所有的厂商的802.1X认证。

802.1X主要采用VLAN 动态切换的方式授权客户端，近几年部分厂商开始支持通过下发ACL方式授权客户端。

802.1X目前的不足指出在于：由于是二层协议，同时802.1x在交换机上基本是端口插线加电即启动认证，所以在大多场合不支持，如VPN、WLAN、专线等环境,无法穿透3层网络环境。

而且在HUB 的情况下.VLAN无法切换。

更有很多厂商无法解决HUB环境认证的问题。

CISCO EOU 准入控制技术：EAP OVER UDP ,是思科公司私有的准入控制技术；CISCO 3550 以上设备支持，传说此技术是CISCO 为了解决HUB环境下多设备认证而提出的，当然不可能是仅限于此目的；EOU技术工作在3层，采用UDP 封装，客户端开放UDP 21862 端口，由于是3层所以在很多地方比二层协议更灵活，如在灾备，设备例外，认证放行等特性上都较为灵活。

北信源桌面终端标准化管理系统准入控制技术使用手册2010年5月目录一、802.1x认证模块原理 (31-1. 802.1x的工作机制 (31-2. 802.1x的认证过程 (4二、VRVEDP-NAC系统硬件配置及实施方案 (52-1.VRVEDP-NAC相关系统硬件配置 (52-2.VRVEDP-NAC实施方案 (5三、802.1x认证应用注册事项 (22四、802.1x认证应急预案 (244-1.预案流程 (244-2.应急事件处理方法 (24一、802.1x认证模块原理1-1. 802.1x的工作机制IEEE 802.1x认证系统利用EAP(Extensible Authentication Protocol,可扩展认证协议协议,作为在客户端和认证服务器之间交换认证信息的手段。

802.1x认证系统的工作机制在客户端PAE与设备端PAE之间,EAP协议报文使用EAPOL封装格式,直接承载于LAN 环境中。

在设备端PAE与RADIUS服务器之间,EAP协议报文可以使用EAPOR封装格式(EAP over RADIUS,承载于RADIUS协议中;也可以由设备端PAE进行终结,而在设备端PAE与RADIUS服务器之间传送PAP协议报文或CHAP协议报文。

当用户通过认证后,认证服务器会把用户的相关信息传递给设备端,设备端PAE 根据RADIUS服务器的指示(Accept或Reject决定受控端口的授权/非授权状态。

1-2. 802.1x的认证过程802.1x认证系统的认证过程1. 当用户有上网需求时打开802.1x客户端,输入已经申请、登记过的用户名和口令,发起连接请求(EAPOL-Start报文。

此时,客户端程序将发出请求认证的报文给交换机,开始启动一次认证过程。

2. 交换机收到请求认证的数据帧后,将发出一个请求帧(EAP-Request/Identity报文要求用户的客户端程序发送输入的用户名。

北信源VRV-BMG终端准入控制系统产品背景网络接入控制管理系统能够强制提升企业网络终端的接入安全，保证企业网络保护机制不被间断，使网络安全得到更有效提升。

与此同时基于设备接入控制网关，还可以对于远程接入企业内部网络的计算机进行身份、唯一性及安全认证。

通过网络接入控制管理系统可以满足企业要求，将设备接入控制扩展到超出简单远程访问及路由器、专有协议和已管理设备的限定之外；能够覆盖到企业网络的每一个角落，甚至是当使用者拿着他们的移动设备离开企业网络时，仍能有效的提供设备接入控制的执行。

网络接入控制管理系统针对所有的网络架构工作，并且不必进行昂贵的网络架构改造。

北信源VRV-BMG终端准入控制系统产品是一款基于内网用户网络行为管理和控制的硬件网关。

有如下具体特点：1)具有网络访问控制、网络行为管理、网页过滤检查、带宽流量管理、综合内容审计等功能。

主要用于解决企业内网、行业用户接入互联网或外联网可能引发的各种安全问题。

通过对内网用户的网络行为管理和控制，从而解决网络规范访问控制、网页浏览过滤、网络带宽资源滥用，以及对P2P软件、游戏软件、股票软件、即时通信等各种应用软件的管理和控制，并实现对上述各种网络行为的管理和审计功能；2)采用先进的深度业务识别DSI技术，能够快速识别包括多种流行P2P及其变种协议、网络流媒体协议、网路游戏、股票软件以及行业用户专用网络协议。

深度业务识别DSI技术是在DPI和DFI技术上发展起来的一种新型的7层应用识别技术。

由于深度业务识别检测DSI技术基于业务本身的特征而不是报文数据细节，对于检测加密或加扰应用协议具有更高的识别率，特别是对于新增和变种的网络应用和业务类型，DSI更具备良好的适应性；3)通过系统内置的网络应用业务特征，综合运用继承式应用描述语言HADL，从而允许网络管理者针对不同的内网用户、不同时段，综合企业的实际需求制定适合本企业的网络行为管理规范。

继承式应用描述语言HADL通过业务拓扑级——流特征级——报文特征的继承描述关系精确描述某项业务的特征。

北信源内网安全管理系统用户使用手册北京北信源软件股份有限公司二〇一一年支持信息在北信源内网安全管理系统使用过程中，如您有任何疑问都可以通过访问我公司网站或者致电我司客服中心获得帮助和支持！热线支持：400-8188-110客户服务电话：在您使用该产品过程中，如果有好的意见或建议的话也请联系我们的客服中心，感谢您对我公司产品的信任和支持！正文目录第一章概述 ................................................................................................................特别说明 ............................................................................................................................ 产品构架 ............................................................................................................................ 应用构架 ............................................................................................................................第二章北信源内网安全管理系统 ..............................................................................策略中心 ............................................................................................................................策略管理中心 .................................................................................................................网关接入认证配置 .........................................................................................................阻断违规接入管理 ......................................................................................................... 补丁分发 ............................................................................................................................ 数据查询 ............................................................................................................................本地注册情况统计 .........................................................................................................本地设备资源统计 .........................................................................................................本地设备类型统计 .........................................................................................................USB标签信息查询 .........................................................................................................设备信息查询 .................................................................................................................审计数据查询 .................................................................................................................分发数据查询 .................................................................................................................非Windows操作系统设备............................................................................................ 终端管理 ............................................................................................................................终端管理 .........................................................................................................................行为控制 .........................................................................................................................远程协助 ......................................................................................................................... 运维监控 ............................................................................................................................ 报表管理 ............................................................................................................................ 报警管理 ............................................................................................................................报警数据查询 .................................................................................................................本地区域报警数据统计 .................................................................................................本地报警数据汇总 ......................................................................................................... 级联总控 ............................................................................................................................级联注册情况统计 .........................................................................................................级联设备资源统计 .........................................................................................................级联设备类型统计 .........................................................................................................级联管理控制 .................................................................................................................区域管理器状态查询 .....................................................................................................区域扫描器状态查询 .....................................................................................................级联上报数据 .................................................................................................................级联报警数据 .................................................................................................................系统用户分配与管理 .....................................................................................................用户设置 .........................................................................................................................数据重整 .........................................................................................................................审计用户 .........................................................................................................................第三章北信源补丁及文件分发管理系统 ...................................................................区域管理器补丁管理设置 ................................................................................................补丁下载配置 .................................................................................................................文件分发策略配置 ......................................................................................................... 策略中心 ............................................................................................................................补丁分发策略 .................................................................................................................软件分发策略 .................................................................................................................其他策略 ......................................................................................................................... 补丁分发 ............................................................................................................................ 补丁自动下载分发 ............................................................................................................补丁下载服务器 .............................................................................................................补丁库分类 .....................................................................................................................补丁下载转发代理 ......................................................................................................... 客户端补丁检测（一） .................................................................................................... 客户端补丁检测（二） ....................................................................................................第四章北信源主机监控审计系统 ..............................................................................策略中心 ............................................................................................................................行为管理及审计 .............................................................................................................涉密检查策略 .................................................................................................................其他策略 ......................................................................................................................... 数据查询 ............................................................................................................................第五章北信源移动存储介质使用管理系统 ...............................................................策略中心 ............................................................................................................................可移动存储管理 .............................................................................................................其他策略 ......................................................................................................................... 数据查询 ............................................................................................................................第六章北信源网络接入控制管理系统.......................................................................网关接入配置认证 ............................................................................................................ 策略中心 ............................................................................................................................接入认证策略 .................................................................................................................其他策略 ......................................................................................................................... 环境准备方法 ....................................................................................................................安装RADIUS (windows IAS)............................................................................................Cisco2950配置方法........................................................................................................华为3COM 3628配置....................................................................................................锐捷RGS21配置 .............................................................................................................第七章北信源接入认证网关......................................................................................网关接入配置认证 ............................................................................................................ 策略中心 ............................................................................................................................第八章系统备份及系统升级......................................................................................系统数据库数据备份及还原 ............................................................................................ 系统组件升级 ....................................................................................................................区域管理器、扫描器模块升级 .....................................................................................升级网页管理平台 .........................................................................................................客户端注册程序升级 .....................................................................................................检查系统是否升级成功 ................................................................................................. 级联管理模式升级及配置 ................................................................................................附录 ..............................................................................................................................附录（一）北信源内网安全管理系统名词注释 ............................................................ 附录（二）移动存储设备认证工具操作说明 ................................................................USB标签制作 .................................................................................................................USB标签制作工具 .........................................................................................................USB标签制作历史查询 .................................................................................................移动存储审计策略 .........................................................................................................移动存储审计数据 ......................................................................................................... 附录（三）主机保护工具操作说明 ................................................................................ 附录（四）组态报表管理系统操作说明 ........................................................................模版制定 .........................................................................................................................报表输出 ......................................................................................................................... 附录（五）报警平台操作说明 ........................................................................................设置 .................................................................................................................................日志查询 .........................................................................................................................窗口 .................................................................................................................................更换界面 .........................................................................................................................帮助 ................................................................................................................................. 附录（六）漫游功能说明 ................................................................................................漫游功能介绍 .................................................................................................................漫游功能配置 ................................................................................................................. 附录（七）IIS服务器配置说明 .......................................................................................WIN2003-32位IIS配置说明..........................................................................................WIN2003-64位IIS配置说明..........................................................................................WIN2008-64位IIS配置说明..........................................................................................图目录图1-1北信源终端安全管理应用拓扑 ............................................................................... 图2-1创建新策略 ............................................................................................................... 图2-2下发策略 ................................................................................................................... 图2-3策略控制 ................................................................................................................... 图2-4硬件设备控制 ........................................................................................................... 图2-5软件安装监控策略 ................................................................................................... 图2-6进程执行监控策略 ................................................................................................... 图2-7进程保护策略 ........................................................................................................... 图2-8协议防火墙策略 ....................................................................................................... 图2-9注册表 ....................................................................................................................... 图2-10IP与MAC绑定策略 ................................................................................................ 图2-11防违规外联策略 ..................................................................................................... 图2-12违规提示 ................................................................................................................. 图2-13文件备份路径设置 ................................................................................................. 图2-14注册码配置 ............................................................................................................. 图2-15阻断违规接入控制设置 ......................................................................................... 图2-16本地注册情况信息 ................................................................................................. 图2-17本地设备资源信息 ................................................................................................. 图2-18本地设备类型统计 ................................................................................................. 图2-19软件变化信息 ......................................................................................................... 图2-20注册日志信息 ......................................................................................................... 图2-21交换机扫描管理配置 ............................................................................................. 图2-22设备信息统计图表 ................................................................................................. 图2-23级联设备信息 ......................................................................................................... 图2-24级联设备系统类型统计 ...................................................................................... 图2-25级联管理控制 ......................................................................................................... 图2-26下级级联区域管理器信息 ..................................................................................... 图2-27区域管理器状态信息 ............................................................................................. 图2-28区域扫描器状态信息 ............................................................................................. 图2-29级联上报数据 ......................................................................................................... 图2-30系统用户列表 ......................................................................................................... 图2-31添加系统用户界面 ................................................................................................. 图2-32用户管理列表 ......................................................................................................... 图2-33终端控制权限 ......................................................................................................... 图2-34屏幕监控权限 ......................................................................................................... 图2-35密码初始化提示框 ................................................................................................. 图2-36密码初始化完成提示框 ......................................................................................... 图2-37修改ADMIN用户密码..............................................................................................图2-39审计用户登录 ......................................................................................................... 图3-1区域管理器补丁管理设置 ....................................................................................... 图3-2分发参数设置 ........................................................................................................... 图3-3补丁自动分发 ........................................................................................................... 图3-4补丁下载服务器界面 ............................................................................................... 图3-5补丁下载服务器设置 ............................................................................................... 图3-6补丁代理传发支持 ................................................................................................... 图3-7补丁下载设置 ........................................................................................................... 图3-8登录页面 ................................................................................................................... 图3-9工具下载页面 ........................................................................................................... 图3-10补丁检测中心 ......................................................................................................... 图3-11客户端补丁漏打检测 ............................................................................................. 图6-1网关接入认证 ........................................................................................................... 图6-2重定向配置 ............................................................................................................... 图6-3用户添加 ................................................................................................................... 图6-4补丁与杀毒软件认证策略 ....................................................................................... 图6-5接入认证策略 ........................................................................................................... 图6-6802．1X认证界面..................................................................................................... 图6-7802．1X认证界面..................................................................................................... 图6-8安全检查没有通过，802.1X不启动认证 ............................................................... 图6-9认证失败 ................................................................................................................... 图6-10添加I NTERNET验证服务组件 .................................................................................. 图6-11IAS配置界面 ........................................................................................................... 图6-12新建RADIUS客户端............................................................................................... 图6-13新建RADIUS客户端............................................................................................... 图6-14新建远程访问策略 ................................................................................................. 图6-15设置远程访问策略 ................................................................................................. 图6-16设置远程访问策略 ................................................................................................. 图6-17设置远程访问策略选择用户 ................................................................................. 图6-18设置远程访问策略使用MD5质询 ....................................................................... 图6-19设置远程访问策略新建的策略 ............................................................................. 图6-20选择D AY-A ND-T IME-R ESTRICTIONS.............................................................................. 图6-21选择允许 ................................................................................................................. 图6-22设置属性 ................................................................................................................. 图6-23添加属性值VLAN..................................................................................................... 图6-24添加属性值802 ...................................................................................................... 图6-25添加属性值600 ...................................................................................................... 图6-26添加属性值600 ...................................................................................................... 图6-27编辑拨入配置文件 ................................................................................................. 图6-28新建连接请求策略 .................................................................................................图6-30策略配置 ................................................................................................................. 图6-31添加远程登录用户 ................................................................................................. 图6-32设置用户属性 ......................................................................................................... 图6-33设置TEST用户 ......................................................................................................... 图6-34设置启用 ................................................................................................................. 图6-35VRV EDP A GENT认证成功 ........................................................................................ 图6-36创建用户界面 ......................................................................................................... 图6-37用户添加 ................................................................................................................. 图6-38设置用户密码 ......................................................................................................... 图6-39进入N ETWORK C ONFIGURATION ..................................................................................... 图6-40AAA C LIENT 配置 ..................................................................................................... 图6-41AAA S ERVER 配置 ..................................................................................................... 图6-42进入I NTERFACE C ONFIGURATION .................................................................................. 图6-43进入RADIUS(IETF) ................................................................................................ 图6-44进入G ROUP S ETUP...................................................................................................... 图6-45进入E DIT S ETTINGSP................................................................................................. 图7-1网关接入认证 ........................................................................................................... 图7-2重定向配置 ............................................................................................................... 图7-3用户添加 ................................................................................................................... 图7-4网关接入认证策略 ................................................................................................... 图8-1级联管理配置 ........................................................................................................... 附图-1修改用户 ADMIN USB标签 ..................................................................................... 附图-2下载D EVICE N UMBER.EXE............................................................................................. 附图-3全局参数 .................................................................................................................. 附图-4U SB T OOL登录 ............................................................................................................ 附图-5U SB T OOL界面............................................................................................................. 附图-6分区格式化 .............................................................................................................. 附图-7制作移动硬盘标签1 ............................................................................................... 附图-8制作移动硬盘标签2 ............................................................................................... 附图-9制作移动硬盘标签3 ............................................................................................... 附图-10制作移动硬盘标签4 ............................................................................................. 附图-11制作移动硬盘标签5 ............................................................................................. 附图-12制作移动硬盘标签6 ............................................................................................. 附图-13制作移动硬盘标签7 ............................................................................................. 附图-14制作移动硬盘标签8 ............................................................................................. 附图-15制作移动硬盘标签9 ............................................................................................. 附图-16制作移动硬盘标签10 ........................................................................................... 附图-17制作移动硬盘标签11 ........................................................................................... 附图-183个分区的优盘和移动硬盘内网登录界面 ......................................................... 附图-19整盘加密的优盘和移动硬盘内网登录界面 ........................................................附图-20外网插入3个分区的优盘或移动硬盘盘符 ........................................................ 附图-21交换区登录界面 .................................................................................................... 附图-22外网插入整盘加密优盘或移动盘符 .................................................................... 附图-23信息提示 ................................................................................................................ 附图-24U SB T OOL登录........................................................................................................... 附图-25U SB T OOL界面 .......................................................................................................... 附图-26初始化密码 ............................................................................................................ 附图-27标签历史查询 ........................................................................................................ 附图-28访问控制配置说明 ................................................................................................ 附图-29DOS/DDOS配置说明 ............................................................................................. 附图-30创建模板 ................................................................................................................ 附图-31确定报表标题及报表尾 ........................................................................................ 附图-32定义报表输入项 .................................................................................................... 附图-33确定输出条件 ........................................................................................................ 附图-34确定关联 ................................................................................................................ 附图-35保存模板 ................................................................................................................ 附图-36修改模板名称 ........................................................................................................ 附图-37修改模版的输出标题和表尾 ................................................................................ 附图-38修改输出列选项 .................................................................................................... 附图-39修改关联选项 ........................................................................................................ 附图-40修改时间范围统计 ................................................................................................ 附图-41模板预览 ................................................................................................................ 附图-42输出EXCEL报表模板信息 ...................................................................................... 附图-43时间定义 ................................................................................................................ 附图-44模板导入 ................................................................................................................ 附图-45模板导出 ................................................................................................................ 附图-46报警平台设置 ........................................................................................................ 附图-47高级设置 ................................................................................................................ 附图-48报警设置上 ............................................................................................................ 附图-49报警设置下 ............................................................................................................ 附图-50日志查询 ................................................................................................................ 附图-51报警中心界面 ........................................................................................................ 附图-52漫游示意 ................................................................................................................ 附图-53结合接入认证漫游示意图 .................................................................................... 附图-54CA服务器界面 ....................................................................................................... 附图-55区域管理器配置界面 ............................................................................................ 附图-56客户端迁移策略配置界面 .................................................................................... 附图-57重原管理区漫游出去的客户端 ............................................................................ 附图-58漫游到新管理器的客户端 .................................................................................... 附图-59进去漫游组中的漫游客户端 ................................................................................ 附图-60漫游回原管理器的客户端 ....................................................................................。

北信源桌面终端标准化管理系统准入控制技术使用手册2010年5月目录一、802.1x认证模块原理 (31-1. 802.1x的工作机制 (31-2. 802.1x的认证过程 (4二、VRVEDP-NAC系统硬件配置及实施方案 (52-1.VRVEDP-NAC相关系统硬件配置 (52-2.VRVEDP-NAC实施方案 (5三、802.1x认证应用注册事项 (22四、802.1x认证应急预案 (244-1.预案流程 (244-2.应急事件处理方法 (24一、802.1x认证模块原理1-1. 802.1x的工作机制IEEE 802.1x认证系统利用EAP(Extensible Authentication Protocol,可扩展认证协议协议,作为在客户端和认证服务器之间交换认证信息的手段。

802.1x认证系统的工作机制在客户端PAE与设备端PAE之间,EAP协议报文使用EAPOL封装格式,直接承载于LAN 环境中。

在设备端PAE与RADIUS服务器之间,EAP协议报文可以使用EAPOR封装格式(EAP over RADIUS,承载于RADIUS协议中;也可以由设备端PAE进行终结,而在设备端PAE与RADIUS服务器之间传送PAP协议报文或CHAP协议报文。

当用户通过认证后,认证服务器会把用户的相关信息传递给设备端,设备端PAE 根据RADIUS服务器的指示(Accept或Reject决定受控端口的授权/非授权状态。

1-2. 802.1x的认证过程802.1x认证系统的认证过程1. 当用户有上网需求时打开802.1x客户端,输入已经申请、登记过的用户名和口令,发起连接请求(EAPOL-Start报文。

此时,客户端程序将发出请求认证的报文给交换机,开始启动一次认证过程。

2. 交换机收到请求认证的数据帧后,将发出一个请求帧(EAP-Request/Identity报文要求用户的客户端程序发送输入的用户名。