EAD局域网解决方案

  • 格式:doc
  • 大小:310.50 KB
  • 文档页数:3

EAD局域网解决方案杭州华三通信技术有限公司
EAD局域网解决方案
目前,网络管理员和业界更多的关注了对外网的防护,包括部署IPS/IDS、防火墙等设备,但是实际中更多的网络安全事件都是由脆弱的用户终端和“失控”的局域网使用行为引起。

在局域网中,用户终端不及时升级系统补丁和病毒库的现象普遍存在;私设代理服务器、私自访问外部网络、滥用企业禁用软件等行为也比比皆是。

“失控”的用户终端一旦接入网络,就相当于安全威胁绕过了IPS/IDS、防火墙这些“马奇诺防线”,直接面对企业的核心业务。

因此保证用户终端的安全,对用户的局域网访问行为进行有效的控制,是保证企业网络安全运行的前提,也是目前局域网安全管理急需解决的问题。

EAD提供了一个全新的安全防御体系,将防病毒功能与网络接入控制相融合,加强了对用户/终端的集中管理,提高了网络终端的主动抵抗能力。

EAD方案通过安全客户端、安全策略服务器、接入设备以及防病毒软件的联动,可以将不符合安全要求的终端限制在“隔离区”内,防止“危险”终端对局域网安全的损害,避免“易感”终端受病毒、蠕虫的攻击,从而大幅度提升了局域网抵御新兴安全威胁的能力。

为了确保只有符合企业安全标准的用户接入网络,EAD通过交换机的配合,强制用户在接入网络前通过802.1x方式进行身份认证和安全状态评估,帮助管理员实施企业安全策略,确保终端病毒库和系统补丁得到及时更新,降低病毒和蠕虫蔓延的风险,阻止来自企业内部的安全威胁。

接入层交换机实施EAD的组网方案
EAD可以配合接入层交换机,通过802.1x认证方式实现对接入用户的端点准入控制。

在这种组网方案中,策略强制执行点在接入层交换机上,具有对不符合安全策略的用户隔离严格的特点,可以有效防止来自企业网络内部的安全威胁。

但这种组网方案要求接入交换机支持EAD功能。

如下图:
图1接入层的端点准入组网方案
汇聚层交换机实施EAD的组网方案
如果接入交换机不支持EAD功能,也可以在汇聚交换机上启用EAD功能来执行端点准入的控制。

在这种组网方案中,安全策略的强制执行点在汇聚层交换机上。

对于接入层交换机内部之间的互访,可以启用端口隔离、PVLAN等安全功能,来防止接入层交换机内部主机的相互影响。

如下图:
图2汇聚层的端点准入组网方案。