拨云见日：企业网络准入策略小议(1)(2)

三层认证

说了这么多，传统的二层方案是个完美的方案了？如果放在五年前，也许是这样，但随着网络的发展，接入环境越来越复杂，802.1X在某些方面渐渐显得力不从心了。例如，某些企业需要为访客提供无线网络接入，但不可能每次有来访人员时临时在笔记本电脑上配置802.1X策略，这就需要一个快捷的办法将没有经过认证的第三方设备接到网络中。

三层认证就在这种背景下应运而生了。

三层认证又被称为WEB认证，顾名思义，认证过程是通过一个WEB页面完成的。当有新的设备需要接入时，网络设备不会默认屏蔽它，而仅仅为其提供一些基本数据的转发能力，如DHCP、DNS等，客户端可以通过DHCP拿到地址，但他还没有办法获得完全的网络权限，比如上个QQ啥的；此时，用户需要发起一个HTTP请求(在浏览器中访问任意一个WEB页面)，交换机或者无线控制器从中截取到用户的这个HTTP请求，并将用户重定向到一个预先写好的认证页面上这个页面可以存放在任意一个IP可达的WEB服务器上），用户在在这个页面使用用户名/密码完成认证，从而获得全面的网络访问权限。

同传统的二层认证比较，WEB最大区别就是去除了对客户端的要求，用户端设备无需进行配置，只要有一个浏览器就OK了，而这个条件基本上所有的个人设备都能够满足。因此，近年来WEB认证的发展非常快，特别是在无线、大型园区等环境中得到了大规模的部署，而主流网络厂家也纷纷将WEB认证作为无线控制器和接入交换机的一项默认内置功能。

三层认证凭借其自身的特点获得了市场的认可，但在现阶段毕竟还是一个补充方案，难以作为企业环境的主力认证方式。首先，每次上网通过WEB页面登录的方式对大多数企业用户来说都“土”了一点儿，而且WEB认证检查的内容也比较简单，大部分时候仅有用户名和密码，在高安全级别的环境中仍显单薄。

客户端方式

除了三层认证和二层认证，还有一种很有意思的思路，即通过客户端对接入用户进行认证。这里所说的客户端是指安装在用户设备的上的软件，其表现形式五花八门，以杀毒软件起家的厂商会做成杀软的功能子集、以桌面控制立足的厂家会做成控制软件的一部分、而传统的网络设备厂家则会将这部分功能集成到VPN\无线接入的用户端软件中。不管是什么路子，这类软件一般只干两件事情：1）从操作系统接手802.1X的认证流程；2）对操作系统的健康状况做检查，如是否安装了最新版补丁、杀毒软件是否更新到最新病毒库等等，若操作系统处于可靠的状态则允许接入网络，否则拒绝。

这种方式有一点像一个加强版的360软件，它不但帮你检查身体，还基于你的身体状况决定你是否能获得一张游泳证。由于健康状态的检查内容包含了系统的补丁安装、应用软件安装、杀毒软件更新等情况，因此，必须在客户的设备上安装一个系统权限非常高的客户端软件才能完成所有的检查工作。

很明显，客户端方式完全是从企业IT部门的视角出发，对最终用户采取更多的限制。通常，这种方式都会和厂家进行紧密的绑定，通过在每台终端设备上安装客户端，用户的IT流程和安全规范也紧密地同厂家能够提供的功能选项结合在一起。