拨云见日：企业网络准入策略小议(1)(3)

三种方式的对比表格

 

三.  延伸思考

用户需要什么样的方案？

企业网的准入是一项非常特殊的技术，最终用户的体验是决定一个项目成败的关键。有的方案从技术上评估非常完美，但实施之后发现最终用户根本接受不了，过多挑战用户的使用习惯，最终被行政层面废掉。

有的客户在被厂家忽悠过后决定在整个公司范围内推广严格的网络准入控制，在所有PC终端上安装安全客户端软件。结果，客户端装上后频频告警，因为不少人在自己的电脑上安装的下载软件强行修改了系统的下载线程限制，还有的员工干脆卸载了原有杀毒软件，自己重新安装了互联网上的免费杀软。这些被折腾过的电脑，在安全客户端内置的严格的策略规则前统统被亮了红灯，上线测试第一周就有不少员工无法正常接入网络。结果IT部门啥都顾不上，成天到各处救火，最后这个系统被大领导一句话下了马。

即使是最通行的802.1X方式，也不一定适应每个地方的水土。当一台配置了802.1X接入的PC机刚开机时需要一定时间同网络侧交互认证信息，如果用户接受程度不高，很可能会认为网络接入效率低，从而投诉，给IT部门造成很大压力。

因此，对于最用用户来说，最好的方案就是用户体验最友好的方案，只有对原有使用流程影响最小的技术方案才能得到上下一致的支持，从而推动最终的全面部署。另一方面，业务部门对准入的支持也至关重要。

IT部门需要什么样的方案

对于IT部门来说，网络准入是一个非常笼统、模糊的概念，什么样的用户能够接入网络？什么样的安全检查才是足够安全？同企业的其他安全策略该如何整合？这些问题在业界都没有统一的结论，而且安全防护是一场没有终点的拉锯战，IT部门不可能无限制地投入资源去追求极致的安全级别。

准入控制的实施过程是非常复杂的，是一个惊动全局的工程，因此，IT部门在上马准入时无不希望是一个循序渐进的过程，先从最基本的二层准入或三层准入开始，逐渐推进到设备健康状态检查等复杂的机制，这在准入项目的实施过程中尤其重要。

其次，准入控制的最终对象是企业内部的人员，而大部分企业往往已经具备了用户数据库，且用户的合法性以此数据库的实时数据为准，比如供人力部门使用的微软Active Directory。新的准入系统要能够方便地与原有数据库集成，特别是将准入系统内复杂的策略直接绑定到已有的用户帐号上。例如有的用户希望对PC机的MAC地址进行认证，而在原有的Active Directory内是没有MAC地址这一个字段的，且这个数据库的管理权不一定在IT部门手里，那么新添加的MAC地址信息如何同原有的用户帐号绑定，并实现帐号信息的定期自动更新就是一个挑战。

最后，准入控制系统一定要有一个清晰、简洁的管理流程和界面。

什么是完美的产品？

综上所述，一个优秀的准入控制技术方案需要具备以下特点：

1）可延续性

所谓可延续性是指采用的技术方案要具有长期的发展路线和支持力度，或者是被广泛应用的公开标准，或者是强大厂商的主流产品。准入机制一旦部署将延伸到网络的各个角落，并同企业今后的安全策略紧密结合起来，如果基础平台不稳定，后期变更将是迁一发动全局的麻烦事；

2）可用性

准入策略的顺利实施一定是以最终用户的接受为基础，因此，准入系统对最终用户的使用流程不能有太大的影响，要提供一个足够友好的用户体验；

3）灵活性

准入策略的内涵非常广泛，企业IT部门在实施时一定是一个逐渐完善的过程，为了应对这种需求，准入系统要具备一定灵活性，各个功能模块的实现不能有冲突；

4）整合性

准入系统要能够方便地同主流的企业数据库系统整合，并将安全策略绑定到相应的用户帐号之上，实现自动化的用户数据更新。

虚拟桌面的机会

网络环境的变化，带来的是访问方式的变化。一方面，网络准入技术开始快速发展，另一方面，很多人开始询问“是否一定需要在网络边界做这么严格的控制，还有没有其他方法？”。

也许是有的。

虚拟桌面在企业内部的应用开始逐渐铺开，员工对数据库的访问全部通过虚拟桌面完成，而硬件本身可能是一个简单的瘦客户端，不具备复杂的功能。在企业网络内部对虚拟桌面流量设置高优先级QoS策略，对其余流量以及网络接入采取从简的思路，在未来，这并非不会是一种解决方案。

总之，随着云计算、智能手机、WiFi等新应用的快速发展，传统的企业网络不得不开始主动变化，这种变化将如何发生，往哪里去，得出怎样的结果，现在都还不明晰，但有一点是明确的，那就是有意企业数据网络和安全的厂家现在就必须开始重视这股潮流，未雨绸缪，才能从容应对未来的新一代企业网络的发展。

编辑推荐】