网络准入控制系统（ForeScout NAC）部署经验

网络准入控制 (NAC) 其宗旨是防止病毒和蠕虫等新兴黑客技术对企业安全造成危害。准入控制能够在用户访问网络之前确保用户的身份是信任关系，只允许合法的、值得信任的终端设备（例如PC、服务器、PDA）接入网络，而不允许其它设备接入。也可以阻止感染了病毒或未升级系统补丁的电脑接入网络。

在2007年曾经研究过《802.1X+IAS+AAA+DVLAN实现用户身份认证和IP地址动态管理》并应用于企业环境。但由于802.1x的特点，部署后压力非常大，一方面802.1x客户端的配置工作量大，另一方面服务器端的维护压力也大，没实施多久就被迫停止了。

您是否也部署过基于802.1x架构的准入控制系统？在部署后是否经常接到过让人头疼而又倍感压力的电话？

但准入技术发展的日新月异，加上无客户端化浪潮的不断演进，原有技术细则中过多偏向于802.1x技术实现的弊病也显露无疑。早在2010年左右，NAC产品已有了翻天覆地的变化。在Forrester对NAC厂商的排名中，我们看到顶尖的NAC产品关键词中赫然列出了以下5条标准：

Unified management （整合管理）

Integration （集成度，或兼容性）

Clientless (agentless) mode （无客户端模式）

Hardware (appliance) （硬件应用）

Heavy focus on IT consumerization, mobiledevice control and data center virtualization （关注前端、移动端和虚拟化）

准入产品中的无客户端化已经成为了最基本的要求。

目前市面上的NAC产品也比较多，经过