走出华三EAD误区
长久以来由于对802.1x协议以及华三EAD的一知半解,我一直认为只有接入交换机是华三的并且支持EAD才能对用户进行安全检查隔离、桌面资产管理等EAD业务,然而当对EAD工作过程进行进一步分析时发现并不是这样。以前我们为了实现EAD业务而不得不采购特别交换机是完全没有必要的,下面对华三EAD进行简要的分析。
一:什么是EAD
EAD终端准入控制,并不是单一一个技术,而是通过多种硬件软件以及协议的相互协同实现网络准入,终端安全,桌面管理的一个解决方案。也可以说是华三对802.1X认证的一种扩展,使其具有认证授权功能之外又增加了一些高级功能。所以在配置的时候才会有扩展模式与标准模式之分,要实现高级功能就必须采用扩展模式。
IMC智能管理中心的所有功能都是通过各个组件来实现的。比如UAM组件,UAM是用来实现用户的用户认证以及策略下发的。而EAD组件是基于UAM安装的,用来实现用户安全检查、桌面管理等。
二:EAD的工作过程
上图是终端用户安全接入的4个步骤。从图中可以清楚地看出用户是先进行身份验证,再进行安全检查,最后是动态授权。这个过程的报文交互如下图所示:
从图中可以看出,用户身份认证成功之后IMC EAD组件就向接入设备下发隔离ACL,之后触发安全检查。当安全检查通过之后给接入设备下发安全ACL,用户正常上网。如果用户安全检查不通过则会一直被隔离ACL隔离。
三:存在哪些EAD误区
误区1:只有交换机支持EAD,才能对用户进行安全检查,并达到限制不安全用户接入。
误区2:只有华三的交换机才能与IMC配合实现控制不安全用户的接入。
四:深入分析
从报文交互过程可以看出:
1:安全检查是安全策略服务器与inode客户端直接交互的。
2:此处下发ACL是下发给认证设备,所以设备必须支持EAD。
从这两点我们可以推测,既然安全检查与接入设备没有关系,那么接入设备为什么必须要支持EAD?我们可以想到的答案是:因为安全ACL需要下发给接入设备。那么如果我们把ACL直接下发给inode客户端,那么接入设备是不是就不需要支持EAD了?答案是肯定的。安全设备并不需要支持EAD也能实现对用户的安全检查。另外需要说明的是即使不下发ACL,我们也可以通过将安全级别调成“下线”来强制不安全的用户下线。(与思科设备配合使用)
五:测试实验
(1):实验环境
(2):实验步骤
将ACL下发到设备。
1:新建安全级别:简单检查
2:新建安全策略:eadtest
3:新建接入服务:ead测试
4:新建用户:ead
5:测试结果:
为安装杀毒软件 | 安全检查触发,但是不通过 | 用户能正常上网 |
安装杀毒软件 | 安全检查触发,并通过 | 用户能正常上网 |
将ACL下发到inode客户端
与下发到设备相比将ACL下发到客户端需要增加客户端ACL,其他步骤基本相同。
1:新建客户端ACL
2:新建安全策略时选择ACL下发到客户端
(3)Inode客户端配置。
由于inode客户端必须支持ACL,所以要重新定制lnode客户端具体过程如下
打开inode管理中心,客户端定制选择高级定制
在基本功能选项中启用ACL功能。
(4)实验结果
未安装杀毒软件
安装杀毒软件
不安装杀毒软件 | 安全检查触发,但是不通过 | ACL生效,不能访问外网 |
安装杀毒软件 | 安全检查触发,并通过 | ACL生效,能访问外网 |
六:结论:
1:安全检查与接入交换机无关,不管接入交换机是否支持EAD都会触发安全检查。
2:接入交换机是否支持EAD,只在ACL下发的时候起作用,如果ACL下发到设备且设备不支持EAD,那么ACL将不会生效
3:可以通过将ACL下发到inode客户端,在交换机不支持EAD的情况下实现安全检查。
4:配置ACL资源,今后新增交换机时可以不需要配置ACL。
相关链接:
http://wenku.baidu.com/link?url=UUIDvNykXuL4TEVXUC1z4ByIcOc5GX9YGJ9IJHy1cGdyU-RbbC9D8U4WeH2X2na8o8Pmr4OFG_1c0UcIRFERr2wNxDRnJHWYyJ-McL4sit_
转载于:https://blog.51cto.com/fenggao/1439149