以定级为等保二级或更高安全等级的网络为例,针对违规内联,会专门部署终端桌面管理系统,并对网络接入实行准入控制,准入控制手段主要有:
(1)基于802.1X进行准入控制;
(2)基于交换机端口绑定实行准入控制;
(3)基于认证网关进行准入控制;
(4)其他如DHCP等准入控制。
上述技术手段的组合,会对边界完整性保护发挥重要作用,但仍无法完全杜绝违规内联问题。
原因解析:
第一:无线AP通过NAT结合DMZ,可轻松突破802.1X的准入控制。事实上,基于802.1X的准入控制,推广和普及力度最大的地方是在大学校园,大学校园实行准入控制的目的是为了收费,而非安全。在淘宝网上,输入“校园网路由器802.1x认证”进行搜索,可以发现很多淘宝卖家在兜售它们专门改装的无线AP,这些无线AP自带802.1X客户端,可以兼容校园网的802.1X认证。下面介绍的这种方法,可以绕过绝大多数基于802.1X的准入控制系统,如802.1X+客户端健康检查的组合控制,具体做法是将合法终端接入无线AP的DMZ区充当堡垒机,然后AP以MAC地址克隆+NAT方式接入原有网络,802.1X的接入认证由无线AP来完成,802.1X认证通过后,其他的附加认证均由堡垒机来完成,其他接入无线AP的无线设备就可以通过DMZ区的堡垒机接入内网,而无须再认证。
第二:对于无法部署客户端的亚终端(如IP电话、网络打印机等),其认证方式多是基于MAC或IP地址进行验证,无线AP可以通过MAC克隆+NAT轻易突破此限制;
第三:对于交换机端口绑定,无线AP可以通过MAC克隆+NAT轻易突破此限制;
第四:准入控制系统的覆盖率影响监管效果,覆盖率达到100%是很难完成的任务,总有小部分终端通过各种方式能够逃避监管,导致存在监管盲区;
下面转发一技术达人撰写的破解文章:http://blog.csdn.net/github_33709120/article/details/50849175。其他类似的文章很多,大家可以在互联网上搜索“突破802.1x”。
本文出自 “网巡天下” 博客,请务必保留此出处http://jeepsen.blog.51cto.com/1785727/1931635