準入控制作為設備接入企業網絡的安全邊界，一直以來都是企業的安全基礎設施之一。簡單的準入機制潛藏著巨大的網絡安全隱患。如何正確處理用戶終端安全接入的問題？這就需要基礎網絡提供必要且有效的安全認證機制。

作為近年來網絡信息安全行業準入控制領域備受關注的焦點之一，802.1X被越來越頻繁地提及，勢頭正旺。802.1X是什么？企業為什么需要802.1X？對于802.1X，哪些安全廠商走在了前面？今天，聯軟科技和大家好好聊一聊802.1X準入控制那些事。

802.1X準入認證是什么？

● 802.1X的由來

基于網絡安全風險背景，由Cisco提出，遵循 IEEE標準，利用網絡基礎設施來實現終端設備和用戶合法合規接入企業網絡的方案，名為網絡準入控制（Network Admission Control，簡稱 NAC）。802.1X是其中一種標準、一項準入控制技術。

802.1X是一種基于端口的網絡接入控制協議。

基于端口的網絡接入控制，是指在局域網接入設備的端口這一級對所接入的用戶設備進行認證和控制。連接在端口上的用戶設備如果能通過認證，就可以訪問局域網中的資源；如果不能通過認證，則無法訪問局域網中的資源。

基于802.1X協議的用戶認證方式叫做802.1X認證。

802.1X認證被廣泛應用于用戶集中且對信息安全要求嚴格的場景中。

802.1X旨在解決局域網用戶的接入認證和安全方面的問題。借助802.1X準入認證，企業可以只允許合法的、值得信任的終端設備（例如PC、服務器、PDA）接入網絡，而不允許其它設備接入。

● 802.1X準入架構組件

802.1X采用標準AAA認證架構，分別由設備端，控制端、服務端和目錄服務器（如果有，如：AD/LDAP/郵箱）組成。

設備端與控制端采用EAP協議進行認證和通信，認證報文采用UDP協議；控制端與服務端采用標準Radius協議進行通信，認證報文采用UDP協議。

● 802.1X準入控制有何優勢？

高兼容性：基于IEEE標準，所有符合IEEE標準的網絡設備都支持。

高安全性：在接入層階段實現對終端設備的接入控制，不符合安全標準無法接入網絡，真正實現對網絡邊界的保護，拓寬企業網絡安全邊界。

高靈活性：基于動態授權對接入網絡的人員、設備進行明確的網絡權限劃分。

企業為什么需要802.1X？

如今，網絡和信息安全形勢日趨嚴峻復雜，企業數字化轉型發展也被動面臨著越來越多不確定的、突發的、多樣的網絡安全攻擊風險。不斷升級的高級持續性攻擊，使得企業原有的安全邊界不斷被突破。準入控制作為主要保障使用企業網絡基礎設施的安全問題，首當其沖。

與此同時，特別是對于中大型企業來說，終端類型多樣數量激增，終端管理任務重難度大成本高。

在這樣的大背景下，更靈活的動態識別、認證、訪問控制等成為了企業最為關注的核心訴求。出于安全功能要求、自身安全要求、安全保證要求以及降本增效等諸多因素考慮，基于角色的控制訪問，安全性更高的802.1X準入認證，毫無意外成為了很多對網絡及信息安全要求嚴格的企業的首選。

同時，802.1X協議為二層協議，不需要到達三層，可以有效降低建設成本。

特別是在防泄密需求推動下，基于802.1X NAC成為基礎設施的基本要求，成為越來越多企業的剛需。

關于802.1X，誰走在前面？強在哪？

作為全球較早的網絡準入控制廠商之一、中國網絡準入控制市場的開創者與引領者，聯軟科技深耕網絡安全行業，一直堅持做創新引領者而不是追隨者。

早在2006年，聯軟率先在國內業界實現了基于802.1X和EOU網絡準入控制產品，可以與思科、華為等主流品牌的網絡設備很好的聯動。同時，聯軟在2008年發布硬件網絡準入控制器并在業界首創了準旁路式部署。

聯軟的UniNAC網絡準入控制系統經過近20年研發更新迭代，是網絡級端點安全領域的專業解決方案，現已為眾多大型機構的網絡安全、終端管理、信息安全管理提供直接支撐，擁有中國500多家金融機構最佳實踐，是市場保有量更多的NAC產品，決策風險與TCO更低。

為更好保障企業安全性，聯軟UniNAC網絡準入控制系統采用國際標準協議802.1X來實現到交換機端口級別的強準入認證強管控，支持Windows、macOS、Linux、iOS、Android等各種終端的802.1X協議，實現對所有接入網絡的終端進行身份驗證、合規檢查、安全檢查等。

目前，聯軟科技802.1X技術的獨特點與優勢主要表現為以下幾大方面：

●業內網絡設備對接兼容性更廣、實施案例更多的準入廠商，具備大量替換各類主流品牌準入產品的能力和兼容性；可以對華為、思科交換機直接下發ACL內容，無需在交換機預先配置ACL，并且支持RABC的最小訪問控制，可實現VLAN、ACL與個人用戶或部門組關聯下發。

●支持SDN網絡架構適應未來發展：國內較早支持SDN網絡環境適配的準入廠商，支持思科、華為等主流網絡廠商SDN環境，在SDN網絡中，聯軟實現終端的身份認證及入網安全基線檢查，終端的訪問控制策略由終端的用戶身份標簽實現，與IP地址解耦合。

●可靠性設計優異：提供業內更高標準的6重高可用機制保障，大大減少因為部署準入系統而帶來的斷網故障。獨有的智能熔斷機制，當人員誤操作情況而導致終端無法正常入網。

●超前的一體化平臺設計理念：實現一個客戶端，一個平臺，可以做到網絡準入控制、桌面安全管理、 信息防泄露等領域，包含網絡準入控制、主機監控審計、桌面管理、補丁管理、安全管理、終端行為管理等功能的一體化、全方位的終端安全解決方案。

●智能幻影防入侵：基于聯軟獨創的幻影技術，支持自動或手動幻影出與真實在線設備一致的設備類型和數量，大規模輕量誘捕+動態引流到蜜罐重度誘捕進行聯動，同時在真實終端注入面包屑誘餌，發現入侵者惡意訪問幻影設備立即告警或者阻斷。

此外，對于部分網絡環境因交換機不支持802.1X的，UniNAC可采用網關型準入控制技術，如策略路由和鏡像技術作為過渡，待后續交換機更換或升級后再落實802.1X強管控。

作為新一代的智能化網絡準入控制系統，UniNAC 提倡直接與網絡設備聯動實現網絡準入控制，以實現優秀的網絡安全性、可靠性和組網靈活性，目前能直接聯動的網絡設備型號達數百種。通過與網絡設備聯動及聯軟NACC準入控制器配合，UniNAC 能解決各種復雜環境下的網絡準入控制問題，在無線接入（員工、訪客）、有線網絡、遠程接入等場景中有著廣泛運用。

802.1X NAC + SDP

——強強聯合下的全網零信任安全管理解決方案

——大規模成功實踐 代表客戶：交通銀行、郵儲銀行、光大銀行、中國銀聯、中國移動、格力電器......

相較于以網絡為中心的準入控制，零信任則是以企業資源為中心。但兩者理念與零信任相似，都是默認不相信任何設備，必須進行嚴格校驗后，才允許接入。所以兩者都有身份校驗、環境感知、信任評估、動態最小授權等環節，嚴格上來講這些環節有重復的部分，在具體的落地過程中肯定要考慮如何統一，以便給用戶更好的體驗和更低的性能成本。

從企業網絡安全角度來看，兩者解決的問題并不沖突，準入控制主要保障使用企業網絡基礎設施的安全問題，零信任主要解決訪問企業資源的安全問題，所以Google的零信任實踐項目BeyondCrop在企業網中的第一步也是準入控制（802.1X）。

 BeyondCrop組件和訪問流程

數字化轉型大潮下，企業在基礎IT架構中引入了上云服務、移動計算等熱點技術，內網外網的物理邊界逐步消失，木馬病毒迭代速度也急速加快，終端數量巨大呈指數級增長。

如何捍衛企業安全邊界？如何實現更靈活的動態識別、認證、訪問控制？如何實現終端的高效實時管控？這些安全問題都備受關注。保障企業業務系統訪問的安全性，首先需要統一加強接入終端的安全建設水平。

隨著市場及需求的升級、零信任理念逐漸成熟、云計算持續發展，面對不斷升級的新興技術、需求及應用場景，在此契機下，聯軟充分發揮802.1X在應對終端安全等領域中的獨特優勢和價值作用，推出了基于零信任理念的全網零信任安全管理解決方案。

全網零信任安全管理解決方案主要采用“802.1X NAC + SDP”技術結合的方式，以“持續驗證，永不信任”為原則，圍繞接入、身份、設備、應用以及數據五要素打造企業新安全體系。

聯軟科技全網零信任解決方案融合了SDP軟件定義邊界、NAC準入安全、NXG數據安全交換、EMM移動安全、EPP端點安全、EDR終端檢測與響應、DLP數據安全等功能。通過一套平臺、一個客戶端集成了接入安全、端點安全、數據安全的能力，全面針對不同身份、不同設備類型、不同操作系統、不同接入場景、不同的數據外發方式進行管控，實現不同資源細粒度的訪問控制。

用戶只需要采購與安裝、部署一套系統即可實現全網各種終端的零信任安全接入，并可對移動端和PC端進行統一管理，并且用戶可根據企業實際需求選擇方案具體的應用場景，基于一套平臺、一個客戶端，可快速擴展，無需重復建設，同時提高運維和管理效率，實現降本增效。

全網零信任安全管理解決方案，被視為防泄密和防勒索病毒方案的基礎方案。該方案實現了比肩Google BeyondCorp零信任方案的安全效果，并且在實際應用場景中更契合國內安全市場需求，為企業構建新一代的安全體系，代表客戶包括交通銀行、郵儲銀行、光大銀行、中國銀聯、中國移動、格力電器等。

做強做優，探索技術發展新方向

作為全球較早的網絡準入控制廠商之一、中國企業端點安全領域的領導者、中國UEM統一終端管理領域領導者、國產自主可控的網絡安全新基建領軍廠商，國內率先落地基于“零信任安全”產品的廠商之一，聯軟持續關注市場發展和客戶需求，在關鍵核心技術創新上不斷發力，不斷加快推進802.1X等技術成果轉化應用，引領行業探索技術發展新方向。

目前，聯軟科技已為金融、制造業、運營商、政府、醫療、能源等行業客戶實施部署了基于802.1X強準入認證技術的UniNAC網絡準入控制系統，聯軟的ESPP各子系統以及以全網零信任安全管理為代表的系列解決方案，已經為3000多家行業企業提供持續創新的網絡安全解決方案和技術服務。

強者愈強，勢頭正旺的802.1X，在構建網絡安全新基建中正發揮越來越突出的重要作用。聯軟也將堅持技術創新，引領行業技術先機，開辟更多新領域新賽道，為促進政企數字化建設提供有力保障。