提示：本文共有 4760 个字，阅读大概需要 10 分钟。
撰稿 | 蓝河
编辑 | 图图
人情世故二则
故事一：小明刚搬了新家，值乔迁之喜这天，一早便响起了门铃。小明快步跑到门口，踮起脚看了下“猫眼”，发现是原来住在隔壁的王叔叔，王叔叔每次来都会给小明带好多糖果，小明也对王叔叔最为喜欢。
于是小明一边对着屋里喊道“妈妈是王叔叔来了”，一边打开了房门请王叔叔进来，王叔叔笑盈盈地摸了摸小明的头，果然又从口袋里抓出了一大把糖果塞给了他。
小明妈妈听见王叔叔来了，赶紧从房间里出来，简单寒暄几句后，便领着王叔叔从客厅、厨房、卫生间、卧室都参观了一遍，接着让王叔叔在客厅陪小明玩一会，自己就进了厨房准备早饭了。
故事二：二狗子家生了二公子，刚满月，起了个乳名叫二狗蛋子。大学的死党张全蛋听说这事，赶忙登门贺喜。虽然“猫眼”还没装，但二狗子老远就听见张全蛋扯着嗓门喊：“狗子！狗子！”便不由分说地开了门。
门一开，张全蛋就从兜里掏出来一个大红包，二狗子眯着眼合计了下厚度，双手捧住，露出了满意的笑容。二人正准备去卧室看一眼“狗家二公子”，却不料二狗子的老婆戴安娜不咸不淡地来了一句：“刚听声音似乎全蛋感冒了，狗蛋子还小，还是下次再去逗他吧。”
气氛虽一时有些尴尬，但幸好张全蛋为人老实，打着圆场说：“不碍事，下次再来看大侄子。”接着和二狗子到阳台抽了两根烟，便起身一起到“福满楼”了。
在“故事一”中，我们将“小明”和“小明妈妈”看做企业网络管理者，通过“猫眼”这一身份验证中的渠道和“客户端”，对想要访问网络的“隔壁王叔叔”进行了“人脸识别”，在确认其合法身份后，准许进入。这是典型的“单因素身份认证”。
而在“故事二”里，虽然“二狗子”家并没有配备“猫眼”这类“客户端”，但因为同时还具备“多因素身份认证”——根据张全蛋的声音辨明身份。帮助他可以通过“声纹识别”这类其他验证方式，确认“张全蛋”的身份。同时，虽然给予了“张全蛋”最基本进入家中/访问网络的权限，却因为“感冒”的状态，禁止了他可以进入“孩子”所在房间，也就是访问内网的权利。
现实中，“故事一”里的场景，其实是我们最为常见的“身份验证”的方式——企业通过安装类似于“猫眼”的客户端，对来访的“人”或“终端”，进行如“人脸识别”的“单一”身份认证，在确定其身份的“可信”后，赋予“网络准入”的权限。
网络准入是什么？
准入，简单来说就是“对进入者的身份进行验证，并赋予相关的权限”。
同理推到“网络准入”，即“当一个‘人’或‘终端’，在需要访问某一个网络的时候，网络提供方为了保证自身的安全，对该‘人’或‘终端’进行身份合法性的验证，决定是否允许其接入网络，并根据实时状态，分配相应的访问权限”。
在实际应用场景中，主要有以下几种形式：
1、企业对接入网络的人的账号进行验证，也就是验证“你是谁”；
2、企业对接入网络的终端的合法性（比如是否打补丁、是否安装杀毒等等）进行判断，验证终端的“可信度”，并且判断人的身份；
3、企业在对账号进行合法性验证以后，再对其使用的设备进行验证。如果该用户并没有使用“可信”终端，或是使用BYOD终端，那么只分配其访问外网资源的权限，不允许进入内网。
以上，有单一条件的，也有多因素复合条件的，有对“人”的验证，也有对“终端”的验证，统称为“身份验证”。
网络准入 = 802.1X ？
提到“准入”，我们似乎自然就想到了“802.1x”——这种依托于客户端程序，管理范围大、认证安全性强度高的准入解决方案，确实在“PC时代”经受住了考验并得到了业界的广泛认可。
剖析“802.1x”的运行原理，是在网络内部部署一台Radius服务器，当安装有“802.1x”客户端的“终端”设备，通过有线或无线方式接入时，由Radius服务器对其身份的合法性进行验证。
如果用户身份信息验证失败，则Radius服务器禁止用户入网或者仅授予其部分网络访问权限；如验证通过，便可对“终端”进行VLAN、ACL下发，并对该“终端”网络访问的权限进行管控。
802.1x认证部署拓扑架构
因此，我们不难看出，“802.1x”认证最大的优势就在于，“管理范围强”，能够管理到内网入口；“安全性强度高”，使用EAP数据链路层封装加密；能够验证用户身份信息，在确认用户身份“合法性”后，“动态下发VLAN、ACL”。
但是，由于“802.1x”认证需要使用到客户端程序，所以，每一台接受“802.1x”认证的“终端”，都需要满足一个前提，那就是“安装客户端”。
这样一来，实施成本是相对较高的；同时，由于设备间的“802.1x”认证还存在差异，在后期运维上，还将会附加在成本当中。
“802.1x”不好吗？显然，在PC时代，“802.1x”就是最公认、甚至根深蒂固的准入解决方案，并且虽有缺点，但至少在“认证强度”和“管理范围”上，都是无可挑剔的。
“802.1x”好吗？尽管提到“准入”就想到“802.1x”，但实际原因却是很多管理者，认为“802.1x”是一种最为“中庸”的解决方案——别人用“我”也用，立不了功也犯不了错，反正工作量与“我”无关，不用负责，何乐而不为？
所以，如果要问“802.1x”真的好吗，笔者认为，不同的人心里可能会有不同的答案。
天下苦“802.1x”久矣
“准入”是很尴尬的。
做“准入”的厂商，只能顺着“802.1x”这条前人成功的道路往前走，走到头发现，肉没了也就算了，连汤也没剩一口。
用“准入”的企业，因为每台电脑都需要安装“客户端”，搞得IT既苦又累，还经常出现问题、上不了网。一传十十传百，下面声音大了，老板也都听得到。
卖“准入”的合作伙伴，因为“802.1x”所存在的一些固有问题，导致客户关系一落千丈。
笔者就有一位朋友，耕耘大客户十载有余，前前后后几千万生意，都合作愉快。却在接手“准入”项目后，因为“802.1x”的种种问题，惹恼客户，被质疑能力，落得一拍两散的下场。从此，再不涉足“准入”半步。
而“准入”之所以如此尴尬，全因“准入”=“802.1x”所致。天下苦“802.1x”久矣，要是能有合适的替代品，“802.1x”也不会一直霸占着“准入”的“最优”选择。
追究“802.1x”的症结所在，笔者以为，“客户端”导致的繁琐，使得做“802.1x”认证，变成了一件很“重”的事情。
其实错不在“802.1x”，实际上，“重量化”是“PC时代”产物的正常特性。只是因设备种类、数量的激增，依托“客户端”来实现功能的“重量化”产品，逐渐不能适应时代发展的脚步。
而在“移动化”出现的今天，人们已经可以脱离固定地点和场所，使用如智能手机在内等各种各样的设备进行办公。办公场景的“移动化”和“碎片化”，在与“802.1x”认证这种“重量化”方式相悖的同时，也给企业安全的防护与管理，带来的新的难题。
因此笔者不由思考：“准入”的出路难道只有“802.1x”吗？既然“802.1x”最为诟病的是终端繁琐的适配、客户端大量的安装以及后期过度的运维，那么是否有一种解决方案，可以在脱离“终端适配”、“安装客户端”等前提下，实现“准入”认证？
答案显然是肯定的。
面向移动化，宁盾轻量级网络准入方案
在过去短短十年的时间里，我们亲眼见证了智能手机“千军万马”过独木桥的历史，智能手机发展到今天，真正生存下来的，已经屈指可数了。
回望“智能手机”之前的那个时代，我们蓦然发现，那个曾经无比荣耀辉煌的手机品牌和系统，不知何时就这样被历史所堙没。
究其原因，是它无法舍弃既有的利润空间和市场份额，总是选择“适当地改良”，却止步在了“时代改革”的关口。
而“准入”也是一样。
在步入“移动化办公”时代以后，我们不得不承认，“802.1x”那一套，行不通了。企业需要的是“移动化”的准入，要“轻”，要“快”，要“容易”，更要“便宜”。
想要彻底改变人们对于“准入”和“802.1x”的成见和看法，就需要从根本上进行一次极大的“变革”，而非温和的“改良”——“终端”需要适配，那就改变这个现状；需要安装“客户端”，那就取消“客户端”。
零客户端及用户体验
与“802.1x”认证不同，“宁盾轻量级准入方案”采用的是通过镜像流量的旁路部署模式，也就是对所需要分析的终端IP数据包进行一份镜像，将这份镜像数据包纳入到NDACE（宁盾准入控制引擎）的管理范围内，NDACE上产生相应的会话信息，并对该信息里的IP终端进行合规性的检查。
包括但不限于：身份验证是否合法、终端是否加域、终端是否安装杀毒软件、补丁包等等。
NDACE准入部署拓扑架构
如果身份合法，那么则授予其访问权限；如果身份不合法或需要对其可访问权限加以控制，NDACE内部就可以建立基于TCP的虚拟防火墙，对终端的TCP会话加以阻断。这对TCP应用会有很好的管控效果，可动态调整策略，实现基于用户身份的访问控制。
这种采用镜像流量方式旁路部署，通过Web Portal或者无感知的方式进行身份验证的方式，终端兼容性、用户体验都非常好，无需对终端做任何适配、调整和改变，就可以部署设备。
市面上大部分“802.1x”认证，都不具备镜像分析的能力，因此，“宁盾NDACE准入方案”在终端识别准确率上，也得到了极大的提升。
结合宁盾自身“多因素认证”的优势，在准入方案中，除用户密码以外，还可以通过账号+动态密码进行安全加固，也可以通过应用企业微信/钉钉扫码验证。
易运维
最为核心且关键的是，“宁盾NDACE准入方案”可以在终端加入域的环境下，实现基于“无客户端”模式对终端安全性的检查，并在终端无感知的情况下，有效保证接入终端的安全性。而即便在无域环境中，宁盾仍然可以通过轻量级客户端（Windows、Linux、MAC均可支持）来弥补部分场景问题。
这将使“准入”变得“轻量化”和“移动化”，使得实施极为简单，只需要在网络路由可达处部署设备即可。
实际上，“无客户端”的扫描方式，已经得到了真实的效率反馈——至少减少项目负责人2/3的工作量。
除此以外，“宁盾NDACE准入方案”还能够基于策略进行自动化运维管理，并且有Bypass功能作为保障，在准入出现异常的情况下，依旧保证业务的正常运行。
开放性
由于“宁盾NDACE准入方案”是基于TCP协议的，安全要求严格的客户，会以对“UDP/ICMP等其他协议”的控制，来挑战宁盾。实际解决办法是通过开放联动应用防火墙/上网行为管理设备，通过建立基于角色/组的防火墙规则，对“UDP/ICMP等其他协议”进行管理。
开放性是宁盾NDACE的重要思路，与以往提供“全家桶”相比，宁盾希望充当一个入网安全的连接器，通过与优秀产品联动，如DLP、SIEM、NGFW、AC、EDR、漏洞管理，整体解决泛终端接入网络的安全性问题。
轻量化准入相比802.1X，节省2/3运维代价
当成本预估被计算出来以后，笔者才意识到，从“无客户端”部署方式中受益最大的并不仅仅只是企业自身，项目实施中的IT工程师才是从煎熬中解放出来的最大赢家，而人才是降低企业成本的根本尺度。
假设“802.1x”客户端安装及等待用户空闲时间平均预估为20分钟，“NDACE”由于“无客户端”部署方式，平均预估时间3分钟，每名工程师每日工作8小时。
结果显而易见，不言而喻。
新的事物产生往往会有一段“被按在地上摩擦的日子”，幸运地是这种适应趋势的方案正在被越来越多的互联网、科技型、制造业、金融接受并采纳。
笔者相信，“轻量化网络准入方案”的问世，绝不仅仅只是宁盾的一场头脑风暴，更多的是因为在业界对“准入”的尴尬，“准入”领域挤压的共同作用下，不得不逼迫宁盾摆脱陈旧枷锁，冲破桎梏的结果。
如果说“802.1x”完成了“PC时代”的准入任务，那么在“移动化办公”时代，以“宁盾NDACE准入方案”为代表的轻量化显然已经做好了开启变革，承接使命的准备。
看到此处说明本文对你还是有帮助的，关于“网络准入轻量化 IT管理员从“被动”到“主动””留言是大家的经验之谈相信也会对你有益，推荐继续阅读下面的相关内容，与本文相关度极高！
