一、NAC技术概述
网络准入控制（Network Access Control, NAC）是一种网络安全技术，通过对接入网络的终端进行身份认证、合规检查、权限控制，确保只有合法、安全的设备才能访问企业网络资源。
金纬NAC终端准入控制系统是金纬科技自主研发的企业级准入控制解决方案，支持802.1X、MAC认证、Portal认证、证书认证等多种准入方式，实现"入网必可信、入网必合规"的安全目标。
终端设备
请求接入网络
接入交换机
认证控制点
金纬NAC
准入控制引擎
认证服务器
AD/LDAP/RADIUS
多因子认证
支持802.1X、MAC、Portal、证书等多种认证方式，灵活适配不同场景
合规检查
自动检查终端杀毒软件、系统补丁、违规外联等安全状态
动态授权
基于用户身份和终端状态动态分配VLAN和ACL权限
访客管理
自助注册、二维码认证、限时授权，安全便捷的访客接入
⭐ 金纬NAC核心优势
- 多厂商兼容：支持华为、华三、思科、锐捷等主流交换机，无需更换网络设备
- 无客户端认证：支持MAC认证、Portal认证，IoT设备无需安装客户端即可接入
- 智能逃生机制：认证服务器故障时自动放行，确保业务连续性
- 可视化拓扑：实时展示网络设备状态、终端接入位置、安全事件分布
- 等保合规：满足等保2.0三级关于网络边界防护的技术要求
- 国产化支持：全面支持国产操作系统和国产网络设备
二、802.1X深度部署
802.1X是基于端口的网络访问控制标准，金纬NAC提供完整的802.1X认证解决方案，包括RADIUS服务器、证书管理、交换机配置等全套技术支持。
EAP协议支持
| EAP类型 | 特点 | 适用场景 | 金纬支持 |
|---|---|---|---|
PEAP-MSCHAPv2 |
用户名密码认证，TLS隧道保护 | Windows域环境 | ✓ 完整支持 |
EAP-TLS |
双向证书认证，最高安全性 | 高安全要求环境 | ✓ 完整支持 |
EAP-TTLS |
类似PEAP，支持更多内层协议 | 多平台混合环境 | ✓ 完整支持 |
EAP-FAST |
Cisco私有协议，无证书需求 | Cisco设备环境 | ✓ 完整支持 |
1
金纬NAC服务器配置
RADIUS服务器配置示例
Config
# 金纬NAC - RADIUS服务配置
# 管理控制台路径：系统设置 > 认证服务 > RADIUS配置
RADIUS服务配置:
├── 服务端口:
│ ├── 认证端口: 1812
│ └── 计费端口: 1813
├── EAP配置:
│ ├── 默认EAP类型: PEAP
│ ├── 证书: 导入企业CA证书
│ └── TLS版本: 1.2+
├── 用户源:
│ ├── 主认证源: Active Directory
│ ├── 备用认证源: 本地用户数据库
│ └── LDAP服务器: ldap://ad.company.com:389
└── 策略下发:
├── VLAN属性: Tunnel-Private-Group-Id
├── ACL属性: Filter-Id
└── 会话超时: 8小时
# 交换机接入配置（金纬NAC自动生成配置脚本）
# 支持华为/华三/思科/锐捷等主流厂商
2
交换机配置（金纬自动化）
金纬NAC生成的华为交换机配置
HVRP
# 华为交换机802.1X配置（由金纬NAC自动生成） # 生成时间: 2026-03-05 # 设备型号: S5735-L48T4S # 管理IP: 192.168.1.10 system-view # 启用802.1X功能 dot1x enable # 配置RADIUS服务器（指向金纬NAC） radius-server template Jinwei-NAC radius-server shared-key cipher Jinwei@NAC2024 radius-server authentication 192.168.100.10 1812 weight 80 radius-server authentication 192.168.100.11 1812 weight 20 radius-server accounting 192.168.100.10 1813 radius-server retransmit 2 radius-server timeout 5 # 配置AAA认证 aaa authentication-scheme dot1x authentication-mode radius accounting-scheme dot1x accounting-mode radius domain jinwei authentication-scheme dot1x accounting-scheme dot1x radius-server Jinwei-NAC # 接口配置模板（批量应用） interface range GigabitEthernet0/0/1 to GigabitEthernet0/0/48 port link-type access port default vlan 999 # 未认证VLAN（隔离区） dot1x enable dot1x authentication-method eap dot1x max-user 1 # 每端口最大用户数 dot1x reauthenticate # 开启周期性重认证 authentication port-control auto authentication timer reauthenticate 3600 # 逃生机制（金纬NAC离线时自动放行） dot1x escape enable dot1x escape offline-detect 30 return save
三、多认证方式支持
金纬NAC支持多种准入认证方式，适应不同终端类型和网络环境：
| 认证方式 | 技术原理 | 适用终端 | 部署复杂度 |
|---|---|---|---|
| 802.1X EAP | 端口级认证，RADIUS协议 | Windows/Mac/Linux电脑 | 中等 |
| MAC认证 | 基于MAC地址白名单 | 打印机、IP电话、摄像头 | 简单 |
| Web Portal | HTTP重定向认证页面 | 访客设备、移动设备 | 简单 |
| 证书认证 | X.509数字证书双向认证 | 高安全要求终端 | 复杂 |
| AD域认证 | 集成Active Directory | 域内Windows终端 | 中等 |
💡 混合认证策略建议
金纬NAC支持多种认证方式的组合使用，推荐策略：
- 办公区域：802.1X + AD域认证，员工电脑自动认证
- 生产区域：MAC认证 + 802.1X，IoT设备白名单，运维电脑证书认证
- 公共区域：Portal认证 + 短信验证，访客自助接入
- 服务器区域：证书认证 + IP白名单，双向TLS认证
四、终端安全检查
金纬NAC不仅验证终端身份，还对终端进行全面的安全合规检查，确保入网终端符合企业安全策略。
安全检查维度
杀毒软件检查
检查是否安装指定杀毒软件，病毒库是否最新，实时监控是否开启
系统补丁检查
检查操作系统补丁更新状态，关键漏洞是否修复
违规外联检测
检测终端是否存在违规外联互联网行为，防止一机两用
软件合规检查
检查是否安装违规软件（如游戏、P2P下载工具等）
金纬NAC安全检查策略配置
XML
- realtimeProtectionEnabled
- virusDefinitionUpdated
- lastScanWithin7Days
arp_monitoring 998 wsus.company.com antivirus.company.com helpdesk.company.com
五、访客管理系统
金纬NAC提供完善的访客网络管理功能，支持访客自助注册、员工审批、限时授权，在保障安全的同时提供便捷的访客接入体验。
1
访客申请
扫码/网页填写
访客信息
2
员工审批
钉钉/企业微信
一键审批
3
获取凭证
短信/邮件接收
临时账号密码
4
接入网络
Portal认证
访问互联网
5
到期回收
自动断网
审计日志归档
访客网络隔离策略
| 隔离维度 | 策略配置 | 实现方式 |
|---|---|---|
| VLAN隔离 | 访客VLAN 999 | 认证后动态下发VLAN |
| ACL控制 | 仅允许访问互联网 | 核心交换机ACL策略 |
| 带宽限制 | 每用户限速10Mbps | 交换机QoS策略 |
| 时间控制 | 有效期8小时 | RADIUS Session-Timeout |
| 审计日志 | 记录访问日志90天 | 金纬NAC内置审计 |
六、策略联动机制
金纬NAC可与金纬其他安全产品深度联动，形成统一终端安全管理体系：
| 联动产品 | 联动场景 | 联动效果 |
|---|---|---|
| 金纬EDR | 终端检测到威胁 | NAC自动隔离终端到威胁隔离区 |
| 金纬DLP | 发现数据泄露行为 | NAC阻断终端外发通道 |
| 金纬桌面管理 | 补丁/软件分发 | NAC将终端放入修复区完成更新 |
| 金纬加密系统 | 加密策略下发 | NAC确保加密客户端在线后才允许接入 |
🔗 统一安全平台优势
金纬NAC与金纬其他产品共享同一个Agent和管理平台，实现：
- 统一Agent：一个客户端实现准入、杀毒、DLP、桌面管理功能
- 统一策略：在一个控制台配置所有安全策略，避免冲突
- 统一分析：关联分析准入日志和安全事件，发现高级威胁
- 统一响应：一键处置安全事件，自动隔离、取证、恢复
七、部署案例
案例一：某制造企业（5000终端）
1
项目背景与方案
金纬NAC部署方案
Case
【客户背景】 • 员工: 3000人，终端: 5000台 • 网络: 华为交换机，3个厂区，跨地域 • 挑战: 非法接入频发，访客管理混乱，等保合规压力 【金纬方案】 • 部署: 金纬NAC集群（3节点）+ 金纬EDR • 认证: 802.1X + AD域集成 • 访客: Portal认证 + 钉钉审批 • 策略: 生产区/办公区/访客区三网隔离 【实施效果】 • 非法接入事件下降 95% • 等保2.0三级顺利通过 • 访客管理效率提升 80% • 安全运维人力减少 50%
案例二：某金融机构（20000终端）
2
高可用架构方案
金纬NAC高可用部署
Architecture
【客户背景】
• 员工: 15000人，终端: 20000台
• 网络: 混合厂商（华为/华三/思科）
• 要求: 99.99%可用性，金融行业合规
【金纬方案】
• 部署: 双活数据中心 + 异地灾备
• 认证: EAP-TLS证书认证（国密SM2）
• 架构:
┌─────────────┐ ┌─────────────┐
│ 金纬NAC主 │←──→│ 金纬NAC备 │
│ 192.168.1.10 │ │ 192.168.2.10 │
└──────┬──────┘ └──────┬──────┘
│ Keepalived VIP │
└──────────┬───────────┘
│
┌──────────┼──────────┐
▼ ▼ ▼
┌────────┐ ┌────────┐ ┌────────┐
│ 华为SW │ │ 华三SW │ │ 思科SW │
└────────┘ └────────┘ └────────┘
【实施效果】
• 年可用性达 99.995%
• 认证响应时间 < 50ms
• 满足金融行业监管要求
• 通过等保2.0四级测评