oogps(网络接入控制 NAC)

Network Admission Control

NAC（网络接入控制，Network Admission Control），通过对接入网络的客户端及用户进行认证，来保证网络的安全，是一种“端到端”的安全技术。

NAC：
用于用户和接入设备之间的交互。
NAC 负责控制用户的接入方式（802.1X，MAC，Portal认证），接入过程中的各类参数和定时器。
确保合法用户和接入设备建立安全稳定的连接。

认证方式

NAC 包括三种认证方式：802.1X 认证、MAC 认证、Portal认证；

AAA and RADIUS

AAA 负责最后的认证，可以通过多种协议来实现，在实际应用中，最常使用 RADIUS 协议。

 802.1X -------*
               |
    MAC -------*======> RADIUS Server
               |
 Portal -------*

802.1X 认证

802.1X是IEEE制定的关于用户接入网络的认证标准，主要解决以太网内认证和安全方面的问题。对于大中型企业的员工，推荐使用 802.1X 认证。

802.1X认证系统为典型的Client/Server结构，包括 3 个实体：
1）请求方
2）认证方
3）认证服务器：通常是 RADIUS 服务器，用于对申请者进行认证、授权和计费。

802.1X 认证系统使用 EAP（可扩展认证协议，Extensible Authentication Protocol）来实现申请者、认证者、认证服务器之间的信息交互。

常用的 802.1X 认证协议有，其区别如下：
1）PEAP（防护扩展验证协议，Protected Extensible Authentication Protocol）：管理员给用户分配用户名、密码。用户在接入 WLAN 时输入用户名、密码进行认证。
2）TLS（传输层安全性协议，Transport Layer Security）：用户使用证书进行认证，此认证方式一般结合企业 App 使用，如华为的EasyAccess。

MAC 认证

MAC认证是一种基于MAC地址对用户的网络访问权限进行控制的认证方法，它不需要用户安装任何客户端软件。
接入设备在启动了MAC认证的接口上首次检测到用户的MAC地址后，即启动对该用户的认证操作。
认证过程中，不需要用户手动输入用户名或者密码。

应用场景

MAC 认证的应用场景：
1）常用于哑终端（如打印机）的接入认证，
2）或结合认证服务器实现「MAC 优先的 Portal 认证」：当用户首次认证通过后，一定时间内免认证再次接入。

Portal 认证

Portal认证通常也称为 Web 认证，一般将Portal认证网站称为门户网站。用户上网时，必须在门户网站进行认证，如果未认证成功，仅可以访问特定的网络资源，认证成功后，才可以访问其他网络资源。将浏览器作为认证客户端，不需要安装单独的认证客户端。

当用户上网时，必须在Portal页面进行认证，只有认证通过后才可以使用网络资源，同时服务提供商可以在Portal页面上开展业务拓展，如展示商家广告等。

特性特征

操作简单：客户端不需要安装额外的软件，直接在Web页面上认证，简单方便。
便于运营：可以在Portal页面上进行业务拓展，如广告推送、企业宣传等。
技术成熟：被广泛应用于运营商、连锁快餐、酒店、学校等网络。
部署灵活：可以在接入层或关键数据的入口作访问控制。
管理灵活：可基于用户名与VLAN/IP地址/MAC地址的组合对用户进行认证。

应用场景

对于大中型企业的访客、商业会展和公共场所，推荐使用Portal认证。

常用的 Portal 认证方式如下：
1）用户名和密码方式：由前台管理员给访客申请一个临时账号，访客使用临时账号认证。
2）短信认证：访客通过手机验证码方式认证。

MAC 优先的 Portal 认证

问题：当用户进行Portal认证成功后，如果断开网络，重新连接时需要再次输入用户名、密码，体验差。

方案：MAC 优先的 Portal 认证
1）用户进行Portal认证成功后，在一定时间内断开网络重新连接，能够直接通过MAC认证接入，无需输入用户名密码重新进行Portal认证。
2）该功能需要在设备配置MAC+Portal的混合认证，同时在认证服务器上开启MAC优先的Portal认证功能并配置MAC地址有效时间。

认证方式对比（总结）

NAC 包括三种认证方式：802.1X 认证、MAC 认证、Portal认证；

由于三种认证方式认证原理不同，各自适合的场景也有所差异，实际应用中，可以根据场景部署某一种合适的认证方式，也可以部署几种认证方式组成的混合认证，混合认证的组合方式以设备实际支持为准。

802.1X 认证：
1）适合场景：新建网络、用户集中、信息安全要求严格的场景
2）客户端需求：需要（主要原因是客户端简化操作，简化用户交互）
3）优点：安全性高
4）缺点：部署不灵活，复杂度高；

MAC 认证：
1）适合场景：打印机、传真机等哑终端接入认证的场景；
2）客户端需求：不需要；
3）优点：无需安装客户端；
4）缺点：需登记MAC地址，管理复杂；

Portal认证：
1）适合场景：用户分散、用户流动性大的场景
2）客户端需求：不需要；
3）优点：部署灵活
4）缺点：安全性不高