终端准入--DHCP准入实施方案.doc
《终端准入--DHCP准入实施方案.doc》由会员分享,可在线阅读,更多相关《终端准入--DHCP准入实施方案.doc(21页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、DHCP准入解决方案陈涛 扣扣 0510-一、需求背景1.1、为什么要用DHCP准入?内网的大多主机是通过DHCP方式获取IP, 但目前存在如下的一些问题:1、 终端主机通过DHCP方式接入网络没法对应到人;2、 终端主机接入内网没法强制安装合规软件;3、 有些终端主机私自乱设IP,私改IP/MAC地址,与核心设备发生地址冲突;4、 外来主机随意接入网络,不能区分访客与员工的访问权限;5、 内网访问日志无法审计到人;这些问题在DHCP的网络环境通过DHCP准入方式可以得到有效的解决。1.2、什么样的网络环境需要DHCP准入?1、对DHCP的网络环境, 管理要求具有安全性和规范性;2、无线网络的
2、环境,要求接入终端必须准入控制;3、大型网络管理比较分散,没法采用手动分配固定IP,但要求入网主机必须准入控制;4、一些网络环境,外来访客比较多的情况,要求入网主机实名上网;二、解决方案2.1、DHCP准入工作原理1、普通DHCP的工作原理DHCP是BOOTP的扩展,是基于C/S模式的,它提供了一种动态指定IP地址和配置参数的机制。这主要用于大型网络环境和配置比较困难的地方。DHCP服务器自动为客户机指定IP地址,它的配置参数使得网络上的计算机通信变得方便而容易实现了。DHCP使IP地址的可以租用,对于许多拥有许多台计算机的大型网络来说,每台计算机拥有一个IP地址有时候可能是不必要的。租期从1
3、分钟到100年不定,当租期到了的时候,服务器可以把这个IP地址分配给别的机器使用。客户也可以请求使用自己喜欢的网络地址及相应的配置参数。2、宝界DHCP准入原理 准入系统可以在各接口上广播域分别启动各自的DHCP服务;DHCP服务有两个地址池,分为工作网段DHCP和访客网段DHCP二种,终端主机首先获取访客DHCP服务分配的IP地址,经过实名认证及准入认证通过后,再次通过工作DHCP服务分配授权的内网IP地址。终端主机先获取到准入分配的访客网段的IP,网关指向准入设备, 并且获取的IP有租用时间,设置得很短,(如60s),在这个时间段内打开IE时, 准入会让其跳转认证网页,通过实名/证书认证及
4、内网管理软件等合规认证后,下一个租用周期准入设备会让这个主机获取到工作网段的IP,这时主机的网关指向到三层网关,不再指向准入网关。如该主机在隔离网段第一个租用时间没有完成认证过程,准入会再提示认证,直到认证成功。2.2、DHCP准入部署拓朴图网络拓朴结构网络拓朴说明:1、终端准入设备是旁路方式接在核心交换机上, 由于准入设备是多接口的,对于网段数不多的网络,可以一个接口管理一个VLAN,各网段分别接入准入设备的不同接口,各自进行准入控制。2、对于多VLAN的,可以采用核心交换机的TRUNK口接准入设备的一个接口,这样可以一个准入接口可以管理多个VLAN。实现每个VLAN的准入控制。3、准入与核
5、心交换机通过TELNET/SSH方式联动。4、汇聚层或接入层交换机启用DHCP Snooping +IP SOURCE GURARD或 DAI,DHCP Snooping有效防止网络中的非法DHCP服务。IP SOURCE GURARD或 DAI功能有效解决终端主机私自设置IP, 同时解决了内网中固定IP的服务器, 直接在交换机上建立合法的绑定表。2.3、启用DHCP准入,外来终端入网认证流程演示终端准入认证流程1、接入主机可以设置成固定IP地址或DHCP动态获得IP地址,一般建议服务器或特权主机设定为固定IP地址,其他主机动态分配IP地址。2、对于固定IP地址的主机,系统检查其MAC地址、I
6、P地址、主机名、网卡类型、对应交换机端口等信息,如果是非法主机,系统将阻止其入网。此类主机一般无需实名认证,或健康检查。3、对于固定IP地址的主机如果需要进行实名认证或桌面准入,需将接入终端的网关指向准入设备的接口地址。4、对于DHCP动态获取IP地址的主机,首先系统会临时分配一个隔离网段IP地址,允许它访问隔离网段服务器(例如:杀毒服务器、补丁服务器、实名认证服务器等)5、系统如果启动了实名认证模块,接入主机获取动态IP地址后,打开IE浏览器访问外网时,系统会自动推送实名认证网页,要求其输入管理员分配的用户名及密码,如果身份认证未通过,系统将不会分配内网IP地址,接入终端也无法访问内网任何资
7、源。如果身份认证通过,并且系统没有启动健康检查模块,接入主机将获取管理员分配的内网合法IP地址,根据【隔离】安全策略来确定接入终端访问内网应用服务器资源的权限。6、系统如果启动了健康检查/桌面管理模块,接入主机实名认证通过后,系统在其打开IE浏览器访问外网时,会自动推送健康检查/桌面管理客户端下载网页,当其安装完健康检查/桌面管理客户端后,接入主机将获取管理员分配的内网合法IP地址,根据【隔离】安全策略来确定接入终端访问内网应用服务器资源的权限。7、系统运行过程中,将自动收集当前限制主机、允许主机、离线主机、在线主机列表,每台主机当前使用MAC地址、IP地址、组名/主机名、部门/用户名、接入交
8、换机及端口号、接入时间等信息,管理员可实时查看到对应交换机上接入主机的信息,并可手动/自动关闭其端口,完全隔离非法主机。2.4、DHCP准入设置与工作流程2.4.1、DHCP准入基本参数设置【启用DHCP准入】 :此复选框为DHCP准入总开关,相关网段是否启用准入,还需要在LAN接口属性中设置启用准入。2.4.2 DHCP服务配置在主界面分类树区,选择【网段】栏,在所有节点下选择要配置的网段对象,点击鼠标右键选择菜单【网段属性】设置如下【员工DHCP】及【访客DHCP】策略:启用DHCP服务:用来禁用或允许本网段DHCP服务。 系统主动扫描监控的网段对应的接口地址DHCP服务配置DHCP服务分
9、配指定的IP地址 DHCP分配用户指定的IP地址2.4.3 隔离网段安全策略配置隔离网段:接入终端用户以DHCP动态获取IP地址方式接入网络,系统首先判断接入终端是否属于已经定义的白名单节点,如果是,则分配固定IP地址。如果不是,并且系统选项中“验证通过后DHCP可以给客户端分配空闲的工作地址”为打勾状态,接入终端通过实名认证及桌面准入认证后,则系统为此接入终端分配员工DHCP地址范围内的IP地址。如果系统选项中“验证通过后DHCP可以给客户端分配空闲的工作地址”为不打勾状态,接入终端通过实名认证及桌面准入认证,则接入终端保持访客户DHCP服务分配的IP地址不变,此时,我们把此状态的终端叫做进
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 终端 准入 DHCP 实施方案
限制150内