宝界终端准入IP MAC准入实施方案.docx

宝界终端准入IP MAC准入实施方案.docx

《宝界终端准入IP MAC准入实施方案.docx》由会员分享，可在线阅读，更多相关《宝界终端准入IP MAC准入实施方案.docx（12页珍藏版）》请在冰点文库上搜索。

宝界终端准入IPMAC准入实施方案

宝界IP/MAC准入解决方案

一、需求背景

1.1、为什么要用IP/MAC准入？

目前有许多网络中对可管理交换机在端口上做IP/MAC绑定,但存在如下一些问题：

1、管理员需要熟练掌握交换机设置命令；

2、用户主机IP一旦绑定交换机端口，就不能在内网随意移动物理位置；

3、管理员没有统一监控管理平台，只能使用Excel表格手工管理统计IP/MAC地址；

4、管理员无法了解当前动态IP/MAC占用状态；

5、Office用户变更自己的IP地址，从而引起IP冲突，交换机不会报警；

6、交换机不能实现多IP绑定一个MAC地址（虚拟机应用环境）

  使用上网行为管理网关在网络出口处做IP/MAC绑定实现有限的安全准入功能，存在如下问题：

1、只能限制客户端PC出外网时，必需是指定的IP/MAC地址；

2、不能实现入网即准入；

3、不能有效防止内网IP冲突；

4、无法显示内网IP资源分配情况；

5、无法与交换机联动，显示交换机状态，主动切断/开启交换机端口

使用内网管理软件限制用户修改IP/MAC实现IP地址管理存在如下问题：

1、必须安装客户端后才能控制，如果是一些硬件设备（交换机、路由器、Linux、Unix主机），无法安装客户端；

2、客户端与杀毒软件、操作系统有兼容性问题；

3、如果接入PC不主动安装内网客户端，则无法控制；

4、移动PC主机，如笔记本出外网，需要网络管理员在内网管理系统中手动解除IP地址改动限制；

5、无法对DHCP环境做MAC地址准入管理；

6、当处于离线状态时，别人同样可以使用你的IP，上线之后造成IP冲突；

针对以上存在的问题，所以需要专业的IPMAC准入来实现对内网主机的接入控制。

1.2、什么样用户需要IPMAC准入？

金融、军队、医院、涉密的企事业等行业类用户，对外来电脑的接入需要做严格控制。

原先采用在交换机上做IP/MAC绑定，使用交换机命令行方式来做端口绑定，工作量很大，而且不灵活，不懂交换机配置的人做不了，时间长了，MAC地址是谁，记不住，只能用EXCEL来记，对当前网络的动态情况不能了解，到底IP谁在用，现在可以分配那个IP，完全凭个人记忆和猜测，对于笔机本需要在多个交换机之间移动接入的情况不能适用。

使用宝界准入控制系统，可以自动的对交换机做IP/MAC绑定，可以直观显示当前各网段的IP使用情况，支持笔机本在多个交换机之间移动接入。

极大地方便了网络的有效管理，减轻了网管的工作量。

注:

本文作者扣扣,电联

二、解决方案

2.1、IPMAC准入工作原理

宝界终端准入控制系统通过与交换机直接做联动，telnet到交换机把合法主机的IP/MAC地址对对应绑定，非法主机我们作为限制主机绑定成准入设备的MAC。

非法主机打开IE时,由准入设备通过ARP重定向到认证页面，强制认证，只有经过实名/证书认证及第三方软件（如内网管理软件等）认证后，准入设备才会让该主机IP绑定到正确的MAC。

2.2、IPMAC准入部署拓朴图

网络拓朴结构

网络拓朴说明：

1、终端准入设备是旁路方式接在核心交换机上,由于准入设备是多接口的，对于网段数不多的网络，可以一个接口管理一个VLAN，各网段分别接入准入设备的不同接口，各自进行准入控制。

2、对于多VLAN的，可以采用核心交换机的TRUNK口接准入设备的一个接口，这样可以一个准入接口可以管理多个VLAN。

实现每个VLAN的准入控制。

3、准入与核心交换机通过TELNET/SSH方式联动。

2.3IPMAC准入服务相关设置

2.3.1、IP/MAC自动绑定参数设置

【启用IP/MAC检测】：

绑定引擎是指利用交换机智能联动技术，当系统发现非法终端在限制主机列表中，则自动的在三层交换机上执行ARP绑定命令，将非法终端的IP地址绑定错误的MAC地址即终端准入设备的接口的MAC地址，以达到准入的目的。

登陆地址：

三层交换机的IP地址。

登陆端口：

缺省使用Telnet方式登陆交换机，缺省端口号为TCP23，当使用SSH登陆，端口号要改为22

使用SSH登陆：

本复选框勾选表示使用SSH方式登陆三层交换机，执行预定IP/MAC绑定命令。

设备类型：

交换机品牌，目前支持思科、H3C、华为、中兴、锐捷、神州数码LINKSYS等

用户名：

三层交换机TELNET或SSH登陆用户名称

登陆口令：

三层交换机TELNET或SSH登陆用户名称对应的口令

特权口令：

三层交换机TELNET或SSH进入特权模式所需的口令，某些三层交换机没有特权模式，本选项可不填写。

绑定命令：

系统自动在三层交换机上执行绑定命令，例如：

如果三层交换机是思科交换机，则可用交换机内置命令：

arp%I%.2Marpa，进IP/MAC自动绑定，其中%I代表入网主机的IP地址，%.2M代表入网主机的MAC地址。

解除命令：

系统自动在三层交换机上执行解除绑定命令，例如：

如果三层交换机是思科交换机，则可用交换机内置命令：

noarp%I，进IP/MAC自动绑定，其中%I代表入网主机的IP地址。

2.3.2IP/MAC批量绑定参数设置

可以通过准入设备事先定义好的交换机命令，直接在指定的交换机上执行。

1.交换机命令集配置

交换机命令集：

就是为了达到客户端准入控制目的，根据指定类型的交换机的自有的交互命令，由管理员自定义的批命令集合。

2.交换机命令集批量执行

1点击主界面工具栏【执行】按钮，弹出【网络命令执行】窗口，用户首先选择命令集执行的网段、执行的命令集针对的交换机设备、命令集针对交换机的端口、交换机管理员用户名、交换机管理员密码，然后点击【查看】按钮，检查一下动态生成命令脚本的正确性。

2选择管理主界面左边的TAB栏【交换机】，选择所有设备下需要执行命令的【交换机】，点击鼠标右键，弹出快捷菜单，选择【运行命令】，即可选择相关交换机命令集执行，本方式应用对象是所选择的交换机

3选择管理主界面左边的TAB栏【交换机】，选择所有设备下需要执行命令的交换机下的指定的端口，点击鼠标右键，弹出快捷菜单，选择【运行命令】，即可选择相关交换机命令集执行，本方式应用对象是所选择的交换机的端口。

4检查无误后，点击【执行】按钮，则手动的在在对应的交换机上执行5.6.1节定义的命令集脚本。

2.4、接入终端入网流程

1、新接入终端主机，由于不在准入的合法主机列表中，自动进入限制主机列表，系统将在三层交换机或接入层交换机上绑定错误的MAC地址，用户无法进入内网，通知网络管理者，要求接入内网。

2、网络管理员在准入控制界面中解除限制，设置白名单节点。

白名单节点可以限制其入网时间，计算机组名，主机名，接入终端的交换机名、交换机端口号、是否需要实名认证、是否需要安装桌面管理软件。

3、接入终端只有满足白名单节点规定的所有要求后，系统将此节点IP地址三层交换机绑定，或管理员手动批量IP/MAC绑定命令后，接入主机才能进入内网。

通过IPMAC准入方式认证，即使非法主机冒充合法主机的IP/MAC，但组名，主机名，以及没有实名帐号，或没有安装相应的合规软件，只要不符合任何一个条件也是接入不了内网的。

三、常见问题

3.1IPMAC准入的优缺点？

答：

不需要安装任何客户端；适应所有网络环境；同时增加了实名认证准入及与第三方安全软件联动的功能。

缺点：

需要交换机是可网管交换机，支持TELNET/SSH及SNMP等。

3.2IPMAC准入实施过程中有那些注意点？

答：

针对不同的交换机绑定命令不同，哪个层级交换机可网管，就可以做到在哪个层级做绑定。