NAC 状态评估：在网络接入前确保托管设备合规性

欢迎阅读 Purple 技术简报系列。今天，我们将深入探讨企业网络安全中运营上最关键、也最容易被误解的领域之一：NAC 准入状态评估，具体来说，就是如何在受管且合规的设备发送哪怕一个生产流量数据包之前，确保它们能够安全地接入您的网络。 如果您是负责多站点资产（无论是酒店集团、零售连锁、体育场馆还是公共部门机构）的 IT 经理、网络架构师或 CTO，这与您当前的安全态势直接相关。我们将涵盖其架构、标准、实际部署模式，以及连经验丰富的团队也容易踩到的陷阱。让我们切入正题。 那么，什么是 NAC 准入状态评估？网络准入控制（即 NAC）是管理哪些设备可以在何种条件下连接到您的网络的主体框架。而准入状态评估是 NAC 内部的特定机制，用于在设备连接之前或紧接着连接之后查询其安全状态。您可以将其视为门口的健康检查。设备不仅需要证明自己的身份，还需要证明自己处于值得信赖的健康状态。 这里的架构包含三个核心组件。首先是策略执行点 - 即 PEP。这通常是您的接入点、交换机或无线控制器。它是物理控制流量是否流动的门禁系统。其次是策略决策点 - 即 PDP。这是您的 NAC 引擎，通常与 RADIUS 或 AAA 服务器集成。它接收准入状态数据，对照您的策略进行评估，并告知 PEP 如何执行。第三是准入状态评估引擎本身 - 这可以是在终端上运行的客户端，也可以是使用 SNMP、WMI 或 SSH 等协议远程查询设备的无客户端机制。 现在，支持这一切的身份验证层是 IEEE 802.1X。这是自 2001 年以来一直存在、但至今仍是企业 NAC 骨干的基于端口的网络准入控制标准。802.1X 定义了三个角色：客户端（Supplicant） - 即尝试连接的设备；认证系统（Authenticator） - 您的交换机或接入点；以及认证服务器（Authentication Server） - 您的 RADIUS 服务器。客户端和认证服务器通过 EAP（可扩展身份验证协议）进行通信，该协议通过认证系统进行隧道传输。使用基于证书的双向身份验证的 EAP-TLS 是这里的黄金标准。如果您非常重视受管设备的合规性，这就是您应该部署的方案。姿态检查实际会检测哪些内容？主要包括六个大类。操作系统补丁级别 - 设备是否正在运行受支持的系统版本，并且是否在您定义的窗口期内应用了关键补丁？终端安全状态 - 是否安装、激活了经批准的防病毒软件（AV）或 EDR 代理，且其特征库是否已更新？防火墙状态 - 基于主机的防火墙是否已启用且策略是否完好？磁盘加密 - 全盘加密是否已激活且未暂停？证书有效性 - 设备是否持有由您的 PKI 签发的、有效且受信任的机器证书？最后是配置合规性 - 设备的安全配置是否符合您定义的基线？ 根据这些检查的结果，您的网络准入控制（NAC）策略引擎会分配以下三种状态之一。合规（Compliant） - 设备通过了所有必需的检查并获得完整的网络访问权限，通常被分配到其指定的 VLAN 或角色。条件合规（Conditional） - 设备通过了关键检查，但未通过一项或多项非关键检查；它将获得受限的访问权限，例如仅限访问互联网，并向用户发送通知。以及不合规（Non-Compliant） - 设备未能通过关键检查，将被放入隔离 VLAN，且仅允许访问修复门户。该修复门户可供设备下载补丁、更新防病毒特征库或获取手动修复指南。 那么，WPA3 在其中扮演什么角色呢？WPA3-Enterprise（特别是 192 位模式）强化了 802.1X 底层的密码学层。它强制要求使用 GCMP-256 进行加密，并使用 HMAC-SHA-384 保证完整性，这对于处理付款卡数据或受 GDPR 保护的敏感个人数据的环境尤为重要。如果您的零售环境属于 PCI-DSS 范畴，或者是受 NHS 数据治理要求约束的医疗机构，那么在新的部署路线图中应将 WPA3-Enterprise 规划在内。 接下来，我们讨论一下无代理与有代理的姿态评估，因为这是一个真正的架构抉择。有代理评估（即在终端上运行轻量级客户端）可以为您提供最深层的可见性。您可以查询注册表项、运行中的进程、已安装的软件以及实时安全状态。权衡之处在于部署开销：您需要通过 MDM 或终端管理平台在整个资产范围内推送和维护该代理。无代理评估则使用基于网络的询问，例如网络上的 SNMP、WMI，或对您的 MDM 平台进行 API 调用。它更容易部署，但可见性较浅，且更容易被规避。对于受管的 corporate 资产，有代理是正确的选择。而对于受管与非受管设备混杂的环境（例如会议中心或酒店后勤网络），采用混合方法则更为合理。 还有一个值得提出的架构要点：持续状态评估与特定时间点评估。大多数传统 NAC 实施仅在连接时检查状态。这是一个重大的安全漏洞。一个在早上九点连接时符合合规要求的设备，其防病毒软件可能会在十一点被用户禁用。现代 NAC 平台支持持续评估 - 以设定的时间间隔或对事件做出响应来重新评估状态 - 并动态更改设备的网络访问级别，而无需重新连接。这是您应该发展的方向。 好了，让我们进入实操阶段。在部署 NAC 状态评估时，我看到的最常见的一个失败模式就是直接进入强制执行模式。千万不要这样做。先从监控模式开始 - 有时也称为审计模式或可见性模式。运行您的状态检查，记录结果，但不要强制执行策略。运行至少两到四周。您几乎肯定会发现网络中存在您不知道的设备，并且您会发现很大一部分已知设备无法通过一项或多项状态检查。在强制执行之前，利用这些数据来修复您的设备资产。 第二个隐患是证书基础设施。基于代理并结合 EAP-TLS 的状态评估需要一个运行良好的 PKI。如果您没有 PKI，或者您的证书生命周期管理是手动且临时的，您将会遇到服务中断。证书会过期。设备在重建后会丢失证书。在规划 NAC 部署之前，请先规划好您的 PKI。 第三：VLAN 设计。您的隔离 VLAN 需要做到真正的隔离 - 而不仅仅是同一物理基础设施上的不同子网。它应该只能访问您的修复门户，以及在必要时访问 Windows Update 或您的补丁管理服务器。如果您的隔离 VLAN 存在任何通往生产系统的路由，那么您就制造了一种虚假的安全感。 第四：异常和旁路流程。每个组织都有无法运行代理的设备 - 打印机、物联网传感器、楼宇管理系统。您需要一个记录在案、经过批准的流程，以便为这些设备授予 MAC 认证旁路，并配备补偿性控制措施。如果您不预先定义这一流程，您最终会得到一个无人负责且无人审计的非正式白名单。 从标准的角度来看，将您的状态策略与适用于您的操作系统平台的 CIS 基准保持一致。这些基准与厂商无关、定期更新，并被广泛接受为企业终端安全的基准。对于 PCI-DSS 环境，关于补丁管理的规范 6.3 和关于反恶意软件的规范 5.3 直接对应于您的状态检查类别。 现在解答几个快速提问。NAC准入合规性评估适用于BYOD设备吗？是的，但您需要一个独立的策略路径。BYOD设备通常通过不同的EAP方法（使用用户凭据的EAP-PEAP，而非使用机器证书的EAP-TLS）进行验证，并被分配到受限更严格的网络段。针对BYOD的准入合规性检查通常更轻量：操作系统版本、基础防病毒软件存在性以及屏幕锁定启用状态。 这与访客WiFi网络如何交互？不交互，而且也不应该交互。访客WiFi是一个完全独立的SSID和网络段，与您的企业基础设施相隔离。NAC准入合规性评估仅适用于您的企业SSID。这两个网络绝对不应共享VLAN或相互路由。 全套NAC部署的典型时间表是怎样的？对于一个中型企业（例如，在多个站点拥有500到2000个终端），从设计到完全强制执行通常需要12到16周。这包括PKI设置、客户端部署、监控模式、修复以及分阶段的强制执行推广。 总结一下：NAC准入合规性评估是确保您的网络准入控制框架发挥切实作用的机制。仅凭身份（即知道是谁在连接）是远远不够的。您需要了解设备的安全性状态，对照策略进行验证，并对不合规行为采取相应措施。该架构已经围绕802.1X、RADIUS和EAP-TLS实现成熟且高度标准化的发展。虽然实施过程中存在真实挑战，但如果采用分阶段的方法，这些挑战是完全可以管理的。 您眼下的下一步行动：使用您现有的MDM或终端管理工具，对当前的终端设备进行准入合规性审计。评估您的PKI就绪情况。设计您的VLAN架构，以划分合规、条件和隔离网段。并在触及强制执行之前，规划好监控模式的部署。 对于运行混合环境（企业内部办公与访客或公共WiFi并存）的企业，Purple等平台提供了访客侧的网络智能和分析，以此补充您的企业NAC部署，在保持这两个世界干净隔离的同时，为您提供跨双网的全面可视化。 感谢您的收听。欢迎在Purple平台上探索完整的书面指南，获取架构图、实际案例和配置参考。