保障混合办公安全：将 NAC 与 ZTNA 结合以实现无缝访问

欢迎来到 Purple 企业架构简报。我是您的主持人，今天我们将深入探讨 IT 领导者面临的一个关键挑战：保护混合员工队伍的安全。具体来说，我们将探讨网络准入控制（即 NAC）与零信任网络访问（即 ZTNA）的架构融合。如果您正在管理跨企业场馆、零售空间或公共部门环境的复杂网络，那么这正适合您。 让我们先来看一下背景。传统的边界已经消亡。我们都清楚这一点。依靠强大的 NAC 来保护公司总部，同时依赖传统的 VPN 进行远程访问，这种方式已经行不通了。它会给用户带来摩擦，并给 IT 带来盲区。现代企业需要统一的安全姿态，将本地基础设施与云原生应用无缝连接。这就是结合使用 NAC 和 ZTNA 的关键所在。 从历史上看，这些是孤立的领域。NAC 使用 802.1X 等标准，非常擅长控制大楼内部的物理和无线访问。它检查设备姿态并分配 VLAN。另一方面，ZTNA 是为云时代构建的 - 根据身份和上下文而非网络位置来保护远程访问。问题在于，当混合员工在这些领域之间移动时。他们在家中通过 ZTNA 进行无缝身份验证，但一走进办公室就会遇到脱节的安全策略。这令人沮丧、效率低下，而且坦率地说，它创造了攻击者可以利用的安全漏洞。 接下来，让我们谈谈技术架构。解决方案是统一的身份和上下文代理层。我们需要在 NAC 和 ZTNA 策略引擎之间同步遥测数据。您可以将其视为跟随用户的持续姿态评估，无论用户身在何处。 以下是它在实践中的工作原理。当设备连接到企业网络时，NAC 会执行全面的姿态检查 - 操作系统版本、防病毒状态、证书验证。它通过 API 集成立即与 ZTNA 代理共享此上下文。如果设备的姿态下降（例如，检测到恶意软件），NAC 会在本地网络上将其隔离，并同时指示 ZTNA 代理撤销对关键云应用的访问权限。当用户从办公室移动到远程位置时，ZTNA 客户端会维护该已建立的信任上下文。无需重新进行身份验证。体验是无缝的，而安全是持续的。 现在，让我们深入探讨支撑这一点的标准。IEEE 802.1X 是本地身份验证的黄金标准。它在端口级别提供设备身份的加密验证。RADIUS 作为后端协议，在 NAC 解决方案和您的身份提供商之间进行通信。在 ZTNA 方面，您可以使用 Azure Active Directory 或 Okta 等身份提供商，以及来自领先供应商的 ZTNA 代理。关键是确保这些系统能够进行双向通信。 对于场馆运营方 - 酒店、会议中心、体育场 - 来说，还存在另一层复杂性。您需要在同一个物理基础设施上管理企业员工、承包商、访客以及不断增加的 IoT 设备。NAC 负责处理这种网络隔离。企业员工获得 802.1X 认证并可访问内部资源。访客则被隔离在专用网络上，理想情况下是通过类似 Purple 的 Guest WiFi 平台进行管理，该平台在提供强大隔离的同时还能收集宝贵的分析数据。对于无法支持 802.1X 的 IoT 设备（例如数字标牌、环境传感器、POS 终端），则通过 MAC 地址认证绕过（MAB）进行处理，并进行严格的 VLAN 隔离以防止任何潜在的泄露。 让我为您介绍一个实际的部署场景。假设有一家拥有 500 家门店的全球零售连锁企业。区域经理经常在门店、总部和家庭办公室之间往返。他们遇到了 VPN 连接中断以及库存管理应用程序访问不稳定的问题。解决方案是融合 NAC 和 ZTNA 架构。当经理在店内时，NAC 通过 802.1X 对设备进行身份验证，并与 ZTNA 代理共享受信任的内部上下文。然后，代理授予对云端托管库存应用程序的直接、优化访问 - 无需 VPN 隧道。当经理在家工作时，ZTNA 客户端会建立通往该应用程序的安全微型隧道，从而保持相同的访问策略。结果如何？一致的访问体验、减少了服务台求助电话，并显著改善了安全态势。 现在，开始实施。我建议采用分三个阶段的方法。第一阶段是可见性。首先在监控模式下部署 NAC。发现并分析网络上的所有设备 - 笔记本电脑、BYOD 设备、IoT、访客设备。先不要执行任何策略。同时，将您的身份提供商与 NAC 和 ZTNA 进行集成，以合并用户身份。使用您的 ZTNA 解决方案来绘制应用程序访问模式。这可以为您提供编写合理策略所需的数据。 第二阶段是策略定义。为企业设备定义基线态势要求。根据用户角色和应用程序敏感性实施 ZTNA 微隔离。至关重要的是，在您的 NAC 和 ZTNA 平台之间建立 API 集成，以实现双向上下文共享。在进入强制执行阶段之前，彻底测试此集成。 第三阶段是强制执行。逐步启用 NAC 强制执行，从试点小组开始。监控身份验证失败并调整策略。向所有企业终端部署 ZTNA 客户端。并使用托管平台将零信任原则扩展到您的访客网络。 让我快速为您解答一些最常见的陷阱。首先，上下文同步延迟。如果 NAC 与 ZTNA 之间的 API 集成出现延迟，受损设备访问云端应用程序的时间可能会超出可接受的范围。解决方案是使用基于 webhook 的推送通知，而不是依赖轮询机制。这可以确保近乎实时的策略更新。 其次，过度严格的策略导致求助台请求量激增。在没有充分的用户沟通的情况下实施严格的姿态检查是造成混乱的根源。请利用 Captive Portal 告知用户不合规情况，并在完全阻止访问之前提供自我服务修复。 第三，IoT 设备身份验证失败。无源 IoT 设备根本无法支持 802.1X 或 ZTNA 客户端。解决方案是采用 MAC 身份验证绕过，并结合严格的设备分析和严格的 VLAN 隔离。 第四，这也是一个大问题 - 未能监控 API 集成本身的状态。如果 NAC 和 ZTNA 之间的同步中断，就会出现安全漏洞。请对集成状态实施监控和告警，并定义在同步丢失超过定义阈值时触发的安全防范策略。 那么，投资回报率如何？这种架构的业务案例非常引人注目。统一策略管理可减轻 IT 团队的行政负担。淘汰传统的 VPN 可显著改善混合工作体验，减少停机时间和挫败感。此外，证明持续姿态评估和基于身份的访问控制的能力简化了 PCI-DSS 和 GDPR 等框架的合规性报告 - 这在零售和医疗保健环境中尤为重要。 总结一下今天简报的关键要点。身份是新的边界，而上下文是关键。在有线网络上使用 NAC，在应用层使用 ZTNA。绝不信任，始终验证 - 且持续进行。分阶段实施：先可见性，然后是策略，最后是执行。不要忘记访客 WiFi 网络和 IoT 资产 - 它们需要成为您安全架构的一部分，而不是事后才考虑的事情。 如果您想深入了解 AI 驱动的网络安全未来，请参阅 Purple 关于 AI 驱动的 NAC 和威胁检测的指南。对于那些管理分布式站点的人来说，我们的 SD-WAN 对比 MPLS 指南非常值得您花时间阅读。 今天的简报就到这里。感谢您的收听，我们下期再见。