什麼是網路存取控制 (NAC)？

您的網路中可能已經存在比您團隊所能輕鬆追蹤還要多的身分。員工筆記型電腦、個人手機、印表機、智慧電視、POS 終端機、掃描器、平板電腦、醫療設備、訪客裝置、承包商、居民、Kiosk 自助服務機。問題不僅僅在於它們是否能夠連線，而是在於每一個裝置是否應該連線、連線到什麼內容，以及在何種條件下連線。

這正是人們開始提出非常務實問題的時候：究竟什麼是網路存取控制（network access control）？不是供應商簡報上的版本，而是實際營運上的版本。

簡單來說，網路存取控制（NAC）是一個原則層，用於決定誰以及什麼裝置可以進入您的網路，並執行相應層級的存取權限。一個優秀的 NAC 部署不僅僅是驗證使用者名稱然後放行流量，它還會識別裝置、檢查其是否符合原則，並將其引導至正確的網路區域，或者完全拒絕存取。

這在現在尤為重要，因為英國組織正在應對高密度、高速、混合用途的環境。英國政府的《2024年網路安全漏洞調查》發現，50% 的英國企業在過去 12 個月內曾報告過網路安全漏洞或攻擊，其中大型企業更攀升至 74%（此處引用了英國的漏洞數據）。在這種背景下，預設允許任何具有 WiFi 訊號或乙太網路連接埠的裝置進入網路，簡直是自找麻煩。

數位警衛：為什麼每個網路都需要存取控制

想像一棟管理完善的大樓，設有接待處、旋轉閘門、員工證、訪客證和限制進入的樓層。警衛不只是詢問是否有人前來，還會檢查其身分、目的，以及該人員應被允許前往何處。

NAC 則為網路執行相同的工作。

防火牆依然重要，但單憑防火牆還不夠。防火牆主要控管流量。而 NAC 控管的是准入。它作用於裝置試圖加入網路的節點，並提出不同層面的問題：這是誰、這是什麼裝置、它是否合規，以及應該允許它存取什麼資源？

為什麼舊有模型會失效

許多網路都是基於一個簡單的假設而建立的：如果裝置成功進入內部，它基本上就是受信任的。然而，在「內部」包含未受管理的電話、IoT 設備、訪客流量和臨時使用者的現代環境中，這種模式便宣告瓦解。

以下是幾個常見的例子：

• 承包商的筆記型電腦連線到財務人員所使用的同一個無線環境中。
• 訪客裝置進入了未與內部服務進行乾淨客群切分的網路。
• 共用的平板電腦使用有效的憑證進行驗證，但缺少了您的原則所要求的控制措施。
• 受感染的端點獲得了正常存取權，並開始進行橫向移動探測。

這些都不是罕見的極端情況，而是正常的營運日常。

實用規則：如果您無法在邊緣決定存取權限，最終將不得不在網路更深處嘗試清理信任問題，而那裡的控制難度通常更高。

這就是為什麼 NAC 非常自然地契合 零信任（Zero Trust）網路存取方法。您不再假設「位置等同於信任」。身處於場所內、連上 SSID 或接入有線網路，並不代表使用者或裝置應該獲得廣泛的存取權限。

NAC 在實務上改變了什麼

NAC 帶來最大的觀念轉變是：連線並不等於信任。

與其給予裝置廣泛的存取範圍並依賴下游的控管機制來處理後續，NAC 可以：

• 在授予正常存取權限之前驗證使用者和裝置
• 剖析端點，使未知或未受管理的設備不會混入其中
• 套用基於角色的存取，使員工、訪客和裝置不會共用相同的網路體驗
• 隔離不合規的系統，而不是讓它們與生產資產混在一起

這使 NAC 成為第一線的控制手段，而非事後收拾的層面。在許多人與裝置共用相同實體基礎架構，但絕不應共用相同信任層級的場所，這特別有用。

瞭解 NAC 的核心元件

NAC 看似複雜，是因為有多個系統協同運作。一個實用的心理模型是城市的自動化交通系統：一個系統負責決定規則，一個系統負責驗證誰被允許通過，另一個系統則負責控制現場的柵欄與車道變更。

這些組成部分是：原則引擎、驗證伺服器和執行點。

策略引擎

這是決策的核心。它會收集有關使用者、裝置、位置、連線類型和安全狀態等輸入資訊，然後將其對應至相對應的存取結果。

簡單來說，原則引擎負責解答以下這類問題：

• 這是員工的筆記型電腦、房客的手機，還是印表機？
• 使用者是否在正確的群組中？
• 此設備是否已知且符合合規要求？
• 此工作階段應該獲得完整存取權、僅限網際網路存取權，還是修復引導存取權？

策略引擎之所以至關重要，是因為網路存取控制不只是驗證檢查。它是一個策略執行系統。兩個人可以出示有效的身分，卻獲得不同的網路路徑，這是因為策略引擎對上下文情境的處理方式不同。

驗證伺服器

這是身分驗證器。在許多環境中，這意味著 RADIUS，通常會連結回目錄和身分識別系統。

當裝置嘗試連線時，驗證伺服器會檢查出示的憑證或憑證書，並回應核准、拒絕或網路可使用的附加屬性。這些屬性可能包括角色、VLAN 指派或存取條件。

非專業人士常有的誤解是將 NAC 和 RADIUS 混為一談。它們並不相同。RADIUS 通常只是工作流程的一部分。NAC 使用該工作流程，並在其上疊加原則和執行力。

健全的 NAC 設計會將身分證明與存取意圖分離。身分驗證說明了是誰。NAC 則決定該身分在此網路、此工作階段上可以做什麼。

強制執行點

網路會執行其強制執行功能。強制執行點通常是負責授權、限制或拒絕連線的交換器、無線控制器或基地台。

如果策略顯示「僅限網際網路」，執行點可以將端點引導至訪客 VLAN 或受限角色。如果策略顯示「隔離」，端點就會被隔離。如果策略顯示「拒絕」，端點將寸步難行。

簡單的視圖如下所示：

組件	主要工作	典型範例
原則引擎	套用存取邏輯	NAC 平台
驗證伺服器	驗證身分	RADIUS 服務
執行點	變更網路存取權限	交換器、AP、控制器

在營運上，最重要的是這些元件之間的銜接。如果身分資料不準確，原則就會變成憑空猜測；如果執行力不足，原則就只是虛有其表。

探索 NAC 類型與執行機制

並非每種 NAC 部署的運作方式都相同。某些控制發生在設備獲得實質存取權之前；其他控制則在連線後持續進行，並隨著條件變化調整存取權限。最理想的實作通常會結合這兩者。

在英國企業網路中，NAC 最常被實作為圍繞 802.1X 和 RADIUS 的原則執行層，交換器或無線控制器會在數位入口處阻止裝置，並使用 RADIUS 來檢查憑證和健康狀況，然後 NAC 才會決定是否應將該裝置放入特定的 VLAN、受限網路中，抑或完全拒絕存取（結合 802.1X 和 RADIUS 的 NAC 技術概覽）。

准入前與准入後

准入前控制（Pre-admission control）是更乾淨的模型。裝置在獲得實際存取權限之前，必須證明身分並符合原則。如果失敗，網路可以將其封鎖或放入受到嚴格限制的網段中。

准入後控制假定初始連線並非故事的全部。裝置可能會在登入後偏離合規要求、帳戶可能會變更，其行為也可能變得可疑。准入後控制讓網路存取控制能夠在工作階段期間重新評估並收緊存取權限。

實際的比較：

方法	優勢	挑戰與難點
准入前（Pre-admission）	及早阻斷不安全的存取	面對舊型與未託管裝置時難度較高
准入後（Post-admission）	能針對變動的狀態做出即時響應	需要良好的可視性與明確的觸發條件

團隊往往過度關注第一道關卡，而忽略了工作階段控制。這是一個錯誤。早上 9 點時可接受的裝置，在稍後其狀態改變或風險背景發生變化時，可能就不再可接受。

代理程式型（agent-based）與無代理程式型（agentless）

部分 NAC 平台會在終端裝置上使用代理程式（agent），以更可靠地回報安全狀態。這對於受控管的員工筆記型電腦和其他企業裝置非常有用。

其他場景則需要免代理（agentless）技術。訪客手機、消費者裝置以及許多 IoT 終端裝置不會安裝您的代理程式，強制安裝通常會帶來更多阻礙而非價值。在這些情況下，裝置屬性分析、憑證檢查、Portal 流程或網路詮釋資料（metadata）通常是更切合實際的做法。

這兩種模式並沒有絕對的優劣之分。正確的問題在於您擁有哪些類型的裝置，以及其中哪些是您可以控管的。

關鍵的強制執行工具

當人們詢問什麼是網路存取控制時，通常會期待得到單一的機制。實際上，NAC 是多種執行方法的集合體。

以下是一些最常見的：

• 802.1X
  基於連接埠之存取控制的標準。當裝置能妥善支援時，這是首選途徑，因為它能在有線與無線網路上為您提供更強大、以身分為主導的准入機制。

• 動態 VLAN 分配
  NAC 可以根據原則將使用者和裝置分配到不同的 VLAN。相同的交換器連接埠或 SSID，卻有不同的網路結果。

• 角色型存取控制
  財務部門的筆記型電腦、訪客的手機和印表機不應繼承相同的信任度。角色型存取控制（RBAC）能讓原則反映工作職能和裝置類型，而非僅僅是連線位置。

• 隔離網路
  當裝置已知但未符合合規性時非常有用。NAC 可以將其放置在能夠進行修復且無法存取敏感系統的地方，而不是採用非黑即白的決策。

• MAC 驗證旁路
  這通常用於無法執行 802.1X 的裝置，例如某些印表機、掃描器或專業設備。這套機制可行，但其安全性弱於憑證或基於使用者的驗證方法，因此周邊需要更嚴格的原則搭配。

• Captive Portal 與網頁驗證
  在訪客存取環境中很常見。對於臨時存取很方便，但對於重複使用的使用者來說較為繁瑣，且不適合作為員工或受信任裝置的長期方案。

對於正在評估平台選項的組織，根據這些執行模式的支援程度（而不僅僅是主要功能清單）來比較 網路存取控制解決方案，將會非常有幫助。

NAC 如何與您現有的 IT 架構整合

當 NAC 不再單打獨鬥時，才能發揮最大效用。僅憑其自身，它只能檢查連線請求並套用本地規則。若能妥善整合，它就能成為結合身分識別、設備信任和營運情境的存取決策點。

這改變了決策的品質與精準度。

身分識別平台與目錄

大多數組織不希望 NAC 維護一個獨立的使用者與角色體系。他們希望將其與現有定義員工身分的系統結合。在實務上，這通常意味著與 Microsoft Entra ID、Google Workspace、Okta 或現有的目錄服務進行整合。

這讓 NAC 能夠提出更有用的問題：

• 此使用者目前是否有效且處於活動狀態？
• 他們屬於哪一個群組或角色？
• 存取權限是否已在中央被撤銷？
• 此人應被視為員工、承包商、訪客還是住戶？

當存取原則遵循目錄服務的真實數據時，入職與離職流程會變得更加乾淨。如果由 HR 主導的身分變更可以直接影響存取決定，網路就不再落後於您其餘的控制層面。

憑證、姿態與無密碼存取

最強大的 NAC 環境不依賴在 SSID 之間流傳的共用密碼，或留存太久的靜態認證。它們使用憑證和裝置信任訊號來識別端點本身。

這很重要，因為使用者帳戶只能說明部分情況。未知裝置上的有效使用者仍然存在風險疑慮。

業界建議：如果您的員工存取仍然依賴共用的 WiFi 密碼，那麼您並沒有實質的准入控制。您只有一個圖求方便的設定。

這也是網路存取控制（NAC）開始與現代無密碼網路相重疊的地方。以身分為核心的存取可以延伸至傳統 Captive Portal 體驗之外。針對訪客和場域環境，OpenRoaming 與 Passpoint 等技術正朝向安全、自動且低摩擦的連線發展。這種存取依然需要原則規範，只是不再需要過去繁瑣、不便的使用者體驗流程。

NAC 的實際應用：常見使用案例

當您看清 NAC 解決的營運問題時，它就會變得更有意義。原則引擎和 RADIUS 流程固然重要，但大多數買家只關心一件事：它是否能在不破壞使用者體驗的情況下提升控制力？

旅宿業

飯店充滿了重疊的信任區域。房客的手機和筆記型電腦需要網際網路連線；員工設備需要存取營運系統；電視、門禁系統、自助服務機和後台設備也都需要連線，但預設情況下彼此不應互通。

一個合適的網路存取控制設計能將這些類別乾淨地隔離開來，即便它們共用同一個實體基礎設施。訪客能獲得簡單的引導與網際網路存取；員工裝置會對照組織的身分識別堆疊進行驗證；操作型裝置則會落入範圍嚴格限制的區段中。

不可行的是那種嬾惰的做法。單一寬廣的 SSID、一個密碼，然後想著「我們會把敏感部分放在其他地方」。在旅宿業中，這通常會演變成排除疑難的痛苦與權責不明的混亂。

零售業

零售環境通常混合了公開 WiFi、員工平板電腦、POS 系統、掃描器、數位看板和廠商維護的設備。如果沒有部署 NAC，商店最終可能會出現僅僅因為設備位置鄰近就互相信任的系統。

在此情境中，價值更高的控制手段是區隔準入。POS 系統應僅與其所需的目標進行通訊；訪客流量絕對不應成為具有隱含信任的鄰居；廠商設備則必須可被識別且受到限制。

良好的零售業 NAC 設定還能減少營運上的模糊空間。當網路上出現異常情況時，團隊可以更快地對其進行分類並套用已知原則，而不是在營業時間中臨時應變。

醫療保健業

醫療保健是 NAC 迅速發揮價值的領域。醫療院所的環境包含臨床醫生、行政人員、訪客、承包商、未託管的醫療設備，以及無法一律乾淨支援現代驗證的舊型專業設備。

來自 NCSC 的英國公營部門指南與 NAC 原則保持一致，建議組織採用零信任思維，在授予存取權限之前驗證每個使用者和裝置，並使用分段來限制入侵造成的影響（零信任與 NAC 在英國公營部門指南中的一致性）。

在醫院和診所中，最困難的部分不在於理論，而是在不降低整個環境信任標準的情況下，處理混合在一起的各種類型裝置。

多租戶住宅與學生宿舍

住宅營運商需要一種對住戶而言簡單直覺，但在幕後保持隔離的網路模型。住戶不應該僅僅因為與鄰居使用同一個大樓的基礎設施，就能偵測到對方的設備。

在這些情境中，NAC 策略、專用網路分配以及 iPSK 等方法提供了極大幫助。住戶能獲得如自家般的連線體驗，舊版設備仍可正常連線，營運商則能保持隔離與控制。

這與企業辦公室的網路存取控制（NAC）是完全不同的挑戰，但適用的准入邏輯是相同的。身分、裝置類型與原則，共同決定了該使用者所獲得的網路環境。

部署最佳實踐與 ROI 考量因素

大多數 NAC 部署的失敗並非源於技術不夠強，而是源於過於龐大的原則、混亂的硬體資產，以及團隊試圖在太早的階段執行過多的控管。

更好的做法是循序漸進且沉穩扎實。在網路安全領域中，這通常是一種稱讚。

通常行之有效的方法

在開始阻擋之前，先從觀察入手。儘可能在監控或低影響模式下執行 NAC，建立真實的裝置類型檢視，然後分階段收緊原則。

一個有用的順序如下所示：

1. 盤點先行
   了解正在連線的裝置。企業組織通常會發現比預期更多未受管理或分類錯誤的裝置。

2. 從簡單的原則開始
   企業託管裝置、訪客、印表機和未知裝置已足夠構建初始模型。您可以在日後添加更細緻的調整。

3. 明確規劃例外情況
   傳統裝置、臨床設備、專業 IoT 和設施系統都需要一條通路。假裝它們能完全符合乾淨的模型只是浪費時間。

4. 將有線和無線一併處理
   如果 WiFi 上的原則很強，而交換器連接埠上的原則很弱，人們就會找到這個薄弱的縫隙。

將 UK GDPR 隱私與合規性融入設計之中

這部分在 NAC 相關文章中經常被忽略，但在英國卻至關重要。NAC 會收集並評估裝置與使用者屬性，這會產生治理方面的問題。根據 UK GDPR 關於資料最小化和儲存限制的原則，組織應收集其針對特定定義目的所需的資料，且僅在必要期間內保留。這意味著 NAC 設計應定義哪些屬性對於存取決策是必不可少的、記錄哪些內容、日誌保留多長時間，以及安全數據如何與行銷或分析用途進行區隔（針對 NAC 和隱私保護設計考量的英國專注討論）。

這並不代表 NAC 存在問題，而只是意味著資料模型需要遵循嚴格的規範。

不要將網路存取控制當作收集所有可用身分和裝置屬性的吸塵器。請將其建構為一個具有合理證據集的決策系統。

投資報酬率（ROI）比減少入侵更為廣泛

資安採購人員常會詢問投資報酬率（ROI），但往往將其框架得過於狹隘。其價值不僅在於「NAC 是否阻止了資安事件」，更體現在日常營運中。

常見的回收效益領域包括：

• 降低支援摩擦：因為員工和訪客能更一致地進入正確的存取狀態
• 更快的疑難排解：因為網路具有更清晰的身分與原則環境
• 更乾淨的離職/註銷流程：當存取權限取決於中央身分與憑證狀態時
• 減少手動例外處理：一旦重複的角色和裝置類別被正確對應

這也是雲端管理和身分優先選項發揮作用的地方。部分組織仍希望將內部部署的 NAC 與本機 RADIUS 和交換相結合。其他組織則偏好較少基礎架構開銷的方案。像是 Purple 的網路和無線安全服務 等平台符合後者的模式，透過結合身分驅動的存取、無密碼工作流程以及廠商整合，且無需承擔共用密碼和高度手動訪客流程等傳統營運負擔。

存取控制的未來：從 NAC 邁向身分導向網路

傳統的 NAC 依然至關重要。它仍是決定准入與否的關鍵層，負責告知網路在何種條件下、應給予何種存取權限，來信任哪些人與裝置。

然而，圍繞 NAC 的使用者體驗正在改變。

截至 2024 年 1 月，96% 的英國場所已可使用具備千兆位元能力的寬頻（此處提及英國連線更新）。這種水準的連線能力意味著更多的裝置、更多的連線階段，以及對於即時存取更強烈的預期。共用密碼、繁瑣的 Captive Portal 和手動排除的舊模式，在這種環境中已無法有效擴展。

未來的發展方向是身分網路。存取決策仍遵循 NAC 原則，但實作變得更加無縫。員工使用具身分支援、憑證等級的信任進行驗證。訪客透過降低摩擦並從第一個封包就改善加密的標準進行連線。多租戶和混合用途的場域獲得隔離，而無需讓每個使用者都為登入步驟感到困擾。

這就是現今網路存取控制（NAC）的定位。它不再只是傳統的守門人，而是實現無密碼、身分識別驅動存取的基石，能同時確保安全、進行區隔且便於使用。

---

Purple 透過安全、無密碼的存取方式取代共用密碼和 Captive Portal，為訪客、員工和多租戶環境提供服務，協助組織從基本的 WiFi 存取轉向基於身分的網路。如果您正在評估 NAC 原則如何支援 OpenRoaming、Passpoint、基於憑證的員工存取或隔離的居民連線，Purple 是一個值得評估的平台。