NAC 狀態評估：在網路存取前確保託管裝置合規性
本技術參考指南深入探討了 NAC 狀態評估，詳細介紹了實施託管裝置合規性所需的架構、標準和部署策略。它為 IT 經理和網路架構師提供了實用的洞察，以降低風險並確保跨多站點企業環境的安全網路存取。
收聽此指南
查看播客逐字稿
এক্সিকিউটিভ সামারি
জটিল এবং মাল্টি-সাইট এনভায়রনমেন্ট পরিচালনাকারী এন্টারপ্রাইজ আইটি লিডারদের জন্য, নেটওয়ার্ক অ্যাক্সেসের ক্ষেত্রে শুধুমাত্র আইডেন্টিটি বা পরিচয় আর যথেষ্ট মেট্রিক নয়। কে কানেক্ট করছে তা জানার চেয়ে তারা যে ডিভাইসটি ব্যবহার করছে তার সিকিউরিটি স্টেট বা নিরাপত্তার অবস্থা জানা বেশি জরুরি। Network Access Control (NAC) posture assessment হলো সেই মেকানিজম যা এই শূন্যস্থান পূরণ করে এবং নিশ্চিত করে যে, প্রোডাকশন ট্রাফিকের একটি প্যাকেট ট্রান্সমিট করার আগেই শুধুমাত্র ম্যানেজড এবং কমপ্লায়েন্ট ডিভাইসগুলো কর্পোরেট ইনফ্রাস্ট্রাকচারে অ্যাক্সেস পায়।
এই গাইডটি NAC posture assessment ডিজাইন, ডিপ্লয় এবং ম্যানেজ করার বিষয়ে একটি বিস্তৃত টেকনিক্যাল রেফারেন্স প্রদান করে। আমরা 802.1X, RADIUS এবং EAP-TLS সহ এর অন্তর্নিহিত আর্কিটেকচার নিয়ে আলোচনা করেছি, এজেন্ট-বেসড এবং এজেন্টলেস ইন্টারোগেশনের সুবিধা-অসুবিধা মূল্যায়ন করেছি এবং অপারেশনাল ব্যাঘাত কমায় এমন একটি পর্যায়ক্রমিক ডিপ্লয়মেন্ট স্ট্র্যাটেজির রূপরেখা দিয়েছি। আপনি কোনো কর্পোরেট হেডকোয়ার্টার, ডিস্ট্রিবিউটেড রিটেইল এস্টেট, অথবা হসপিটালিটি খাতের ব্যাক-অফিস অপারেশন সুরক্ষিত করুন না কেন, ঝুঁকি কমানো এবং কমপ্লায়েন্স প্রয়োগের ক্ষেত্রে একটি শক্তিশালী posture assessment বাস্তবায়ন করা অত্যন্ত গুরুত্বপূর্ণ পদক্ষেপ।
মূল কনসেপ্ট এবং ডিপ্লয়মেন্টের সাধারণ ত্রুটিগুলোর একটি এক্সিকিউটিভ ওভারভিউ পেতে নিচে আমাদের ১০ মিনিটের টেকনিক্যাল ব্রিফিং পডকাস্টটি শুনুন।
টেকনিক্যাল ডিপ-ডাইভ
Posture Assessment-এর আর্কিটেকচার
Network Access Control ডিভাইসের কানেক্টিভিটি নিয়ন্ত্রণ করে, কিন্তু posture assessment হলো ডিভাইসের সিকিউরিটি হেলথ বা নিরাপত্তার অবস্থার নির্দিষ্ট ইন্টারোগেশন। এর আর্কিটেকচার মূলত একসাথে কাজ করা তিনটি প্রধান উপাদানের ওপর নির্ভর করে:
১. Policy Enforcement Point (PEP): এটি হলো ফিজিক্যাল বা লজিক্যাল গেটকিপার—সাধারণত একটি ওয়্যারলেস অ্যাক্সেস পয়েন্ট, সুইচ পোর্ট, অথবা ওয়্যারলেস ল্যান কন্ট্রোলার। পলিসি ইঞ্জিনের নির্দেশনার ওপর ভিত্তি করে PEP ফিজিক্যালি ট্রাফিকের প্রবাহ নিয়ন্ত্রণ করে। ২. Policy Decision Point (PDP): প্রায়শই RADIUS বা AAA সার্ভারের সাথে ইন্টিগ্রেটেড থাকা PDP হলো NAC আর্কিটেকচারের মস্তিষ্ক। এটি posture ডেটা গ্রহণ করে, নির্ধারিত কমপ্লায়েন্স পলিসির বিপরীতে তা মূল্যায়ন করে এবং PEP-কে এনফোর্সমেন্ট ডিরেক্টিভ বা নির্দেশিকা প্রদান করে। ৩. Posture Assessment Engine: এই উপাদানটি এন্ডপয়েন্ট থেকে প্রকৃত হেলথ ডেটা সংগ্রহ করে। এটি ডিভাইসে লোকালি চলা কোনো এজেন্ট হতে পারে, অথবা নেটওয়ার্ক প্রোটোকল (যেমন, SNMP, WMI) বা Mobile Device Management (MDM) প্ল্যাটফর্মের সাথে API ইন্টিগ্রেশন ব্যবহার করা কোনো এজেন্টলেস মেকানিজম হতে পারে।
IEEE 802.1X এবং EAP-TLS-এর ভূমিকা
এন্টারপ্রাইজ NAC-এর ভিত্তি হলো IEEE 802.1X স্ট্যান্ডার্ড, যা পোর্ট-বেসড নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল সংজ্ঞায়িত করে। এই ফ্রেমওয়ার্কের মধ্যে তিনটি ভূমিকা সংজ্ঞায়িত করা হয়েছে:
- Supplicant: কানেক্ট করার চেষ্টা করা এন্ডপয়েন্ট ডিভাইস।
- Authenticator: কানেকশনে সহায়তা করা PEP (সুইচ বা অ্যাক্সেস পয়েন্ট)।
- Authentication Server: ক্রেডেনশিয়াল যাচাইকারী RADIUS সার্ভার।
Supplicant এবং Authentication Server-এর মধ্যে যোগাযোগ Extensible Authentication Protocol (EAP)-এর মাধ্যমে ঘটে, যা Authenticator-এর মধ্য দিয়ে টানেল করা থাকে। ম্যানেজড কর্পোরেট ডিভাইসের জন্য EAP-TLS হলো গোল্ড স্ট্যান্ডার্ড। এটি X.509 ডিজিটাল সার্টিফিকেট ব্যবহার করে মিউচুয়াল অথেনটিকেশন বাধ্যতামূলক করে, যা নিশ্চিত করে যে ডিভাইস এবং নেটওয়ার্ক উভয়ই ক্রিপ্টোগ্রাফিকভাবে একে অপরের পরিচয় যাচাই করে। এটি ক্রেডেনশিয়াল চুরি এবং রগ (rogue) অ্যাক্সেস পয়েন্ট অ্যাটাক প্রতিরোধ করে।
Posture Check ক্যাটাগরি
যখন কোনো ডিভাইস কানেক্ট করার চেষ্টা করে, তখন posture assessment ইঞ্জিন বেশ কয়েকটি গুরুত্বপূর্ণ ভেক্টর মূল্যায়ন করে:
- OS ও প্যাচ ম্যানেজমেন্ট: অপারেটিং সিস্টেমটি সাপোর্টেড কিনা এবং নির্ধারিত SLA-এর মধ্যে ক্রিটিক্যাল প্যাচগুলো অ্যাপ্লাই করা হয়েছে কিনা তা যাচাই করা।
- এন্ডপয়েন্ট সিকিউরিটি (AV/EDR): অনুমোদিত অ্যান্টি-ভাইরাস বা Endpoint Detection and Response এজেন্ট ইনস্টল করা, সক্রিয় এবং আপডেটেড ডেফিনিশন ধারণ করছে কিনা তা নিশ্চিত করা।
- ফায়ারওয়াল স্ট্যাটাস: হোস্ট-বেসড ফায়ারওয়াল এনাবল করা আছে এবং এর পলিসিতে কোনো পরিবর্তন করা হয়নি তা নিশ্চিত করা।
- ডিস্ক এনক্রিপশন: ফুল-ডিস্ক এনক্রিপশন (যেমন, BitLocker, FileVault) সক্রিয় আছে এবং সাসপেন্ডেড অবস্থায় নেই তা যাচাই করা।
- সার্টিফিকেট ভ্যালিডেশন: প্রয়োজনীয় মেশিন সার্টিফিকেটের উপস্থিতি এবং বৈধতা পরীক্ষা করা।
- কনফিগারেশন কমপ্লায়েন্স: ডিভাইসের সিকিউরিটি বেসলাইন কর্পোরেট পলিসির সাথে মিলে কিনা তা নিশ্চিত করা (যেমন, স্ক্রিন লক টাইমার, ডিজেবল করা USB মাস স্টোরেজ)।
WPA3-Enterprise এবং ক্রিপ্টোগ্রাফিক স্ট্রেংথ
নেটওয়ার্ক সিকিউরিটির উন্নতির সাথে সাথে এর অন্তর্নিহিত ক্রিপ্টোগ্রাফিক স্ট্যান্ডার্ডগুলোও উন্নত হয়। WPA3-Enterprise, বিশেষ করে যখন এটি 192-বিট মোডে কাজ করে, তখন এটি WPA2-এর তুলনায় উল্লেখযোগ্য উন্নতি প্রদান করে। এটি এনক্রিপশনের জন্য GCMP-256 এবং ইন্টিগ্রিটির জন্য HMAC-SHA-384 ব্যবহার বাধ্যতামূলক করে। সংবেদনশীল ডেটা নিয়ে কাজ করা প্রতিষ্ঠানগুলোর জন্য—যেমন PCI DSS-এর আওতাভুক্ত রিটেইল এনভায়রনমেন্ট বা কঠোর ডেটা গভর্ন্যান্সের অধীনে থাকা হেলথকেয়ার সুবিধাগুলো—নেটওয়ার্ক ইনফ্রাস্ট্রাকচারকে ফিউচার-প্রুফ করার জন্য WPA3-Enterprise-এ ট্রানজিশন করা একটি প্রয়োজনীয় পদক্ষেপ।
ইমপ্লিমেন্টেশন গাইড
ব্যাপক নেটওয়ার্ক আউটেজ এড়াতে NAC posture assessment ডিপ্লয় করার জন্য সতর্ক পরিকল্পনার প্রয়োজন। এন্টারপ্রাইজ এনভায়রনমেন্টের জন্য নিচের পর্যায়ক্রমিক পদ্ধতিটি সুপারিশ করা হলো:
পর্যায় ১: ইনফ্রাস্ট্রাকচার রেডিনেস এবং PKI ডিজাইন
Posture check এনাবল করার আগে, আপনার অন্তর্নিহিত ইনফ্রাস্ট্রাকচার এই আর্কিটেকচারকে সাপোর্ট করতে পারে কিনা তা নিশ্চিত করুন। EAP-TLS ডিপ্লয় করলে, একটি শক্তিশালী Public Key Infrastructure (PKI) থাকা অপরিহার্য। আপনার MDM বা গ্রুপ পলিসির মাধ্যমে সার্টিফিকেটগুলো স্বয়ংক্রিয়ভাবে প্রভিশন এবং রিনিউ হতে হবে। ম্যানুয়াল সার্টিফিকেট ম্যানেজমেন্টের ফলে সার্টিফিকেট মেয়াদোত্তীর্ণ হলে অনিবার্যভাবেই কানেক্টিভিটি ফেইলিওর দেখা দেবে।
পর্যায় ২: মনিটর মোড (ভিসিবিলিটি ফেজ)
যেকোনো NAC ডিপ্লয়মেন্টের সবচেয়ে গুরুত্বপূর্ণ পর্যায় হলো মনিটর মোড। এই পর্যায়ে, NAC সিস্টেম ডিভাইসের posture মূল্যায়ন করে এবং ফলাফলগুলো লগ করে, কিন্তু পলিসি এনফোর্স করে না। Posture-এর ফলাফল যাই হোক না কেন, PEP সম্পূর্ণ অ্যাক্সেসের অনুমতি দেয়。
কমপক্ষে ২-৪ সপ্তাহের জন্য মনিটর মোড রান করুন। এটি আপনার এস্টেটের প্রকৃত কমপ্লায়েন্স অবস্থা সম্পর্কে ধারণা প্রদান করে। ব্রোকেন এজেন্ট, পেন্ডিং রিবুট বা মিসকনফিগারেশনের কারণে চেক ফেইল করা ডিভাইসগুলোকে আপনি শনাক্ত করতে পারবেন। এস্টেটকে প্রোঅ্যাক্টিভভাবে রিমিডিয়েট বা সংশোধন করতে এই ডেটা ব্যবহার করুন।
পর্যায় ৩: সেগমেন্টেড এনফোর্সমেন্ট
কমপ্লায়েন্স বেসলাইন গ্রহণযোগ্য পর্যায়ে পৌঁছালে, এনফোর্সমেন্ট শুরু করুন। পলিসি মূল্যায়নের ওপর ভিত্তি করে ডিভাইসগুলোকে তিনটি অবস্থায় ভাগ করা হয়:
১. Compliant: ডিভাইসটি সমস্ত ক্রিটিক্যাল চেক পাস করে এবং সম্পূর্ণ প্রয়োজনীয় অ্যাক্সেস সহ প্রোডাকশন VLAN-এ অ্যাসাইন করা হয়। ২. Conditional: ডিভাইসটি কোনো নন-ক্রিটিক্যাল চেক ফেইল করে (যেমন, একটি মাইনর OS আপডেট পেন্ডিং আছে)। এটিকে রেস্ট্রিক্টেড অ্যাক্সেস (যেমন, শুধুমাত্র ইন্টারনেট) দেওয়া হতে পারে এবং ব্যবহারকারীকে একটি নির্দিষ্ট সময়সীমার মধ্যে তা সংশোধন করার জন্য নোটিফাই করা হয়। ৩. Non-Compliant: ডিভাইসটি কোনো ক্রিটিক্যাল চেক ফেইল করে (যেমন, AV ডিজেবল করা)। PEP ডিভাইসটিকে একটি কোয়ারেন্টাইন VLAN-এ অ্যাসাইন করে।
পর্যায় ৪: রিমিডিয়েশন আর্কিটেকচার
কোয়ারেন্টাইন VLAN-কে অবশ্যই কঠোরভাবে আইসোলেটেড রাখতে হবে। এটি শুধুমাত্র রিমিডিয়েশন পোর্টাল, প্রয়োজনীয় আপডেট সার্ভার (যেমন, Windows Update, AV ডেফিনিশন সার্ভার) এবং ইন্টারনাল আইটি সাপোর্ট রিসোর্সে ট্রাফিকের অনুমতি দেবে। যদি কোনো কোয়ারেন্টাইন করা ডিভাইস প্রোডাকশন সাবনেটে ট্রাফিক রাউট করতে পারে, তবে বুঝতে হবে NAC আর্কিটেকচার ব্যর্থ হয়েছে।
বেস্ট প্র্যাকটিস
- কন্টিনিউয়াস অ্যাসেসমেন্ট: লিগ্যাসি NAC শুধুমাত্র কানেকশনের সময় posture মূল্যায়ন করে। মডার্ন ডিপ্লয়মেন্টগুলোকে অবশ্যই কন্টিনিউয়াস অ্যাসেসমেন্ট সাপোর্ট করতে হবে, যা নির্দিষ্ট বিরতিতে বা কোনো ইভেন্টের (যেমন, একটি EDR অ্যালার্ট) রেসপন্সে posture পুনরায় মূল্যায়ন করে এবং Change of Authorization (CoA)-এর মাধ্যমে ডায়নামিকভাবে ডিভাইসের অ্যাক্সেস লেভেল আপডেট করে।
- এজেন্ট বনাম এজেন্টলেস: ম্যানেজড কর্পোরেট ডিভাইসের ক্ষেত্রে, এজেন্ট-বেসড পদ্ধতি সবচেয়ে গভীর ভিসিবিলিটি এবং কন্টিনিউয়াস মনিটরিং সক্ষমতা প্রদান করে। আনম্যানেজড ডিভাইস বা এমন এনভায়রনমেন্টের জন্য এজেন্টলেস ইন্টারোগেশন উপযুক্ত, যেখানে এজেন্ট ডিপ্লয় করা অ্যাডমিনিস্ট্রেটিভভাবে নিষিদ্ধ।
- MAC Authentication Bypass (MAB): 802.1X-এ অক্ষম ডিভাইসগুলোর (যেমন, লিগ্যাসি প্রিন্টার, IoT সেন্সর) জন্য MAB প্রয়োজন। তবে, MAB স্বভাবতই অনিরাপদ কারণ MAC অ্যাড্রেস স্পুফ করা যায়। MAB ডিভাইসগুলোকে অবশ্যই গভীরভাবে প্রোফাইল করতে হবে এবং কঠোরভাবে নিয়ন্ত্রিত, আইসোলেটেড VLAN-এ রাখতে হবে।
- স্ট্যান্ডার্ডের সাথে সামঞ্জস্য রাখা: আপনার posture পলিসিগুলোকে CIS বেঞ্চমার্কের মতো প্রতিষ্ঠিত ফ্রেমওয়ার্কের ওপর ভিত্তি করে তৈরি করুন। এটি নিশ্চিত করে যে আপনার কমপ্লায়েন্স চেকগুলো ভেন্ডর-নিউট্রাল এবং ইন্ডাস্ট্রির বেস্ট প্র্যাকটিসের সাথে সামঞ্জস্যপূর্ণ।
- গেস্ট ট্রাফিক আইসোলেট করা: কর্পোরেট NAC posture assessment-এর সাথে পাবলিক অ্যাক্সেস নেটওয়ার্কের কখনোই ইন্টারসেক্ট করা উচিত নয়। যেসব ভেন্যুতে উভয়ই প্রয়োজন, সেখানে সম্পূর্ণ আলাদা ইনফ্রাস্ট্রাকচারে পাবলিক অ্যাক্সেস ম্যানেজ করার জন্য একটি ডেডিকেটেড Guest WiFi প্ল্যাটফর্ম ব্যবহার করুন, যেমন Purple-এর WiFi Analytics সলিউশন।
ট্রাবলশুটিং এবং রিস্ক মিটিগেশন
সাধারণ ফেইলিওর মোড
১. 'বিগ ব্যাং' এনফোর্সমেন্ট: ওপেন অ্যাক্সেস থেকে সরাসরি পুরো এস্টেট জুড়ে একসাথে কঠোর এনফোর্সমেন্টে ট্রানজিশন করা অপারেশনাল ব্যাঘাতের একটি নিশ্চিত কারণ। সর্বদা সাইট বা ডিপার্টমেন্ট অনুযায়ী পর্যায়ক্রমিক রোলআউট ব্যবহার করুন। ২. PKI ফেইলিওর: মেয়াদোত্তীর্ণ রুট বা ইন্টারমিডিয়েট সার্টিফিকেট, অথবা Certificate Revocation List (CRL) / Online Certificate Status Protocol (OCSP) ইনফ্রাস্ট্রাকচারের ফেইলিওর ব্যাপক অথেনটিকেশন ফেইলিওরের কারণ হবে। আপনার PKI-এর জন্য শক্তিশালী মনিটরিং বাস্তবায়ন করুন। ৩. রিমিডিয়েশন লুপ: নিশ্চিত করুন যে কোয়ারেন্টাইন VLAN-এ থাকা ডিভাইসগুলোর কমপ্লায়েন্ট হওয়ার জন্য প্রয়োজনীয় আপডেটগুলো ডাউনলোড করার জন্য পর্যাপ্ত নেটওয়ার্ক অ্যাক্সেস রয়েছে। যদি তারা আপডেট সার্ভারে পৌঁছাতে না পারে, তবে তারা স্থায়ীভাবে কোয়ারেন্টাইনে থেকে যাবে।
ROI এবং বিজনেস ইমপ্যাক্ট
NAC posture assessment বাস্তবায়ন করা সাধারণ সিকিউরিটি মেট্রিক্সের বাইরেও পরিমাপযোগ্য বিজনেস ভ্যালু প্রদান করে:
- রিস্ক মিটিগেশন: শুধুমাত্র হেলদি ডিভাইসগুলো নেটওয়ার্কে অ্যাক্সেস পাচ্ছে তা নিশ্চিত করার মাধ্যমে, ম্যালওয়্যার এবং র্যানসমওয়্যারের ল্যাটারাল স্প্রেড উল্লেখযোগ্যভাবে কমানো যায়, যা ব্যয়বহুল ডেটা ব্রিচের সম্ভাবনা হ্রাস করে।
- কমপ্লায়েন্স ভেরিফিকেশন: হসপিটালিটি এবং ট্রান্সপোর্ট -এর মতো কঠোরভাবে নিয়ন্ত্রিত সেক্টরগুলোর জন্য, অটোমেটেড posture assessment PCI DSS এবং GDPR-এর মতো স্ট্যান্ডার্ডগুলোর সাথে কমপ্লায়েন্সের ধারাবাহিক প্রমাণ প্রদান করে, যা অডিট প্রক্রিয়াকে সহজ করে।
- অপারেশনাল এফিশিয়েন্সি: কোয়ারেন্টাইন এবং রিমিডিয়েশন প্রক্রিয়া অটোমেট করার ফলে আইটি হেল্পডেস্কের ওপর চাপ কমে, যা ইঞ্জিনিয়ারদের ম্যানুয়ালি ইনফেক্টেড এন্ডপয়েন্ট ক্লিন করার পরিবর্তে স্ট্র্যাটেজিক উদ্যোগগুলোতে ফোকাস করতে দেয়।
關鍵定義
802.1X
一項用於基於連接埠之網路存取控制的 IEEE 標準，為希望連接到 LAN 或 WLAN 的裝置提供驗證機制。
確保裝置在交換器連接埠或存取點允許任何 IP 流量通過之前，必須先進行驗證的基礎協定。
EAP-TLS
可延伸驗證協定 - 傳輸層安全性。一種使用 X.509 數位憑證進行雙向驗證的驗證架構。
針對託管企業裝置所推薦的標準，因為它依賴密碼編譯憑證，而非容易遭到破解的密碼。
Posture Assessment
根據定義的企業原則，評估終端裝置的安全狀態與組態的程序。
確保裝置在獲准存取網路之前，不僅已通過驗證，而且還處於「健康」狀態（已安裝修補程式、已加密、受保護）。
Policy Enforcement Point (PEP)
根據 NAC 原則，實際阻擋或允許流量的網路裝置（交換器、無線控制器或存取點）。
實際執行由 NAC 伺服器發出之「允許」或「隔離」指令的元件。
Policy Decision Point (PDP)
評估驗證請求和狀態評估數據以確定存取權限的中央伺服器或引擎（通常為 RADIUS 伺服器）。
整個運作的核心大腦，保存規則庫並決定特定裝置應獲得何種層級的存取權限。
MAC Authentication Bypass (MAB)
一種後備驗證方法，當裝置無法執行 802.1X 時，使用該裝置的 MAC 位址作為其憑證。
用於無螢幕裝置（如印表機或 IoT 感測器）。其安全性本質上較弱，必須與嚴格的網路分段相結合。
Change of Authorization (CoA)
一種 RADIUS 擴充功能，允許 NAC 伺服器動態變更作用中工作階段的授權狀態。
對於持續評估至關重要；如果裝置在連線時變得不合規，CoA 允許 NAC 伺服器立即將其移至隔離 VLAN，而無需中斷連線。
Quarantine VLAN
一個嚴格隔離的網路區段，旨在容納不合規的裝置，僅提供對修復資源的存取權限。
防止受感染或有漏洞的裝置在下載必要的更新或修補程式時，與生產系統進行通訊。
範例
一家擁有 400 間客房的飯店需要員工筆記型電腦安全地存取後台的物業管理系統 (PMS)。然而，該場所還託管了許多無法執行 NAC 代理程式的非託管 IoT 裝置（智慧溫控器、數位看板）。
針對所有員工筆記型電腦實施 802.1X EAP-TLS 策略，強制執行嚴格的狀態檢查（防毒軟體啟用、硬碟加密、已安裝修補程式）。這些裝置在成功合規後會被動態分配到企業 VLAN。對於 IoT 裝置，實施 MAC 驗證旁路 (MAB) 並結合深度裝置剖析。確保將這些 MAB 裝置放置在隔離的專用 IoT VLAN 中，並使用 ACL 限制其僅能存取需要通訊的特定控制器。在任何情況下，IoT VLAN 都不應路由到企業 VLAN 或 PMS。
一家零售連鎖店正在 50 個據點部署新的端點銷售系統 (POS) 終端機。IT 團隊希望強制執行狀態合規性以滿足 PCI DSS 要求，但擔心在部署期間會中斷門市營運。
將 NAC 架構部署在監控模式 (Monitor Mode) 下運作 30 天。在此期間，NAC 系統將對 POS 終端機進行驗證，並根據 PCI DSS 基準（例如：防火牆啟用、無未授權軟體）評估其狀態，但僅記錄失敗而不封鎖存取。IT 團隊每週審查日誌，識別未通過檢查的終端機，並透過 MDM 平台進行修復。一旦合規率達到 100%，策略就會在維護窗口期間逐一站點切換到強制模式 (Enforcement Mode)。
練習題
Q1. 某家企業辦公室最近部署的 NAC 解決方案導致了廣泛的連線問題。昨天還符合規範的裝置，今天卻被歸入隔離 VLAN。IT 服務台回報裝置看起來運作正常，防毒軟體（AV）正在執行且已套用修補程式。最可能的架構故障原因為何？
提示：考慮 EAP-TLS 中所使用憑證的生命週期。
查看標準答案
最可能的原因是公開金鑰基礎建設（PKI）發生故障。如果用於 EAP-TLS 驗證的機器憑證已過期，或者 NAC 伺服器無法連線至憑證撤銷清單（CRL）或 OCSP 回應程式，則無論裝置的實際安全性狀態如何，驗證都會失敗。NAC 系統預設會進入失敗關閉（fail-closed）或隔離狀態。
Q2. 您正在為新的 NAC 部署設計 VLAN 架構。安全小組堅持隔離 VLAN 必須允許存取企業代理伺服器（Proxy Server），以便使用者在裝置進行修復時可以瀏覽網際網路。這是一個健全的設計嗎？
提示：評估允許可能受駭的裝置存取共享基礎建設的風險。
查看標準答案
不，這是一個有缺陷的設計。允許被隔離的裝置存取企業代理伺服器會帶來重大風險。如果裝置感染了惡意軟體，它可能會利用該代理伺服器建立命令與控制（C&C）通訊，或嘗試轉移到可透過該代理伺服器存取的其他內部系統。隔離 VLAN 必須嚴格隔離，僅允許存取特定的修復伺服器（例如 Windows Update、防毒軟體定義檔伺服器）以及修復入口網站本身。
Q3. 某家醫院的 IT 小組需要為一批新的無線醫療輸液幫浦確保網路存取安全。這些裝置不支援 802.1X 請求方（supplicant），且無法執行狀態評估代理程式（posture agent）。應如何控制這些裝置的網路存取？
提示：考慮替代驗證方法和最小權限原則。
查看標準答案
這些裝置必須使用 MAC 驗證旁路（MAB）進行驗證。由於 MAB 本質上較為脆弱（MAC 位址可被偽造），因此必須嚴格限制其網路存取。輸液幫浦應放置在專用且隔離的醫療 IoT VLAN 中。必須對此 VLAN 套用存取控制清單（ACL），僅允許與其運作所需的特定中央管理伺服器進行通訊，並阻擋所有其他橫向移動或網際網路存取。
繼續閱讀本系列
員工 WiFi 對比訪客 WiFi：企業網路分段的最佳實踐
為 IT 領導者提供的全面技術指南，探討如何對員工和訪客 WiFi 網路進行分段。內容涵蓋 VLAN 架構、802.1X 驗證、防火牆策略，以及安全網路設計對業務的影響。
Apartment WiFi 解決方案：企業完整指南
本指南涵蓋了 Build to Rent（BTR）和多住戶住宅（MDU）物業中 Apartment WiFi 解決方案的架構、部署和商業案例。它解釋了 Identity Pre-Shared Key (iPSK) 技術如何為每位住戶建立安全、隔離的網路泡泡，同時支援智慧裝置和物聯網。物業開發商、房東和 BTR 營運商將能在此獲得具體的部署指引、ROI 數據和實際執行情境。
Cox business managed WiFi：企業必備的完整指南
本指南詳細介紹建商與 BTR（建屋出租）營運商如何利用 Cox Business 的託管型 WiFi 部署具備擴充性且安全的網路。內容涵蓋網路架構、中立品牌硬體部署，以及將網路連接從營運痛點轉化為可靠基礎設施後對業務帶來的實質影響。