网络准入控制(NAC)

网络准入控制(Network Access Control,NAC)是一套在终端设备接入企业网络之前,对其身份进行认证并对安全状态进行合规检查的技术与策略框架。只有通过认证且满足安全基线的设备才被允许接入网络或访问相应资源,不合规设备则被拒绝、隔离或引导修复。

概述

企业网络中接入的设备五花八门,包括员工电脑、访客终端、物联网设备和自带设备(BYOD)。若任由它们自由接入,一台缺补丁或已感染的设备就可能成为攻击跳板。NAC 在接入的门口设卡,把身份认证和健康检查作为进入内网的前提,是零信任理念在网络层的重要落地手段之一,常与 802.1X 认证协议配合实施。

核心原理

• 身份认证:通过 802.1X、证书或账号验证设备与用户身份。
• 合规检查(准入评估):检测终端是否安装杀毒、补丁是否更新、配置是否符合策略。
• 策略执行:依据结果动态分配 VLAN、下发访问控制列表或将设备隔离到修复区。
• 持续监控:接入后仍监测设备状态,发现异常可动态调整或断开。

应用场景

NAC 广泛用于企业有线和无线网络的接入管控、访客网络隔离、BYOD 管理和物联网设备可见性治理。在医院、金融和制造等对合规要求高的行业,它用于确保只有可信、合规的设备能触及关键业务网络,并在设备失陷时快速隔离。

常见问题

问:NAC 和防火墙有什么区别?答:防火墙主要按规则过滤进出网络的流量,NAC 关注设备接入这一环节,决定谁能进网、进网后能到哪里,二者层次不同、互为补充。

问:没有 NAC,802.1X 够用吗?答:802.1X 解决的是接入认证,而 NAC 在此之上增加了终端合规评估和动态策略,能力更完整。二者常结合使用。