标题：网络准入系统
概述
针对目前内网管理所存在的问题，来访者网络接入管理，员工BYOD，网络非法扫描，网络资源滥用。
NAM系统的功能和用处：
更安全的检测BYOD（Bring Your Own Device）设备。
提供来访者网络接入管理。
根据不同的角色设置访问控制权限。
执行一致性检查。
消除恶意软件。
简化网络管理。
NAM系统可有效保护从小型到大型的网络。其中可应用环境：
银行
大学、中小学
工程公司
会展中心
医院和医疗中心
酒店
制造企业
……
系统构架图
  
网络拓扑图
产品特点
2.1无需安装客户端传统网络准入技术需要安装客户端，其有如下缺点：
实施困难
需要网络管理员帮助每一个用户实施安装，其实施困难比较大，另外存在用户意外卸载客户端或者ActiveX控件的情况。2012年国内某大型石油化工企业就是由于安装网络准入客户端实施困难从而放弃客户端或者ActiveX控件准入控制方式转而改用无客户端准入控制方式。
存在Bugs或安全漏洞
客户端可能存在Bugs或者安全漏洞，容易引起终端异常或被攻击利用，导致安全隐患进而影响整个网络稳定性和安全性。
占用系统资源
客户端控件需要运行在终端系统上，会占用系统资源（CPU，内存，硬盘，网络带宽等），从而导致系统变慢影响正常工作。2.2 即插即用2.3基于网络行为主动发现主动管理NAM设备可监控网络内终端网络行为，并对某些特定的网络行为做到主控发现，主动隔离或限制。如对P2P下载，可以做到发现并隔离。
终端因P2P软件下载被隔离后的通知页面2.4支持网络设备硬件多支持国内常见的各种网络设备硬件。
产品功能
3.1灵活的VLAN管理和基于角色的访问控制通过划分不同VLAN（VLAN技术细节，请参照第三部分技术介绍）来管理终端设备。基于准入控制行业内的长期经验和几次技术更新，NAM设备在过去的几年中已经逐渐变的更为灵活和稳定。客户本身的VLAN拓扑可以保留，只需要在客户的网络中增加两个新的VLAN：注册VLAN和隔离VLAN。
另外，NAM设备可兼容很多设备供应商（参照第四部分支持网络设备）的产品。
VLAN的管理使用不同方式实现： 
通过交换机（基于VALN管理的默认方式）
通过客户类别（基于角色管理的默认方式）
通过客户端程序
其他…
并且，每个交换机可以与其他方法结合来管理使用VLAN。例如，通过NAM设备的默认设置，在适当分类后，基于客户所连接的设备，可以给客户的打印机分配一个VLAN。这意味着你可以很轻松的拥有按照设备类型创建的VLANs。3.2来访准入-使用你自己的设备现在，大多数机构要处理不同类型公司的在线咨询，因此他们的工作需要网络接入。大多数情况下，公司的内部网络很少给未经审核的个人或者设备提供网络接入。而且，他们也很少能够得到公司内部环境的网络接入，这是为了避免管理负担。
NAM设备支持一种特殊的VLAN管理来访者。如果你使用访客VLAN，你可以配置来访者VLAN只能访问互联网或授权的网络资源，在注册VLAN中提供向访客介绍如何注册以获取网络接入。这通常是提供网络接入的管理员来定义的。
注册访客有几种方式：
管理员提前授权来访者账户信息
密码
来访者自注册（需要或者不需要认证）
来访者担保（员工与来访者关联）
通过邮件激活的来访者
通过移动电话激活的来访者（短信）
NAM设备还整合了在线支付方案，比如支付宝。通过这种方式，你可以实现在线支付，获取相关的网络接入。3.3更过内置检测类型NAM设备独有自动阻止网络上指定或者特定行为的设备,。除了应用入侵检测、漏洞评估作为信息源，NAM设备能够结合以下的检测机制，以有效阻止那些不必要的设备的网络接入：3.4自动注册因为现有的大多数网络已经非常庞大和复杂，NAM设备提供多种自动注册客户端或设备的方法。3.5注册时间期限对设备网络接入时间范围可以通过参数的配置加以控制。它可以是一个绝对的日期（如“2012年3月28日星期三”），一个范围（如“从第一次网络接入的四个星期内”）或是当设备变为非活跃状态30分钟后失效。当准入失效时，注册设备就变为未注册设备。也可以设备类别为基础来实现这一控制。准入期限也可以在每个节点上手动编辑。3.6宽带计算NAM设备可以自动跟踪网络上设备的带宽占用总量。它能通过内置的隔离支持，保证或者改变那些在某一时间段内消耗带宽较多的设备的准入级别。NAM设备能提供带宽消耗数据报告。3.7移动网络设备移动网络设备是指在你的网络内移动的可以接入到交换机或无线接入点（AP）的网络设备。一旦配置合适，NAM设备将识别你的移动网络设备并配置相应的允许多种VLAN和多个的MAC地址接入口。在这一点上，移动网络设备可以通过或者不通过NAM设备实现网络接入。一旦该设备断开与NAM设备的连接，它将会重新回到其初始配置。3.8灵活的身份验证NAM设备可以使用多种协议/标准给您的用户提供认证。这使得您可以在您的环境中集成NAM设备，而无需要求用户记住另一个用户名和密码。已知的认证源：
微软的Active Directory
Novell公司的eDirectory
OpenLDAP 
思科的ACS
RADIUS (FreeRADIUS, Radiator, etc.)
本地用户文件3.9接入路由器NAM设备的架构允许通过路由器工作。服务器可以放置在数据中心，但仍然可以有效地保护分支机构。3.10快速部署由于网络访问控制的可侵入性，NAM设备在部署时，发展成为能够很精细的控制每一个网络接口。不管NAM设备是否履行其职责，你可预先自动登记节点，但你也可以控制每一个交换机的每一个端口的水平。这使你能够以你希望的速度在每一个交换机，每一个楼层，每一个位置进行部署。3.11快速通道NAM设备可配置节点访问特定的资源，甚至是节点被隔离时。这使你可以提供用户访问特定的网络资源的通道，如系统补丁、强制安装软件或者工具。3.12高可用性高可用性始终是NAM设备的研发重点。
在我们所有部署中，无论是使用主动或者被动部署模式，都证明了NAM设备的高可用性。在我们的管理员手册中，详细记载了如何配置NAM设备以及如何使其高效稳定运转。3.13 支持的硬件NAM设备支持多个网络供应商及其各种网络硬件。具体硬件支持请参照第四部分硬件支持。3.14基于业界多种标准NAM设备采用多种开放的标准，以避免厂商技术封锁。我们的支持和使用的标准，主要有：
802.1X
简单网络管理协议（SNMP）
标准的SNMP管理信息库（MIB），如BRIDGE-MIB、Q-BRIDGE-MIB、IF-MIB、IEEE8021-PAE-MIB
RADIUS
NetFlow/ IPFIX
无线ISP漫游（WISPR）3.15轻松定制、扩展在经过多次代码重构，NAM产品提供丰富的易于理解的API和详尽的二次开发样例，在各个功能模块第三方厂家均可可快速的进行二次开发，极大的满足了用户各种不同需求。
案例
方案一：企事业单位旁路部署  
部署方案：
1.采用旁路部署，VLAN隔离。
2.用户区划分为：员工VLAN、隔离VLAN、BYOD（Bring Your Owner Device）设备VLAN、来访者VLAN。
3.用户采用本地帐户管理，来访者采用邮件申请注册。
4.服务区划分为：外部服务区VLAN、内部服务区VLAN。
5.隔离区：P2P下载、即时聊天QQ软件，终端未升级系统及指定软件补丁。
6.BYOD区主要包含智能手机及平板电脑。方案二：政府及企业分级部署  
部署方案：
1.采用旁路部署，隔离方式VLAN。
2.逻辑层次分为中央（总部）、省级（分支）、市级（销售点）。
3.上下级设备实时数据同步，执行统一安全策略。
4.用户采用本地帐户与域帐户管理相结合，来访者采用短信（SMS）注册并管理员审核。方案三：企事业单位串联部署  
部署方案：
1.采用串联部署，网络层隔离。
2.用户采用本地帐户管理，来访者采用短信及邮件申请并审核。
3.隔离区：终端未升级系统及指定软件补丁。方案四：服务器网络安全部署  
安全问题：
内网较混乱，终端型号及系统复杂，发生内网扫描及内网入侵服务器等安全事件。
部署方案：
1.采用串联部署，网络层隔离。
2.部署NAM设备从网络层保护服务区仅允许授权用户访问。
3.授权用户采用本地帐户、邮件账户管理，临时用户采用申请并审核。
4.访问时间严格限制，避免非授权用户接触服务区。