终端识别与策略自动化设计

大中型园区网络中，接入终端除了智能终端（PC、手机），还有哑终端IP话机、打印机、IP摄像头等哑终端。当前园区网络终端管理主要面临以下两个问题：

1. 当前网络管理系统只能查看接入终端的IP和MAC，并不知道终端具体是什么设备，无法对网络终端做更精细的管理。
2. 不同类型的终端，需部署的网络业务配置和策略也不同，管理员需要手动为每种类型的业务终端配置不同的业务配置和策略，业务部署复杂且操作繁琐。

为了解决如上两个场景问题，华为推出了终端识别与策略自动下发方案，可支持如下功能：

1. 通过iMaster NCE-Campus可查看全网终端类型、系统等分类，比如哑终端：打印机、IP摄像头、一卡通、门禁等，并基于终端的类型进行分类统计和流量呈现。
2. 针对园区IP话机、打印机、IP摄像头等哑终端设备，无需管理员手动为每种类型的业务终端配置不同的业务配置和策略。iMaster NCE-Campus能够自动的识别终端，并为终端设备下发对应的准入策略和业务配置。

网络管理员部署终端识别与策略自动下发方案，需要完成终端识别方法设计、终端策略设计两部分。

iMaster NCE-Campus的终端管理提供终端识别功能，可呈现终端的类型、操作系统、生产厂商。

终端识别通过下列几种方法实现：

被动指纹采集方法：通过网络设备采集终端报文的特征指纹，上报给SDN控制器做终端类型识别。

主动扫描方法：通过SDN控制器主动探测或扫描终端，根据终端设备的反馈信息做终端类型识别。

终端接入网络时，网络设备可以采集终端的信息，上报给iMaster NCE-Campus或iMaster NCE-Campus主动扫描终端信息，iMaster NCE-Campus自动识别终端的类型、操作系统和厂商。

当园区网络管理员想通过iMaster NCE-Campus呈现终端的类型，基于终端类型做网络管理，需要完成如下工作：

1. 收集网络中有哪些类型的终端，比如PC，手机，打印机，IP摄像头，门禁等。
2. 网络是否部署Portal认证。
3. 终端是动态DHCP分配IP地址，还是静态分配IP地址。

利用上述搜集的信息，根据下表逐项遍历，选择需要采用的终端识别方法（多选，符合的识别方法都需开启）

通过上述步骤，筛选出需要在iMaster NCE-Campus上开启的终端识别方法。若管理员无法精确选出应采用的终端识别的方法，推荐开启被动指纹识别的5个识别方法：MAC OUI，HTTP UserAgent，DHCP Option，LLDP，mDNS。

NMAP扫描方法识别周期长，推荐默认关闭，被动指纹识别方法无法满足终端识别的场景再开启NMAP识别方法。

网络管理员可以通过iMaster NCE-Campus在对应的设备上开启终端识别功能和依赖的功能，见表2。

• 不认证场景下，接入设备需开启ARP SNOOPING功能，控制器才能显示有线终端的信息。
• iMaster NCE-Campus与接入设备跨NAT部署场景，不支持SNMP Query和NMAP的终端识别方法。
• 部署SNMP Query和NMAP的终端识别方法时，需确保iMaster NCE-Campus和终端可IP互通。

园区网络管理员可以通过iMaster NCE-Campus为终端设备自动下发对应策略，而无需手动为每种类型的业务终端配置不同的业务配置和策略。终端策略支持基于终端类型或操作系统或生产厂商下发对应终端策略。

管理员需要完成如下工作：

1. 基于终端类型的策略自动下发依赖准入认证来授权策略。接入交换机和AP上需部署准入认证（准入认证方式选择详见认证技术选择）。有哑终端的场景需要在接入交换机和AP上开启MAC认证。
2. 网络开启终端识别功能。详见上一章节的描述。
3. 梳理网络中需要自动下发策略的终端类型，并设计对应的授权策略，在iMaster NCE-Campus上配置。

策略设计逻辑可参考下列样例：

对于哑终端（打印机、IP话机、IP摄像头等）推荐采用基于终端的类型自动下发准入和授权策略，实现哑终端设备的业务自动发放，即插即用。

基于终端类型的策略自动下发过程如图3-19所示。

图3-19 基于终端类型的策略自动下发流程

管理员在iMaster NCE-Campus配置界面，开启终端识别功能，并选择终端类型，指定终端类型的策略。终端接入网络时，网络设备可以采集终端的指纹信息，上报给iMaster NCE-Campus，iMaster NCE-Campus自动匹配终端指纹库，识别终端的类型，根据管理员定义的策略，对终端自动下发对应的准入和授权策略。

终端识别功能和授权VLAN策略一起用时，对于802.1X和MAC认证场景，可以通过关闭预连接，来防止IP地址二次分配的体验问题。