终端识别
随着物联网的不断普及与应用，当前接入园区网络的终端类型和数量越来越多，尤其在大中型园区网络中，接入终端除了PC、手机之外，还有IP话机、打印机、IP摄像头等哑终端。大量不同类型的终端需要接入到园区网络中，这就给园区内网终端管理带来了很大的难度。因为传统网络管理系统只能查看接入终端的IP和MAC，无法对终端做更精细的管理，如果需要给不同类型的终端，规划部署不同的网络业务和策略，管理员需要按规划为每种类型终端进行手动配置，业务配置复杂且操作繁琐。
终端识别即为解决上述问题而推出的功能。通过多样化的终端识别方法，iMaster NCE-Campus可查看整个园区网络终端的类型、操作系统等摘要信息。基于这些摘要信息，可以对终端进行多维度的精细化管理，比如根据终端类型进行流量统计和呈现，下发指定的授权策略等。另外，对于通常采用MAC认证的园区IP话机、打印机、IP摄像头等哑终端设备，还可以实现基于终端识别的自动准入，从而减少管理员手动配置工作量。
终端识别方法
终端识别的方法主要包括被动指纹采集和主动扫描两大类，如图1-16所示。
- 被动指纹采集：通过网络设备采集终端报文的特征指纹，上报给iMaster NCE-Campus，然后通过匹配iMaster NCE-Campus自带的指纹库进行终端类型识别。这类终端识别方法包含MAC OUI、HTTP UserAgent、DHCP Option、LLDP、mDNS。
- 主动扫描：通过iMaster NCE-Campus主动探测或扫描终端，根据终端设备的反馈信息做终端类型识别。这类终端识别方法包含SNMP Query、NMAP方法。
表1-2详细介绍了上面所列举的每一种识别方法。
识别方法 |
详细介绍 |
|---|---|
HTTP User-Agent |
User-Agent是Web浏览器标识。Web服务器通过检测终端Web浏览器的User-Agent发送最佳适配的网页内容，以便解决网站在不同的浏览器之间的兼容性问题。User-Agent通常包含操作系统名称、操作系统版本、CPU类型等信息。在终端用户使用Web认证向业务控制器发起身份认证时，业务控制器通过分析浏览器的User-Agent的内容来识别终端的操作系统名称和操作系统版本。 |
DHCP Option |
在IP地址由DHCP服务器自动分配的情况下，为了获取IP地址接入网络，DHCP客户端在申请IP地址时会向DHCP服务器获取相关的参数。不同终端从DHCP服务器获取的参数会有所不同，从而形成不同终端本身的显著特征。常用属性有55、60、12。 接入设备上报信息需要配置DHCP Snooping功能。 |
MAC OUI |
MAC地址由6个字节组成。MAC OUI是MAC地址最左边的3个字节就是组织唯一标识符，由IEEE（Institute for Electrical and Electronic Engineers）分配给各类组织使用，与网卡制造的厂商一一对应。根据IEEE已经分配的MAC地址左边3个字节大致能够判断设备制造商。 |
mDNS |
mDNS即组播DNS（multicast DNS），mDNS主要实现了在没有传统DNS服务器的情况下使局域网内的主机实现相互发现和通信。 mDNS的默认端口是5353，每个进入局域网的主机，如果开启了mDNS服务的话，都会向局域网内的所有主机组播一个消息。根据消息就能获取产品的信息。 接入设备上报信息需要配置mDNS Snooping功能。 |
LLDP |
LLDP协议可以识别网络中设备之间的二层的链接状态信息并进行网络拓扑分析，通过LLDP协议在首次发现邻居类型和邻居类型变化之后上报LLDP邻居信息获取终端特征。适用于终端与华为接入交换机直连且终端支持LLDP功能的场景。华为接入交换机缺省开启LLDP功能，如果LLDP功能去使能，请配置LLDP功能。 |
SNMP Query |
为了更好地通过网管管理自己生产的设备，很多设备制造商在开发产品时遵循SNMP协议，以便网管能够通过SNMP查询设备的运行状态。例如交换机、路由器、IP电话、打印机。这些设备在向网管上报的设备的运行状态信息通常会包含设备名称、设备类型和设备制造商名称。查询并分析设备的运行状态信息即可识别此类设备。 通过SNMP识别设备必须同时满足如下前提条件：
|
NMAP |
NMAP(Network Mapper(网络映射器)) 是一款开放源代码的网络探测和安全审计的工具，主要用于主机发现、端口扫描、服务版本探测、操作系统探测等场景。缺省情况下，iMaster NCE-Campus不支持NMAP，加载NMAP插件后，支持使用NMAP进行主动终端识别。有关此种方式的详细内容可参考iMaster NCE-Campus中的《NMAP插件使用指南》。 |
MAC自动认证
对于打印机、IP话机、IP摄像头等哑终端设备，日常一般采用MAC认证接入网络。如果采用传统的MAC认证方式，管理员首先需要在认证服务器上手工录入每一台终端的MAC地址，效率低下，尤其在大中型园区场景，规模庞大的哑终端会带来很多的工作量。
基于终端识别的自动准入方案，可以解决此问题。管理员可以通过在iMaster NCE-Campus开启终端识别和自动准入功能，然后在准入策略和授权策略中指定好需要进行MAC认证的终端类型即可。当终端接入园区网络后，iMaster NCE-Campus通过终端识别获取到相应终端信息，如果终端信息匹配认证规则，会在用于MAC认证的后台数据库中自动录入MAC地址，实现终端自动认证授权，如图1-17所示。
