接入控制设计

准入服务器选择

在分布式网关方案中，iMaster NCE-Campus是向园区网络设备进行业务配置发放，实现网络部署自动化的关键部件。iMaster NCE-Campus还支持作为准入服务器，这样在网络接入控制中，可以不用额外部署准入服务器。而且iMaster NCE-Campus在作为准入服务器时，提供了丰富的接入控制功能：

• 内置了RADIUS服务器和Portal服务器组件，支持802.1X认证、Portal认证和MAC认证；支持MAC优先的Portal认证。
• Portal认证支持多种方式，常用的用户名密码认证、短信认证、第三方社交媒体认证等都支持。
• 支持终端识别功能，可以基于终端识别功能，实现MAC自动认证。
• 支持业务随行功能，可以向策略执行点下发安全组策略，无需策略执行点本地配置；作为RADIUS服务器在配置授权结果时，可以指定安全组信息。

认证控制点选择

• 分布式网关方案中，有线无线认证控制点建议统一部署在Edge，Fabric在配置接入管理时，可以对有线无线认证控制点统一规划，但无线SSID绑定认证模板的过程在AP上完成，需要登录WAC（即Edge设备）的Web网管配置。

• 分布式网关方案的Fabric组网通常采用VXLAN到汇聚，建议在作为Edge节点的汇聚交换机与接入交换机或者AP间部署策略联动功能。接入交换机可以作为有线认证执行点，只有在Edge认证通过后，才允许接入用户访问网络；AP则可以借助策略联动管理VLAN建立CAPWAP隧道，在Edge上线并作为无线用户的认证执行点，无需额外规划管理VLAN。
• 关于分布式网关方案中认证控制点的详细规划设计可参考Fabric网络设计中的“接入管理设计”。

认证执行点选择

分布式网关方案中，认证执行点位置选择如下：

• 有线认证执行点建议部署在接入交换机，这样，在园区网络边缘设备就可以控制有线用户终端准入。分布式网关方案推荐组网为VXLAN到汇聚，可以在Edge与接入交换机间部署策略联动，不仅能够保证有线认证控制点不需要从Edge下移到接入交换机，有线认证控制点的配置数量不会变多，还使得控制用户终端准入的有线认证执行点仍位于接入交换机。
• 策略联动借鉴了传统WAC+Fit AP接入控制思路。传统WAC+Fit AP架构中，WAC就是无线认证控制点，而AP是无线认证执行点，WAC与AP间通过CAPWAP隧道同步无线用户认证信息。在无线用户接入认证通过前，AP不允许其访问园区网络。

策略执行点选择

推荐Edge在作为有线无线统一认证控制点的同时，也作为有线无线统一策略执行点，部署业务随行的安全组策略。通过用户授权结果中配置的安全组信息，iMaster NCE-Campus可以向Edge下发动态生成的IP-安全组表项，Edge就可以根据IP-安全组表项，对授权的用户执行安全组策略。

传统非虚拟化组网中，如果认证控制点有多个，还需要配置IP-安全组表项订阅，在不同认证控制点间同步IP-安全组表项信息，才能确保认证控制点作为策略执行点时，实现跨认证控制点的安全组策略控制。虚拟化组网中可以不配置IP-安全组表项订阅，因为跨认证控制点的用户报文转发时，用户报文封装的VXLAN报文头会携带安全组信息。

传统NAC方案设计

传统NAC方案中，策略技术主要包括本地静态ACL策略以及准入服务器授权动态ACL策略。本地配置静态ACL策略的本质是把用户的策略映射到用户使用的IP地址，然后基于IP地址规划ACL规则，实现对用户的权限做管控。本地配置静态ACL策略适用于用户网络较小，用户终端位置固定，策略诉求简单的场景，当随着网络规模增加，策略诉求复杂时，其配置将会变得非常复杂并且难以维护。因此对于大中型园区，建议使用准入服务器授权动态ACL策略，这样不需要终端和IP、VLAN信息强绑定，IP和VLAN的规划相对灵活，如图2-57所示。当用户分类很多时，建议限制用户的接入位置，使不同权限的用户从管理员指定的区域接入，以保证这些区域的设备上只需要配置相关策略，否则策略配置和运维难度非常大。

图2-122 基于传统NAC方案的策略管控

业务随行方案设计

区别于传统基于IP的ACL控制，业务随行是一种基于用户语言的解决方案，将不同类型和权限的网络对象逻辑划分为不同安全组，安全组与之前所做的用户分类、服务器分类是一一对应的。然后通过定义安全组与安全组间的互访策略，进行接入控制，如图2-58所示。

图2-123 基于业务随行方案的策略管控

iMaster NCE-Campus可以通过一个非常直观的“策略矩阵”来配置安全组策略，向策略控制点下发。假设A、C为用户组，B、D为服务器组。需求是A除了B之外，其他组都可以访问；C除了D和同组成员外，其他组都不可以访问，则策略设计如表2-28所示。其中B、D之间的互访不经过园区网络，无需规划，下表中用NA表示。 为空的四个单元格，既可以不配，也可以明确配置为允许或禁止，不影响管控效果。

另外，iMaster NCE-Campus还提供一种简化策略配置的方法，即通过配置某组到Any组的规则（即该组的默认权限），来减少管理员需要定义的策略的数量。如表2-28，针对A组的策略，可以配置A组到Any组的规则是允许，这样只需要配置一条A组到B组的禁止策略就可以。