[发明专利]基于旁路控制技术的网络终端准入控制方法

权利要求书

1.一种基于旁路控制技术的网络终端准入控制方法，包括如下步骤：

构建旁路镜像阻断准入机制的步骤；该步骤通过对核心交换机的数据包进行特征分析和身份认证，对不符身份认证或安全要求的接入终端设备，限制访问内部合法的网路资源，并且强制跳转到隔离区进行注册和强制跳转到修复区进行修复；

构建SNMP端口控制网络准入机制的步骤；该步骤通过获取终端接入交换机的端口信息，根据终端安全策略或认证机制，仅允许符合Port-Mac绑定列表的终端连入网络；

构建802.1x网络准入机制的步骤；该步骤运用标准802.1x协议，通过在交换机上开启准入机制，从而进行准入控制；

构建透明桥准入机制的步骤；该步骤用于实现用户的接入认证和协议深度识别，从而实时防护非法流量入侵后台服务器；

构建策略路由准入机制的步骤；该步骤通过在核心设备或汇聚设备上配置策略路由的方式，将流量引到准入系统，准入系统处理完成后再重新将流量回注回核心设备或者汇聚设备上进行转发，从而实现准入控制；

采用构建的准入机制进行网络终端的准入控制的步骤。

2.根据权利要求1所述的基于旁路控制技术的网络终端准入控制方法，其特征在于所述的构建旁路镜像阻断准入机制，具体为通过控制端与管理端双向认证，管理端通过控制端生成Token，控制端使用Token向管理端注册，从而集中管理客户端，并下发入网安全基线检查策略，展示终端安全基线检查结果；核心交换机终端部署，提供安全客户端与无客户端自定义部署和管理，实现认证引导和准入管理。

3.根据权利要求1所述的基于旁路控制技术的网络终端准入控制方法，其特征在于所述的构建SNMP端口控制网络准入机制，具体为对所有入网资产进行全部发现；对终端的位置进行定位，所述终端的位置包括所在的交换机、VLAN和物理端口；对发现的设备，进行设备类型和厂家识别，所述的设备类型包括PC设备、网络设备、IoT设和哑终端，所述的厂家识别包括主流PC厂商识别和型号识别；根据入网终端的MAC地址、IP地址、类型、厂家、型号和序号进行唯一标记，形成终端设备指纹库，并更新设备指纹；实时发现未注册终端并及时告警，并识别终端所在的交换机及接口；对申请人线上提交的入网申请单、变更申请单、离线退网申请单和上传使用人提交的字纸申请单归档，并进行相应的审批；对交换机、VLAN、接口及IP地址的分配和绑定，自定义分配类型，提供交换机端口自动启用，对已有注册设备进行批量导入并和已有系统的注册同步，维护所在网络位置信息；对审核不通过的申请退回提交人；实现交换机接口管理、IP子网管理及区域管理：交换机接口管理包括使用接口管理和空闲接口管理；IP子网管理包括已分配IP地址管理和空闲IP地址管理；区域管理包括区域的导入导出、使用人员用户信息、部门信息、IP地址、MAC地址、交换机及端口变更，并记录变更前后的信息；离线退网申请流程：对退网终端提供IP回收和交换机端口主动关停，并对于长时间不使用的终端提供交换机端口关停功能，对终端安全基线进行检查，对安检不合格的设备进行网络阻断。

4.根据权利要求1所述的基于旁路控制技术的网络终端准入控制方法，其特征在于所述的构建802.1x网络准入机制，具体包括通过SNMP方式管理网络设备，SNMP V2/V3批量添加交换机、核心交换机、汇聚交换机和接入交换机配置；进行网络拓扑绘制和网络核心-汇聚-接入层三层框架结构展示；网络接口在线/关闭展示；网络接口对应网络终端的展示：进行交换机ARP表、接口表、MAC转发表及CPU、内存使用率监控与管理；进行交换机接口启用/停用的操作管理。