10、深入解析 NAC-L2-802.1X：架构、配置与故障排除

深入解析 NAC-L2-802.1X：架构、配置与故障排除

1. NAC-L2-802.1X 概述

NAC-L2-802.1X 借助基于身份的网络服务（IBNS）解决方案，提供基于用户和机器的认证，并通过可扩展认证协议 - 安全隧道灵活认证（EAP - FAST）增加了安全态势评估能力。它能在二层交换机端口使用 802.1X 成熟技术对主机进行安全态势评估。

2. 架构与原理

• EAP - FAST 协议
  • EAP - FAST 作为传输机制，在传输层安全（TLS）隧道内携带身份和安全态势信息。CTA 内置的嵌入式客户端支持 EAP - FAST，还支持 EAP - GTC、EAP - MSCHAPv2 和 EAP - TLS 用于客户端认证。
  • EAP - FAST 最初是为那些无法实施强密码策略的客户开发的，它不需要数字证书，支持多种用户和密码数据库类型，支持密码过期和更改，且部署和管理灵活简便。
• 认证凭证
  • 在微软 Windows 环境中，客户端可向网络接入设备（NAD）、ACS 和后端服务器发送两种不同的凭证：
    • 机器凭证（机器认证）：客户端机器在用户认证前发送身份信息，在启动时建立安全通道以更新和参与域组策略对象（GPO）模型，便于与 Windows 域控制器通信获取机器组策略。
    • 用户凭证（用户认证）：用户可登录本地计算机或 Windows 域，用户名和密码可作为 802.1