19、思科安全访问控制服务器：无代理主机配置与日志管理指南

思科安全访问控制服务器：无代理主机配置与日志管理指南

1. 无代理主机概述

无代理（或无响应）主机是指未安装CTA，或者无法通过UDP上的EAP或802.1X上的EAP - FAST与ACS通信的主机。常见的无代理主机包括打印机、IP电话、操作系统不受CTA支持的主机以及公司访客等。

有人可能会问，为什么不直接在连接无代理主机的端口上禁用NAC。答案是，虽然可以这样做，但这会显著削弱网络的整体安全态势，因为网络中会出现大量不安全的端口，员工或非员工可以轻易绕过公司的安全策略。因此，更好的做法是启用NAC，并为这些设备创建例外规则。

2. 集中式无代理主机策略

• NAC - L3 - IP和NAC - L2 - IP的集中式无代理主机策略 ：ACS提供了名为“Agentless Host for L3”的NAC模板，适用于通过UDP上的EAP进行状态评估的所有无代理主机，包括NAC - L3 - IP和NAC - L2 - IP。该策略使用可下载的ACL和RAC来授权无客户端主机，但不进行状态评估，这些主机不会被分配系统状态令牌。
• NAC - L2 - 802.1X（MAC认证绕过）的集中式无代理主机策略 ：ACS提供了“Agentless Host for L2 (802.1X fallback)”模板，用于在启用NAC - L2 - 802.1X的网络中对无代理主机进行认证和授权。该策略允许根据MAC地址为没有NAC启用的802.1X客户端的主机配置例外，通过MAC地址进行认证，并根据应用的RAC将其分配到VLAN。MAC地址可以手动输入到AC