安全的网络通道——网络准入之二层准入

安全是网络设计的永恒话题，网络攻击与防护措施两方，一直以来都在“魔高一尺，道高一丈”的循环螺旋式发展。进入云计算时代，网络安全的重要性更加突出，几乎所有的云计算业务都不可能脱离严密的安全策略而独立存在。

云计算强调资源请求与资源调度的分离，实际处理请求的后台系统与发出请求的最终用户之间是一种松耦合关系，也许用户永远也不知道帮他处理邮件的服务器是什么型号、位于什么地方。在这种情况下，安全对于云计算服务的重要性是显而易见的。在企业用户眼里，云计算的灵活性、高性价比、高可靠都有着无可比拟的优势，但如果在安全性上不过关，将没有一个企业级用户会将自己的内部数据托管到一个存在泄密风险的平台上。从IaaS到PaaS、SaaS，云计算服务包含的内容越来越多，用户能够接触到的底层信息却越来越少，在一个典型的SaaS服务中，用户可能连底层用的是FC存储还是iSCSI存储都不知道。由于缺少基础架构的细节信息，用户会对接入云服务的过程提出更高的安全要求。

网络准入的内涵非常广泛，本文主要描述主流的二层准入、三层准入和客户端准入三种方式。

一、二层准入

大型企业往往利用DHCP协议进行IP地址的分发，用户电脑无需配置IP地址，在接入网络的时候，网络上的DHCP服务器将自动为每个电脑网卡分配一个可用的IP地址。二层准入就是用户在获得三层IP地址之前必须通过的认证，当用户在接入网络之初，需要同网络侧通过二层链接进行认证数据的交互，只有成功通过认证才能向DHCP服务器申请IP地址，从而收发数据。

二层准入的代表实现