[发明专利]EAD端点准入防御机制

说明书

技术领域

本发明涉及一种EAD端点准入防御机制。

背景技术

随着网络的发展，人们对于网络的依赖程度越来越高，越来越多的企业事业单位将大部分的工作生产活动都转移到网络中进行。无纸化办公、移动办公等工作方式正变得越来越普通。网络活动的增加，使网络上负载的信息流量也随之增大。这些信息中不乏有包括企业事业单位的关键或者机密数据，如果这些数据流失出去，对于任何一个企业来说，都是一个无法估量的损失。因此，网络安全似乎在一夜之间被提升到一个新的高度。企业对网络安全关注已经超过了对网络可靠性、交换性能和服务质量的要求。

发明内容

本发明在于提供一种解决上述问题的EAD端点准入防御机制。

本发明采用如下技术方案：一种EAD端点准入防御机制，其特征在于，包括如下步骤：(1)、配置CA(2)、配置IAS(3)、配置AD(4)、配置AD组策略属性(5)、客户端配置(6)、验证

所述的配置CA：A、使用共享文件夹会保留证书的副本方便后面导入证书的操作(该证书为CA的根证书Root CA)B、配置用户证书：证书颁发机构-》管理证书模板-》复制模板“用户”到一新建模板LANAccess。LAN Access的属性为：使用者名称-》不选择“电子邮件名”&“在使用者名称中部不包含电子邮件名”

安全：选择对应的用户具有自动注册的权限。C、新建要颁发的证书模板-》选择我们刚刚新建的LAN Access

所述的配置IASA、先将IAS在AD注册B、设置IAS属性，端口必须和交换机上设置一致C、新建RADIUS客户端，客户端IP地址为交换机IP地址(Authenticator)，共享的密码也和交换机上所设置密码一致D、新建远程访问策略，在用户或组访问我们采用用户访问方式进行测试，在EAP类型选择智能卡与证书E、设置策略属性，授予远程访问权限，编辑配置文件，选择客户端请求IP地址

所述的配置AD：A、组策略-》Windows设置-》帐户策略-》密码策略-》启用可还原的加密来储存密码B、添加用户，该用户是分配给接入客户端的用户。在这里，我们以admin为例，用户密码和所接入计算机用户admin密码一致。C、修改用户属性，远程访问权限设置为允许访问。D、在客户端计算机上设置将计算机加入此域中。加入后可以在Computers上查看到。

E、使用MD5进行认证的话，修改用户属性，远程访问权限设置为允许访问。

所述的配置AD组策略属性：A、在计算机配置-》windows设置-》安全设置配置公钥策略新建自动证书申请类型为“计算机”B、设置受信任的根证书颁发机构，导入我们最开始建立的证书(Root CA)。C、在用户配置-》windows设置-》安全设置-》配置公钥策略-》自动注册证书，选择“续订过期证书、更新未证书并删除吊销的证书”&“更新使用证书模板的证书”

所述的客户端配置：A、本地连接-》属性-》验证-》启用此网络的IEEE 802.1X验证B、EAP类型：智能卡与证书C、智能卡与证书的属性-在此计算机上使用证书，使用简单证书选择，验证服务器证书->受信任的根证书颁发机构：选择Root CA.服务器配置到此结束，下面开始配置交换机。

EAD(Endpoint Admission Defense)，H3C的端点准入防御机制，其将一系列的安全技术与网络接入控制相结合，形成了一个高效的网络安全解决方案。EAD能够提供强大的网络控制与安全防护还有日志和审计功能，支持多种认证方式，比如802.1X身份验证协议，VPN，Protal等等。比如：每天开机可以检测杀毒软件是否升级至最新版本，系统补丁是否打全，是否是以正确的用户登陆系统，针对不同的用户，设置不同的VLAN和不同的访问控制列表(ACL)。如果不符合要求，可以强制其断线，从而达到隔离非法用户的目的。这样就能从源头上杜绝了非法事件的产生，这对一个安全性要求比较高的企业来说是非常有必要的。