HCIE知识库
AI 助教问 AI 助教
东方瑞通 · HCIE

网络准入控制

网络准入控制（NAC）通过认证、授权、计费机制，对接入网络的用户/终端进行身份验证与权限控制，保障园区网络安全。

考点精讲

  1. NAC体系包含认证、授权、计费（AAA）三要素。用户认证技术主要有802.1X（基于端口的网络访问控制，安全性高）、MAC认证（基于MAC地址、适合哑终端）、Portal认证（基于Web页面、灵活便捷）。用户授权根据认证结果下发VLAN、ACL等策略，实现差异化权限。NAC配置实现涉及接入设备（NAS）与认证服务器（RADIUS/HWTACACS）联动，RADIUS负责认证授权计费、HWTACACS侧重设备管理认证。策略联动将NAC与其他安全设备（防火墙等）联动，实现动态调整安全策略。HCIE重点考察三种认证方式的适用场景与配置流程。

记忆技巧

AAA三兄弟「认证验身份、授权定权限、计费记账单」
三种认证「802.1X管PC、MAC管哑终端、Portal管访客」
RADIUS管用户接入、HWTACACS管设备管理
认证成功下发「VLAN分域、ACL定权」

常见误区

  • 误以为NAC只是认证，实际还包含授权与计费
  • 混淆RADIUS与HWTACACS：RADIUS面向用户接入、HWTACACS面向设备管理且支持命令级授权
  • 误以为Portal认证不需要客户端，实际需浏览器访问认证页面
  • 误以为MAC认证安全性高，实际MAC可伪造、安全性低于802.1X
  • 误以为认证失败就完全隔离，实际可配置访客VLAN或受限访问

真题思路

  • 【示例】 【示例】适合打印机、摄像头等哑终端接入认证的方式是？
    802.1X　MAC认证　Portal认证　短信认证
    答案：B
    解析：哑终端无用户交互界面，无法进行802.1X或Portal交互，通常采用基于MAC地址的MAC认证，自动识别并放行，故选B。

常见问题

Q：802.1X、MAC、Portal认证如何选择？

A：高安全办公终端用802.1X；无交互的哑终端用MAC认证；访客、临时接入用Portal认证。

Q：RADIUS和HWTACACS的区别？

A：RADIUS加密密码、认证授权计费一体化、面向用户；HWTACACS分离认证/授权/计费、支持命令级授权、面向设备管理。

Q：认证后如何实现权限控制？

A：认证服务器下发授权属性，如动态VLAN、ACL、带宽策略，接入设备据此执行差异化控制。

Q：什么是策略联动？

A：NAC与防火墙等安全设备联动，根据用户认证结果动态调整安全策略，实现端到端安全管控。

相关知识

网络安全技术 大中型虚拟化园区网络设计 园区网络综述

教材出处：第2部分 园区网络规划与部署 网络准入控制

AI 助教

让 AI 助教带你深入学习，把你卡住的地方直接问它

随时为您答疑解惑

开始答疑