安全也要「易」,談NAC的硬體化

2021-09-05 03:24:16 字數 1248 閱讀 3439

說到nac網路訪問控制,浮現在我們腦海中的應該就是軟體+硬體的構成方式,即用軟體作為核心的策略決策點,硬體作為策略執行點,這也是標準的nac構成方式,縱觀業界的主流產品,無論cisco的c-nac、juniper的uac,還是國內的銳捷gsn、h3c的ead等等,均是如此架構。

提到這種架構,讓人最為頭大的莫過於部署,這裡的部署,不是指整套解決方案的部署,而是對於核心軟體系統的部署,其難點來自於幾個方面:

1,tco即總體擁有成本。凡nac類產品,其技術含量較高,**當然也不菲,但對於乙個使用者來說,該軟體的**還不只是擁有它的tco,既然是軟體架構,那麼一定需要一台伺服器嘍,動輒幾萬塊的預算,不是小數目。有了伺服器還不行,還要作業系統和資料庫,目前很多nac軟體都是基於windows server和sql server的,這兩個東西也不便宜,微軟零售價最便宜的windows server版本要6000塊左右,而sql server更是達到了可怕的15萬之巨。這樣算來,一套nac軟體的tco就已達到了二三十萬了,遠不是僅僅該軟體本身所體現出來的那十幾萬元。

2,部署實施複雜度。裝這個軟體跟裝一般的軟體區別不大,面對乙個空伺服器,你少不了安裝作業系統、資料庫和除錯的時間,不要小看這些時間,基本上2個小時是少不了的,前提還是不要出什麼問題,例如驅動問題之類的。然後才是裝nac管理軟體,這樣算來,基本上一天時間還是要的。

3,維護複雜。對於nac軟體系統的維護,由於其構建在伺服器、作業系統和資料庫之上,因此也變得繁複了很多,大部分問題都不是軟體本身的,而是由作業系統或者資料庫配置不當,或者漏洞之類導致的,所以維護變成了乙個龐大的工程。

4,安全堪憂。說起來nac本身是做安全的,但nac軟體本身的安全又怎麼負責呢,乙個開放的伺服器,如果有多名管理員的話,那風險就太大了,隨便誰對伺服器做了什麼不當的配置,都會導致nac伺服器的宕機,其後果就是全部無法上網,影響巨大啊。

上述四條,其實也是很多使用者畏懼nac,不敢上nac的原因,也是nac在中國叫好不叫座的乙個重要因素。

其實,想要解決上述問題,沒有想象那麼難,思路很簡單——硬體化,而硬體化的過程也很簡單:

1,將nac軟體切換到開源資料庫和作業系統

2,將全套軟體連同作業系統和資料庫灌入工控機/伺服器中,打包交付給客戶

經過以上兩步,nac軟體瞬間完成了硬體化,上述四個問題得到了有效的解決,部署速度大幅提公升,難度大幅下降,tco大幅降低。

當然,硬體化的產品也有其侷限性,那就是效能侷限,所以乙個硬體平台,只能適用於一定數量的使用者範圍,當然,基於802.1x協議的認證體系,其本身對於伺服器的壓力還是很小的,所以現在主流的平台,帶機數都能達到上千的水準。

安全也要「易」,談NAC的硬體化

說到nac網路訪問控制,浮現在我們腦海中的應該就是軟體 硬體的構成方式,即用軟體作為核心的策略決策點,硬體作為策略執行點,這也是標準的nac構成方式,縱觀業界的主流產品,無論cisco的c nac juniper的uac,還是國內的銳捷gsn h3c的ead等等,均是如此架構。提到這種架構,讓人最為...

也談nginx的安全限制

一 nginx安全限制 前面已經詳細介紹了nginx負載均衡的配置以及nginx本身自帶的的一些安全措施,詳情請參考 生產環境下的負載均衡配置 隨著業務的增加,網路連線的流量越來越大,合理的控制訪問請求及連線數非常重要,否則仍會出現失去響應的情況。二 增加waf模組 ngx lua waf是乙個基於...

也談被嚴重高估的安全技術

今天,在看過51cto 哪些安全技術被嚴重高估?一文後,深有同感,也想在此再說上幾句,發表一點自己的一些看法。安全技術被嚴重高估,為什麼到現在才開始被人們所提及到。是因為很長一段時間以來,人們只聽到安全廠商們的喊聲,聽到的,看到的都是誇某某安全技術或產品如何如何好,以至於很長一段時間被這些呼聲蒙蔽了...