1. NAC工程导入

网络准入控制（Network Admission Control，NAC）是一套在终端接入网络之前或接入瞬间，对“身份是否可信、设备是否合规、权限是否匹配”进行判断，并据此放行、隔离、限制或拒绝的网络访问控制体系。它解决的不是“能不能连上交换机”这一层连通性问题，而是“连上之后能不能访问、能访问到什么程度”这一层授权与合规问题。在园区网、数据中心带外管理网、分支机构、医疗物联网、工业控制网等场景中，NAC 往往与 802.1X、MAC 认证、Portal 认证、RADIUS、DHCP、DNS、终端合规检查、动态 VLAN/ACL 下发等机制协同工作。

理解 NAC，需要先区分三个层次：认证（Authentication）确认“你是谁”，授权（Authorization）决定“你能做什么”，审计（Accounting）记录“你做过什么”。NAC 工程的核心，是把这三件事从“人工登记、静态配置”升级为“策略驱动、动态下发”。例如，一台员工笔记本通过 802.1X 使用域账号认证成功后，RADIUS 返回 VLAN 20 和 ACL 允许访问办公服务器；而一台未安装杀毒软件的访客终端，即使认证通过，也可能被放入隔离 VLAN，只能访问补丁服务器和杀毒升级站点。这种“先判断、再放行”的能力，正是 NAC 与普通端口安全、静态 ACL 的本质区别。

NAC 的核心价值可以归纳为四点。第一，缩小攻击面：未授权设备无法随意进入内网横向扫描。第二，提升合规可见性：终端补丁、杀毒、域加入、证书状态等成为准入条件。第三，降低运维成本：策略集中管理，终端位置变化时权限自动跟随。第四，支撑业务连续性：通过访客、BYOD、IoT 分域策略，避免“一刀切”断网。需要强调的是，NAC 不是单一设备，而是一条链：终端 → 接入设备 → 认证服务器 → 策略服务器 → 目录/合规源 → 动态授权执行点。任何一环缺失，都会导致策略失效或体验下降。

典型应用场景包括：园区办公有线/无线接入，员工、访客、外包人员按身份分域；医疗物联网，输液泵、监护仪等设备使用 MAC 认证并绑定端口；分支与远程办公，通过 VPN 或 SD-WAN 结合 NAC 做终端合规检查；数据中心带外管理，对 BMC/IPMI 接口做严格准入；工业控制网络，对 PLC、HMI 等固定设备做白名单准入。不同场景对认证方式、逃生机制、时延和可用性的要求差异很大，工程上必须先明确业务边界，再选择技术路线。

下面这张图给出 NAC 工程的总体学习地图：从“接入层触发”到“策略决策”，再到“动态授权执行”和“持续监控”，最后回到“排障与优化”。它同时标出了本课程后续章节将展开的关键对象与数据流，便于你在学习每一章时定位自己处在整条链路的哪个位置。

从工程落地角度看，NAC 项目通常按“现状调研 → 策略设计 → 试点验证 → 分批推广 → 持续运营”推进。现状调研要摸清接入设备型号与软件版本、认证方式支持情况、终端类型与数量、目录服务结构、IP 地址规划、DHCP 与 DNS 依赖关系。策略设计要明确“谁、在什么位置、用什么设备、满足什么条件、获得什么权限”，并定义认证失败、合规失败、服务器不可达时的逃生策略。试点验证建议选择 1 到 2 个楼层或 1 个 SSID，先覆盖员工有线与无线，再逐步加入访客和 IoT。推广阶段要控制变更窗口，保留回退方案。持续运营则依赖日志、报表和定期策略评审。

以一个教学示例说明参数关系：假设某园区有 1200 名员工、300 台访客终端、200 台 IoT 设备。员工使用 802.1X + EAP-TLS，认证成功后动态下发 VLAN 20 和 ACL 允许访问 10.10.0.0/16 办公区；访客使用 Portal + 短信验证码，放入 VLAN 30，仅允许访问互联网和访客门户；IoT 使用 MAB，MAC 白名单绑定端口，放入 VLAN 40，仅允许访问 10.20.30.0/24 采集服务器。RADIUS 服务器不可达时，接入交换机对员工端口执行“认证失败放行到 VLAN 99 临时区”，仅允许访问补丁服务器，并记录日志告警。这些参数不是实测结果，而是用于说明策略设计方法的合理假设。

本课程后续将围绕认证协议、策略建模、终端合规、访客与 BYOD、IoT 准入、高可用与逃生、排障与优化等主题展开。你在本章需要建立的核心认知是：NAC 是一条从终端到策略再到授权执行的完整链路，任何工程决策都要同时考虑安全性、可用性和用户体验。只有把“身份、合规、权限、审计”四件事串起来，NAC 才能真正成为网络边界上可持续运行的准入控制体系。