4. NAC部署模式

NAC（网络准入控制）并不是一个必须部署在某一台固定设备上的功能，它更像是一组“身份识别 + 策略判定 + 执行控制”的能力集合。真正决定准入效果和工程复杂度的，是这套能力被放在网络的哪个位置执行。常见的落点有五类：接入交换机、无线控制器（AC）、VPN网关、防火墙、代理服务器。它们各自掌握不同的信息、能执行不同的动作，也适用于不同的接入场景。

理解这五种模式，关键要抓住三个维度：认证触发点在哪里、策略执行点能做什么、终端在准入前后处于什么状态。下面先给出整体对比，再逐一展开。

一、基于接入交换机的准入

这是最经典、控制粒度最细的模式。交换机在端口上启用802.1X，终端接入时先进入“未授权”状态，只有通过认证后才被放入指定VLAN或获得ACL权限。对于不支持802.1X的哑终端（如打印机、摄像头），可启用MAC认证旁路（MAB），由交换机把MAC地址作为用户名送到RADIUS服务器比对。

实际工程中，交换机侧通常配置如下逻辑：

interface GigabitEthernet1/0/1
 authentication port-control auto
 authentication host-mode multi-auth
 dot1x pae authenticator
 mab
 authentication order dot1x mab
 authentication priority dot1x mab

认证通过后，RADIUS返回的隧道属性（如Tunnel-Type=VLAN、Tunnel-Private-Group-ID=20）会让交换机把端口动态划入VLAN 20。若认证失败，端口保持在一个隔离VLAN中，只能访问补丁服务器。这种模式的优势是控制点在物理端口，最贴近终端，能有效阻止未授权设备接入；缺点是需要在每台接入交换机上维护配置，且对IP电话、虚拟机等场景需要额外处理多域认证。

二、基于无线控制器的准入

无线场景下，终端不插网线，准入控制自然落在无线控制器上。AC在SSID层面启用802.1X或Portal认证，认证通过后为终端分配用户角色（User Role），角色再绑定ACL、VLAN或带宽策略。与交换机不同，AC掌握的是“无线用户—AP—SSID”的映射关系，策略可以按SSID、按用户组、按时间段灵活下发。

例如，企业可以设置“员工SSID”使用802.1X+PEAP，认证后进入角色employee，可访问内网服务器；“访客SSID”使用Portal认证，认证后进入角色guest，仅允许访问互联网。AC模式的最大优势是集中管理、策略随用户漫游，终端在AP之间移动时角色和权限保持不变。局限在于它只覆盖无线接入，有线端口仍需交换机侧方案配合。

三、基于VPN网关的准入

远程办公场景中，终端通过IPsec或SSL VPN接入内网。VPN网关在隧道建立阶段就完成用户认证（证书、用户名密码、短信验证码等），认证不通过则隧道无法建立，天然具备“先认证后接入”的特性。隧道建立后，网关根据用户身份分配内网IP地址，并下发路由和ACL，决定该用户能访问哪些网段。

VPN模式的特点是准入与加密绑定，安全性高，适合外网到内网的远程接入。但它不覆盖园区内网的有线/无线终端，且对终端本地安全状态（是否安装杀毒、补丁是否最新）的检查能力有限，通常需要与终端安全软件联动才能实现完整的主机合规检查。

四、基于防火墙的准入

防火墙位于网络边界或区域之间，它本身不直接控制接入端口，但可以通过“用户识别”功能实现基于身份的访问控制。常见做法是防火墙与AD域控或RADIUS联动，获取用户登录信息，再在安全策略中引用用户或用户组。例如，策略“研发组→服务器区”只允许研发组用户访问，其他用户被拒绝。

防火墙模式的优势是策略集中、覆盖南北向流量，适合作为NAC的补充控制层。但它无法阻止未授权终端接入交换机端口，也不能在终端接入前进行拦截，因此通常与交换机或AC方案组合使用，形成“接入层认证 + 边界层授权”的纵深防御。

五、基于代理服务器的准入

代理服务器工作在应用层，终端的所有Web请求先经过代理，代理在转发前完成用户认证和URL策略检查。这种方式对终端透明性要求较高，通常需要终端配置代理或通过PAC文件自动发现。代理模式的优势是能识别应用层内容，可以做URL分类、内容审计、带宽管理，适合对上网行为有精细管理需求的场景。

局限也很明显：它只覆盖经过代理的流量，非Web流量（如邮件客户端、自定义端口应用）可能绕过；同时代理本身可能成为性能瓶颈，需要做高可用和负载均衡。

六、选型建议

五种模式并非互斥，实际项目往往是组合使用。选型时可按以下思路判断：

• 有线接入为主、终端类型复杂：优先交换机模式，配合MAB处理哑终端。
• 无线接入为主、用户漫游频繁：优先无线控制器模式，按SSID和角色下发策略。
• 远程办公、外网接入内网：优先VPN网关模式，认证与加密一体。
• 需要基于用户做区域间访问控制：在防火墙侧启用用户识别，作为策略执行层。
• 需要应用层审计和URL过滤：部署代理服务器，作为应用层补充。

最后需要强调：无论选择哪种模式，RADIUS服务器都是身份判定的核心。交换机、AC、VPN网关、防火墙通常作为RADIUS客户端（NAS），把用户凭证转发给RADIUS服务器，由服务器返回授权属性。因此，NAC选型不仅是选执行点，也是选“谁来做认证、谁来下策略、谁来兜底隔离”的分工问题。