360NAC安装部署手册.docx

1、360NAC快速安装手册作者 刘光辉 赵娜 日期 2014-12-30修订 保密级别：低目 录 1. 360NAC应用准入解决方案 .41.1应用准入部署拓扑 .42.应用准入基本原理 .52.1 360NAC应用准入工作流程图 .52.2 360NAC应用准入工作流程图详述 .53. 360NAC应用准入部署配置 .63.1 NAC默认设置 .63.2 天擎服务器配置 .73.3 交换端口镜像机配置 .73.4 NAC服务器配置 .84. 360NAC应用准入流程选择 .104.1 360NAC应用准入流程一部署 .104.2 360NAC应用准入流程二部署 .114.3 360NAC应用准

2、入流程三部署 .135. 360NAC 1X准入解决方案 .156. 360NAC 1X准入服务器配置 .157. 802.1x交换机配置 .177.1 思科交换机 1x配置 .177.1.1 版本描述 .177.1.2配置信息 .197.2 H3C交换机配置 .197.2.1 版本描述 .197.2.2配置信息 .207.2.3 版本描述 .207.2.4配置信息 .217.2.5 交换机密码清空 .217.3 华为交换机 1x 配置 .227.3.1 版本描述 .227.2.2配置信息 .227.4 锐捷交换机 1x 配置 .237.4.1 版本描述 .237.4.2配置信息 .238.3

3、60NAC 1X准入山东济宁邹城实施案例 .248.1 用户拓扑 .248.2 现场问题及解决办法 .24FAQ .251. 已安装天擎依然无法上网。 .252. 镜像口配置是否正确。 .263. 有违规日志但是没有被重定向。 .264. 非 80 端口的网页可以通过 IE 打开但是无法被正常重定向。 .265. 不被重定向或阻断的原因。 .27修订记录日期 版本 作者 评审 备注2014-6-4 1.1 刘光辉 赵娜2014-6-4 1.2 刘光辉 赵娜2014-6-4 1.3 刘光辉 赵娜2014-6-4 1.4 赵娜 赵娜2014-7-9 1.5 刘光辉 赵娜2014-11-11 1.6

4、 刘光辉2014-11-17 1.7 刘光辉2014-12-30 1.8 刘光辉 增加各种类型交换机 1X配置与对应 360nac配置。2015-02-27 1.9 刘光辉 增加 1X准入配置流程2015-03-23 2.0 刘光辉 增加 1X图例操作参数说明1. 360NAC应用准入解决方案1.1应用准入部署拓扑当前解决方案是着眼于国税项目，使用阻断方式来干扰终端正常网络访问，来达到准入功能。其网络部署及数据流如下图：心跳心跳心跳受保护区域安装客户端安装客户端安装客户端安装客户端未安装客户端未安装客户端非保护网络安装客户端安装客户端交换机3 6 0 N A C镜像流r e s e t / h

5、 t t p - 3 0 2图 1.12.应用准入基本原理2.1 360NAC应用准入工作流程图是否为例外 P C是否在线用户不做处理T C P r e s e t是是否 T C P 连接否否是否 H T T P 协议是H t t p 3 0 2 重定向是否监听口抓包流程一 流程三流程二用户注册否安装天擎客户端是2.2 360NAC应用准入工作流程图详述其中 NAC 中导入交换机中的镜像流量，NAC 上配置受保护服务器区域和可信终端，选择NAC 服务器处理流程。NAC 服务器流程一，终端准入流程如下：（1 ）终端访问正常网络，NAC 服务器监听到该行为，判断目标地址是否为受保护的区域：如果不是

6、，跳到（6） ；如果是，跳到（2 ） 。（2 ）判断终端是否是可信终端：如果是，跳到（6 ） ，如果不是跳到（ 3） 。（3 ）查询是否有该终端的心跳信息：如果有，跳到（6 ） ，如果没有，跳到（4） 。（4 ）判断终端连接是类型，如果不是 TCP，跳到（6 ） ，如果是 TCP，跳到（5） 。（5 ）根据端口判断终端连接是否为 HTTP：如果是，伪造 http 302 重定向包，重定向到终端安装地址，如果不是，伪造 TCP reset 包。（6 ）放行不做任何处理。注：NAC 服务器流程一，安装天擎 - 入网NAC 服务器流程二，终端准入流程如下：（1 ）终端访问正常网络，NAC 服务器监听

7、到该行为，判断目标地址是否为受保护的区域：如果不是，跳到（8） ；如果是，跳到（2 ） 。（2 ）判断终端是否是可信终端：如果是，跳到（8 ） ，如果不是可信用户跳到（ 3） 。（3 ）判断用户是否已注册：如果是，跳到流程（4 ） ，如果不是则丢弃终端心跳并跳到（ 6） 。（4 ）提示用户安装天擎客户端：如果以安装跳到（5 ） 。（5 ）查询是否有该终端的心跳信息：如果有，跳到（8 ） ，如果没有，跳到（6） 。（6 ）判断终端连接类型，如果不是 TCP，跳到（8 ） ，如果是 TCP，跳到（7） 。（7 ）根据端口判断终端连接是否为 HTTP：如果是，伪造 http 302 重定向包，重定向

8、到终端安装地址，如果不是，伪造 TCP reset 包。（8 ）放行不做任何处理。注：NAC 服务器流程二，注册 确认 安装天擎客户端 入网NAC 服务器流程三，终端准入流程如下：（1 ）终端访问正常网络，NAC 服务器监听到该行为，判断目标地址是否为受保护的区域：如果不是，跳到（6） ；如果是，跳到（2 ） 。（2 ）判断终端是否是可信终端：如果是，跳到（6 ） ，如果不是可信用户跳到（ 3） 。（3 ）判断用户是否已注册：如果是，跳到流程（6 ） ，如果不是跳到（ 4） 。（4 ）判断终端连接类型，如果不是 TCP，跳到（6 ） ，如果是 TCP，跳到（5） 。（5 ）根据端口判断终端连接

9、是否为 HTTP：如果是，伪造 http 302 重定向包，重定向到终端安装地址，如果不是，伪造 TCP reset 包。（6 ）放行不做任何处理。注：NAC 服务器流程三，注册 确认 入网3. 360NAC应用准入部署配置3.1 NAC默认设置1. 设置 PC网卡 IP：192.168.76.15，直连 NAC的 Eth0（默认通信口） ，打开 IE访问 NAC：http:/192.168.76.2 默认用户名 admin 默认密码 admin2. NAC 服务器默认处理流程为流程一。3.2 天擎服务器配置1.建立文件：360360entasdatapushNACConf.dat2.编辑文件内容为：entconfigNACSrv=xxx.xxx.xxx.xxx （填写 NAC服务器管理地址）NACPort=803.3 交换端口镜像机配置以 H3C 交换机配置为例：1. 配置镜像源端口，可以配置多个接口2. 配置镜像端口3.4 NAC服务器配置1. 修改管理员密码2. 默认通讯口为 eth0，如果需要更换通信口，在如下页面进行配置。3. 配置 eth0 端口 IP 地址4. 默认监听接口为 eth1，如需修改，在如下页面进行配置5. 配置受保护服务器地址。注：保护服务器地址尽可能范围准确。6. 配置终端分发地址为天擎服务器地址，配置服务器管理地址为 NAC 服务器通信端口地址。