精确准入控制 天珣瞬间揪出问题终端

   北京 2012-03-12(中国商业电讯)－－摘要：凭借独特的技术优势以及可定制化的服务，启明星辰的天珣终端管理产品在移动公司的应用大获成功，业界首创的基于硬件信息的802.1X准入使得终端的身份标识不可能被仿冒，而且可以快速找出问题终端。

    “来电话了，来电话了……”，自从赵三常被迫换手机之后，这个新手机的铃声已经成为整个运维区最有标志性的声音，以至于声音一起大家伙都知道是什么产品出了问题。赵三常，某国内著名信息与通讯企业Q公司常驻南粤移动网维中心的工程师，技术狂人，外号“半个钟”，就是一般的问题半个小时解决。

    三常习惯性的“喂”了一声，然后是十几秒的沉默，脸色一点点严肃起来，“我马上去查。”三常扔下电话赶紧往操作室跑。原来是信号传输出现了问题，这是较严重的故障。

    不一会，老金赶到了操作室。老金实际上是个难得的技术型美女，她是三常甲方的直接领导，脾气耿直，凡事爱刨根问底。

    “怎么回事？”老金问。

    “Oracle的一个表被删了，估计是故意，按预案7，现在正在恢复，要半个小时。”

    “谁干的？”

    “只有IP，公共用户名，咱这儿是DHCP，查不到人。”

    老金皱了皱眉，这种故障要一个小时内解决，她又打了几通电话把各个使用Oracle数据库的厂商代维召集过来开会。

    开完会已经过了晚饭的点儿了，结论是Q公司主要负责查责任人，其他厂商代维全力配合，但这次三常心里是有底的，交换机端口都开了准入，要联进来就得装启明星辰的天珣客户端，有了天珣查个IP应该是很容易的事。

    往食堂走的时候信号的问题已经解决了，在响应时间以内，老金算是无功无过，但紧接着是另一个问题，查人。老金一边走一边拨通了李想的电话。李想是启明星辰终端管理产品——天珣的产品经理，技术销售混合型人才，当初产品能进来李想提了不少建议做了不少定制，这些建议中就有关于DHCP下IP地址管理的。最终满足用户要求并上线运行花了大半年的时间，搞了一个业界首创的基于硬件信息的802.1X准入，号称身份标识不能仿冒。上线这么长时间倒是没出过大问题，唯一的问题是在某型交换机上做准入时Radius服务器不能自动切换，最终发现是低版本交换机VRP的一个Bug。但平时一切都好，不表明关键时候中用。

    “李想，明天找个技术好点的过来，定位个IP。”老金开门见山地说到。

    “怎么回事？天珣的问题？”李想也不含糊，打了两年交道，双方对彼此的脾气算是知根知底，都是直奔主题。

    “不是天珣的问题你就不过来了？”

    “那哪儿能，但总得知道是啥事吧。”

    老金把事儿一说，李想就明白了怎么回事，答应明天一大早人就到。但吃完饭老金就改主意了，明天太晚，马上就过来。

    其实这事用不着技术好点的，只要装了天珣，要查个IP是很简单的事，即使DHCP也一样。最后责任终端的定位异常简单，点几下鼠标就OK，把赵三常给看愣了。

    原来，南粤移动网维中心早在一年前就已经开始部署准入控制，并且采用的是最严格的802.1X，之所以这样做是基于这样一个常识，要想接入的终端都受控必须起准入，起了准入所有的电脑都得装客户端，有了客户端终端的一切几乎都会了如指掌。因为早前发生过类似的事故，问题解决很顺利就是最后找不到人没法定责。产品多，代维人员多，又经常换人，静态IP地址可以改，动态IP可能随时在变，交换机端口绑定MAC地址又有端口下接HUB，MAC地址可以手工变的常识问题。关于如何避免凭证被仿冒的问题老金和李想没少探讨，最后李想提出了一个基于主机硬件信息绑定的802.1X准入让老金终于放了心。

    所谓的“硬件信息绑定”是指将一台终端的CPU序列号、硬盘序列号、网卡MAC地址这三项信息作为准入控制的条件，这个条件几乎不能被仿冒，MAC可以改但CPU、硬盘的序列号要修改并不容易。开始老金还怀疑，启明星辰又不是交换机硬件厂商，有何能耐完成这样的定制。但李想却信心满满，客户端和Radius服务器都是自己的，只要交换机支持802.1X，遵守标准协议肯定没问题，不遵守标准协议那我们改自己的东西让它没问题。

    话虽简单，执行起来却并不容易，在定制的过程中先后遇到了信息长度超过交换机限制不得不拆包的问题和之前提到的Radius服务器不能正常切换的问题。整个系统稳定下来是半年之后的事。不过效果非常理想，网维中心随即在所有交换机上开启了802.1X准入，要求所有代维人员不得私带电脑联网，所有电脑必须安装天珣客户端。其实第一项都不用要求，即使带了电脑进来装了客户端也联不了网，并且天珣服务器上还会记录MAC、交换机IP地址、端口、时间等信息备查。

    装了天珣客户端之后，天珣会记录终端的各种信息，控制非授权网卡的使用，打补丁以及审计终端的各种变化。在上述故障处理中，使用的是天珣IP地址变更审计功能。终端操作系统的登录用户，曾经使用过的IP地址及时间段，甚至连网络访问都历历在目。

    点评：

    准入控制虽然不是终端管理产品保证自身存在的唯一法宝，但却是最行之有效的手段。业界不少产品都会强调自己的产品只要装上便可以如何不能被卸载，但这却是有限的方法，它不能防止操作系统重装以及新电脑接入等问题，管理范围存在漏洞。启明星辰天珣致力于网络准入的推广，在各个行业用户中积累了大量的实战案例，虽然不是网络设备厂商，但其兼容性以及灵活的可定制性已经成为业界的典范。