基于802.1X、VARP与数据镜像的准入控制技术实现

​

一、三种准入方式的技术定位

网络准入控制（NAC）的核心目标，是在终端接入网络时完成身份认证、安全评估与权限下发。受限于网络设备的多样性，单一准入技术难以覆盖全部场景，工程实践中通常组合使用以下三种方式：

三者并非互斥，而是分别对应"端口控制—网关控制—流量分析"三个不同的管控切面，共同构成完整的准入管控面。

二、802.1X：基于端口的认证控制

2.1 协议原理

802.1X（IEEE 802.1X）定义了基于端口的网络访问控制协议，其角色划分如下：

• Supplicant（认证端）：安装在终端上的认证客户端；
• Authenticator（认证系统）：接入交换机，负责在认证通过前将端口置于未授权状态，仅放行EAPOL报文；
• Authentication Server（认证服务器）：准入设备内置的Radius服务器，完成凭证校验与策略决策。

2.2 认证流程

终端接入端口
    │
    ▼
交换机端口默认Unauthorized，仅透传EAPOL
    │
    ▼
客户端发起EAPOL-Start，交换EAP报文（EAP-PEAP/MSCHAPv2等）
    │
    ▼
交换机将EAP报文封装为Radius Access-Request转发至准入服务器
    │
    ▼
服务器校验账户（本地账户/AD/LDAP代理认证）
    │
    ├── 认证通过 ──► Access-Accept + 授权参数（VLAN/ACL/策略）
    │                    │
    │                    ▼
    │              交换机端口置Authorized，下发VLAN/ACL
    │
    └── 认证失败 ──► Access-Reject，端口保持阻断

2.3 工程要点

VLAN/ACL动态下发是802.1X准入区别于纯认证的关键。认证通过后，Radius Access-Accept报文中携带隧道属性（如Tunnel-Type=VLAN、Tunnel-Medium-Type=802、Tunnel-Private-Group-ID=VLAN ID），交换机据此将端口划入指定VLAN或应用ACL，实现"认证即授权"。

针对无法安装802.1X客户端的哑终端（打印机、摄像头），采用MAB（MAC Authentication Bypass）旁路认证：交换机检测到端口无EAPOL响应后，自动以终端MAC地址作为用户名/密码发起Radius认证，准入设备端通过MAC地址白名单或设备指纹识别判定合法性。工程上还需处理异常终端的兼容问题——例如某些嵌入式设备的网卡在Unauthorized状态下不主动发送EAPOL-Start，需要开启"认证触发方式"配置（如收到DHCP/DHCPv6/ARP报文时触发认证），避免哑终端大面积掉线。

此外，为防止非法仿冒终端（如用抓包工具伪造EAPOL状态或盗用合法MAC），系统需提供可疑客户端检测能力：统计认证失败次数、认证超时行为、同一MAC频繁切换端口等特征，对异常终端执行阻断或告警。802.1X准入的不足在于对全网交换机的配置依赖较重——每接入交换机端口需开启dot1x、配置Radius服务器地址与共享密钥，大规模网络下配置工作量是主要实施成本。

三、VARP：基于虚拟ARP代理的三层准入

3.1 技术原理

VARP（Virtual ARP，虚拟ARP代理）准入的核心思想是：接管终端所在VLAN的ARP解析过程，将终端的默认流量牵引至准入设备，由准入设备作为"代理网关"完成认证与转发判定。

在常规三层网络中，终端通过ARP请求网关MAC地址，之后所有跨网段流量直接发往物理网关。启用VARP准入后，准入设备对生效VLAN内的ARP请求代答（代理ARP），使终端的ARP表中网关MAC地址实际指向准入设备。终端所有跨网段流量先经准入设备，设备根据终端的认证状态、权限组策略决定放行、阻断或重定向。

3.2 管控流程

终端发出ARP请求（"谁是10.0.1.1网关？"）
    │
    ▼
准入设备VARP代答，返回自身网卡MAC地址
    │
    ▼
终端流量（默认路由）全部经准入设备转发
    │
    ▼
准入设备查询终端准入状态：
    ├── 已认证/合法 ──► 正常转发至真实网关
    ├── 未认证 ──► HTTP(S)流量重定向至Portal认证页
    │              其他流量阻断
    └── 违规 ──► 阻断并可推送阻断提示页
    │
    ▼
（可选）对VLAN内终端互访同样代答，实现VLAN内部访问阻断

3.3 典型能力与应用

VARP准入的价值体现在两个层面：

其一，VLAN级整体管控。 相比802.1X的逐端口控制，VARP以VLAN为管控单元，无需交换机任何配置配合（不需要支持802.1X、不需要SNMP、不需要镜像口），只需保证生效网段的三层网关指向可达准入设备即可。这在老旧交换机占比高、无法全网开启802.1X的环境中尤为实用。

其二，VLAN内访问阻断。 常规网关部署下，同一VLAN内的终端互访不经过三层网关，准入设备无从感知。VARP通过代理终端间ARP解析，将VLAN内流量也牵引经过自身，从而实现VLAN内部的横向访问控制——这是其区别于普通策略路由和Portal认证的关键特性。例如可配置：未认证终端之间禁止互访，已认证终端按权限组隔离访问。

工程上需注意：VARP代答改变了终端的ARP缓存，当准入设备故障时终端会因网关不可达而断网。因此VARP准入必须与逃生机制配合，例如VRRP环境下准入设备做双机热备，或配置设备健康检测异常时关闭代答、恢复直连网关。

四、数据镜像：基于旁路流量分析的准入

3.1 技术原理

数据镜像准入是典型的"被动发现+主动阻断"模式：

• 发现面：在接入交换机或汇聚交换机上配置SPAN/RSPAN镜像口，将业务流量镜像至准入设备的分析口。准入设备通过DPI协议解析（DHCP、HTTP User-Agent、SMB指纹、mDNS、SNMP、TTL与TCP窗口特征等）识别设备类型、操作系统、IP/MAC归属；
• 控制面：发现非法设备后，准入设备通过主动构造报文实现阻断——向非法设备发送TCP RST/FIN、ARP欺骗（宣告网关MAC为自身并静默丢弃）、ICMP不可达等方式中断其会话；同时向网关或三层设备下发阻断策略（如SNMP写操作修改ACL，若交换机提供团体名）。

3.2 权限组机制

镜像准入支持准入权限组配置：在无客户端部署下，按设备类型或MAC段将设备划入不同权限组，每组配置不同的"可访问区域"（允许访问的目的网段/地址）与"白名单区域"。设备越权访问时阻断并记录违规日志。典型配置：

权限组A（办公电脑）：允许访问 → 办公服务器区、互联网出口
权限组B（摄像头）：  允许访问 → 仅NVR存储服务器区
权限组C（来宾设备）： 允许访问 → 仅互联网出口（来宾区域）
默认组（未识别）：    阻断所有跨网段访问，重定向至注册页面

3.3 优势与局限

镜像方式的突出优点是对网络零侵入、无客户端依赖，天然适配哑终端环境与无法改动交换机配置的场景；阻断动作基于报文伪造，不依赖网管协议。但其阻断强度弱于802.1X和VARP——RST/ARP欺骗属于"会话级、对抗性"阻断，终端侧存在通过静态ARP绑定、忽略RST等方式对抗的可能，且无法阻止二层泛洪等不经过三层转发的流量。因此镜像方式通常作为"发现与识别"的补充手段，与VARP/802.1X配合形成"主动准入为主、被动监测兜底"的架构。

五、三种技术的协同部署

在（迪康）网络准入控制管理系统等工程实践中，三种方式通常按如下逻辑组合：

以802.1X把控"可控终端"，以VARP把控"整个VLAN"，以镜像补充"发现识别"。

• 对安装了客户端的办公计算机，优先使用802.1X：认证强度最高，且认证通过后可自动下发VLAN与ACL，实现细粒度授权；
• 对哑终端密集、交换机条件受限的VLAN（如摄像头专网、物联设备区），启用VARP：以VLAN为粒度统一牵引流量，并借VLAN内阻断能力限制横向访问；
• 全网交换机配置镜像口（或利用准入设备自身的TRUNK监听），被动发现未知设备、识别设备指纹、校验资产变更，作为VARP/802.1X之外的第三重发现机制；
• 统一的Radius服务、入网规则引擎（默认允许/拒绝/条件准入）、审计日志在三者间共享，管理员在单一B/S管理面配置策略，系统按VLAN自动选择生效的准入方式。

这种组合架构的关键在于逃生与容错：802.1X依赖Radius服务可用性，VARP依赖准入设备的ARP代答连续性，镜像阻断依赖分析口流量完整。任一环节异常都可能导致业务中断，因此系统需内置Radius双机热备、逃生阈值自动放行（如放行率低于阈值时暂停阻断）、VRRP双机备份等机制，保证管控强度与可用性之间的平衡。

六、结语

802.1X、VARP与数据镜像分别代表了端口级、网关级、流量级三种准入控制范式：802.1X认证严格、授权精细但部署成本高；VARP无侵入、可控VLAN内横向流量但依赖ARP牵引；镜像方式部署最简但阻断强度有限。工程落地的核心不在于选择哪一种"最优"技术，而在于根据网络设备条件、终端类型构成和管控强度要求，将三者有机组合，并配以完善的逃生、热备与灰度启用机制，在安全性与业务连续性之间取得平衡。

​