行为管理终端准入 XDR

不需要，安装插件就可以 

1. XDR 插件是否需要单独购买？

• 文档依据：你提供的文档《H3C SecPath ACG1000系列应用控制网关 典型配置举例》第 32 章虽然详细介绍了 XDR 的配置，但并未明确提及授权方式。这通常意味着它属于设备的核心增值功能，而非完全免费的标配。
• 市场惯例：
  • 基础功能：ACG 设备通常会赠送一定数量的免费 XDR 授权（例如 50 个或 100 个节点），用于基础的终端识别和简单的准入控制。
  • 超量购买：如果你的终端数量超过了赠送额度，或者需要使用高级的审计功能（如详细的聊天记录审计、屏幕水印、U盘加密管控等），则必须单独购买 XDR 的授权许可。
  • 版本对应：文档中提到“R6618及以上版本的设备只能配置使用2.1.x版本的插件”，新版本的插件功能更强，对应的授权价格也可能更高。

2. 透明模式（旁路模式）能否实现企业微信认证和终端准入？

A. 关于“企业微信扫码认证”

• 结论：可以。
• 原理：透明模式下，ACG 通过镜像流量获取用户的 IP/MAC 信息。当用户尝试上网时，ACG 可以弹出 Portal 认证页面（重定向技术），用户在页面上点击“企业微信扫码”即可完成身份认证。文档第 14 章和第 21 章均提到了 Portal 认证和企业微信认证的配置案例，这些功能在旁路模式下依然可用。

B. 关于“终端准入（安装指定软件才联网）”

• 结论：可以，但必须依赖“插件（XDR）”。
• 详细分析：
  1. 仅靠透明模式（无插件）：ACG 只能通过 DPI 技术识别终端是否在运行某个软件（如微信进程），但无法强制阻断或检查软件版本/安装状态。它只能基于 IP/端口做简单的策略。
  2. 透明模式 + XDR 插件：这是文档第 32 章描述的场景。
     • 推送：ACG 可以在透明模式下拦截流量，弹窗引导用户下载 XDR 插件。
     • 检查：安装插件后，ACG 可以下发策略，检查终端是否安装了指定软件（如“360安全卫士”）、是否卸载了违规软件（如“QQ”）、甚至检查系统补丁。
     • 处置：如果终端未安装指定软件，ACG 可以切断网络或仅允许访问特定修补站点。

C. 透明模式部署的关键注意点

1. DNS 解析：PC 的 DNS 必须指向 ACG 或者在 DNS 服务器上配置域名映射，确保 PC 访问 ***.*** 时能解析到 ACG 的 IP 地址（用于下载插件和心跳）。
2. 路由可达：ACG 必须能 ping 通终端 PC，否则插件心跳失败，会被判定为离线。

一、关于 XDR 终端准入功能的授权

• 设备出厂自带基础的终端发现能力，但完整的终端准入控制、合规检查、大规模终端管理需要额外购买 License。
• 功能包含：终端插件部署、软件安装检查（比如必须安装杀毒软件 / 指定程序）、进程管控、外设控制、准入策略执行等，这些都属于需要授权的高级终端准入模块。
• 简单说：基础发现免费，完整准入控制需要单独买授权。

二、透明模式下能否实现企业微信扫码认证 + 终端准入？

1. 企业微信扫码认证（Web Portal 认证）

• 透明模式下，支持企业微信扫码认证，但需要注意：
  • 必须配置桥接口 IP（BVI 地址），且终端的认证请求能正常指向这个地址。
  • 认证时的 Portal 页面跳转需要依赖 DNS / 策略路由配合，确保终端能正常解析和访问认证服务器。
  • 部分版本需要启用 “管理口与业务口分离”，避免透明桥接影响认证流量。

2. 终端准入（软件安装检查等）

• 透明模式下，可以实现终端准入控制（比如检查是否安装了指定软件 / 进程），但必须满足：
  1. 终端需要安装 ACG 的客户端插件（Agent），否则无法采集终端进程 / 软件信息。
  2. 准入策略是基于用户 / 终端 IP 的，需要先完成用户认证（比如企业微信扫码），再关联准入策略。
  3. 透明模式不影响终端插件的安装和策略执行，只要终端能正常与 ACG 通信（插件心跳）。

三、透明模式部署的关键注意事项

1. 必须配置桥接口 IP（BVI），作为设备管理、认证跳转和终端插件通信的地址。
2. 确保终端能正常解析和访问 Portal 页面，企业微信扫码认证需要网络能正常访问公网（企业微信服务器）。
3. 终端准入依赖客户端插件，如果终端无法安装插件（比如某些受限环境），就无法进行软件安装检查。
4. 策略优先级：认证策略 > 准入策略 > 行为管控策略，需要按顺序配置，避免策略冲突。

四、结论

• XDR 终端准入功能：基础发现免费，完整控制需要单独购买 License 授权。
• 透明模式：可以实现企业微信扫码认证和终端准入控制，但需要配置桥接口 IP、确保终端能访问认证页面，且终端需要安装准入插件才能进行软件安装检查。