iMC终端准入管理

iMC终端准入管理

一、组网需求

无。

二、组网图

无。

三、配置步骤

iMC智能管理平台能够通过对网络中的终端MAC地址与IP地址绑定，终端MAC地址与接入交换机接口绑定等方式来达到对接入网络的终端设备进行控制的目的，并可以在日后审计非法接入和查看历史接入记录。提高了网络的安全性。

登陆iMC，选择“资源-终端准入管理-准入配置”，如下图：

选择“终端准入绑定”来设置某终端只能从绑定的接口接入，如下图：

这里可以手工来添加终端MAC与接口的绑定，也可以在完成终端接入后，选择自动扫描的方式来把网络中的所有终端和他们现在所处的接口绑定起来，如下图:

这里选择自动扫描，添加所要扫描的接入设备，点击确定即可，如下图：

完成后可以看到这台接入设备上现在所接的终端，勾选要绑定的终端，选择“绑定”，如下图：

绑定成功后，把这台终端网线拔掉从交换机的另外一个接口G2/0/3接入，同步交换机设备，很快就可以收到接入异常的告警，如下图：

并且在异常接入记录里可以看到这条记录，如下图：

我们可以在“异常处理策略”中配置当终端接入违反了绑定关系时的处理方式，默认情况下是终端可以顺利接入，但是会触发产生告警。如下图：

同样的方式也可以设置“交换机接入绑定”和“IP/MAC绑定”，并指定异常时的处理方式。

交换机接入绑定是从交换机的角度来控制终端准入，如果配置一个交换机接口的一个或多个终端的准入规则，则此交换机接口仅允许某一个或多个终端接入。如果对交换机的某些端口配置了免认证功能，则任何终端都可以从这些端口接入网络并认为是合法的。

IP/MAC绑定是对网络中的IP和所对应的MAC做一个关系绑定，可以有效地防止网络中的IP冲突等安全隐患。

四、配置关键点

终端准入管理的准入规则并不会下发给设备，而是在iMC系统内部保存的，也就是说这里的终端准入控制并不是接入设备做的，而是iMC服务器读取接入设备的接入信息和自己保存的接入规则对比来决定接入是否合法。所以对设备的要求较低，就算设备没有安全准入功能也可以实现对终端的接入控制。但是由于是需要iMC到接入设备上读取接入信息的，这个读取周期也就是iMC对设备的轮询周期（默认120分钟），所以iMC只有在下次对设备进行轮询时才能发现终端的异常进入，发现问题延迟较大。