NAC: контроль доступа к корпоративной сети

Решения этого класса

7 рассмотренных решений · по названию. Размер плитки не означает место в рейтинге.

Что такое Network Access Control

NAC (Network Access Control) управляет доступом пользователей и устройств к корпоративной сети: проверяет условия подключения и передаёт решение о допуске или ограничении. Способ исполнения зависит от архитектуры — коммутатор, Wi-Fi-контроллер, шлюз или агент.

Практический результат — доступ по правилам организации: сотрудник получает рабочую сеть, гость — ограниченный доступ, неизвестное или несоответствующее устройство — отказ либо карантин. Правило должно исполняться в точке подключения или на пути трафика.

Как работает NAC: от подключения до допуска

Разберём схему с 802.1X и RADIUS. Устройство предъявляет учётные данные, коммутатор или точка доступа передаёт запрос серверу, а сетевое оборудование применяет полученное решение. В других архитектурах NAC последовательность может отличаться.

1. Устройство

   Суппликант на компьютере участвует в аутентификации. Способ подтверждения личности зависит от выбранного EAP-метода.

2. Коммутатор или Wi-Fi

   Аутентификатор контролирует подключение и взаимодействует с сервером аутентификации.

3. Сервер и политика

   Сервер проверяет данные. При поддержке нужных атрибутов решение может включать назначение VLAN.

Роли и применение RADIUS описаны в RFC 3580, разделы 1.1 и 3.31. Поддержку схемы проверяют по документации конкретного NAC и сетевого оборудования.

Первичный допуск и изменение доступа — разные проверки. Для уже открытого сеанса может использоваться CoA — запрос изменения авторизации, описанный в RFC 5176, раздел 2.2. Наличие RADIUS не доказывает поддержку CoA, а поддержка CoA не гарантирует одинакового поведения разных прошивок.

В сравнении NAC смотрите отдельно способы аутентификации, условия допуска и применение ограничений. Один успешный вход не проверяет весь процесс.

802.1X, RADIUS, MAB и проверка состояния

Гостевой портал, BYOD с выдачей сертификата и допуск устройства по MAC — разные процессы. Не объединяйте их одной отметкой «гостевой доступ».

Как выбрать NAC под свою сеть

1. Составьте перечень площадок, пользователей, принтеров, телефонов и других устройств.
2. Проверьте модели и прошивки коммутаторов и Wi-Fi-контроллеров: 802.1X, MAB, CoA, VLAN и ACL.
3. Определите источники пользователей, сертификатов и состояния устройств.
4. Выберите архитектуру и заранее согласуйте поведение сети при отказе.
5. Проведите пилот на ограниченном сегменте, включая исключения и возврат к штатной работе.

Сопоставить решения по сценариям →

Как выбрать NAC под правила доступа

Начните с конкретного правила: кто, с какого устройства и откуда может подключиться; что произойдёт, если состояние устройства изменится. Поддержка 802.1X отвечает только на часть этих вопросов.

• Идентичность: пароль или сертификат, пользователь или компьютер, нужна ли совместная проверка обоих.
• Каталог: один домен или несколько, типы и вложенность групп; поведение при недоступности AD/LDAP.
• Контекст: подразделение, коммутатор, SSID, время и история подключения — подтвердите каждое нужное условие.
• Действие: VLAN, заранее настроенный ACL или загружаемый dACL; модель и прошивка оборудования.
• После допуска: период повторной проверки, отзыв активной сессии, карантин и восстановление доступа.

Российские NAC и смежные решения

Российские альтернативы Cisco ISE и Aruba ClearPass

Для Cisco ISE, Aruba ClearPass, Forescout и Fortinet FortiNAC перенос начинают с инвентаризации используемых функций: политики проводного и Wi-Fi-доступа, EAP, PKI, гостевые записи, endpoint-база, TACACS+, posture и интеграции. Для каждого сценария определяют поддерживаемую конфигурацию и способ проверки результата.

Загрузка CSV со списком устройств не переносит политики, сертификаты и цепочки доверия. Заранее согласуйте переходный период и возможность отката.

Проверить подтверждённые возможности →

Внедрение, лицензии и отказоустойчивость

Уточните, что считается лицензируемой единицей: активная сессия, устройство, агент или сетевое оборудование. Отдельно запросите резервные узлы, гостевой модуль, интеграции и обновления. Лицензия агента не обязательно покрывает все функции сервера.

Серверный кластер и непрерывность доступа — разные проверки. При потере NAC новые подключения, активные сессии и повторная авторизация могут вести себя по-разному. Политика fail-open допускает доступ в аварийном режиме, fail-closed ограничивает его; решение зависит от рисков и настроек оборудования.

Внедрение NAC: что проверить до включения блокировок

Ниже — редакционный план проверки, а не универсальная инструкция настройки. Пилот начните с ограниченного сегмента; заранее сохраните конфигурацию и согласуйте способ возврата доступа. Режим наблюдения используйте только там, где он поддерживается выбранной поставкой.

1. Соберите карту подключений. Для каждого сегмента зафиксируйте модели и прошивки оборудования, ОС, суппликанты и способ входа. Отдельно перечислите принтеры, телефоны и другие устройства без 802.1X.
2. Проверьте разрешённый и запрещённый доступ. Сотрудник, гость и неизвестное устройство должны получать именно предусмотренные политикой права. Проверяйте доступность реального ресурса, а не только статус в консоли.
3. Разберите исключения. Для каждого исключения назначьте владельца, ограниченный сегмент, срок и порядок пересмотра. Не превращайте постоянный обход проверки в штатный способ подключения.
4. Испытайте отказ и восстановление. По очереди сделайте недоступными сервер NAC, каталог и канал связи с филиалом. Отдельно проверьте новое подключение, действующий сеанс и повторную аутентификацию.
5. Расширяйте охват после проверки. Зафиксируйте ошибочные отказы, время восстановления доступа, обращения в поддержку и фактическое применение ограничений. Согласуйте допустимые значения до пилота.

Открыть проверки и протокол пилота NAC →

Реестр ПО и сертифицированная поставка

Запись в реестре российского ПО и сертификат проверяются для точного продукта и версии. Не переносите статус между самостоятельным NAC, модулем платформы и соседней редакцией. Сертификат продукта не заменяет проверку применимости к вашей системе.

Вопросы о NAC

Связанные задачи

Корпоративный VPN · Многофакторная аутентификация · Межсетевые экраны · Сравнение NAC →

Каталог и функции · экспертной редакцией SecRadar · «57% функциональности не описано публично» · PAM · SSO · IDS/IPS · Термин: Zero Trust → · Термин: Сегментация сети →