如何控制智能手機訪問網絡

從iPhone到Droid、BlackBerry以及Nexus One，似乎每周都會有一個新的移動設備誕生，而且公司員工正試圖在這些設備發布15分鐘後就把它們接入公司的無線網絡。

一個企業如何應對移動設備引起的風險，在將這些設備引入到企業網絡中後又該如何進行控制呢？在本文中，我們將探討網絡訪問控制（NAC）系統在移動環境中所起的作用。

移動設備的網絡訪問控制（NAC）策略

如果你已經在你的環境中使用了網絡訪問控制，那麼你可能對筆記本電腦或者台式電腦的身份驗證過程比較熟悉：

1. 用戶試圖把一個新的設備接入網絡。

2. 網絡訪問控制服務器檢測到新設備，並確定它還沒有被驗證。

3. 提示客戶在終端上安裝一個網絡訪問控制客戶端。

4. 網絡訪問控制客戶端把用戶的身份證書提供給網絡訪問控制服務器，用於身份驗證。

5. 網絡訪問控制客戶端執行一個客戶端安全狀態評估，並把它提供給網絡訪問控制服務器。

6. 如果有需要的話，網絡訪問控制服務器將使用身份證書和評估結果來確定這個設備可以獲得哪種網絡訪問權限。

不幸的是，當智能手機、平板電腦或者類似的“低能終端”設備試圖接入網絡的時候，這個過程在第三步就停止了，因為想要在這些小玩意上安裝網絡訪問控制客戶端是不可能的。而在這種情況下，網絡訪問控制系統通常會求助於以下兩種方法：

·采用“強制網絡門戶（captive portal）”的方法，即網絡訪問控制設備截取用戶的網頁請求，並重新引導用戶到一個基於網絡的身份認證頁面。一旦用戶通過驗證，這個設備就被賦予了訪問網絡的權利，從而允許那些通過了驗證的用戶把任何移動設備接入到網絡上。

·另一個方法則是把通過驗證的無線設備的MAC地址列入白名單。這涉及到更多的管理開銷，因為每次部署一個新設備都需要你的IT員工把每個設備的MAC地址添加到網絡訪問控制系統中。然而，這個白名單選項的確給了企業對網絡訪問更大程度的控制。

這兩個方法的缺點是：網絡訪問控制系統沒有檢測這類設備安全狀態的能力，這就極大地減少了網絡訪問控制可以像在筆記本/台式電腦環境中那樣所提供的傳統功能。

充分利用移動網絡訪問控制

那麼，企業應該如何利用其現有的網絡訪問控制基礎設施來保證移動設備的安全呢？我建議使用一個三管齊下的方法，這個方法關鍵在於對公司擁有的設備和個人擁有的設備進行區分。你的利益可能會有所不同，這取決於企業的安全需要，但是這個框架為你提供了一個起點，你可以利用它來構建一個合適的移動網絡控制策略以及同你業務環境相關的控制。