三种网络非法接入管理技术对比

 

主要技术 对比	ARP 欺骗阻断	交换机端口阻断	基于 802.1X 接入认证
接入管理类型	事后接入管理	事后接入管理	事前接入管理
基本原理	（ 1 ）采用 ARP 欺骗方式对非法接入主机进行阻断，欺骗方式主要有： Ø         欺骗网关，使得非法接入机无法同网关正常通讯； Ø         欺骗本网段除非法接入地址之外的其他相关主机，使得这些主机无法与非法接入机进行正常通讯； Ø         直接欺骗非法接入机，造成 IP 地址冲突。 （ 2 ）阻断的时间与欺骗包的发送持续时间有关。	（1） 直接定位非法接入机的上联交换机端口； （2） 关闭该交换机端口进行阻断控制。	（1）       接入前，通过 802.1X 的客户端发送认证信息到网络设备； （2）       网络设备将认证信息发送至认证服务器； （3）       认证服务器将认证结果通知网络设备，认证通过则打开交换机端口；认证不通过则禁止接入或接入单独的隔离 VLAN 进行修复。
优势	跟网络设备的关联性比较小，对网络的适应性比较强。	网管人员最熟悉的典型处理方式，快速直接，对网络无副作用，实施工作量小，控制灵活。	能够在接入前进行认证，保证未经认证的都无法接入网络，安全性更高。
劣势	（1）       与 ARP 病毒的攻击模式没有区别，对网络设备的副作用比较大； （2）       随着 ARP 防火墙的普及，阻断效果越来越差； （3）       需要在每个广播网段放置 ARP 攻击代理，部署工作量大，成本比较高； （4）       从接入到阻断有一定的延迟。	（1）       跟网络设备相关，需要网络设备主要是指交换机能够支持 SNMP 管理； （2）       从接入到阻断有一定的延迟。	(1)    跟网络设备相关，需要网络设备主要是指交换机能够支持 SNMP 管理； (2)    需要网路设备支持 802.1X 。 (3)    由于需要与认证服务器进行认证交互，可能导致认证并发数过大，认证服务器瘫痪，有造成网络瘫痪的风险； (4)    部署工作量大，需要对每台网络设备进行配置，如果存在多种厂商的设备，会有兼容性的问题，可能需要对用户网络拓扑进行调整。