H3C EIA无代理防内网外联

典型配置举例

资料版本：5W105-20260427

产品版本：EIA (E7401)

目  录

1 简介

2 使用指南

2.1 使用场合

2.2 注意事项

2.3 技术原理

3 配置举例

3.1 组网需求

3.2 配置步骤

3.2.1 ‍EAC通用配置

3.2.2 内网外联检测配置

3.3 验证配置

1 简介

在当前企业网络环境中，终端安全要求日益提高，如何检测出哪些终端外联了互联网，或者有外联风险，成为安全管控的重要课题。为避免在大量终端上逐一安装代理软件，EIA推出了一种“无代理内网外联检测”方案：在企业局域网内，无需在终端安装任何客户端程序，即可发现并检测具有外联行为或外联风险的终端。该方案采用分布式架构，管理和准入控制器分离，一套EIA可管理多个EAC准入控制器，对多分支机构适应性强。

该方案主要由两个核心组件构成：

·     EIA：用于统一配置内网外联检测策略，并对EAC进行集中管理。

·     EAC：用于执行检测终端是否具有外联检测风险。

2 使用指南

2.1  使用场合

EIA无代理防内网外联功能，特别适用于终端种类多、控制权不统一或无法安装客户端，但安全要求高、需要定期审计是否存在外联风险的企业局域网环境。特别适合以下几类典型场景：

·     制造业/工业控制场景（工厂车间、产线设备）：现场有大量PLC、工业控制器、生产线工位机、老旧工控电脑等，设备系统封闭或版本老旧，无法安装任何安全客户端。

·     金融网点/营业厅（银行、证券营业部等）：网点内大量业务终端为专用终端（柜面终端、查询机、自助机等），系统封闭、变更流程严格，不适合安装代理。

·     医院、校园等混合终端环境：医院有大量医疗设备终端（影像工作站、检查设备终端等），校园有图书馆查询机、机房教学机等，系统封闭或统一镜像，禁止随意安装软件。

2.2  注意事项

·     外网上无需部署取证服务器，只需在系统中配置外网的IP地址范围，即可生效。

·     安装EAC准入控制器时，需要为其发包网卡配置一个内网IP地址。并且保证待检测的终端与该内网IP的报文可以正常转发。

·     双网卡终端必须将默认路由配置为指向外网路由，否则无法被识别为内网外联终端。

·     若终端默认路由指向外网，但实际上并未真正接入外网，仍有可能被检测为存在内网外联风险的终端。

·     内网所有相关业务流量需镜像至EAC准入控制器。

2.3  技术原理

检测内网外联采用TCP反射方式，需要核心路由器下挂的各层终端的流量都指向到核心路由器，镜像到EAC准入控制器，EAC准入控制器的发包卡接入的交换机可以将报文进行转发，原理如下图所示。

图2-1 TCP反射方式内网外联检测实现原理

(1)     ‍在一个内网外联终端检测周期内，EAC设备向每个待检测终端发送如下报文：

¡     ICMP请求报文：源IP为EAC设备的发包卡配置的内外IP。

¡     TCP SYN报文：源IP从外网IP段中随机选择一个IP，源端口随机选择一个。

(2)     终端收到ICMP请求报文后，回应ICMP响应报文给EAC设备。

(3)     终端收到TCP SYN报文后，如果配置的默认路由指向外网，则TCP SYN+ACK报文/TCP RESET报文/ICMP端口不可达会发送到外网网关；如果配置了默认路由指向内网，则TCP SYN+ACK报文/TCP RESET报文/ICMP端口不可达会发送到内网网关。

(4)     EAC设备在超时时间(检测时长)内

¡     如果收到了终端的ICMP响应报文和TCP SYN+ACK报文/TCP RESET报文/ICMP端口不可达报文，则判断该终端为非内网外联终端。

¡     如果收到了终端的ICMP响应报文但没有收到TCP SYN+ACK报文/TCP RESET报文/ICMP端口不可达报文，则判断该终端为内网外联终端。

¡     如果既没有收到终端的ICMP响应报文也没有收到TCP SYN+ACK报文/TCP RESET报文/ICMP端口不可达报文，则判断该终端为离线，因此判断为非内网外联终端。

3 配置举例

3.1  组网需求

本手册主要通过无代理的方式检测终端是否有内网外联风险，根据用户网络拓扑的不同，EAC准入控制器可以部署在不同的位置。

·     对于中小型网络，推荐将EAC部署在核心交换机旁，以实现对整个网络的控制，如下图所示。

图3-1 中小型网络的组网

·     对于大型或复杂网络，推荐将EAC部署在汇聚交换机旁，以更精确地控制特定区域的网络访问，如下图所示。

图3-2 大型网络的组网

注：本案例中各部分使用的版本如下：

·     EIA版本为EIA (E7401)

·     EAC版本为EAC(E7401)

表3-1 IP地址规划

3.2  配置步骤

无代理防内网外联功能配置步骤如下表所示。

表3-2 配置步骤

3.2.1  ‍EAC通用配置

1. EAC服务器配置

(1)     准备一台服务器，服务器的具体参数要求如下表所示。

表3-3 EAC流量镜像服务器参数规格

(2)     选取好镜像网口（建议10GB网口）连接至交换机的镜像口，然后在交换机上配置流量镜像，将关键端口的流量复制到EAC设备，用于分析和控制。

[Switch] mirroring-group 1 local   #创建一个本地镜像组，编号为1

[Switch] interface GigabitEthernet 1/0/1   #配置镜像源端口，其流量将被镜像到镜像组1中

[Switch-GigabitEthernet1/0/1] mirroring-group 1 mirroring-port both

[Switch-GigabitEthernet1/0/1] quit

[Switch] interface GigabitEthernet 1/0/2   #配置镜像目的端口，流量将从这里转发到EAC设备

[Switch-GigabitEthernet1/0/2] mirroring-group 1 monitor-port both

[Switch-GigabitEthernet1/0/2] quit

(3)     配置完成后，抓包确认。

2. 安装EAC

操作系统配置完成后，安装EAC软件。

(1)     上传EAC安装包EacClient.tar.gz

(2)     解压安装包

tar -xzvf EacClient.tar.gz

图3-3 解压安装包

(3)     执行安装脚本

sh install_psvscan.sh

(4)     选择安装目录（若无特殊需求，使用默认目录即可）

Please input install path [default:/usr/local/]:

#安装脚本询问用户是否要指定安装路径，直接输入回车，将使用默认路径/usr/local/

(5)     配置是否安装EAC客户端

Do you want to enable the admission control function? [y/n, default:n]:y

#询问用户是否要启用系统中的准入控制功能。输入y，则表示启用此功能

(6)     配置绑定的EIA服务器地址

Please enter the EIA server IP address: 10.144.195.166

#输入的EIA服务器的IP地址。当EAC设备安装并配置服务器IP后，会与EIA服务器建立通信，通信建立之后EIA即可监控EAC设备。

(7)     配置流量卡信息（此处选择的网卡务必跟物理网卡对应起来，因为涉及连接网线）

Obtaining NICs for packet capture. Please wait...

#列出可用的网卡的PCI，选择用于接收镜像流量的网卡

Please select a NIC for packet capture:

#列出可用的网络接口，供用户选择用于数据包捕获的接口

0000:0b:00.0 'VMXNET3 Ethernet Controller 07b0' if=ens192  drv=vmxnet3 unused= *Active*

0000:13:00.0 'I350 Gigabit Network Connection 1521' if=ens224  drv=igb unused=

0000:1b:00.0 'I350 Gigabit Network Connection 1521' if=ens256  drv=igb unused=

Please enter the name of a NIC (for example, 0000:13:00.0): 0000:13:00.0

#应选择10GB的网卡，本例选择0000:13:00.0作为流量卡

#配置网卡绑定的模块，选择1，输入y

Bind NIC 0000:13:00.0 to the follow module?[default 1.vfio-pci]

1.vfio-pci

2.vfio-pci(iommu=on)

3.uio_pci_generic

Please input your choice[1,2,3]:1

After you bind NIC 0000:13:00.0 to the vfio-pci module, other applications cannot use this NIC. Do you want to bind it:[y/n,default y]:y

Installing mod vfio-pci

(8)     配置发包卡信息（此处选择的网卡务必跟物理网卡对应起来，因为涉及连接网线）

Please select a NIC  for packet send:

#列出可用的网卡的PCI，选择用于发送阻断报文的网卡

0000:13:00.0 'I350 Gigabit Network Connection 1521' drv=vfio-pci unused=igb

0000:0b:00.0 'VMXNET3 Ethernet Controller 07b0' if=ens192  drv=vmxnet3 unused=vfio-pci *Active*

0000:1b:00.0 'I350 Gigabit Network Connection 1521' if=ens256  drv=igb unused=vfio-pci

Please enter the name of a NIC(for example,0000:13:00.0):0000:1b:00.0

#本例选择0000:1b:00.0作为发包卡

#配置网卡绑定的模块，选择1，输入y

Bind NIC 0000:1b:00.0 to the follow module?[default 1.vfio-pci]

1.vfio-pci

2.vfio-pci(iommu=on)

3.uio_pci_generic

Please input your choice[1,2,3]:1

After you bind NIC 0000:1b:00.0 to the vfio-pci module, other applications cannot use this NIC. Do you want to bind it:[y/n,default y]:y

(9)     配置发包卡的IP地址，选择此网卡连接的镜像交换机物理接口相同网段的可用IPv4地址，配置后能够与其网关通信。

Please enter the IP address for NIC 0000:1b:00.0:123.1.79.2

#配置发包卡的IP，比如发包卡连接交换机的物理接口属于vlan79，网关为123.1.79.1，配置可用的IP为123.1.79.2

#此处输入n

The EAC component has been installed.Do you want to enable the passive scanner function？[y/n, deault:n]:n

Installation is done.

Starting PsvScanner processes: done.

Starting process eaccontrol

Starting process eaccatcher.

Process pscanmon is started.

#EAC进程启动成功。

[root@eac EacClient]#

(10)     如果安装完成后提示了是否重启操作系统，输入n，使用shutdown命令关机，然后再开机。

图3-4 安装过程

3. 检查EAC状态

(1)     在EAC的宿主机上执行以下命令，检查EAC的2个进程eaccatcher和eaccontrol是否正在运行，如下图所示。

ps -ef | grep eac

图3-5 检查EAC相关进程

(2)     在EIA中检查EAC连接状态是否为“在线”。

a.     通过http://北向业务虚IP:30000/uclogin/view/login.html进入系统登录页面，使用admin用户登录。

b.     单击[自动化>网络准入>准入管理>接入设备>EAC设备>设备管理]菜单项，进入设备管理界面，如下图所示，即可查看环境中EAC设备的连接状态。

图3-6 EAC设备

(3)     EAC设备首次上线后，需要根据实际需求在EIA中修改其参数，支持修改名称、责任人、业务分组、下一跳MAC地址、管理范围等。单击操作列的按钮，进入修改EAC设备页面，如下图所示。支持手动修改EAC设备的名称、责任人、下一跳MAC地址等信息。下一跳MAC地址必须填写，其值为EAC发包卡连接的交换机物理接口对应的VLAN接口的MAC地址。

图3-7 修改EAC设备页面

(4)     修改完成后单击<确定>按钮。

4. 配置EAC设备参数（可选）

可根据实际需要调整EAC业务参数，但建议采用缺省值。

在EIA中单击[自动化>网络准入>准入管理>接入设备>EAC设备>参数配置]菜单项，进入参数配置界面，支持配置EAC设备基本配置、WEB重定向配置、终端准入配置和高级配置，具体参数说明如下。

·     心跳检测周期（分钟）：EAC设备与准入服务器心跳报文的发送周期，准入服务器据此判断EAC设备是否在线。

·     心跳检测尝试次数：如果EAC设备与准入服务器在连续几次心跳检测周期内没有进行任何交互，将被视为离线状态。默认心跳检测尝试次数为3次。

·     CPU告警阈值（%）：EAC设备CPU使用率百分比的告警阈值，达到阈值之后，准入服务器向底盘发Trap告警。

·     内存告警阈值（%）：EAC设备内存使用率百分比的告警阈值，达到阈值之后，准入服务器向底盘发Trap告警。

·     交换区告警阈值（%）：EAC设备交换区使用率百分比的告警阈值，达到阈值之后，准入服务器向底盘发Trap告警。

·     磁盘告警阈值（%）：EAC设备磁盘使用率百分比的告警阈值，达到阈值之后，准入服务器向底盘发Trap告警。

·     重定向URL地址：当终端进行认证时，将被重定向到此处的URL上。缺省值为http://[北向IP|灾备虚IP]:Portal http访问端口/eac/index.html。

·     HTTPS域名重定向：当开启HTTPS域名重定向功能时，终端对https://任何域名:443的访问请求，都会被重定向到在“重定向URL地址”中配置的URL上。终端需要配置DNS服务器，才能使用基于域名的网页重定向功能。

·     HTTP域名重定向：当开启HTTP域名重定向功能时，终端对任何http://任何域名:80的访问请求，都会被重定向到在“重定向URL地址”中配置的URL上。终端需要配置DNS服务器，才能使用基于域名的网页重定向功能。

·     HTTP重定向端口范围：触发终端发起重定向认证的端口范围，例如配置为80-80，终端访问http://1.1.1.1:80/时会发起重定向认证，访问http://1.1.1.1:8888/则不会发起重定向认证。

·     服务类型列表：本列表的信息显示在EAC认证页面的服务类型下拉选择框中。其中:

¡     服务类型标识：用户上线时使用的接入服务，服务类型标识和接入服务中的服务后缀保持一致。

¡     服务类型：用户无法直观地理解服务类型标识其内在的含义，服务类型对其进行了解释，便于用户对“服务类型标识”的理解。服务类型不能为空，并且不能和现有的服务类型相同。服务类型的数量不能超过64个。

注意：本列表和Portal的服务类型列表是公用的，即在这里新增的服务类型，会同步添加到Portal的服务类型列表中，反之亦然。

·     终端活动状态阈值(小时)：缺省值为0，表示不启用终端在线检测功能，取值范围为0-168之间的整数。EAC判断终端超过此阈值没有产生过流量，则认为该终端离线。当在线用户关联的所有EAC设备都上报终端处于离线状态，服务器会自动强制下线该终端。

·     在线用户老化时长(小时)：缺省值为0，表示不启用在线用户老化功能，取值范围为0-9999之间的整数。当终端活动状态阈值(小时)不为0时，EAC设备每隔12分钟定时上报终端的在线状态，准入服务器根据用户的接入时间更新在线用户的接入时长，并将该用户的上次更新时间置为当前上报时间。开启在线用户老化功能后，准入服务器每隔10分钟定时检查EAC在线用户的上次更新时间，如果满足老化时间则会强制下线在线用户。如果终端活动状态阈值(小时) 设为0，但是开启了在线用户老化功能，准入服务器也会根据老化时间强制下线在线用户。

·     故障时自动逃生：启用该功能后，如果EAC设备连续三次上报心跳异常，则自动开启逃生。

·     启用例外资源：用于控制是否启用终端不需要认证就可以访问的服务器资源。

·     例外资源列表：配置例外资源，勾选“启用例外资源”后才能显示。

¡     起始IP：例外资源IP段的起始IP地址。

¡     结束IP：例外资源IP段的结束IP地址。

¡     域名：例外资源的域名。

¡     描述：例外资源描述信息。

·     NAT穿越有效TTL值范围：终端存在网络地址转换（NAT），只有通过iNode客户端认证且请求TTL值在有效范围内才能正常访问网络。

图3-8 参数配置

3.2.2  内网外联检测配置

(1)     在EIA中单击[自动化>网络准入>准入管理>接入设备>EAC设备>内网外联检测配置]菜单项，进入内网外联检测配置页面，如下图所示。

图3-9 内网外联检测配置

(2)     启用内网外联检测开关，在主动内网外联检测配置区域，配置超时时间和策略间隔时长，参数说明如下：

¡     超时时间：在该时间内，如果EAC设备的流量镜像口没有收到跟TCP SYN报文对应的TCP AYN+ACK/TCP RESET/ICMP端口不可达报文，则认为该终端为内网外联终端，本例为缺省值20。

¡     策略间隔时长：间隔多长时间主动发起内网外联检测，本例为缺省值60。

(3)     单击<增加>按钮，弹出增加外网资源IP段，配置起始IP地址和终止IP地址，如下图所示。

图3-10 增加外网资源IP段

(4)     配置完成后，单击<确定>按钮，可查看新增的外网IP地址范围，如下图所示。

图3-11 查看外网IP地址范围

(5)     单击管理范围区域的<增加>按钮，弹出增加管理资源IP段页面，配置需要进行内网外联检测的终端IP地址范围，如下图所示。

图3-12 增加管理资源IP段

(6)     配置完成后，单击<确定>按钮，可查看新增的管理范围，如下图所示。

图3-13 查看管理范围

(7)     单击例外配置区域的<增加>按钮，弹出增加例外资源IP段页面，配置例外IP地址范围，如果管理范围指定了IP地址段，那么这些IP段需要在管理IP地址段涵盖范围内，超出部分的IP不会生效，如下图所示。

图3-14 增加例外资源IP段

(8)     配置完成后，单击<确定>按钮，可查看新增的例外设备，如下图所示。

图3-15 查看例外设置

(9)     全部配置完成后，单击<确定>按钮，配置下发给EAC准入控制器。

3.3  验证配置

经过至少一个策略间隔时长+检测时长之后，单击[自动化>网络准入>准入管理>接入设备>EAC设备>内网外联检测配置]菜单项，进入内网外联检测配置页面，可查看上报的内网外联终端，如下图所示。

图3-16 查看内网外联终端