内网准入解决的是接入端口的信任问题：谁在连、连的设备干不干净、能不能上业务网。对门店、办公网、研发网混在一起的场景，NAC 是基础防线。
三种部署方式对比
| 方式 | 原理 | 改造量 | 适用 |
|---|---|---|---|
| 802.1X | 端口级认证 | 需支持RADIUS | 规范办公网 |
| DHCP探测 | 地址分配时检测 | 无需改网络 | 快速上线 |
| 旁路阻断 | 流量镜像阻断 | 旁挂设备 | 存量网络 |
802.1X 在交换机端口做认证，粒度最细但需要网络设备支持；DHCP 探测 在终端获取地址时做合规检查，部署最快；旁路阻断 通过流量镜像识别并阻断不合规终端，适合不改架构的存量网络。
终端合规检查清单
- 杀毒软件在线且病毒库更新到最新。
- 系统补丁达到安全基线版本。
- 未安装未授权软件与远程控制工具。
- 密码策略与磁盘加密开启。
体验与安全的平衡
采用先提示后阻断的渐进策略：首次接入弹窗提示合规问题，限期整改；逾期未整改再限制访问。访客走独立网段并限速限流，避免访客流量挤占办公带宽，同时与内网彻底隔离。
3 条要点回顾
- 按网络现状选部署方式，802.1X 最严、旁路最省。
- 合规基线先定杀毒、补丁、授权软件三项。
- 先提示后阻断，守住体验底线。
常见问题（FAQ）
NAC一定要换交换机吗？
不一定。802.1X 需要支持 RADIUS 的交换机，预算有限可用 DHCP 探测或旁路阻断模式，不改网络结构。
准入控制会不会影响办公效率？
部署初期建议先提示后阻断，给员工适应期；合规检查控制在几秒内完成。
访客和设备怎么管理？
访客走独立访客网络或扫码上网，打印机摄像头等设备按 MAC 白名单注册后准入。
终端被入侵后NAC有用吗？
有用，不合规终端无法接入业务网段；但对已合规后被感染的情况，还需配合 EDR 做动态处置。
让专业团队帮你落地
相关阅读：云终端替代、EDR终端安全。 更多参考：802.1X 标准。
广东深华天成智能工程有限公司
14年IT服务经验 | 2000+企业客户 | 7x24小时技术支持 | 深圳AI算力与数据中心集成服务商