一、先解决"到底谁在网里"这个老问题
做过内网运维的人都有体会：最麻烦的不是攻击，而是"看不见"。网络里有多少台设备、都是什么类型、装在哪个端口、装了什么系统，很多单位根本没有一份可信的台账。等安全事件发生，想定位是哪台设备、哪个人，常常要从交换机命令行一层层翻，效率极低。网络准入控制的另一条主线，就是把"看见"和"可查"做扎实——资产发现、风险识别、日志审计形成一个闭环，让每次入网、每次变化、每次风险都有据可查。
二、资产发现：主动与被动双通道
资产发现是审计闭环的地基，通常用两条通道并行：
- 主动扫描：按配置的网段主动探测，可额外指定扫描端口，也可排除部分端口和地址，节省系统资源。NMAP 扫描可以配置定期执行的扫描规则。
- 被动发现：通过镜像口被动分析网络流量，不需要主动发包，适合对网络干扰敏感的环境；安装客户端的终端还会上报更细的信息，RADIUS 认证中发现的未知设备也会被纳入列表。
发现之后的关键是"识别准"。资产指纹库支持自定义判断规则，按厂商、主机名、端口等依据给设备定类型；MAC 厂商库通过 MAC 前缀自动识别厂商（例如 VMware、华为等前缀命中）；设备类型库支持自定义分组，方便按计算机、服务器、摄像头、打印机分类管理。识别准确了，后续的安全态势统计才有意义。
三、全网资产：一台设备一个"档案"
识别出的设备进入全网资产清单，每台设备带完整档案：IP、MAC、操作系统、厂商、入网规则、活动时间、设备状态。运维人员可以做的操作包括：
- 编辑注册信息、批量设置入网规则；
- 开启 IP/MAC 绑定、设备端口绑定，IP 或端口一变自动阻断；
- 标记关键设备，实时探测异常离线并记录非法访问；
- 设备信息锁定，设备类型、操作系统、主机名变化后资产列表不自动更新，防止被仿冒篡改；
- 绑定镜像准入权限组或 VLAN 组，控制设备入网后能访问的范围。
配合交换机视图和网络拓扑图，还能直观看到每台交换机的端口状态、VLAN、IP 地址表、ARP 表和流量趋势，资产和物理位置一一对应。
四、安全态势：风险一目了然
资产数据汇合后，态势分析把"静态台账"变成"动态视图"：
- 全网设备资产概览：设备总数、在线率、按类型统计的设备数量、近 7 天新发现设备、事件态势和违规访问统计；
- 新入网设备日志：记录新设备的 IP、VLAN、处理动作和时间戳，帮助运维快速锁定入网人员；
- 阻断设备日志：展示被阻断设备的基本信息和阻断方式；
- 安全风险设备日志：汇总设备 IP、系统变更等风险记录；
- 设备信息变更日志：记录设备类型、系统等信息的变更，支持批量确认告警；
- 违规访问日志：按规则记录违规访问事件，支持配置违规访问规则和 IP 白名单；
- 关键设备离线日志与风险态势：关键设备异常下线或一分钟内被频繁访问时产生告警，支持详情与溯源。
这些日志不是孤立的，而是和账号体系打通：来宾入网日志、自动入网处理日志、级联报警、IPv6 历史地址日志（记录终端 MAC 曾用过的 IPv6 地址）都在这个体系里，任何一条记录都能追溯到具体设备和具体人。
五、审计闭环：申请、审批、关联
"检测"之外，"审计"要形成制度闭环。常见做法是：
- 设备注册审批：新设备入网前提交注册信息，管理员审核通过才放行，也可配置自动审核；
- 来宾账号申请：来宾入网要走账号申请流程，支持按 VLAN 配置不同审核员、设置自动审核和自定义申请字段；
- 内部账号申请：内部账号同样走申请审批，字段可自定义，便于管理员判断；
- 账号与设备关联：设备关联查询可查看账户名、账户类型、设备 IP、设备 MAC、关联时间，一台设备绑定几个人、一个人绑了几台设备，一查便知。
这一层把"设备入网"和"人的授权"挂上钩，配合违规访问日志和关键设备风险态势，基本实现了责任到人。
这条"发现→识别→态势→审批→追溯"的链路，落地时关键是把资产、日志、账号三张表串起来：资产发现做盘点，各类日志做留痕，申请审批做授权，三者共享同一份设备档案，运维人员从一张大屏就能看清全网的安全状态。
总结
网络准入控制的价值，一半在"挡住"，一半在"看见"。挡是准入技术的活，看见则靠资产发现、态势分析和日志审计这套闭环。把资产台账做准、把风险日志做全、把申请审批做严，内网安全才能从"靠经验排查"升级为"靠数据管理"。这既是等保合规的要求，也是运维提效的路径。
