windows-server-2008 – 我该如何保护企业无线网络？

>公共访问通过专用的基于Linux的DHCP和DNS在单独的VLAN上运行,除了通过边缘防火墙外,无法访问公司网络(有效地将公共wifi“置于”防火墙之外 – 因此VPN访问和访问DMZ – 主机服务器从公共wifi工作. “儿童互联网保护法”要求我们大量过滤这种联系,以便公众获得最严格的政策. (如果我可以在专用的物理局域网上运行它,并且我会分开互联网连接.否则Money说.)
>学生拥有的设备通过WPA-RADIUS进行身份验证,并可以访问Internet. DHCP和DNS由基于LAN的服务器提供.基于AP的防火墙规则(我们运行Ruckus ZoneFlex AP,每个AP都有一个基于Linux的iptables防火墙)阻止访问LAN,除了特定服务(HTTP到“学习管理系统”和一些其他Web服务器) .存在用于访问LAN子网的默认拒绝策略.

从管理政策的角度来看,我觉得员工拥有和区域拥有的设备之间有很大的区别,所以我在运营配置中反映了这一点.

>员工拥有的设备与学生完全相同,只是有不同的Internet过滤策略,员工可以通过RDP访问桌面PC所在的LAN子网.仍然存在用于访问LAN子网的默认拒绝策略.基于LAN的服务器为员工自备设备提供的服务数量非常有限,坦率地说,我希望保持这种状态.我将尽最大努力确保我们保持默认拒绝策略w /“BYOD”子网和LAN子网之间的异常.我和人们对此有一些分歧,但我认为“BYOD”设备在区域拥有设备的程度上是不可靠的.
>区域拥有的设备(包括笔记本电脑)只能通过WPA-RADIUS身份验证为“域计算机”组的成员获取自己的SSID.有一个开放的局域网访问政策.没有用户在他们的计算机上拥有管理员权限,而且我很自豪地认为自己认为这些设备最值得信赖.如果我有点偏执,我会在所有笔记本电脑上使用TPM部署Bitlocker,以防止用户离线修改操作系统.最后一点w /全盘加密,将是我需要让我感觉合理地确定区域拥有的设备至少在某种程度上值得信赖.我们只有Windows客户端,但对于Mac环境,我认为可以使用适当的类似功能来保证可信计算基础的启动完整性.

我们没有几个月停留在异地的机器.如果我这样做的话,我会主持一个面向互联网的WSUS服务器,并让客户在那里寻找更新,即使他们不在现场.根据您的防病毒软件,您也可以通过这种方式使其运行.

并不是说我认为NAC / NAP是“过度杀伤” – 我认为它是一个fundamentally flawed idea.有些人认为腰带和吊带是使用NAC / NAP的理由,但我很难相信一个不受信任的客户来评估它自己的“健康”.我全都是为了对来自可靠主机的机器进行漏洞扫描,但要求一个不值得信任的主机对自己做出可靠的陈述似乎对我来说是非常有缺陷的.