网络准入检查是什么
网络准入（常见实现为 802.1X）决定谁能接入网络、接入后能看到什么。它的有效性不取决于是否部署了产品，而取决于覆盖与策略：多少端口受控、哪些端口是例外、认证失败后是隔离还是放行、访客走什么路径。检查的目的就是把这些参数拉成一张可核对的矩阵。
基本信息
| 核查对象 | 802.1X 覆盖范围、例外端口、动态授权策略 |
|---|---|
| 评估重点 | 未认证设备能否接入、接入后可达范围 |
| 常见实现 | 交换机端口认证 + 准入服务器（RADIUS）联动 |
| 输出物 | 覆盖矩阵、例外清单与风险说明 |
| 关联资产 | 资产台账与认证日志 |
典型使用场景
- 办公网评估：确认未登记设备能否直接插网线接入
- 访客管理检查：访客网络与内网是否真正隔离
- 例外复核：打印机、IP 电话等例外端口的必要性与复审机制
- 合规自查：为等保或内控要求提供覆盖与策略证据
- 事件复盘：结合认证日志定位异常接入时间与位置
检查要点
检查要点
启用 802.1X 的交换机端口占比（按区域与楼层统计）
例外端口清单：设备类型、原因、审批人、复审日期
认证失败的默认处置：隔离 / 拒绝 / 放行到受限 VLAN
访客接入路径：独立 SSID 或独立 VLAN 与内网隔离程度
哑终端处理：MAC 认证白名单是否定期清理
输出：覆盖矩阵 + 例外清单 + 结论与建议检查项与判定
| 检查项 | 合格表现 | 风险表现 |
|---|---|---|
| 端口覆盖率 | 办公区端口全部受控 | 存在整层未启用认证的端口 |
| 失败处置 | 隔离到受限区域 | 失败即放行进入业务网段 |
| 例外管理 | 有审批与复审日期 | 例外长期存在无人复核 |
| 访客隔离 | 独立网段且有带宽与访问限制 | 访客与内网同网段互通 |
准入与资产台账联动效果最好：认证日志天然记录设备接入时间与位置，可用于资产发现与异常检测，比单独人工盘点更及时。
例外端口是准入体系最常见的缺口：打印机、IP 电话、会议室设备往往被直接豁免认证，长期无人复审后就变成了绕过通道。