BNMobility的博客

思科BYOD解决方案-无需IT和网络妥协的设备使用自由(3)

热3已有 51 次阅读 2012-04-26 14:32 标签: 解决方案设备

思科BYOD解决方案

无需IT和网络妥协的设备使用自由（3）

文档更新时间：2012年2月20日

原文链接：http://www.cisco.com/en/US/docs/solutions/Enterprise/Borderless_Networks/Unified_Access/byodwp.html

思科BYOD架构

思科提供了一个全面的BYOD解决方案体系架构，以一体化的方式整合网络的各个元素，以确保设备的安全访问，可视性和策略控制。为了解决了前面所述的诸多挑战，BYOD的实施不仅涉及单一的产品，必须将整个智能网络集成进来。

基于思科无边界网络架构的思科BYOD解决方案，遵从园区，分支机构，互联网边缘，家庭办公等网络基础设施设计的最佳实践。

高层次的解决方案架构

一个全面的BYOD解决方案必须提供有线，无线，远程和移动网络的接入，必须支持众多的设备种类和品牌，并必须能够贯穿整个企业和行业执行各项政策。此外，设备从一种接入环境移动到另一种接入环境时（例如从企业的WiFi网络到公共3G/4G移动网络），BYOD解决方案必须能够提供安全的访问，同时保持无缝的用户体验。

对任何的BYOD战略，关键需要考虑提供综合手段接入到企业网络，这意味着不仅是需要连接企业无线局域网，也包含有线接入园区网，无线或有线接入分支机构和家庭办公室，以及连接在互联网、移动3G/4G和公共WiFi热点上进行远程访问。任何的不考虑可能的环境下范围广泛的网络访问的解决方案设计将降低它的管理性和可扩展性。

图7显示了高层次的解决方案架构和思科BYOD解决方案的主要组成部分。

图7高层次的BYOD解决方案架构

思科解决方案组件

以下部分概述了思科解决方案架构的各个组件及其作用。

思科Catalyst交换机

思科Catalyst®交换机，包括Catalyst 3000，Catalyst 4000和Catalyst 6000系列，提供有线接入网络和处理802.1x认证的网络请求。此外，接入交换机提供以太网供电，可为包括VDI的工作站，IP电话和无线接入点（AP）设备提供电源。

思科集成多业务路由器

思科集成多业务路由器（ISR），包括ISR 1900，ISR 2900和ISR 3900，为分支机构和家庭办公提供有线和无线网络基础设施和广域网连接。此外，ISR还能提供直接连接到互联网和云服务的服务，以及应用和广域网优化服务，也可作为移动设备的VPN连接终止点。

在ISR中的安全设备配置（SDP）功能也可以作为证书颁发机构（CA），这对于小规模网络实施是非常有益的。

思科无线局域网接入点

思科无线接入点，包括AP3500和AP3600等，为企业网络提供WiFi连接和处理通过802.1x认证的网络请求。此外，无线局域网提供了可靠，高性能的移动设备连接的关键功能。

思科无线局域网控制器

思科无线控制器（WLC）用于自动化无线配置和管理功能，提供了无线局域网的可视度和控制能力。WLC能够与身份服务引擎（ISE）进行交互，跨设备端点强制执行身份验证和授权政策。

思科自适应安全设备

思科自适应安全设备（ASA）提供传统的边缘安全功能，包括防火墙和入侵防御系统（IPS），以及为通过互联网连接的移动设备，包括公共WiFi热点和3G终端点/ 4G移动网络提供关键的安全VPN（AnyConnect）终结能力。

思科AnyConnect客户端

思科AnyConnect 客户端提供了网络802.1x请求者能力，从不受信任的网络（包括公共互联网，公众WiFi热点，3G/4G移动网络）连接的设备可通过它连接VPN访问企业网络。部署和管理单一客户端具备极大的运营优势，对于用户可提供通用的外观，感受和流程体验。

此外，AnyConnect客户端可以评估BYOD设备的状态，以及政策的执行的程度。

思科身份服务引擎

思科身份服务引擎（ISE）是思科BYOD解决方案架构的核心组件，它提供了多项服务，包括：

•认证

•授权

•设备分析

•证书注册

•设备状态评估

•政策的定义和执行

•身份凭证接口（如Active Directory®，RSA®的SecurID®，其他CA服务器）

除了核心功能，如身份验证和授权，思科ISE还提供了设备连接到网络的智能识别分析信息。设备识别可用于发现，定位，并确定端点的类型和连接到网络的能力，并根据相关信息拒绝或执行特定的授权规则。

例如，结合设备识别分析、状态评估并执行策略，可用于执行下列BYOD政策：

•允许雇员自有的ipad®接入公司网络，但只能允许HTTP流量

•禁止越狱的iPhone®访问公司网络

•如果Android 设备为公司配发，授予完全访问权限

思科Prime

思科Prime 提供了网络管理和控制功能，包括关键用户和设备的可视性以及网络设备的配置。

第三方解决方案组件

以下部分概述了各种第三方（非思科）解决方案的架构和组件及其作用。

RSA SecurID

RSA SecurID令牌和认证服务器用于提供强大的双因素（安全PIN和一次性密码）安全认证。

移动设备管理

移动设备管理（MDM）为多种BYOD设备操作系统提供了集中式端点管理。其功能和支持程度因不同的MDM供应商而不同，典型的功能包括设备配置，设备上的加密，强制密码和自助配置服务。

除了上述面向网络接入的MDM功能，MDM也可以作为一个重要的安全服务，最终为设备上的应用程序提供认证服务。

思科BYOD解决方案架构可以采用众多MDM厂商的产品作为可选组件。

证书颁发机构

利用公钥基础设施（PKI）使用证书颁发机构（CA）签发数字证书实现网络接入设备的信任机制。标准的CA实现可以做为BYOD解决方案的一部分。思科对于两种类型的CA解决方案进行了验证：微软®CA服务和思科集成多业务路由器上的思科IOS安全设备配置（SDP）。

微软的Active Directory

微软Active Directory（AD）提供了一个身份和群组的中央数据库，许多企业通常将其用于集中身份管理。，思科BYOD解决方案架构中的ISE组件并不是重复的身份凭证存储数据库，ISE将AD作为外部身份凭证存储的数据库，这已经过双方验证。

支持的设备

思科的BYOD解决方案支持广泛的设备，虽然他们的能力和功能取决于设备或操作系统。对于特定的功能和设备类型的限制因参照详细设计指导。表1显示了当前经过验证的主流设备类型。

表1 支持的设备

设备	Wired有线	Corp WiFi公司无线	Public WiFi公共WiFi	3G/4G Mobile 3G/4G移动
Android smartphones and tablets ¹ Android智能手机和平板电脑¹		Yes是	Yes是	Yes是
Apple ^® OS X ^® Macbook ^®苹果公司OS X MacBook	Yes是	Yes是	Yes是
Apple iOS ^TM iPhone苹果iOS iPhone		Yes是	Yes是	Yes是
Apple iOS iPad/iPad2苹果的iOS iPad/iPad2		Yes是	Yes是	Yes是
Apple iOS iPod touch ^®苹果iOS的iPod touch		Yes是	Yes是
Cisco Cius (Android)思科Cius（Android）	Yes是	Yes是	Yes是	Yes是
Samsung ^TM Galaxy ^TM (Android)三星银河（Android）		Yes是	Yes是	Yes是
Microsoft Windows ^® XP PC微软Windows®XP的电脑	Yes是	Yes是	Yes是
Microsoft Windows 7 laptop微软Windows 7的笔记本电脑	Yes是	Yes是	Yes是