Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

技术概述

Aruba ClearPass 配置文件是一个执行设备分析的 ClearPass 策略管理器模块。启用该模块后，它会自动收集有关端点的各种数据，分析数据以对端点进行分类，并将分类作为设备配置文件存储在端点存储库中。然后，您可以使用强制策略中的设备描述文件来控制对网络的访问。例如，您可以创建一个实施策略，授予被分析为 VoIP 电话的端点访问网络中特定服务器的权限。或者，您可以创建一个实施策略，将分析为接入点的所有端点置于特定 VLAN 中。

设备配置文件根据以下三个层次结构元素对端点进行分类：

  • 类别 — 这是设备最广泛的分类。它表示设备的类型，例如接入点、VoIP 电话、打印机、计算机或智能设备。

  • 系列 — 类别中的设备根据操作系统类型或供应商类型按系列进行组织。例如，当设备类别为“计算机”时，该系列可能是 Windows、Linux 或 Mac OS X。当设备类别为智能设备时，家庭可能是 Apple 或 Android。

  • 名称 - 家族中的设备按更精细的详细信息（如版本）进一步组织。例如，当设备系列为 Windows 时，设备名称可能是 Windows 7 或 Windows 2008 服务器。

除了上述分层分类之外，设备配置文件还可以包含 IP 地址、主机名、供应商以及首次发现设备或上次发现设备的时间等信息。

要分析设备，Aruba ClearPass 配置文件使用多种不同类型的收集器来收集端点上的数据。有关所用收集器类型的完整列表，请参阅 Aruba ClearPass 文档。此网络配置示例依赖于 DHCP 和 MAC 组织唯一标识层 （OUI） 收集器提供的数据：

  • DHCP 收集器 — 从 DHCPDiscover 和 DHCPRequest 数据包中收集 DHCP 属性，例如 option55（参数请求列表）、option60（供应商类）和选项列表。此信息可以对使用 DHCP 在网络上获取 IP 地址的大多数端点进行唯一指纹识别。DHCP 数据包还提供设备的主机名和 IP 地址。

    若要使 DHCP 收集器能够收集此信息，Aruba ClearPass 必须从端点接收 DHCP 数据包。EX 系列交换机上的 DHCP 中继允许交换机将初始 DHCPDiscover 和 DHCPRequest 数据包从端点发送到多个接收方。将 ClearPass 配置为这些接收方之一，允许 ClearPass 侦听 DHCP 服务器与客户端端点之间的 DHCP 消息交换，并从 DHCP 数据包中收集所需信息。

  • MAC OUI 收集器 — 收集设备 MAC 地址的 OUI 部分。MAC OUI 可用于更好地对某些端点进行分类。例如，DHCP 指纹识别可以将端点分类为通用 Android 设备，但无法提供有关供应商的信息。除了 DHCP 指纹识别之外，还使用 MAC OUI，ClearPass 配置文件可以将 Android 设备分类为 HTC Android 设备、三星 Android 设备、摩托罗拉 Android 设备等。ClearPass 配置文件还可以使用 MAC OUI 来分析可能具有静态 IP 地址的设备，例如打印机。

    MAC OUI 收集器从代表端点从EX 系列交换机发送的RADIUS请求数据包中包含的MAC 地址信息中获取 MAC OUI。

相关文档