什麼是NAC網絡准入控制？

NAC 要解決的問題

在沒有准入控制的網絡中，只要有一個可用的網絡端口或無線信號，任何人接上網線或連接 Wi-Fi 便能取得一個 IP 地址，並嘗試存取內部資源。這在會議室、大堂、公共走廊等對外開放的空間尤其危險：訪客、外判承辦商甚至惡意人士只需一部手提電腦，便有機會接觸到本應受保護的內部系統。網絡准入控制正是為了在設備真正取得網絡存取權之前，先進行身份驗證與合規檢查，把「誰可以連上網絡、可以連到哪裡」納入統一管理。

NAC 的核心價值在於把網絡存取決策從「插上網線即可用」轉變為「先驗證、後放行」，並可依據不同身份與設備狀態，動態分配不同的網絡權限，例如員工設備進入辦公網段、訪客設備只獲派往互聯網的有限存取、不符合安全要求的設備則被導向隔離網段或完全拒絕連接。

NAC 的運作原理

整個流程可以理解為一道「網絡關卡」：設備嘗試連接時，交換機或無線控制器先把認證請求轉交認證伺服器核實，核實通過後才根據預設政策開放相應的網絡權限，而非一律放行到同一個扁平網絡。

NAC 與相關技術的關係

企業部署 NAC 的實務步驟

1. 盤點現有設備與端口——記錄有多少交換機端口、無線接入點，以及目前有哪些類型的設備會接入網絡。
2. 確認網絡設備支援程度——檢查現有交換機與無線控制器是否支援 802.1X 或 MAC 地址認證，不支援者需規劃升級。
3. 建立認證伺服器——部署 RADIUS 伺服器並整合現有的用戶目錄，作為身份核實的後台。
4. 制定分段政策——按員工、訪客、物聯網設備等不同類別，設計相應的 VLAN 與存取權限。
5. 分階段試行與擴展——先在小範圍測試，確認不影響日常運作後，再逐步擴展至全公司網絡端口與無線網絡。

部署 NAC 過程中應保留應急放行機制，避免因認證伺服器故障而導致全公司無法連接網絡，工程師一般會建議設定合理的容錯與旁路方案。

香港商廈與屋苑的應用場景

在香港常見的商廈辦公室中，會議室與大堂的網絡端口經常需要接待訪客或外判技術人員使用，若沒有准入控制，任何人插上網線即可取得內部網絡的 IP 地址。部署 NAC 後，這些公共區域的端口會被設定為訪客模式，設備接入時自動導向訪客門戶，輸入基本資料或掃描二維碼後，只獲派往互聯網的有限存取，與辦公室內部系統及伺服器完全隔離，即使訪客設備帶有惡意程式，亦難以直接接觸到公司核心資源。

在屋苑管理處與商業大廈的物業管理網絡中，NAC 同樣有重要作用。管理處往往同時連接門禁控制器、監控攝影機、電錶讀數裝置等大量物聯網設備，這些設備一般不支援用戶名密碼登入，工程師會透過 MAC 地址認證把它們自動劃入專屬的物聯網網段，並只開放與管理伺服器通訊所需的最低權限。這樣即使其中一台設備的韌體存在漏洞遭入侵，攻擊者亦難以由該設備跳板存取管理處的辦公網絡或財務系統，有效控制單一事故的影響範圍。

常見問題

延伸閱讀