17 网络安全管理系统

目录

1.1.网络安全管理系统 (2)

1.1.1.概述 (2)

1.1.2.主机监控与审计系统 (3)

1.1.3.准入及IP管理设备 (16)

1.1.4.私有云安全存储设备 (21)

1.1.5.运维安全审计系统 (26)

1.1.网络安全管理系统

1.1.1.概述

海南省监狱管理局为加强对安全生产终端机器、内网敏感信息等数据传输的有效管理，依据国家规定的涉密计算机信息安全管理条例的相关要求，提出了对管理局以及全省各监狱内网环境建立起安全通道，严禁其它普通U盘的交叉使用需求和对工作用机的桌面安全进行加固，禁止非法机器违规内联的准接入控制的需求。

根据省局网络安全管理系统的需求，本项目建设内容包括主机监控与审计系统（200个客户端）、准入及IP管理设备（350路接入）、私有云安全存储设备（350个用户）及运维安全审计系统。

主机监控与审计系统立足于网络运维管理、信息保密与审计，从根本上切断信息被非法泄漏的一切途径，全面贴近实际的信息安全管理工作，从对安全事件的防范开始、到安全事件事发过程的跟踪、以及安全事件的事后追溯和查处，全程管理整个计算机内部网络，并强烈关注于对安全事件的审计和监控，是一个真正可用、货真价实的全生命周期安全管理平台。

准入及IP管理设备基于IP地址进行网络管理，通过和主机监控与审计系统联动，实现计算机终端的准入控制。准入及IP管理设备能够有效地管理网络的IP/MAC 资源，利用利用强大的切断功能保护单位内部网络安全，能够自动收集内网全部的IP/MAC地址相关信息，实时提供更新数据，阻止管理控制中心中未经许可的IP/MAC地址访问网络，防止用户与交换机、服务器等重要设备发生IP冲突，保护重要设备的IP，控制超负荷通信量，提高网络运营的高效性、稳定性和安全性。

私有云安全存储设备通过使用数据集中存储、访问控制、身份认证、数据加密、传输加密、冗余备份、安全审计等有效的技术手段，达到数据防护的目的，实现“关键电子信息集中存储，个人不留密，终端不存密”的安全保密建设理念，实现文件只存服务器，本地无敏感数据，合法用户正常使用，非法用户拿不到，黑客木马窃不到，硬盘电脑不怕丢等安全问题，同时也从根本上杜绝了单位内部的系统管理员对服务器上的数据不受控的访问。

运维安全审计系统通过集中管控平台整合监狱的运维行为管理，实现运维操作

集中可视化管控，通过基于唯一身份标识的集中账号与访问控制策略，实现维护人员与各服务器、网络设备等无缝连接，一站直达，降低多种设备类型带来的管理复杂度问题，快速发现和处置违规事件。

1.1.

2.主机监控与审计系统

（1）系统架构

产品采用C/S模式，整个体系分为三层架构：数据管理层、用户界面层、中间层。这三层结构在层与层之间相互独立，任何一层的改变不会影响其它层功能。系统由服务器、管理端、客户端构成。

服务器: 包含数据库服务器(DB)、维护服务器(MT)、接入服务器(UI)。

数据库服务器: 专用来存储数据。

维护服务器(Maintain):负责授权信息的集中管理、层级服务器中转、UI服务器的维护。

接入服务器(User Interface):作为中间层，提供了数据管理层与用户界面层之间的通讯，实现了应用与数据库的高效连接。

管理端：管理端对终端进行集中管理、策略配置。

客户端：客户端是运行在终端上的管理引擎，负责对计算机终端的安全管理，记录计算机终端用户行为并与管理服务器进行通信。它深入系统内核，在任何模式下不可删除、不可停止。

主机监控与审计系统架构图：

（2）系统设计特点

1）覆盖面广

对内网信息安全的监控，本系统配套的功能组件覆盖了移动存储介质管理、非法外联监控、终端资源监控、网络访问控制、软件资产管理、硬件资产管理、软件分发、敏感信息检测、准接入和健康性检查、端口设备控制、打印管理等。

基于产品构架设计特性，可满足大型网络系统的跨地域的独立部署或分级部署，上级可管理所有下级服务器。

2）安全稳定

组件式的构架设计，要求整套系统的开发接口定义统一、规范约定统一，各组件相互独立，各自使用自己的资源，互不影响。任一组件出现异常，不会影响系统的崩溃，且可随时替换相应组件，保障用户当前工作不受影响。系统还提供负载均衡，支持停机检修。

客户端的注入深入Windows底层，病毒及恶意的破坏无法造成客户端的崩溃，客户端程序具备一套完整的自我保护机制，提升并加固程序的自我运行能力。

主机监控与审计系统自动化日志迁移工具。当数据库日志量增大累积到一定程度时，管理员使用此工具可自动实现后台日志数据的存储迁移提供，前台的操作无

任何影响。此工具不仅能减轻当前数据库的读写负荷，提升数据的访问效率，间接地保障数据库服务器的稳定。

3）兼容性强

系统平台超前兼容: 支持32位的Windows 2000以上所有系统；支持64位的Windows Vista/7。

杀毒软件强大兼容: 深度隐藏，深度注入，走Windows标准定义，杀毒软件无法误报，主流杀毒软件均无冲突拦截。

4）操作简便

主机监控与审计系统的管理台采用简约式的交互设计，通过右键菜单可完成各种丰富的操作。

客户端无任何交互界面。

为方便管理员操作，系统提供策略模版，信息的显示可由用户自定义，提供查找定位功能，让管理员可快速操作。

主机监控与审计系统提供服务器自动化配置工具，备份工具，可让管理员一键配置快速维护与管理服务器。

5）扩展性强

主机监控与审计系统可随时添加新的功能组件，结合平台形成不同层面的内网安全控制产品。支持服务器和各功能组件的独立平滑升级。

主机监控与审计系统可提供丰富的二次开发接口。

6）强大的接入控制功能

主机监控与审计系统通过与准入及IP管理设备联动，能够自动阻止未安装主机监控与审计系统客户端或安装后未授权，以及具有冲突隐患的IP设备的接入。通过拒绝这些设备的接入，一方面保证内网的安全、干净，另一方面防止重要设备同终端用户之间发生IP冲突，保障网络的稳定运行。

7）更加专业

各功能组件的开发，均是基于一个特定的、明确的需求定义，所实现的功能相比综合性的设计更加独立，更加专业，更加深入。

8）方便快捷的安装运行

系统不需要更新原有网络结构及设备，管理员可以方便快捷进行产品安装，以最低成本达到最佳的管理目的。

（3）系统功能

1）终端维护管理

管理流程

授权单一，集中管理

终端的授权管理分为：待授权、已授权、已卸载。所处待授权分组，不享有任何管理功能。通过“已卸载分组”，管理员可看到截止当前阶段已处于卸载状态的所有终端信息。

权限分立，三员化管理

主机监控与审计系统支持三员化管理，分为安全管理员、安全操作员、安全审计员。

架构灵活，应用面广

终端策略集中管理，分群组管理、分组管理、计算机管理。其中，分组中可包含子分组、终端。这种多层嵌套的分级架构可满足更多客户的实际网络架构。

快速定位，灵活应用

在主机监控与审计系统中，管理员可以根据特定的属性组合来定义快速查找分组，方便管理员快速对所属分组的终端计算机进行集中管理，这个逻辑分组不改变终端原本所属的组织架构。每个安全操作员都可根据自己的管理需求创建逻辑分组。

逻辑分组创建后会自动保留这些设定，即每次登陆管理台无需重建，除非操作员执行删除操作。

在线、离线策略，无空隙监控

可针对计算机分组、终端下发在线、离线策略，可以分别为在线、离线状态的客户端计算机设置不同的策略，确保客户端计算机即使离线也逃不脱监控。

2）分级管理

结合管理制度，实现分责分权管理。

主机监控与审计系统采用分级的管理授权模式。可以容纳多个拥有不同管理授权的账号（账号的数量没有限制），达到多管理员、分权定责、共同管理的目的。

主机监控与审计系统的管理员分为：

安全管理员：只能制定操作员和审计员的账号，及账号的管理权限。

安全操作员：只能根据账号的规定，对管理指定的部门进行具体的操作策略管理。

安全审计员：只能审计各个管理员的操作日志。

3）移动存储介质管理

主机监控与审计系统对移动存储介质的管理分为三大类：对普通U盘的管理、对防木马U盘的管理以及对指纹U盘的管理。

对普通U盘的管理

A）非授权禁止使用

非本单位的移动存储介质插入本单位计算机上，如果控制策略设定为不允许，将无法使用。同时可通过策略控制，外面U盘在内部的使用权限，可以定义外来U 盘只读。

B）注册管理

注册U盘有两种安全模式，分别为资源管理器模式与低级别数据安全模式，严

格控制U盘（包括普通U盘、移动硬盘、以光驱模式加载的特殊U盘、1394移动存储设备、手机存储卡、数码相机、MP3/MP4、各种CF/MD/SD卡、PCMCIA卡以及各类FlashDisk）等移动存储设备在局域网内部的使用，以确保外部的U盘不经注册授权，无法在内部使用，内部的U盘不经授权，无法在外部读取。

资源管理器模式（推荐）：具备高级别的数据安全，使用专用资源管理器进行数据的交互管理，在非客户端上无法使用。

低级别数据安全模式：数据安全级别低，注册时无需进行格式化，原有数据不会被破坏，在非客户端上可以使用，会记录在非客户端上的使用日志。

C）移动存储设备权限管理

由于单位信息的重要程度不同、信息使用者的行政级别不同，决定了有些计算机不能使用任何U盘，而有些计算机需要选择性的使用U盘。因此，必须控制单位内部的计算机对U盘的使用权限也有所不同。主机监控与审计系统根据实际应用情况，设计了计算机使用U盘的策略：

完全禁止――设置指定的计算机无法使用任何U盘。

使用授权――设置指定的计算机是否允许使用注册U盘或未注册的U盘。

读写控制――设置指定的计算机允许使用的U盘为可读还是可读写。

完全开放――设置指定的计算可机使用所有已注册及未注册的U盘。

交叉控制――根据注册后U盘的使用身份设置它能在哪台计算机或哪组计算机上可以使用。

D）防止格式化数据恢复

对于普通的移动存储被删除或格式化后，利用专业的恢复工具仍然可以恢复出数据，采用主机监控与审计系统的移动存储介质管理，经注册的移动存储介质如果被格式化后，采用专业的恢复工具仍然无法恢复出数据，有效防止信息的泄漏。

E）非注册普通U盘管理

在主机监控与审计系统主机监控与审计系统中每个功能的设计都充分考虑安全

和方便两方面的问题，因此，在系统的设计中，对非注册的移动存储介质也提供了相应的管理。可以控制没有注册U盘，是否可以在内网中使用，同时可以控制它接入内网的使用策略是可读或读写。

F）U盘使用日志

U盘使用日志：由于每个移动存储介质在注册时，必须定义一个使用身份，因此我们采用U盘使用实名制，实现了U盘在内部计算机的使用情况和使用者挂钩，使U盘的使用日志具备了可审计性。可审计何时、何计算机、何U盘、插入/拔出、操作何文件。

U盘文件操作日志：可通过系统的管理台审计到每个在每个U盘上所做的文件操作的日志，包括打开、创建、复制、剪切、删除、重命名等。

对防木马U盘的管理

A）防木马U盘分类

防木马U盘分为4种：内部专用盘、单向导入盘、单向导出盘、双向交流盘。

B）U盘使用

C）U盘读写特性

内部专用盘：仅在内部授权终端上使用。

单向导入盘：在内部授权终端上，仅允许将U盘内的数据拷贝到计算机。在外部计算机上，仅允许将计算机数据拷贝到U盘。

单向导出盘：在内部授权终端上，仅允许将计算机数据拷贝至U盘。在外部计算机上，仅允许将U盘内的数据拷贝到计算机。

双向交流盘：可在内部授权终端、外部计算机上使用。

D）U盘功能

使用授权监测：U盘引导程序运行时会进行U盘可用性判断。条件不满足，U

盘无法打开。

认证管理：支持口令认证，同时有多重的对口令的增强管理。可扩展指纹认证。

防复制控制：可实现仅允许在U盘上阅览文件，阅览方式包括：凭密码/直接/不允许阅览。(阅览文件过程中，文件内容的拷出、打印、编辑操作都可控。)阅览的文件格式包含: TXT、PDF、图片(BMP、JPG、JPEG、PNG、TIF、TIFF、PCX、WMF、EMF、TARGA(TGA、VDA、ICB、VST)、GIF、ICO、PCD、PDD等。

安全操作管理：根据客户需求，可设定U盘允许执行的文件操作动作类型，包括:“格式化”、“删除”、“重命名”、“替换”、“拷入”。

漫游管理：可实现U盘的本单位可用、漫游可用(跨地域)。

文件粉碎：针对单向导入/单向导出盘，进行数据交互后，可设定对源数据进行粉碎。

联网监测：可限定U盘是否能在接入互联网的终端上使用，并可实现强制切断网络。

联网告警：在保密级别高的单位，可部署告警服务器。U盘一旦有违规外联操作，可向告警服务器发送告警信息。

对指纹U盘的管理

指纹U盘是带有指纹认证的安全U盘，指纹U盘分为内部专用盘和双向交流盘。内部专用盘只能在装有客户端的计算机上授权使用；双向交流盘可在未安装客户端的计算机上使用，也可在装有客户端的计算机上授权使用。

4）非法外联控制

基于驱动层对外设通信端口设备进行使用控制，例如调制解调器、红外、蓝牙、无线网卡、3G等无线设备，同时结合网络访问策略，在网络层进行非法外联控制。

如果计算机一旦有非法外联行为，系统会立刻阻断其所有的网络访问连接，该机无法正常工作，只能与系统的服务器进行通信，同时向互联告警中心发送违规外联告警日志。

当计算机重启之后，系统再次自动检测是否外联，如果正常，网络访问恢复正常，否则，继续被阻断访问。

5）终端资源监控

可查看终端的进程、服务、账户、共享、系统日志、软硬件资产、IP/MAC地址、启动项列表、开机记录等信息。

为了防止客户端随意加载一些危险的进程、开启危险的服务和启动项，主机监控与审计系统通过设置黑白名单控制客户端计算机进程、服务以及启动列表，提前控制计算机上的危险行为，保护计算机的安全。

主机监控与审计系统还有如下控制功能：

可设置计算机不允许开机的时间段

可定义终端是否可以启用文件共享

可定义禁用控制面板及CMD命令

可定义终端与服务器时间同步

6）违规告警中心

违规告警中心提供了邮件告警和短信告警的功能，方便随时随地了解安全设备的违规情况。

告警内容包含：安全U盘违规外联，计算机违规外联，硬件变动，软件变动，敏感文件操作，违规文件共享，违规打印等。

7）网络访问管理

A）数据传输管理：从驱动层对限定的IP段及端口范围进行数据通信访问控制。

支持对多网卡、虚拟网卡、无线网卡的监控。

支持控制的代理访问方式有: NAT代理、IE代理、VPN代理、手机代理。

支持对允许访问的网络资源进行流量的限定。

从驱动层进行数据传输的管理，使得流量监控更加有效、稳定，不会造成数据包的丢失。

B）URL访问控制管理：从驱动层对URL的访问进行控制。

支持对http、https、ftp通信协议进行监控。

浏览器的支持：IE6.0/7.0/8.0/9.0、谷歌、火狐。

8）软硬件资产管理

主机监控与审计系统在管理台可以自动统计客户端计算机硬件资产信息：包括但内存大小、CPU主频、硬盘（包含硬盘序列号）、光驱、主板（包含主板序列号）等信息，管理台可以自动统计客户端计算机软件资产信息：包括操作系统类型、操作系统版本、操作系统序列号、IE浏览器及版本等信息，管理台可以对客户端的软硬件资产异动情况进行统计，并生成相应报表，所有软硬件资产信息均可进行统计，并生成相应报表，方便管理员查看。

9）敏感信息管理

操作简便，灵活易用

通过自动检索，用户无需守候在电脑旁，程序自动执行；可定义每天/每周/每月的某个时刻执行敏感信息检索。

通过完整检索，可对执行的检查项进行一键全盘检索。

通过快速检索，可快速定位上次检索结果的处理状态。

在客户端计算机上，通过运行检索工具，可随时进行信息的检索与清除。

多线程工作，速度快

采用多线程并行处理技术，在最短的时间快速完成信息的检索与清除。同时执行多任务检索与清除。

前卫的磁盘物理读写技术

深入磁盘驱动层，对磁盘物理扇区直接读写，保障信息检索与清除的全面、彻

底。

高强度数据清除算法

用户可选择数据粉碎强度等级，对目标数据执行不同强度的清除与粉碎。使得目标数据不留任何痕迹，无法恢复。

具备丰富的检索项

详细的检索结果

交互方式人性化

10）计算机外设端口设备管理

主机监控与审计系统具备高强度的端口控制，所有的控制是基于Windows 系统驱动层来实现，所以，无法通过修改注册表等方式来进行破解。同时无论是在安全模式下，还是在无网络连接的情况下，所有的端口控制仍然有效。

主机监控与审计系统不仅能控制有线的端口，也控制了无线的端口。系统可以安全控制的端口包括有：软盘驱动器、光盘驱动器、本地打印机、数码图形仪、调制解调器、串行通讯口、并行通讯口、1394、红外通讯口、wifi无线网卡、蓝牙等。

同时针对USB端口，允许使用基于USB端口的鼠标、键盘、打印机、扫描仪以及特殊的认证USBkey，有效提高物理端口的使用率，有目的地禁止设备使用。

11）软件分发管理

灵活的软件分发机制，提高工作的效率。

主机监控与审计系统提供了软件分发的工具，以客户端的软件资产作为数据源，也可手动添加软件资源，订制软件黑、白、红名单。通过管理台策略进行软件的安装、卸载。

管理流程如下：

软件分发特点：

高效管理：反向思维管理，降低管理员负荷。

方便易用：程序自动化获取终端软件资源信息，支持在管理台上直接上传软件包，支持批量脚本下发。

稳定可靠：采用Windows标准API，数据全面有效。

12）客户端离线管理

主机监控与审计系统可以针对客户端计算机编辑在线/离线策略，当客户端计算机开机之后与服务器通讯获取到在线规则，在线策略生效，在客户端下线之后，离线策略即可生效。

13）打印行为管理

通过挂钩系统API实现打印行为监控：允许/禁止打印。

打印行为的审计采用事件性行为跟踪方案，实现零影响，零负荷，深度跟踪。

零影响：不影响打印过程质量。

零负荷：不对系统带来瞬时或阶段性的高负荷。

深度跟踪：不论终端是否在线/离线，是允许/禁止打印，是基于本地打印还是网络打印，使用的是菜单打印还是右键打印或是拖动各打印，均有跟踪操作审计。

14）准接入和健康性检查

支持与准入及IP管理设备联动，自动识别内网中未安装客户端的计算机，禁止其访问内网；

可临时授权来访终端接入内网，控制其接入时间，过期失效；未授权终端可去指定地址下载安装客户端软件，通过管理员授权后，可正常接入内网；

可与软件资产联动，不满足黑、白、红名单配置的客户端计算机，禁止访问内网。

15）安全日志审计

主机监控与审计系统在启用各功能监控时，也提供对应的详细的日志审计信息，

日志类型包含：

U盘使用日志

桌面文件操作日志

软件资产异动日志

硬件资产异动日志

网络数据传输日志

URL浏览日志

计算机打印日志

准接入日志

违规外联日志

脚本操作日志

客户端安装/卸载日志

管理员操作日志

审计内容动作包含: 打开、保存、另存为、新建、拷贝、移动、删除、重命名、移动到回收站、从回收站还原。管理员可通过关键字，搜索指定时间段内指定计算机/分组的指定类型的日志，日志支持报表导出。

美兰监狱主机监控与审计系统需要进行200路的系统扩容。

1.1.3.准入及IP管理设备

（1）系统架构

软件部分

中央服务器：监控及管理所有的准入及IP管理设备的代理设备，从准入及IP管理设备的代理设备中收集信息，经加工后存储在数据库中。

数据库服务器：存储数据。

管理端：用户管理界面，设置策略及监控信息。

硬件部分

准入及IP管理设备的代理设备：收集准入及IP管理设备的代理设备管辖范围内的IP/MAC，传送到服务器；实施网络管理员制定的策略；将依据实施的策略所发生的事件日志传送到服务器。

准入及IP管理设备架构图：

（2）系统设计特点

1）有效的中央集中制管理

针对地理位置分散的网络，准入及IP管理设备提供单一地域的中央化管理，实时性的IP自动管理代替了原先的手工管理，其信息的迅速更新更是帮助管理员提高了业务效率，也节约了成本。

2）为大规模分散环境设计的专业准入及IP管理设备的代理设备

在大规模分散网络环境中，提供专业的准入及IP管理设备的代理设备。用户只需在每个分散地域安装准入及IP管理设备的代理设备。通过它收集各个网段的信息

并执行相关的策略。

3）强大的接入控制功能，保证网络的稳定运行

准入及IP管理设备能够自动阻止具有冲突隐患的以太网或者IP设备的接入。通过拒绝这些设备的接入，可以保护重要设备及终端用户之间发生IP冲突，保障网络环境的稳定运行。

4）对未授权MAC及IP用户的接入控制，增强了网络安全性

准入及IP管理设备进行基于IP/MAC的用户信息管理，对未授权或未注册的IP 地址以及私设的网络和外部的IP进行有效的接入控制，防止盗用IP，阻止未授权MAC，增强了网络内部的安全性。

5）实时查看故障情况及报表功能

当网络中出现故障时，准入及IP管理设备可以给管理员提供实时性的IP事件明细，其事件日志保存在后台数据库中，以表格和图表等报表形式供管理员进行随时查看，并可导出。

6）查出网络障碍，提示解决方案

为管理员实时通报IP冲突等能发生严重后果的IP相关事件的详细情况，以迅速定位网络障碍，从而拿出合理的解决方案。

7）产品安装容易，操作简便

在任何网络环境下，准入及IP管理设备不需要更新或添加设备，容易安装和操作，保证了既有网络的性能。

8）完善的双机热备功能

准入及IP管理设备提供服务器、数据库以及准入及其代理设备的双机热备功能，使之即使在大规模环境中出现网络故障也能保障设备稳定运行。

9）内置的报告书功能和文件导出功能

准入及IP管理设备可以以报告书形式输出IP的使用情况或者保存的事件记录，

可以导出为html、csv或text等常见格式的文件。

（3）系统功能

1）同主机监控与审计系统客户端联动管理

对于不支持802.1x协议的交换机和下接HUB或无线AP使用准入及IP管理设备准接入。

主机监控与审计系统准入流程（与准入及IP管理设备联动）：

2）收集IP/MAC资源及主机管理

自动收集网络内资源，自动监测，显示和更新IP/MAC地址，主机名，NIC制造商，设备在线时间等。

收集交换机信息，实时查看交换机及其端口的状态，实时阻止/解除交换机端口，杜绝发送有害包的主机接入网络。

适合网络环境的有效分组管理。在静态网络环境中建立基于IP的分组，在动态环境中建立基于MAC的分组，查看IP使用及策略应用情况。

实时记录IP情况。实时提供在线、离线及未使用IP信息，方便快捷掌握到IP 资源情况，并对他们进行有效管理。

自动回收IP地址。管理临时性接入网络的主机，设置使用期限，若超过此期限一直未接入网络，该IP地址就会自动被回收，变成可用资源，达到有效管理IP资源的目的。

预约及限制访问期限，对内部员工或外部访问者设置临时访问期限(基于IP/MAC)，超过设定的期限其用户将自动被阻止。

3）超强阻止及防护功能

未授权用户阻止。对未授权IP或MAC可进行实时性自动或手工阻止，防止因未授权用户所导致的网络故障。

为网络实名制所进行的主机名管理。收集内网计算机用户的NetBIOS Name，可

以准确掌握每个网段中的用户信息，迅速阻止使用错误主机名的用户。

广播超量主机阻止。迅速阻止发送超广播包临界值的主机，限制网络流量超负荷现象，一定程度上减少了发生网络故障。

IP地址冲突保护。通过MAC绑定功能，设置特定主机才能使用的IP地址，防止他人盗用IP地址所引发的冲突及网络瘫痪。

IP地址管理。通过IP绑定功能，在特定主机试图更改自身IP地址接入网络时，对其进行阻止，防止任意IP变更引发的管理不善等问题。

代理设备间主机接入控制。通过实施代理设备间接入控制策略，正确掌握员工的部门调动等情况，也可以控制移动终端的网络接入。

保护主要设备。对网络设备或服务器等设备实施主要设备策略，保护这些设备不会无故被阻止。

4）网络接入控制和接入时间控制

可以基于IP、MAC进行控制是否允许接入，未经注册授权一律予以阻断。

可以对内部人员或外来访问者预先定义允许使用IP的时间期限。

只有已注册的IP/MAC地址可接入网络，阻止用户擅自变更IP地址和外部设备非法接入。

内置增强DHCP服务功能，自动收集DHCP地址池信息，管理已分配和未分配的IP地址。

5）交换机端口控制

自动收集交换机端口状态信息，准确统计IP设备与交换机端口的对应表，并可通过SNMP协议控制交换机端口（适用于可网管的交换机）。

6）自动察觉广播风暴并阻止

自动发现arp超量用户，切断过多的arp广播包的用户，可自定义设置临界值。

7）提供完整报表功能