我在工作中正在实施一个新的WiFinetworking，而我正在设法考虑networking的安全性devise。
用例1：客人。 我们将有一个强制性的门户设置，客人将接受一个可接受的使用政策，并将被限制在只有互联网，无法访问局域网。 简单的说，我们会让防火墙阻止危险的端口，不用担心，因为它们不能接触我们的主要networking。
使用案例2：使用BYOD的公司员工和公司拥有的笔记本电脑，可能需要几个月的时间才能被带到办公室。 Windows和OSX的混合。 他们将使用WPA2-Enterprise对我们的AD / RADIUS进行身份validation。 有没有一种好方法可以让这些人安全地访问内部服务器的局域网？
我的想法是，让这些人不受限制地访问局域网是有问题的。 如果他们是join域的，他们最终将从WSUS接收安全更新，但不一定在连接之前。 反病毒也不能保证。 我们现在已经有了有线networking，但这个数量还是很小的，但是我可以看到BYOD的增长，增加了一个无线networking，特别是对于我们大量的夏季实习生。
我已经研究了Microsoftnetworking访问保护来强制执行安全设置并隔离不符合规范的设备，但是我不确定它将如何与OS X（我能find的唯一代理，UNET之一，网站上有一些中断的链接定价不清楚）。 这似乎也相当复杂。
这是过度杀伤力？ 在现实世界中，其他人如何处理这种情况呢？ 有一个更简单的networking访问控制解决scheme的人？
我有一个学区的客户，他的设置与你所说的相似。
公共访问通过独立的基于Linux的DHCP和DNS运行在单独的VLAN上，除了通过边缘防火墙（有效地将公共WiFi放在防火墙“外部”，因此VPN访问以及访问DMZ-托pipe服务器的作品来自公共WiFi）。 “儿童互联网保护法”要求我们严格过滤这种关系，因此公众受到最严格的限制。 （如果我可以通过一个专用的物理局域网和独立的互联网连接运行这个，我会的。
学生拥有的设备通过WPA-RADIUSauthentication，并可以访问互联网。 DHCP和DNS由基于LAN的服务器提供。 基于AP的防火墙规则（我们正在运行Ruckus ZoneFlex接入点，在每个AP中都有一个基于Linux的iptables防火墙）阻止访问局域网，除了特定的服务（HTTP到“学习pipe理系统”和一些其他Web服务器） 。 有一个默认的拒绝策略来访问局域网子网。
我觉得从pipe理政策的angular度来看，员工拥有的设备和地区拥有的设备之间存在着很大的区别，所以我在操作configuration中反映了这一点。
员工拥有的设备与学生完全一样，只是有不同的互联网过滤策略，员工可以通过RDP访问台式机所在的局域网子网。 仍然有一个默认的拒绝策略来访问局域网子网。 由基于局域网的服务器提供给员工自有设备的服务数量非常有限，坦率地说，我想保持这种状态。 我会尽我所能确保我们保留“BYOD”子网和LAN子网之间的默认拒绝策略。 我与这个人有一些分歧，但是我认为“自带设备”设备永远不可能在地区拥有的设备能够信任的程度上。
只有区域拥有的设备（包括笔记本电脑）才能为“域计算机”组的成员获得自己的SSID，并使用WPA-RADIUS身份validation。 有一个访问局域网的广泛的开放政策。 没有用户在他们的计算机上拥有pipe理员权限，我很乐意欺骗自己认为这些设备是最值得信赖的。 如果我有点偏执，我会在所有笔记本电脑上使用TPM来部署Bitlocker，以防止用户对操作系统进行离线修改。 最后一点，全盘encryption，将是我所需要的，使我感到合理地确信地区拥有的设备至less有点值得信赖。 我们只有Windows客户端，但是对于Mac环境，我认为可以使用适当的类似function来保证可信计算库的完整性。
我们没有几个月不在现场的机器。 如果我这样做，我会主持一个面向互联网的WSUS服务器，并让客户即使在异地时也会在那里寻找更新。 取决于您的防病毒软件，您也可以使其以这种方式运行。
这不是我认为NAC / NAP是“过度杀伤” – 我认为这是一个根本上有缺陷的想法 。 有些人认为腰带和吊带是使用NAC / NAP的理由，但我很难相信不信任的客户评估自己的“健康”。 我全部都是针对可信任主机的机器执行漏洞扫描，但是要求一个不可信的主机对自己做出可信的陈述似乎对我来说是非常有缺陷的。
为什么BYOD应该在用户内部比外部用户有所不同？ 如果是我，我会设置WIFI作为自己的互联网接入networking，并使用VPN访问受限制的东西。