iOA 零信任安全管理系统 准入概述

一、一、网络准入是什么

网络准入让企业的 Wi-Fi 和网线口，从插上/连接就能用变成验过身份、查过安全状态才能用。它不要求企业更换现有的无线控制器或交换机，只在这套网络背后加一层"身份 + 安全 + 授权"的关卡。

二、二、整体架构：云端控制 + 本地组网

iOA 网络准入采用云端控制、本地转发的 SaaS 架构。单个租户可以同时纳管多个职场（总部、分支、境外站点），每个职场在本地完成认证和流量转发，云端只负责策略下发、身份同步、证书签发和审计日志汇总。

三、部署形态

云端（iOA 控制台）——跨职场共享的统一控制面：

·准入策略下发：认证方式、SSID 配置、合规基线、放行/拒绝规则统一管理，策略变更秒级同步到各职场；

·Portal 服务器：访客扫码、手机号登录等 Portal 页面由云端托管，员工/访客在任意职场都能使用同一套入口；

·身份同步：与企业 AD/LDAP/飞书/企微等身份源对接，员工入离职变更自动同步到各职场的 RADIUS；

·证书签发：802.1X 证书认证所需的 CA 和终端证书由云端统一签发与吊销。

企业内网（每个职场）——本地完成认证和转发，用户认证流量不上云。每个职场的典型组网：

多职场同构：总部、分支、境外站点的本地组网结构完全一致（RADIUS 区 + 出口 + 接入交换机 + 无线 AP），统一归属到云端同一个 iOA 控制台。管理员只管一套策略，下发到所有站点。

四、本地和云端的双向通信

云端与各职场 RADIUS 节点之间只走 HTTPS（TCP 443），用于：

·策略下发（认证规则、合规基线、Portal 配置）

·身份同步（员工账号、访客记录、哑终端 MAC 白名单）

·证书签发（802.1X 客户端证书、CA 证书）

·日志上报（审计事件、接入失败记录、合规异常）

用户的实际认证流量（RADIUS UDP 1812/1813 等）全程闭环在企业内网，不穿越互联网。

五、三、入网场景

目前覆盖三类业务场景，可同时启用，互不冲突。

六、四、核心概念

七、五、配置指引

根据你的角色，推荐三条阅读路径：

八、路径 1：技术选型

1. 通读本页（了解定位与架构）。

2. 入网认证方式选型建议（对照自己的场景选型）。

3. RADIUS 服务器部署建议与要求（确认部署可行性）。

九、路径 2：首次配置的管理员

1. 通读这篇 + RADIUS 服务器部署建议与要求，准备 RADIUS 服务器。

2. 入网配置指南（厂商适配：华为 / H3C / 锐捷等）。

3. 管理员工入网 / 管理访客入网 / 管理哑终端入网。

十、路径 3：已上线用户的日常运维

查看员工入网、查看访客 Wi-Fi 申请记录 、哑终端入网即可。

十一、资源配置参考

使用全新服务器部署 iOA RADIUS 节点，避免与其他运行中的应用服务冲突。每个职场独立部署，与职场规模匹配。

注意：说明：

注意：QPS 指每秒可完成的认证请求数。已完成认证的在线用户不会因为新请求到达而被中断；超过 QPS 的请求会在后续时段内依次处理，表现为少量用户认证等待 1–2 秒。

十二、IP 地址要求

十三、端口开放要求

入向：由无线控制器 / 交换机访问 RADIUS 节点

注意：说明：

注意：端口号可修改，但需与无线控制器 / 交换机上的配置保持一致。

出向：RADIUS 节点访问 iOA 云端