什么是网络准入控制
在公司上班时，你有没有遇到过插上网线或连上Wi-Fi后，不能直接上网，得先装个客户端、输账号密码，甚至还要检测电脑有没有装杀毒软件？这就是网络准入控制在起作用。它的核心任务是：确保只有符合安全策略的设备才能接入网络，防止“带病”终端把病毒、木马带进内网。
基于端口的网络访问控制（802.1X）
这是企业里最常见的准入方式之一。想象一下写字楼的门禁系统：员工刷卡才能进大门，网络也一样。802.1X就像给每个网络接口装了个电子门卫，设备想上网，必须通过身份验证。
这个过程涉及三个角色：请求者（你的电脑）、认证者（比如交换机或无线AP）、认证服务器（通常是RADIUS服务器）。当你尝试连接，交换机会拦截请求，转交给RADIUS服务器核对用户名密码或证书。验证通过后，才放开端口，允许通信。
<!-- 伪配置示意，非实际命令 -->
interface GigabitEthernet0/1
dot1x port-control auto
dot1x authentication method eap-radius
radius-server host 192.168.1.100 key secret_keyMAC地址绑定
每台网络设备都有一个唯一的MAC地址，有点像身份证号。有些单位会提前登记允许接入的设备MAC地址，形成白名单。不在名单里的，哪怕密码正确也不让进。
这种方法部署简单，适合小型办公室或家庭网络。但缺点也很明显：MAC地址可以伪造，一旦被蹭网者复制，防护就形同虚设。所以它更多作为辅助手段，而不是唯一防线。
动态VLAN分配
你有没有发现，同一个Wi-Fi，行政人员和访客连上去后，能访问的资源完全不同？这背后可能用了动态VLAN技术。根据用户身份或设备类型，自动划分到不同虚拟局域网。
比如新员工入职，认证通过后被分到“办公VLAN”，可以访问OA系统；而访客只能进“Guest VLAN”，仅限上网，不能碰内部文件服务器。这种隔离既灵活又安全，靠的就是准入系统和交换机联动下发VLAN指令。
NAC系统与终端安全检查
高级一点的网络准入控制不只是看“你是谁”，还会查“你健康吗”。NAC（Network Access Control）系统会在设备接入前做一次快速体检：操作系统补丁是否更新、防火墙有没有开、杀毒软件是不是最新版本。
如果发现某台电脑半年没打补丁，系统可能会把它扔进“隔离区”，只允许访问补丁下载站和杀毒软件升级页面，修好了才能回归正常网络。这种做法在医院、学校这类终端复杂的环境特别实用。
Portal认证（网页弹窗登录）
去咖啡馆、酒店时，连上Wi-Fi总要打开浏览器，跳出来一个登录页，看广告或输验证码才能上网，这就是Portal认证。它不依赖客户端，普通用户也能快速接入。
虽然看起来简单，但背后也有逻辑：用户输入信息后，网络设备会向后台服务器验证，通过后再放行流量。企业可以用它管理访客，运营商则用来绑定用户账号计费。