企業網絡管理的核心邏輯！電腦沒加域卻能獲取到IP地址，這完全是一種刻意為之的安全設計，而不是網絡故障。
簡單來說就是：“給你IP，但不給你權限。” 這背后是一套完整的 網絡準入控制（NAC） 策略。
? 核心原因：隔離與管控
網絡設備（交換機/無線控制器）的目標是：對所有接入的設備進行識別和分類，然后給予不同的權限。 這個過程分為幾步：
- 識別身份：設備接入后，網絡首先會問：“你是誰？”
- 進行分類：根據回答，網絡會判斷：“哦，你是一臺未知的/不受信的設備。”
- 執行策略：網絡會說：“好的，那我先給你一個IP，但你必須待在一個叫‘隔離區’的地方，哪里也不能去，除非你證明自己是可信的。”
🔧 詳細技術原理
為了讓您更直觀地理解這臺“未知設備”從接入網絡到被隔離的全過程，下面的流程圖詳細描繪了它的“旅程”：
flowchart TDA[未知設備接入網絡端口] --> B[交換機觸發端口安全機制<br>（如802.1X或MAB）]B --> C{身份認證流程}C -- 802.1X認證 --> D[設備無法提供有效證書/憑證]C -- MAC認證 --> E[查詢MAC地址是否在可信數據庫？]E --> F[MAC地址未知或不在白名單]D --> G[認證最終結果：失敗]F --> GG --> H[交換機執行默認策略]H --> I[將端口劃入“隔離VLAN”<br>（Quarantine VLAN）]I --> J[DHCP服務器根據VLAN分配IP]J --> K[設備獲得IP地址<br>但處于受限網絡段]K --> L[嘗試訪問網絡資源]L --> M[流量被ACL防火墻攔截<br>僅允許訪問Portal/DNS/DHCP]M --> N[用戶被重定向至Portal認證頁面]N --> O{用戶進行認證}O -- 成功 --> P[策略服務器指令交換機<br>將端口切換到業務VLAN]O -- 失敗 --> Q[設備保持隔離狀態<br>無法訪問內網]
這個過程的核心目的是：化被動為主動。網絡不再簡單地拒絕未知設備，而是將其引導至一個受控的“等候區”，給它一個機會來證明自己的合法性（通過Portal認證），或者由管理員來處置。這極大地增強了網絡的靈活性和安全性。
? 用戶會看到什么？
作為用戶，您一臺未加域的電腦插入網線或連接Wi-Fi后，體驗是這樣的：
- “網絡能通”的假象：電腦右下角網絡圖標可能顯示 “已識別” 或 “已連接，無Internet”（實際上是有連接，但被限制了）。您確實能獲取到一個IP地址。
- 無法訪問內網：您嘗試訪問公司內部系統、文件服務器或共享打印機時，會發現連接超時或失敗。
- 被重定向認證：當您打開瀏覽器嘗試上網時（比如打開
www.baidu.com），瀏覽器會自動跳轉到一個公司的認證頁面（Portal）。 - 要求認證：頁面上通常會提示您：“請輸入您的域賬號和密碼以訪問網絡資源”。
- 如果認證成功：策略服務器會通知網絡設備將您的電腦從“隔離VLAN”切換到正常的“員工VLAN”，您之后就擁有正常權限了。
- 如果認證失敗或不予認證：您的電腦將一直被“關”在隔離區里，除了能看到認證頁面，幾乎什么也做不了。
💡 總結
所以，未加域的電腦能獲取到IP，正是現代企業網絡安全策略智能化的體現。它不是為了讓你上網，而是為了：
- 給你一個機會去通過Portal認證成為合法用戶。
- 對你進行管控，防止你隨意接入并潛在威脅內網安全。
- 方便管理員監控，所有未知設備都被控制在同一個區域，易于發現和管理。
這是一種“先隔離，后認證，再授權”的零信任安全模型的最佳實踐。
跨表交互模擬—仙盟創夢IDE)
)
)
