安防网络里摄像头、门禁控制器这类终端数量多、插上就能用，接入不受控是等保测评的高频失分点。落地思路是用 802.1X 加 RADIUS 做设备认证，哑终端走 MAC 白名单兜底，不合规设备丢进隔离 VLAN，上线前做基线体检，违规后联动处置并留痕归档。
安防终端失控的典型场景
先认清问题长什么样，再谈方案：
- 私带笔记本插到交换机就拿到办公网段权限；
- 摄像头离线后被人拔线换机，接入即上线；
- 第三方维护电脑满网段乱扫，与业务终端混跑；
- 出了安全事件只能定位到 IP，IP 可改，追不到具体设备。
这些问题的根子都在接入动作本身缺管控，跟设备好不好无关，准入要做的是给接入行为设一道闸。
等保 2.0 对应哪些控制点
等保 2.0（GB/T 22239）里与终端入网直接相关的控制点，落地逐个对上：
| 控制点 | 对接要求 |
|---|---|
| 身份鉴别 | 用户与设备双重认证，身份标识不重复 |
| 访问控制 | 按主体客体授权，最小权限 |
| 安全审计 | 审计覆盖到设备和用户，可追溯 |
| 入侵防范 | 最小安装，关闭高危端口，及时处置 |
| 集中管控 | 策略统一配置下发，全网状态可视 |
测评时常见失分点是只认证人不认证设备，冒用账号或伪装 MAC 就能绕过，准入方案正好补这一环。设备标识要做人机双认证：账号口令管人，设备指纹管机，两者绑定后审计才能落到具体的人。
认证方式怎么选
认证技术按安全性与部署成本取舍，先定方向再动手：
| 认证类型 | 安全性 | 部署复杂度 | 适用场景 |
|---|---|---|---|
| EAP-TLS 证书认证 | 高 | 中高 | 有证书体系的高安全环境 |
| PEAP-MSCHAPv2 | 中 | 中 | 已有域环境的中小网络 |
| MAC 白名单（MAB） | 中低 | 低 | 摄像头等哑终端兜底 |
| Portal 认证 | 中 | 低 | 访客与临时接入 |
高安全环境优先证书认证，普通环境可用 PEAP 加域账号组合，别一上来就上最重的方案把自己卡住。动手前先统计终端类型与数量：支持 802.1X 的走认证，不支持的进白名单，两类设备数量摸清后，端口策略与 RADIUS 配置才有依据。
哑终端与摄像头怎么办
摄像头、门禁控制器多数不支持 802.1X 客户端，需要单独处理：
- 按 MAC 登记入白名单，只放行已登记设备；
- 用独立 VLAN 承载安防终端，与其他网段隔离；
- 交换机端口绑定摄像头端口，禁止私接设备；
- 定期核对在网 MAC 与台账，新设备上线先登记后接线。
哑终端的口径是先监控后管控：头一批只记录不阻断，跑顺再收紧策略，避免上线当天全网设备掉线。摄像头更换镜头或整机时要走变更流程，白名单同步更新后再上线，防止换机后设备失联或误判。
隔离、体检与联动处置
准入不是只做一次认证，入网后还要持续校验：
- 未通过认证的设备进 Guest 隔离 VLAN，只能访问修复资源；
- 入网前基线体检：固件版本、弱口令、高危端口、补丁状态；
- 违规外联或基线漂移时联动隔离，整改后重新入网；
- 全过程留痕，日志可导出审计报表，出事定位到具体设备。
审计与隔离要联动：设备基线漂移时准入侧自动隔离，整个流程留痕，既满足入侵防范也让审计可追溯。入网后还要做周期复检，每月核对一次在网设备清单，把废弃摄像头、退役门禁控制器从白名单里清掉，避免白名单越积越多失去约束力；审计记录按等保要求留存，整改与隔离事件单独归档备查。
分步落地与常见坑
推行准入要分步走，一次放全开容易把业务断光：
- 先在办公区试点，验证认证和回退策略，再扩到监控网段；
- 配置 Guest VLAN 兜底，防止认证失败全网隔离；
- 证书策略先小范围测试再推广，避免全员掉线；
- 关键点位保留 MAB 应急通道，但记录并定期清理。
容易踩的坑是回退策略配错、证书分发不齐、摄像头厂商协议不兼容，上线前在测试环境完整演练一遍再切生产。监控网段设备量大时按楼栋或区域分批放行，每批观察一周再放开下一批；解码器、大屏播放器等非标终端提前测兼容性，避免放行后花屏或卡顿。
TL;DR 检查清单
- 安防终端接入不受控是等保失分重灾区，方向是 NAC 准入。
- 802.1X 做设备认证，摄像头等哑终端用 MAC 白名单兜底。
- 不合规设备进隔离 VLAN，上线前体检、违规联动处置。
- 分试点到全网的节奏推进，先验证回退策略再全面放行。
参考资料
- video-vlan-acl-isolation
- switch-port-security-hardening
- surveillance-device-password-hardening