Exordos NAC#

Контроль сетевого доступа корпоративных устройств, отвечающий на два вопроса: то ли это устройство и что ему можно.

Устройство доказывает identity ключом в TPM/Secure Enclave и присылает измеренные им сигналы о себе. Брокер судит и то и другое по policy-файлу и отвечает наборами ресурсов и пятнадцатиминутной арендой; точка enforcement превращает ответ в элементы nftables, и доступ кончается сам, как только аренду перестают продлевать. Допуск в сеть выдаётся отдельно — уже существующими VPN и беспроводной инфраструктурой (границы системы), — поэтому как бы устройство ни получило адрес, в одну policy-матрицу уходит один device_uuid.

Документация#

• Архитектура — компоненты, границы доверия, политика и требования к сети.
• Протокол Broker ↔ агент — регистрация, обновление, профиль сертификата, коды ошибок.
• Развёртывание — брокер, шлюз enforcement, регистрация устройств и первичная проверка (на английском).
• Эксплуатация — жизненный цикл устройства, изменение доступа, восстановление, обновление и вывод из эксплуатации после установки.
• Обслуживание — раскатка релизов, резервные копии, обновление брокера и хранение истории (на английском).
• Проверки — наборы тестов и интеграционные стенды (на английском).
• macOS — идентичность Secure Enclave и ограничения платформы (на английском).

Репозитории#