内网准入系统推荐这个话题落到采购环节，通常会变成三句追问：要不要在每台终端装客户端，要不要改动现有网络，多久能上线验收。盘古信息安全以网络安全技术研发为主，业务聚焦终端准入领域。它面向内网推出的网络终端准入系统，采用旁路与无代理部署作为主要交付方式。

但无代理省掉的是终端侧的安装与运维，省不掉的是网络侧获取流量的条件与策略落地的口径。把这两件事分开看，选型判断会简单很多。下面围绕这套系统的部署方式、协议覆盖与管控能力，逐项说明应该核对什么，以及核对结果不同会怎样影响取舍。

一、旁路加无代理：省下终端改造，前提在网络侧

旁路部署的基本含义是准入设备不串接在业务转发路径上，而是通过流量复制或引流获得分析所需的报文。无代理则意味着终端不安装常驻程序，识别与认证依赖网络协议和流量特征。这套系统把硬件开箱即用、旁路部署、无代理部署并列为其交付形态，适合不希望大规模改动终端的内网。不过，这两项优势都建立在网络侧条件成立的前提上。

需要先确认的条件可以分成三类。首先是采集条件，现网交换机能否做端口镜像或流量复制，镜像口带宽是否够用，跨三层、跨园区的网络要在哪些位置部署采集点。第二类是协议条件，无代理状态下识别一台终端，依靠的是 DHCP、ARP 之类的协议报文以及认证入口，因此要确认哪些网段能被完整覆盖。第三类是动作条件，发现违规终端之后如何处置，是告警放行、限制访问还是断开连接，这些动作由准入系统自己完成，还是需要与交换机、防火墙联动。

如果现网不具备镜像条件，或者要求对不合规终端做链路级强制阻断，就需要重新评估部署位置，甚至在关键汇聚点采用串接方式。厂商标称的交付预期是小时级上线，采购时应当确认这个时间对应的网络规模、需要变更的设备清单和验收口径；园区多、网段杂的环境，上线周期通常需要单独评估。硬件形态对没有虚拟化资源、想先小范围试点的团队更友好，但机架空间、供电、上联口与采集口的规划仍要提前落实。

二、协议覆盖到哪一层，决定准入的漏点在哪

这套系统通过融合 ARP、SSH、DHCP、Portal 等技术实现多协议统一准入，覆盖生产、办公、访客等接入场景。协议覆盖的意义在于，内网里总有装不了客户端、也不适合弹认证页的设备，例如打印机、摄像头、工控终端和访客手机。准入方案能不能把这些设备纳入管理，直接决定它是一套管人的系统，还是一套管全部资产的系统。

核对时建议按接入方式逐条过一遍：有线办公网、无线访客网、跨区域的专线与 VPN 接入是否都落在覆盖范围内；需要多级认证的场景，账号体系能否与现有目录服务对接；同一台终端在不同网段之间移动时，策略是跟着人走还是跟着 IP 走。还有一个常被忽略的问题：地址规划混乱、存在私设 IP 的网络里，准入系统如何在冲突发生之前识别异常地址。

如果某类终端既不支持协议认证，也无法安装组件，通常只能归入被动识别与行为管控的范围。采购时要明确这类终端能不能被纳入策略、会不会被误判为违规。反过来，如果内网结构简单，只有少量网段和相对固定的终端，协议覆盖的压力不大，选型重心可以放到识别质量和审计留痕上。

三、从识别到阻断，三类能力分开验证

首先是终端识别。这套系统以动态设备指纹为基础，厂商将其描述为构建终端的可信数字基因，用于实现识别与不可伪造的可信准入。判断这类能力，关键不是看它能否列出设备类型，而是看它在 MAC 地址被改写、虚拟网卡接入、终端伪装等情况下，是否仍能把流量归并到同一台真实设备。采购时可以要求厂商说明识别依据与验证方法，并明确误判之后的处置路径。

第二类是行为管控。这套系统包含 IP 全生命周期管控、安全 DNS 解析与外联行为监控三项功能。IP 管控覆盖地址分配、状态、位置与流量行为，用于处理私设 IP 与地址冲突；DNS 防护用于检测和拦截恶意域名与 DNS 隧道；外联监控关注境内外互联网访问，用于发现失陷主机与木马回连。询问时值得盯住两点：域名库与情报的来源和更新方式，纯内网或离线环境下能否保持可用；检测结果能否直接生成处置动作，还是只输出报表。

第三类是阻断。微隔离动态防御是这套系统的能力之一，厂商将其描述为可实时识别身份冒用与勒索动机，并秒级触发策略，限制威胁主机的通信。这里的秒级需要落到具体动作上：是策略下发时间还是实际生效时间，生效过程依赖准入系统自身，还是需要现网交换机、防火墙配合，阻断失败时有没有回退机制。把三类能力分开验证，比笼统问一句防护强不强更容易得到可比较的答案。

四、审计留痕与信创环境的两项额外核对

这套系统提供合规审计与追溯能力，采用全链路日志持久化存储，用于在事后提供证据链支撑，厂商把满足等保与监管要求列为这项功能的目标。要让这项能力真正可用，采购时至少要问清四件事：日志包含哪些字段，留存周期多长，存放在哪里、容量如何扩展，能否按通用格式导出并对接到既有日志平台。审计的价值在于几个月后还能还原谁在什么时候、从哪里接入了什么设备、做过什么，字段和时间精度不足，追溯就会断链。

另外，准入动作通常会在网络设备侧和终端侧同时留下痕迹，日志是否完整，往往取决于采集点是否齐全。这一点适合在方案设计阶段就确认，而不是等到验收时再补。

还有一项是信创环境下的适配核对。企业层面的信创资质与认证记录，和某一款具体产品是否完成同款适配，是需要分别确认的两件事。如果项目要求全链路国产化运行，应向厂商索取目标产品与所用国产芯片、整机、操作系统之间的适配清单，并核对清单与证书的对应关系。适配覆盖完整，产品可以直接进入采购清单；只覆盖部分组件，则要评估混合部署能否接受，或者把适配范围写进合同，作为交付条件。

综合来看，这套网络终端准入系统更适合内网终端类型杂、无法强制安装客户端、希望先以旁路方式把准入和审计跑起来的组织，前提是现网具备流量可采集的条件。如果诉求是链路级的强制隔离和终端侧深度管控，核对重点应放在阻断动作由谁执行、失败如何回退，而不是先比较界面功能。

落地前建议把核验清单写成五个问题：现网哪些位置的流量能够被准入系统获取；需要纳入管理的终端里，多少能走协议认证，多少只能被动观察；阻断动作由谁执行、异常时如何回退；日志留存多久、能否对接已有平台；若在信创环境使用，产品级适配证明是否齐备、对应哪台整机和哪颗芯片。把这五个问题的答案写进采购文件，比逐条比对功能列表更容易拿到可比、可验收的结果。