百家争鸣 BYOD解决方案大练兵

许多民族都有独特的智慧，许多民族都有曾经的辉煌，他们也都会有自己引以为荣的黄金时代。因此，当他们打开国门，放眼天下，自立于世界民族之林时，不会因精彩纷呈而眼花缭乱，不会因变化万千而张皇失措，也不会因日新月异而妄自菲薄。因为他们有自己的根，有自己源远流长和不可替代的文化，有自己的精神支柱。

我们民族也不例外。春秋战国，就是我们辉煌的时代;诸子百家，就是我们智慧的结晶;而先秦诸子的百家争鸣，则是我们民族历史上的华彩乐章。而现在面对智能手机、平板电脑等IT消费化急速加快，企业面对袭来的BYOD，顿时不知道所措，于是乎各大厂商也纷纷推出自己的解决方案，真可谓是百家争鸣，为的是能够BYOD中获胜，就可以成功逆袭。

BYOD解决方案包括：MDM(mobile device management)即移动设备管理、无线管理、身份准入、统一接入访问等多方面内容，各大厂商的解决方案又有什么不同呢?让我们一一解读。

思科BYOD解决方案—无需IT和网络妥协的设备使用自由

本解决方案包括：业务驱动、IT组织面临的挑战、最终用户面临的挑战、采用BYOD的注意事项、思科BYOD架构、第三方解决方案组件(RSA SecurID、移动设备管理、证书颁发机构、微软的Active Directory),最后展示思科BYOD解决方案的优势。

思科提供了一个全面的BYOD解决方案体系架构，以一体化的方式整合网络的各个元素，以确保设备的安全访问，可视性和策略控制。为了解决前面所述的诸多挑战，BYOD的实施不仅涉及单一的产品，必须将整个智能网络集成进来。

高层次的解决方案架构：一个全面的BYOD解决方案必须提供有线，无线，远程和移动网络的接入，必须支持众多的设备种类和品牌，并必须能够贯穿整个企业和行业执行各项政策。此外，设备从一种接入环境移动到另一种接入环境时(例如从企业的wiFi网络到公共3G/4G移动网络),BY00解决方案必须能够提供安全的访问，同时保持无缝的用户体验。

对任何的BYOO战略.关键需要考虑提供综合手段接入到企业网络，这意味着不仅是需要连接企业无线局域网，也包含有线接入园区网，无线或有线接入分支机构和家庭办公室，以及连接在互联网、移动3G/4G和公共WiFi热点上进行远程访问。任何的不考虑可能的环境下范围广泛的网络访问的解决方案设计将降低它的管理性和可扩展性。

▲思科BYOD解决方案

思科解决方案的组件包括：思科Catalyst 交换机、思科集成多业务路由器、思科无线局域网接入点、思科无线局域网控制器、思科自适应安全设备。思科Anyconnect客户端、思科身份服务引擎、思科Prime、思科ScanSafe云Web安全、思科Jabber以及第三方解决方案组件，与网络基础设施紧密集成，提供了一套比其他厂商更具优秀的解决方案。

华为BYOD安全解决方案

针对企业员工个人需求和企业策略遵从之间的矛盾，华为提供有效的平衡方案，使得员工在设备选择上拥有更大的个性化自由，在任何时候、任何场所.使用任何设备便捷的访问公司内网，运行内部应用，并确保安全策略不妥协。华为致力于为客户提供端到端的移动安全管理和灵活的应用发布的能力。

从移动终端安全、网络传输安全、应用安全、敏感数据安全，以及安全管理五个维度对移动办公进行全方位防护，帮助企业在BYOO的高效率与信息安全之间找到最佳平衡点。同时.为应对日益复杂的移动化环境.通过一个简单的平台.支持各种应用的移动化迁移.给开发工作带来良好的扩展性.更好的控制成本，使企业在全球化业务中获得竞争力。

▲　华为BYOD安全解决方案

本解决方案架构和关键组件主要是，移动安全和管理本质上要解决的问题可以概括为三个：身份和设备可识别(ldentity)、数据不泄密 (Privacy)、和设备可管理(Compllance)。华为BYOD安全解决方案围绕这三个关键点，为企业用户提供业界最广泛的安全性，和最简单易用的管理方案。

解决方案具有：Anyoffice 智能移动接入客户端、一致的网络接入控制、安全的远程VPN访问、电信级移动威胁防护、统一的安全策略管理及简单的企业级移动应用发布平台。

锐捷无线安全接入解决方案

BYOD将个人设备从自用娱乐的应用场景，带到了商业办公的应用场景之中，从而带来了全新的办公体验，也对企事业单位的IT投资带来了很大的变化，同时，IT管理人员在应对BYOD时也会面对很多新的问题，这些特点使BYOD不仅是一种特殊的现象，而是一种全新的IT应用模式，近年来倍受关注。

随着BYOD的趋势加速，首先我们要解决无线网络接入的问题，然而开放办公区场景特点及需求：用户密度高、空间大、经常有柱子等物品阻挡无线信号、无线部署不要破坏整体装修风格;多间办公室/会议室场景特点及需求：每间办公室用户不多、办公室之间、办公室与走廊间有墙壁阻隔，信号衰减、若采用金属门则信号屏蔽更强、办公室内部若有其他结构如卫生间，则无线信号衰减更严重、每间办公室部署1个AP又太浪费。

企业面临这无线用户管理系统、VPN用户管理系统等都涉及用户身份管理，同时企业又有自己的身份管理系统，管理复杂、无法统一，同时无线分布在多个楼层多个区域的无线设备，管理与维护都是一场噩梦。

▲锐捷无线安全接入解决方案

锐捷的BYOD解决方案即无线覆盖方案，包括：“X-Sense”智能天线，开放空间无线覆盖无死角、“智分”技术解决多办公室穿墙问题、 802.11AC，实现千兆无线高性能覆盖、“智能负载”，大幅提升无线带机数量、“无感知”的易用无线安全接入、“一体化”的设备与用户管理。

深信服BYOD解决方案—EasyConnect远程应用发布解决方案

移动互联网的的繁荣推动了办公的移动化发展，3A办公模式已成为一种新的趋势。移动办公意味着办公人员可以在任何时间(Anytime)、任何地点 (Anywhero)处理与业务相关的任何事情(Anything)这种全新的办公模式，可以摆脱时间和空间对办公人员的束缚，从而提高工作效率及远程协作能力，尤其是可轻松处理常规办公模式下难以解决的紧急事务。

深信服EasyConnect远程应用发布解决方案通过SSLvPN和企业内网部署的终端服务器，将企业应用程序界面用图形的方式呈现于智能终端之上。在部署过程中，无需对现网结构和应用程序做任何改变，轻松实现跨平台访问。同时具备三大特点：架构简单--采用深信服55LVPN设备和高性能服务器(群)搭建;应用发布--将服务器指定的应用程序以及虚拟图像发布到各种终端，数据不落地;跨平台--支持PC或Android等智能手机和平板电脑等智能终端。

此外，对于已具备APP客户端的业务系统，如客户自主开发集成VPN功能，需要非常大的工作量。深信服可以为具备Socket开发能力的第三方应用开发商提供软件开发工具包VPN SDK包，极大地降低开发商的开发工作量。

本解决方案具有：访问安全，降低业务风险;交付快速，提高办公效率;使用便捷，提升用户体验;性价比高，降低投资成本等多个特点。

瞻博网络BYOD解决方案---无风险地使用自带设备(BYOD)：CIO如何充分利用企业的移动趋势

今天的员工希望能够随时随地使用自己喜爱的移动设备进行工作。不仅如此，他们还希望快速、轻松地访问所需的信息和应用，以便有效地开展工作。毫无疑问，智能手机已超越PC成 为消费者和企业用户的首选工作设备。由于数据移动性趋势在 不断地快速增长，CIO如何在支持移动访问的同时还要降低风险，并确保公司资产得到保护呢?

如今，网络的作用不能只局限于在端点之间提供连接。它必须具有稳定性、高永续性，能够大规模地提供移动性、高性能、接入、安全保护、管理和控制支持，而且还要简单、透明、敏捷，并提供始终如一的安全保 护。这不仅仅是指简单地将软件客户端部署 在设备提供安全保护。只有通过有线、无线 和端点安全性的无缝集成，才能在获得整体的安全性。

如今，管理和风险控制已成为IT能否成功提 供大规模性能、接入保护、管理和控制方面 的最首要问题。突破性的架构可以提供无所 不包的网络平台，涵盖核心交换、边缘无线接入和设备上的接入管理和保护客户端，并形成一种新的模型。该模型安全而灵活，能够为员工提供协作、灵活性和生产率支持。

构建此平台的最佳战略是一种注重实效的方法：

◆ 利用大量的突破性技术和IT架构思想，提供所需的业务安全性、性能和规模。

◆ 以透明、灵活和可控的方式为员工和访客提供 BYOD网络接入支持，但同时支持个人希望的通信和协作方式。

◆为满足如今的性能、规模和安全性要求，即使是完全过时的网络也可以重新设计，以便使无线成为首选的接入方式，而高性能以太网交换则成为直接业务创收的核心，在可接受的时间内带来投资回报。

当CIO能够扁平化基础架构，并使用新网元中的新组件时，他们就可以减少空间占用、能耗和散热，从而显著优化其运行成本。因此，他们能从更敏捷、更经济高效的面向未 来的网络中获益。

通过满足BYOD需求、重新设计基础架构来优化其处理和应用，CEO不仅能够高枕无忧地向其员工和感兴趣的第三方开放其网络，而且不用担心会面临风险。这样一来，CIO 和企业就可以获得生产力和运行效率方面的收益，并节约运行成本。如果CIO部署了强 大而稳定的网络，该网络能够保护从设备到核心的所有组件的安全，不仅支持移动性，还能提供更有效的通信、协作和生产率支持，那么，他们就可以为企业和员工创建一个双赢的环境。

F5 Networks:让BYOD高效安全地接入企业内网

也许很多CIO这时会质疑，现在越来越多的员工自带设备接入网络，这种BYOD风潮是否有威胁?F5"灵捷架构、战略控制点"理念，并不一定能够解决在降低成本的同时，保障应用安全可靠，又能使IT架构实现灵活管理回答了这个问题。

John McAdam先生解释说："根据业内分析师的一份报告显示，动态数据中心的应用、安全的问题，BYOD设备接入问题，提升可管理性，降低成本问题，F5都做到了，也就是说我们在帮助客户降低成本的同时，也提高用户IT架构的可管理性。"

事实上，F5的解决方案有助于整合不同的技术，以便更好地控制企业IT基础架构，提高应用交付和数据管理能力，并使用户能够通过企业桌面系统和智能设备无缝、安全并更快速地接入应用。开放的架构框架使F5的客户能够在IT基础架构中的"战略控制点"以及公共"云环境"中应用业务策略。

一般人说到F5 的BIG-IP，大多会想到负载均衡，但实际上那只是BIG‐IP 诸多模块中的一个。单说F5 的移动设备管理方案，就有Access Policy Manager (APM)、Edge Gateway 和Edge Client 这三驾马车构成，它们彼此照应，让接入企业内网的BYOD 移动设备充分享受高效和安全。

为了应对日益繁多的设备和系统，F5 还可与移动安全服务提供商并肩作战。客户可利用 AirWatch、MobileIron、SilverbackMDM、Zenprise 以及其他公司的产品来部署F5 移动用户接入解决方案，从而支持并控制 Apple iOS, Google Android, and Microsoft Windows Mobile提供的最新移动操作系统。通过简化面向托管和非托管设备的部署，企业可在获得端到端的安全性和集中管理的情况下得到更多优势。

Aruba ClearPass BYOD解决方案

Aruba深刻理解各机构在部署接入解决方案上所面临的挑战：既要满足一定的强度，又要足够灵活，以应对迅速扩张的BYOD发展趋势。

Aruba ClearPass接入管理系统是Aruba MOVE(移动企业网络)架构的一部分，是业界唯 一的开放，基于标准的BYOD解决方案，并且在不对企业现有网络架构造成任何影响的基础上，提供接入控制服务。

ClearPass在设计之初就是基于多设备提供商的环境(比如企业不是必须只能用Aruba的无线产品)。因此，机构可以平衡他们现有的网络、身份认证机制、以及安全架构，并根据需要简单的打开需要的ClearPass功能开关。这是一个非常具有性价比，并有很强适应能力的方法。

ClearPass接入管理系统在四个方面集成了一个功能强大的BYOD解决方案的所有组成部分。

• ClearPass策略管理器：这样的集中式策略服务器提供了差异化的，基于内容的访问控制，并设计了一些实用的运行工具以减少IT开销。在 ClearPass策略管理器的帮助下，IT可以对整个机构的无线、有线、VPN或者访客接入应用，进行自动化的，可扩展的认证和授权。

除了本身集成了支持AAA的radius服务器以外，ClearPass策略管理器可以从多个身份信息存储数据库中读取信息，包括基于微软活动目录，LDAP，SQL和Kerberos的各种类型的数据库，并提供了一套整体统一的策略模型，以确保在整个机构持续的、前后一致的应用接入控制策略。

ClearPass策略管理器可以基于多个属性提供差异化接入，包括用户角色，设备类型，时间，地点和项目等。作为解决遵从性的关键以及满足规章制度的需要， ClearPass也可以搜集每一个用户会话的业务数据，向IT和业务经理提供多样化的报告选项。

• ClearPass快速连接： 作为一个设备注册工具，ClearPass QuickConnect可以为Windows, Mac, 以及安卓等类型的设备提供 简单的自助配置，这减轻了IT的工作负担，因为他们无需再花时间亲自去对新设备进行配置。

通过一个配置接口， IT会对终端参数变量进行配置，再通过web portal，活动目录GPO，USB设备或者CD等方式 向用户提供配置向导。Clearpass快速连接工具可以对802.1x以及预共享密钥等认证方式实行自动化管理 ，并确保终端开启了健康检查。

• ClearPass OnGuard：作为Aruba ClearPass策略管理器的软件许可证，ClearPass OnGuard会执行全面的设备身份识别以及状态检查，使设备接入网络所带来的风险最小化。

同时支持永久性代理和一次性代理，包括也支持像微软Windows native supplicants这样的设备商特有的代理方式 ，在设备运行windows，mac os以及linux操作系统时，ClearPass OnGuard会对设备执行状态评估，检查是否已安装杀毒 软件、反间谍软件、以及防火墙软件等。目前 已支持对超过80个厂家的此类软件进行检测。

除此之外，ClearPass OnGurard还会对服务、处理过程、像skype一类的点对点应用、操作系统、USB存储设备、虚拟机客户端以及热点等进行检查，验证以上业务是否有权限运行，并按策略要求提供自动修复或隔离。

• ClearPass 访客接入： ClearPass访客接入管理模块提供了安全的访客管理，可以使非技术人员来管理访客账户并且配置captive portals web认证，使访客和员工都可以用自己的移动设备进行自注册。

ClearPass 访客接入工具支持基于角色的接入控制，对访问行为进行追踪以进行检查和审计 ，并且 具有支持类似广告业务和商业 级热点业务一类的独有功能。

利用这种开放，一体化的方式，Aruba的ClearPass接入管理系统使机构可以按他们自己的步骤去实施BYOD解决方案，如下图所示，这是一个开放的工作流程。

Avaya　BYOD解决方案

随着BYOD来袭，随之而来的各种挑战，权限管理，安全机制……Avaya为BYOD做好准备，Avaya为此准备了Avaya Identity Engines 8.0(IDE 8.0)解决方案，还有SBC应用，帮助企业在实施“自备终端”战略时，提升安全性以及网络控制能力，为IT部门迎战BYOD提供了解决方案。

采用Avaya IDE 8.0，企业可以简单且经济地将员工及来访者的个人设备接入到有线和无线网络中。Avaya IDE 8.0是Avaya数据网络产品线的新成员。

企业需要知道谁在使用网络，以及他们如何使用网络，用的是笔记本电脑，还是台式电脑;智能手机，还是iPad平板电脑。Avaya IDE 8.0引入了两个非常重要的新功能，可在企业网络上消除个人设备带来的安全风险，并使企业能安全、灵活地为用户以及设备提供网络接入。

一方面， Ignition Access Portal为有线和无线用户提供了统一的接入体验。另一方面，Ignition CASE Client实现设备的自动化配置，确保安全的网络接入。

Avaya IDE是Avaya企业移动协作(Avaya Mobile Collaboration for Enterprise)方案的组成部分。Avaya企业移动协作集成式解决方案面向移动办公人员，使员工能灵活选择工作的地点及方式。该解决方案令现有应用能在移动设备上安全、可靠地工作，并具有成本效益。借助Avaya协作应用、统一通信基础设施、网络技术和专业服务，该方案为个人设备用于工作场所提供了新的途径。

SBC扮演重要角色

SBC，(全称Session Border Controller)，即会话边界控制器。SBC已经逐渐成为NGN和IMS网络的标准配置产品(如同Lanswitch和路由器)。也被广泛称为BAC(边界接入控制器)，定位在IMS网络的ABG (access border gateway) ，解决NGN业务部署中遇到的NAT/FW穿越、安全、互通、QoS等问题。

会话边缘控制器(SBC，或会话控制器)是VoIP呼叫控制产品，用于电话完全由VoIP传输而不需要网关的环境。它使用全部三种VoIP协议——H.323关守、SIP代理和媒体网关控制协议(MGCP)。它会在未来的VoIP服务提供中发挥重要作用，允许跨越多个IP网络，即使有防火墙要穿越，也能提供有质量保障的VoIP服务。

后记：大家可以看到每一个厂商提供的解决方案都有自己的特点，我们可以根据自己的实际需要选择，BYOD解决方案包括MDM、无线接入，身份准入的，统一接入访问的等等，企业级的MDM，需要企业统一采购，前端在终端有MDM的软件。后端要有管理平台，统一管理，MDM是比较强调企业应该在员工不同的客户端上，部署统一的MDM软件，加强对终端设备的管理。