什么是极简准入？

为什么需要极简准入

如下图所示，物联终端入网场景中，通常使用本地认证和MAC接入认证方案；此时，接入设备作为本地AAA服务器，终端MAC地址作为用户名，需要管理员在接入设备上人工录入终端MAC地址信息。

本地认证和MAC接入认证方案

该方案存在如下问题：

• 管理员获取终端MAC不便，需要与设备安装人员协同，导致入网耗时长。
• 管理员将终端MAC地址逐个录入到设备作为用户名，并逐个指定密码，配置任务重、效率低。

为解决上述问题，华为推出极简准入方案，提供三种简便的账号生成方式：

• 手工录入无需关联密码的MAC地址作为极简准入账号；配合WebMaster可同时支持批量录入，通过WebMaster配置极简准入账号请参见《WebMaster配置指南》中的“极简账号管理”。
• 免MAC录入，终端自动发现后，管理员审批，自动生成极简准入账号。
• 免MAC录入，终端匹配账号生成规则时，自动生成极简准入账号。

极简准入如何实现终端高效、便捷入网？

本地接入用户实现的MAC认证使用普通账号格式，账号包含用户名和密码，其中用户名由MAC地址转换得到。极简准入账号针对MAC认证做了简化，仅使用终端MAC地址作为账号标识，并提供三种简便的账号生成方式，解决管理员获取终端MAC不便、逐个配置MAC地址效率低的问题。

• 批量录入账号

  配合WebMaster可批量录入MAC地址，常用于管理员已知终端MAC地址列表的场景。同时支持设备侧人工录入。配置时，无需关联密码，仅需MAC地址作为极简准入账号。指定MAC地址的终端直接上线，并授权业务方案、设置账号描述信息和账号状态。

• 自动生成账号

  指定时间段内接入的终端直接上线，并自动生成激活态（状态为active）账号、授权业务方案。常用于开局场景，在开局时间窗内默认所有终端均安全，可自动生成账号并上线。

• 审批生成账号

  不在人工创建和规则匹配范围内的终端接入时，会先生成待审批终端列表。管理员审批通过后，终端再次发送报文后可上线。管理员审批拒绝时，该账户终端的认证请求直接被拒绝。常用于零星新增设备入网或访客终端入网场景。

极简准入如何确保终端安全入网？

开启极简准入功能后，仅需校验终端MAC地址即可成功入网。在安全要求较高场景，支持终端MAC地址与接入位置、IP地址信息的绑定校验。

支持以下3种绑定关系检查：

• 端口：终端源MAC地址和接入端口均匹配绑定表才允许上线。
• IP：终端源MAC地址和源IP地址均匹配绑定表才允许上线。
• 端口+IP：终端源MAC地址、源IP地址和接入端口均匹配绑定表才允许上线。

如所示，管理员指定端口绑定检查时，终端更换接入端口后，不允许终端上线；管理员指定IP绑定检查时，终端更换IP地址后，不允许终端上线。

极简准入绑定检查