IP知识百科 > 终端识别

什么是终端识别？

终端识别是面向园区网络接入提供的一种精细化管理手段，通过解析某些协议报文的摘要字段，提取终端特征进行分析提炼，识别出终端的类型、系统等信息。通过终端识别可以实现终端可视可查，既管得住，也看得清。

为什么需要终端识别?

随着物联网设备、哑终端的广泛应用，企业网络规模正在快速的扩张，接入终端类型持续呈现多样化和复杂化。园区网络中，接入终端除了智能终端（PC、手机），还有IP话机、打印机、IP摄像头等哑终端。园区网络终端管理主要面临以下问题：

首先，网管只能查看接入终端的IP和MAC，并不知道终端具体是什么设备，无法对网络终端做更精细的可视化管理。
其次，批量终端接入网络，不同类型的终端接入网络后需部署的业务配置和策略不同，管理员需要手动为不同类型的终端配置不同的业务配置和策略，业务部署复杂且操作繁琐。

为了解决上述问题，终端识别功能应运而生，通过多样化的终端识别方法，iMaster NCE-Campus网管控制器可查看整个园区网络终端的类型、操作系统等摘要信息。基于这些摘要信息，可以对终端进行多维度的精细管理，比如根据终端类型进行准入授权等。另外，对于通常采用MAC认证的园区IP话机、打印机、IP摄像头等哑终端，还可以实现基于终端识别的自动准入，从而减少管理员手动配置工作量。

终端识别能识别哪些终端

华为终端识别技术终端类型自动识别率可达95%，包括摄像头、打印机、IP话机、Phone、Pad、PC等类型，常见的可以识别的终端类型、厂商、以及可识别信息如下表所示。

表1-1 支持识别的终端和厂商

终端类型	可识别的厂商	可识别信息
摄像头	华为、海康、大华、宇视、TP-LINK、天地伟业	类型、厂商、型号
打印机	惠普、佳能、爱普生、兄弟、联想、理光	类型、厂商、型号
IP话机	polycom、亿联、思科、亚美亚、好会通	类型
Phone	三星、苹果、小米，OPPO，VIVO、华为、荣耀	类型
Pad	苹果、三星、亚马逊、联想、华为、荣耀、小米	类型
PC	联想、华为、惠普、DELL、苹果、ASUS	类型

终端识别的方法有哪几类？

终端识别的方法主要包括指纹识别、扫描识别、流信息识别、AI识别和自定义规则识别。

表1-2 终端识别方法概述

编号	识别方法	具体原理	场景描述
1	指纹识别	匹配iMaster NCE-Campus自带的指纹库进行终端识别，终端指纹分两个来源：网络设备采集终端报文提取指纹上报给iMaster NCE-Campus。 iMaster NCE-Campus采集终端认证报文提取指纹。	平板、PC、手机、笔记本、服务器等终端大部分场景下通过802.1X认证、或者Portal认证接入网络，一般推荐通过终端指纹被动识别。
2	扫描识别：网络设备扫描	轻度扫描：网络设备发送终端专有协议探针，精准识别TOP哑终端（摄像头、打印机、IP话机），并将终端识别结果直接上报给iMaster NCE-Campus。深度扫描：网络设备扫描终端开放端口，扫描TCP/UDP/ICMP通用协议栈，上报给iMaster NCE-Campus，用于AI识别。	IP话机、IP摄像头和打印机等哑终端，不容易采集指纹，靠指纹识别难度较大，一般推荐使用网络设备主动扫描识别。
3	扫描识别：iMaster NCE-Campus扫描	iMaster NCE-Campus使用SNMP进行扫描，主要用于网络设备扫描。 iMaster NCE-Campus使用开源工具NMAP进行扫描。	终端设备上支持运行SNMP，允许第三方软件查询自身的运行状态。 NMAP需要单独安装插件。
4	流信息识别	网络设备采集互访流的五元组信息（源IP、源端口、目的IP、目的端口、协议），上报给iMaster NCE-Campus，用于AI识别。	信息上报后，需要结合AI识别进一步确认终端类型。
5	AI识别	AI聚类识别：iMaster NCE-Campus针对未识别的终端，将指纹相似度高且达到阈值的终端自动归为一类，通过人工标注进行终端识别。 AI推理识别：iMaster NCE-Campus针对未识别的终端，将与标注过的结果相似度高的终端，自动划分到对应的终端组中	AI无法直接识别终端类型，需要结合人工标注信息。
6	自定义规则识别	管理员针对未识别的终端，若AI聚类或者AI推理均无法识别，创建自定义匹配规则，识别未知终端。	自定义规则的优先级最高。

指纹识别

指纹识别核心技术就是终端指纹库的构建。终端指纹库指的是用于唯一标识某个终端设备（如电脑、手机等）的特征信息组合。通过采集设备硬件、软件、网络配置等多维度数据，生成一个独特的标识符，常用于安全验证、用户追踪或反欺诈等场景。

终端指纹的组成要素包括如下几种，园区解决方案中支持的终端指纹类型如下表所示。

硬件特征：设备型号、CPU/GPU信息、MAC地址、屏幕分辨率等。
软件特征：操作系统类型及版本、浏览器类型及插件、字体列表、时区、语言设置等。
网络特征：IP地址、DNS配置、代理信息、网络延迟等。
行为特征：操作习惯（如鼠标移动轨迹）、应用使用模式等。

表1-3 支持的终端指纹类型

编号	指纹类型	基本原理	可识别的终端类型
1	MAC OUI	MAC地址前三字节用于表示厂商，根据这3个字节能够判断设备制造商	所有IP终端（仅识别设备厂商）
2	HTTP UserAgent	User-Agent是HTTP请求头的一个字段，会携带设备软硬件信息，包括终端类型、设备厂商、操作系统、代理软件等，因此可以用来识别终端	手机、平板型号、PC、工作站
3	DHCP Option	终端向DHCP服务器申请IP地址时，会向DHCP服务器发送DHCP发现/请求报文，报文中的Option字段携带终端的设备信息，这些信息可以用来识别终端。	手机、平板型号、PC、工作站 IP摄像头、IP话机、打印机等
4	LLDP	LLDP是一种邻居发现协议，通过LLDP可以获取到设备的操作系统、软件版本、设备描述等信息，根据这些信息可以进行设备类型的识别。	IP话机、IP摄像头、网络设备等
5	mDNS	mDNS即组播DNS（multicast DNS）协议，通过采集mDNS协议报文的服务类型特征实现识别终端类型	苹果终端、打印机、IP摄像头等
6	DNS	DNS协议是基于传输层的UDP协议，通过获取的DNS报文域名信息特征，可以判断是否是信创操作系统。	信创操作系统（麒麟、统信）识别
7	HTTP URL	通过HTTP URL中的主机名可以判断是否是信创操作系统。	信创操作系统（麒麟、统信）识别

园区解决方案通过指纹识别终端的流程如下图所示。网络设备采集终端指纹，然后将终端指纹上报给iMaster NCE-Campus，iMaster NCE-Campus通过匹配自定义匹配规则/自带的终端指纹库进行终端类型识别，自动推算出未知终端的类型，达到识别终端的目的。

通过指纹识别终端的流程图

终端入网时会触发各种协议报文，如DHCP、LLDP等信息。
设备会采集终端发起的各种协议报文作为终端指纹。
设备将指纹上报到iMaster NCE-Campus。除设备上报之外，终端向iMaster NCE-Campus认证时，iMaster NCE-Campus也可以获取到认证报文中携带的终端指纹信息。
iMaster NCE-Campus控制器自动匹配终端指纹库，识别终端的类型。
iMaster NCE-Campus呈现终端识别结果。

扫描识别

扫描识别根据终端设备的反馈信息识别终端类型，包括网络设备主动扫描探测识别和iMaster NCE-Campus的主动扫描探测识别，iMaster NCE-Campus扫描识别支持通过SNMP和NMAP两种方式进行识别。

网络设备扫描识别
网络设备扫描识别是一种设备近端进行终端扫描的识别方法，网络设备主动向终端发送探测报文，根据终端的响应进行终端识别，识别信息包括终端类型、厂商、型号。
SNMP扫描识别
SNMP扫描识别基于SNMP协议报文（简单网络管理协议）的交互，通过读取目标设备MIB（管理信息库）中的标识参数，获取硬件、软件及配置信息，识别终端类型。为了更好地通过网管管理自己生产的设备，很多设备制造商在开发产品时遵循SNMP协议，以便网管能够通过SNMP查询设备的运行状态。例如交换机、路由器、IP电话、打印机，这些设备在向网管上报的运行状态信息通常会包含设备名称、设备类型和设备制造商名称，网管查询并分析设备的运行状态信息即可识别此类设备。
NMAP扫描识别（需单独安装NMAP插件）
NMAP扫描识别主要是依赖网络探测技术及行为特征分析，通过主动发送探测数据包并分析响应特征，推断目标设备的操作系统、服务版本及潜在设备类型。识别原理如下：
1. 发送构造特殊的TCP/IP数据包（如SYN、ACK、ICMP等），触发目标设备的响应。不同操作系统或设备的协议栈实现差异（如初始序列号生成规则、窗口大小、TTL值等）会形成唯一特征，与内置的指纹数据库（如nmap-os-db）匹配，识别操作系统类型和版本。
2. 扫描目标设备的开放端口（如TCP 80、443），判断其可能运行的服务类型（如HTTP服务器、数据库）。
3. 与端口建立连接后，提取服务返回的banner信息（如HTTP头、SSL证书），或模拟协议交互（如SSH握手），匹配服务名称及版本。

流信息识别

网络设备采集每条流的五元组信息（源IP、源端口、目的IP、目的端口、协议），采集后，在网络设备本地进行数据预处理，将处理的结果上送至iMaster NCE-Campus，作为指纹进行AI识别。

AI识别

AI聚类识别
针对未识别的终端，通过kmeans算法，对终端的多维度指纹进行特征分类，将指纹相似度高且达到阈值的终端化为一簇。

同型号的终端，其协议指纹数据相似度高，不同型号和类型的终端，其指纹相似度低。首先，根据指纹相似度及先验知识库，区分出可匹配终端与未识别终端；其次再根据指纹相似度对未识别终端聚类，由用户标记每个簇的大类，用户标记一次，即可识别一簇。

AI聚类识别流程

AI聚类算法如下图所示。优先使用高权重的指纹进行聚类，然后再叠加其他指纹进行细化。聚类指纹优先级：流信息 > TCP/UDP端口 > LLDP = User-Agent = DHCP Option = mDNS = OS PROTOCOL > MAC OUI。

AI聚类算法

AI聚类流程如下：
1. 计算未识别终端指纹与所有AI规则指纹之间的相似度，当相似度高于40%时判定为匹配成功，其中相似度高于最小相似度或70%为高相似；介于40%与最小相似度之间为低相似；
2. 假设存在高相似候选结果，从中选择相似度最高的结果作为最终识别结果（AI高相似），如果存在多个最高相似度结果，选择最高优先级（数值最小）的结果；
3. 假设不存在高相似候选结果，从低相似候选结果按照相同原理挑选最终识别结果（AI低相似）。
AI推理识别
AI推理识别也称为AI台账识别，对于未识别的终端，使用KNN算法，将指纹与之前标注过的结果进行相似度运算，如果达到阈值则认为与标记过的终端是同类型，自动划分到对应的终端组中。

AI推理识别流程