信息安全管理中，管理远程用户访问长期以来就是一项矛盾突出，并且十分艰巨的任务。远程访问所带来的安全隐忧远比企业内部网络的压力大得多。

   互联网作为企业运作基础架构，愈来愈多移动工作者在外利用PDA或笔记本电脑连网，以取得文档资料或ERP信息，甚至是数千公里以外的分支机构需要访问总部的核心数据区。这些安全疑虑也带来了VPN接入、用户身份管理、访问行为控制等一系列的安全防御需求。

    因为看不到，所以不安全

    建立信息安全保护框架的通用法则包括：安全防御的完备性、一致性与有效性。完备性，是指安全保护框架不应有安全漏洞；一致性，是指安全保护框架中的所有终端具有同样的安全防御功能；有效性，是指安全保护框架中的一个计算机信息系统所实现的安全策略和安全机制，符合用户的当前需要。

    远程客户端与这一法则矛盾之处就在于，它们不受网络资源拥有者控制和管理，因为较之本地资源，技术人员对远程客户端的接触通常会受到更多的限制。

    例如：依据Internet无处不在的特点，给用户带来了远程资料共享和异地办公的便利条件，也给病毒和黑客带来了一种入侵企业核心数据的新途径。远程访问客户端所在的网络可能充满了混合攻击，开放这些网络对企业的访问就可能成为不法分子攻击企业核心网络的跳板。

    虽然可以通过限制端口等策略进行抵御，但终端客户机的安全我们仍然无法保证，技术人员对于这些工作的计算机管理权限将会微乎其微，有的时候根本接触不到，除非用户将计算机拿到你的办公室来。因此，在网络中，“眼不见，心不烦”的情况十分危险。

    分支机构的安全保障

    大多情况下，分公司和企业数据中心间的VPN连接需要两台端点VPN设备或服务器以及Internet。在建立对本地ISP的高速连接后，可通过VPN设备或服务器建立VPN隧道，以便分公司能访问企业资源。

    这类连接也可用于促进企业网络上的管理员对分公司系统进行远程管理，但将分支机构的每台客户端进行安全加固似乎成为了不可能完成的任务。人们开始热衷于是构建一个“完整的”网络接入控制解决方案——“可信接入”。

    目前出现了几种安全接入技术，这些技术的主要思路是从终端着手，通过管理员指定的安全策略，对接入私有网络的主机进行安全性检测，自动拒绝不安全的主机接入保护网络，直到这些主机符合网络内的安全策略为止。

    目前具有代表性的技术包括：思科的网络接入控制NAC（NetworkAccessControl）技术，微软的网络访问保护技术NAP（NetworkAccessProtection）以及TCG组织的可信网络连接TNC（TrustedNetworkConnect）技术等。

    就原理来说，三种安全接入技术都是将访问网络的客户端置于同一个安全等级。通过对网络中各种设备（包括路由设备、安全设备等）、安全机制、安全信息的综合管理与分析，对现有安全资源进行有效管理和整合。