支撑服务

为什么单独一章

网络、身份、终端、平台四章做完，基线已经「立住了」——内网有了边界，权限有了结构，行为有了记录。但有几件事这四章管不到，而它们恰好是安全体系里最容易被突破的外围：

• 文件散落在每台员工电脑上，权限不可控、无法审计、无法追踪谁访问了什么。
• 外出人员访问内网，如果没有受控入口，就只能把 NAS 直接暴露在公网上。
• 不受控设备接入网络，插上网线就能扫到一个毫无防备的网段。

这三件事分别对应本章的三篇：

服务	解决什么	为什么不是起点
集中存储（NAS）	文件集中化 + 权限控制 + 审计	依赖网络分区（独立网段）和身份域（统一认证）先到位
SSL VPN	外部访问收敛成一个入口	依赖身份域做账号联动
802.1X 网络准入	未登记设备进不来	依赖 RADIUS 与身份域，且需要支持 802.1X 的交换机

上线顺序

三者不要求同时上，顺序建议：

1. 先 NAS 独立 + 域加入（第一阶段网络隔离的延伸）
2. 再 SSL VPN（第四阶段，配合 DNS 过滤）
3. 最后 802.1X / NAC（第六阶段，新交换机到位后可提前）

最后一个放最后的原因很实际：802.1X 全网启用初期，打印机、NAS、IoT 设备、员工自带笔记本全都会在认证环节出问题。等前面的基线都验证过了，NAC 推行的阻力会小得多——而且失败时有日志可查，而不是只剩「上不了网」一个症状。

一个共同点

三篇服务都遵循同一条设计原则：入口要少，认证要统一。存储一个入口（SMB/HTTPS）、远程一个入口（VPN）、接入一个入口（802.1X）——每一个额外的入口都是一份需要维护的攻击面，每一份复用域账号的认证都是一次少写一遍的配置。少入口、统一认证，维护面才收得拢。