如何根据操作系统（WinXP、2000 等）拒绝机器访问 Active Directory/域？

Question

基本上，我不希望网络上存在某些操作系统。

Answer 1

在交换机端口级别使用 802.1x，并附带客户端证书和凭证质询。这样，只有授权计算机和授权用户才能访问网络。Cisco ISE/NAC 等产品可以扩展此功能，以允许进行其他检查（例如当前的 AV 定义和 Windows 补丁），但您通常可以在任何值得使用的托管交换机上配置原始 802.1x 身份验证。