很多单位部署网络准入认证系统，只把注意力放在身份认证上，却忽略了准入控制的另一个重要环节——终端合规检查。身份认证回答的是"你是谁"，终端合规回答的是"你这台设备够不够安全、能不能进网"。一台感染了病毒、长期不打补丁的终端，即使身份认证通过，进入网络后也可能成为内网安全的突破口。这篇讲清楚终端合规检查怎么做，以及它在网络准入认证系统里的定位。
合规检查到底检查什么
终端合规检查的核心，是确认入网终端的"健康状况"符合单位的安全基线。常见的检查项包括：杀毒软件是否安装并且正在运行、病毒库是否及时更新、操作系统补丁是否完整、系统防火墙是否开启、是否安装了禁止的软件、是否缺少必须安装的安全组件。不同区域、不同角色的终端，检查项可以不一样，比如普通办公终端查杀毒和补丁，财务或研发区域再加装软件清单检查。检查项不是越多越好，要和企业实际的安全策略对齐，避免堆砌一堆用不上的规则。
检查时机：入网前必查，运行中复查
终端合规检查一般分两个时机：一是终端入网前的一次性检查，不达标就不放行进网；二是运行中的周期性复查，因为终端的安全状态会变化，可能今天达标、明天中了病毒或者补丁过期。网络准入认证系统可以结合无感知认证和周期策略，对在网终端定期复查，一旦发现状态异常，按策略引导修复、隔离或提醒。只做入网前的一次检查是不够的，终端的动态安全状态必须靠持续复查来兜底。
不达标终端怎么处理
终端不达标的处理方式，直接决定员工对系统的接受度。常见做法是分级处理：对可自动修复的问题（比如杀毒未运行、补丁过期），自动引导或强制修复后入网；对需要人工处理的，给出明确的修复指引，而不是直接拒绝上网；对安全风险较高的终端（比如检测到恶意进程），强制隔离到受限网络，阻断其对内网的访问。处理的宗旨是"能修则修、有风险才隔离"，而不是一刀切地把所有不达标终端拒之门外，否则会影响正常办公。
检查方式：Agent探针与无代理扫描怎么选
终端合规检查的实现方式主要有两类：一是在终端安装Agent探针，主动采集安全状态并上报，信息全、可实时，但需要在终端装客户端；二是通过无代理的方式（比如基于交换机和协议探测）被动检查，部署简单，但能获取的信息有限。企业通常根据场景组合使用：员工办公终端装Agent做深度检查，访客和外来设备走轻量级的检查或不检查。选型时要确认系统同时支持两种方式，并能在不同用户组上灵活配置。
合规检查的注意事项
终端合规检查落地时要注意几点：第一，检查要有豁免和例外机制，不能因为检查策略误伤了关键业务终端；第二，检查结果要能审计留痕，便于追溯和合规审查；第三，检查不能过度侵入个人设备，尤其涉及BYOD设备时要把握分寸，避免隐私争议；第四，检查策略要有应急预案，一旦检查服务异常，不能导致全网终端无法入网。合规检查是准入控制的加分项，做得好能显著提升内网安全水平，做得过度反而会变成运维负担。
网络准入认证系统里的终端合规检查，本质是把"身份可信"升级为"身份+终端双可信"。明确检查项、抓好入网和复查两个时机、分级处理不达标终端、按场景选Agent或无代理方式，再配好例外和应急预案，终端合规检查才能既守住安全底线，又不拖累正常业务。