单靠硬件序列号不可行，因其易伪造且无签名防篡改；必须构建“可信采集→安全传输→策略联动”闭环，结合tpm/uefi、eap-tls和哈希比对等机制实现可信准入。
直接用硬件序列号做准入控制，关键不是“能不能”，而是“怎么让设备说真话、系统信得过”。序列号本身不加密、易伪造，必须配合可信链路和强认证机制，否则形同虚设。
为什么单靠序列号不行？
硬件序列号（如主板SN、硬盘SN、TPM芯片ID）在操作系统层可被读取，但普通终端上它不自带签名，也不防篡改。攻击者可通过虚拟机克隆、驱动注入或直接修改WMI/DMI数据伪造序列号。所以实战中，序列号必须作为辅助标识，不能当唯一凭证。
真正可行的绑定路径
要让序列号发挥准入效力，需走“可信采集→安全传输→策略联动”闭环：
- 可信采集端：优先调用UEFI固件或TPM 2.0接口获取不可篡改的设备标识（如TPM Endorsement Key Hash + 主板序列号组合），避免依赖OS层易被绕过的WMI查询；打印机、IoT设备等无OS终端，则依赖厂商预置的IEEE EUI-64或OUI+序列组合。
- 安全传输通道：设备首次接入时，必须通过EAP-TLS或802.1X证书认证建立TLS隧道，再将序列号哈希值（如SHA-256(SN+设备类型+时间戳)）连同客户端证书一并提交给RADIUS/NAC服务器——这样既防中间人窃取原始SN，也防重放。
- 策略联动执行：NAC服务器收到请求后，比对预录入白名单中的哈希值（非明文SN）。匹配成功才放行，并动态分配VLAN或ACL；若不匹配，直接重定向至隔离区，且禁止跳过认证的MAC Bypass方式。
具体配置要点（以主流NAC环境为例）
以Windows NPS + Cisco交换机为例，实现序列号绑定准入：
- 在NPS中新建网络策略，条件设置为“Calling-Station-ID（即MAC）+ NAS-Identifier（交换机名）+ Class（自定义属性）”，其中Class字段由交换机通过RADIUS Attribute 25（Class）携带序列号哈希值；
- 交换机侧启用dot1x+MAB双因子，MAB仅作兜底，且MAB账号强制命名为“SN_”前缀+哈希后8位（如SN_a1b2c3d4），与NPS本地组“Trusted-SN-Devices”绑定；
- 所有允许绑定的设备，必须提前在CMDB中登记：设备类型、厂商、序列号原文、生成哈希值、所属部门、有效期；变更序列号（如主板更换）需走ITSM审批流程，自动触发NAC策略更新。
高风险场景必须加锁
以下情况哪怕序列号匹配，也应拒绝准入或降权处理：
- 设备所在IP段不在办公网地址池内（防远程伪造）；
- 接入端口为非授权PoE口或非管理交换机端口；
- 终端未安装指定EDR客户端，或BitLocker未启用+网络解锁未配置（防离线解密后篡改）；
- 同一序列号在10分钟内从两个不同物理位置（基于AP信号强度定位）发起认证请求。
不复杂但容易忽略：序列号绑定不是设个白名单就完事，它本质是把物理设备锚定在网络身份体系里。缺了可信采集、加密传输、动态校验任意一环，都可能变成一道敞开的侧门。
