隨著計算機技術的快速進步，網(wǎng)絡日益成為人們?nèi)粘Ｉ畹囊徊糠?。目前，各種不同品牌的路由器已經(jīng)成為實現(xiàn)各種骨干網(wǎng)絡內(nèi)部連接、骨干網(wǎng)互聯(lián)和骨干網(wǎng)與互聯(lián)網(wǎng)互聯(lián)互通業(yè)務的主力軍。特別是智能手機WI-FI上網(wǎng)的大頻率使用，無線路由器又成了各個辦公室、家庭和休息場所不可缺少的網(wǎng)絡設備。 然而，路由器在帶給我們方便的同時，也給網(wǎng)絡安全帶來了不安全的因素。在網(wǎng)內(nèi)經(jīng)常會出現(xiàn)這樣一個現(xiàn)象：在實際的帶寬接入中存在著大量的非法級聯(lián)，如一個用戶通過路由器級聯(lián)或建立無線熱點使得多個用戶可以利用同一帳號上網(wǎng)、辦公。不管是企業(yè)局域網(wǎng)還是酒店局域網(wǎng)，局域網(wǎng)內(nèi)人員私接無線路由器都是一個棘手的問題。 私接路由會有哪些危害？
● 如果私接路由下的某臺電腦中毒，網(wǎng)管將很難定位病毒源，會造成病毒肆意傳播，甚至造成網(wǎng)絡癱瘓、資料損壞等。
● 由于很多私接無線路由器的人員為非專業(yè)人員，如果私接路由器沒有設置正確，直接接到內(nèi)網(wǎng)，造成企業(yè)路由器下電腦和內(nèi)網(wǎng)電腦搶IP的現(xiàn)象，使部分電腦不能上網(wǎng)。
● 若私接路由的WAN口的IP為內(nèi)網(wǎng)中允許訪問WEB的IP，那么其LAN下主機都能通過這個IP上WEB，那將大大會增加企業(yè)資源造泄露的風險。
無線網(wǎng)橋3.jpg "室內(nèi)無線網(wǎng)橋3.jpg")
哪些現(xiàn)象可能是私接路由？
● 同工作區(qū)域內(nèi)的部分同事反映不能正常連接公司內(nèi)部網(wǎng)絡、或不能正常收發(fā)郵件。
● 未授權訪問外網(wǎng)WEB的同事在看網(wǎng)頁和在線視頻。
發(fā)現(xiàn)私接路由后，如何查找？
可以通過以下多種方式結(jié)合排查：
● 查看故障主機IP、網(wǎng)關等相關設置。
● 區(qū)域內(nèi)IP、MAC掃描，跟內(nèi)部主機IP表、常用設備型號進行對比。
● PING -a xxx，可以獲取電腦的主機名，若不返回，則可疑。
● 在可網(wǎng)管上層交換機上查看狀態(tài)，防火墻上看Session。
如何禁止私接的路由器？
技術手段
1）IP-MAC綁定，甚至做交換機的端口綁定。
2）在匯聚層將不被允許路由IP/MAC出來的包進行Drop。
3）防火墻或路由器上設置數(shù)據(jù)包轉(zhuǎn)發(fā)次數(shù)TTL限制。
4）PPPOE賬號認證、802.1X端口認證+RADIUS用戶認證服務器。
5）域+ISA防火墻，設置只有域內(nèi)成員主機才能被允許上網(wǎng)。
6）添加端口靜態(tài)安全MAC地址，缺省端口最大安全MAC數(shù)為1。
7）其它限速方法，使其不能快速上網(wǎng)，以達到放棄私接路由器的目的。
具體可以通過流量控制，以及Session限制/交換機端口連接數(shù)限制進行設置。
無線網(wǎng)橋1.jpg "室內(nèi)無線網(wǎng)橋1.jpg")
選擇一款主流的準入控制系統(tǒng)，可以禁止無線路由器、禁止無線AP上網(wǎng)，當發(fā)現(xiàn)有非法路由設備接入網(wǎng)內(nèi)時可及時進行報警和響應措施，有效防止網(wǎng)內(nèi)成員隨意修改終端IP、MAC或亂接網(wǎng)線問題。同時，準入控制系統(tǒng)還可監(jiān)控無線路由器下各個電腦的上網(wǎng)行為，保障網(wǎng)絡安全。
控設備-lp.jpg)
控供電系統(tǒng)-lp.jpg)
橋傳輸安全-lp.jpg)
院無線覆蓋-lp.jpg)
應用-lp.jpg)
控方案01-lp.jpg)
一收中繼傳輸-lp.jpg)
示意圖1-lp.jpg)
絡無法到達或布線成本較高的場所-lp.jpg)
橋-lp.jpg)
橋-lp.jpg)
定無線網(wǎng)橋-lp.jpg)
橋-lp.jpg)
橋-lp.jpg)
控-lp.jpg)
控改造方案-lp.jpg)
橋-lp.jpg)
無線網(wǎng)橋-lp.jpg)
無線網(wǎng)橋3-lp.jpg)
橋-lp.jpg)
橋-lp.jpg)
控-lp.jpg)
控-lp.jpg)
