隨著計算(suan)機(ji)技術的(de)快速進步，網絡日(ri)益(yi)成(cheng)為(wei)人們日(ri)常生活的(de)一部(bu)分。目前，各(ge)種不同品(pin)牌的(de)路由(you)器已經成(cheng)為(wei)實現各(ge)種骨(gu)干(gan)網絡內部(bu)連(lian)接、骨(gu)干(gan)網互(hu)聯和骨(gu)干(gan)網與互(hu)聯網互(hu)聯互(hu)通(tong)業務的(de)主力軍。特別是智能手機(ji)WI-FI上網的(de)大頻(pin)率使用，無線路由(you)器又成(cheng)了(le)各(ge)個辦(ban)公室(shi)、家庭和休息場所(suo)不可缺少(shao)的(de)網絡設(she)備。 然而，路由器(qi)(qi)在帶給我們方便的(de)(de)同(tong)時，也給網絡安全(quan)帶來(lai)了不安全(quan)的(de)(de)因素。在網內經常(chang)會出現(xian)這樣一個(ge)現(xian)象：在實際(ji)的(de)(de)帶寬接入中存在著大量的(de)(de)非法級聯(lian)，如一個(ge)用戶通(tong)過路由器(qi)(qi)級聯(lian)或建立無線熱點使得多個(ge)用戶可以利(li)用同(tong)一帳(zhang)號上網、辦公。不管是(shi)企業局(ju)域網還是(shi)酒店局(ju)域網，局(ju)域網內人員私接無線路由器(qi)(qi)都是(shi)一個(ge)棘(ji)手的(de)(de)問(wen)題。 私接路(lu)由會有哪些(xie)危害？
● 如果私接路由(you)下的某臺電腦(nao)中(zhong)毒，網(wang)管將很難定位(wei)病(bing)毒源，會造成(cheng)病(bing)毒肆意傳播，甚至造成(cheng)網(wang)絡癱瘓、資(zi)料損(sun)壞等。
● 由于很(hen)多(duo)私接無線(xian)路由器(qi)(qi)的(de)人(ren)員(yuan)為非(fei)專(zhuan)業(ye)人(ren)員(yuan)，如果私接路由器(qi)(qi)沒有設(she)置正確，直接接到(dao)內網，造成企業(ye)路由器(qi)(qi)下電(dian)腦和內網電(dian)腦搶IP的(de)現象，使部(bu)分(fen)電(dian)腦不能上網。
● 若私接路由的WAN口的IP為內(nei)網中(zhong)允許訪問WEB的IP，那么其(qi)LAN下主機都能通(tong)過這個(ge)IP上WEB，那將大大會增加(jia)企業資(zi)源造泄露的風險。
哪些現象可(ke)能是私接路(lu)由？
● 同工作區(qu)域內(nei)的部(bu)分同事反映(ying)不能(neng)正(zheng)常連接公司內(nei)部(bu)網絡、或不能(neng)正(zheng)常收發郵件。
● 未授權訪問外網(wang)WEB的(de)同(tong)事在(zai)(zai)看網(wang)頁(ye)和在(zai)(zai)線視頻。
發現私(si)接路(lu)由后(hou)，如何查找？
可以(yi)(yi)通過以(yi)(yi)下多種方式結合排(pai)查：
● 查看故障主機IP、網關(guan)等相(xiang)關(guan)設置。
● 區域(yu)內(nei)IP、MAC掃(sao)描，跟內(nei)部(bu)主(zhu)機IP表、常(chang)用設備型號進行對(dui)比。
● PING -a xxx，可以獲取(qu)電腦的(de)主機名，若(ruo)不返回(hui)，則可疑。
● 在(zai)可網管上(shang)層交換機(ji)上(shang)查看狀態，防火墻上(shang)看Session。
如何禁止私接的路由(you)器？
技術手段
1）IP-MAC綁(bang)定，甚至(zhi)做交換機的端口綁(bang)定。
2）在匯聚(ju)層(ceng)將不被允(yun)許路由IP/MAC出來的包(bao)進行Drop。
3）防火墻或(huo)路由(you)器上設(she)置數據包(bao)轉發(fa)次數TTL限制。
4）PPPOE賬號認(ren)證(zheng)、802.1X端口認(ren)證(zheng)+RADIUS用(yong)戶認(ren)證(zheng)服務(wu)器。
5）域+ISA防火墻，設置(zhi)只有域內成員主(zhu)機才能被允(yun)許上(shang)網。
6）添加端口靜(jing)態(tai)安全MAC地(di)址，缺(que)省端口最大安全MAC數為1。
7）其它限速方法，使其不(bu)能快速上網(wang)，以達到放棄私(si)接路(lu)由(you)器的目的。
具體(ti)可(ke)以通過流量控制，以及Session限制/交換機端口(kou)連接數限制進行設置。
選擇(ze)一(yi)款(kuan)主(zhu)流(liu)的準入控(kong)制(zhi)系統，可以禁止無線(xian)路由器、禁止無線(xian)AP上(shang)網(wang)(wang)，當發(fa)現有非法路由設備接入網(wang)(wang)內時(shi)可及時(shi)進(jin)行(xing)報警和(he)響(xiang)應措施，有效防止網(wang)(wang)內成(cheng)員隨意修改終端(duan)IP、MAC或(huo)亂接網(wang)(wang)線(xian)問題(ti)。同時(shi)，準入控(kong)制(zhi)系統還(huan)可監控(kong)無線(xian)路由器下各個電腦的上(shang)網(wang)(wang)行(xing)為(wei)，保障網(wang)(wang)絡安(an)全。
