如何禁止內(nèi)網(wǎng)私接路由

如何禁止

內(nèi)網(wǎng)私接路由器－－－案例分享討論私接路由會有哪些危害？1、如果私接路由器下的某臺電腦中病毒，網(wǎng)絡中心或網(wǎng)管人員將很難定位病毒源，造成病毒肆意傳播，甚至造成網(wǎng)絡癱瘓，資料損壞等。2、如果私接路由器沒有設(shè)置正確，直接接到內(nèi)網(wǎng)中，可能造成路由器下電腦和內(nèi)網(wǎng)電腦搶IP的現(xiàn)象，使部分電腦不能上網(wǎng)。3、更顯然的是，若私接路由的WAN的IP為內(nèi)網(wǎng)中允許訪問web的IP，那么其LAN下主機都能通過這個IP上web，這不僅是盜用企業(yè)資源，更是企業(yè)內(nèi)部的巨大安全隱患。哪些現(xiàn)象可能是有私接路由了？1、同工作區(qū)域內(nèi)部分同仁反映不能正常聯(lián)公司內(nèi)部網(wǎng)絡、或不能正常收發(fā)郵件。2、未授權(quán)訪問外網(wǎng)web的同仁在看網(wǎng)頁，在線看視頻等。發(fā)現(xiàn)有私接路由了，如何查找？多種方法的結(jié)合：1、查看故障主機IP、網(wǎng)關(guān)等相關(guān)設(shè)定。2、區(qū)域內(nèi)IP、MAC掃描，跟內(nèi)部主機IP表、常用設(shè)備型號對比等。3、ping-axxx，可以獲取電腦的主機名，若不返回主機名，則可疑。4、在可網(wǎng)管上層交換機上看狀態(tài)、防火墻上看Session。如何禁止那些私自接上的路由器？1、行政干預2、技術(shù)手段3、網(wǎng)控設(shè)備+軟件方法一：行政干預最不靠譜，但又必須執(zhí)行的手段－－可能成為最有效手段回收管理員權(quán)限、網(wǎng)絡安全基礎(chǔ)知識普及……方法二：技術(shù)手段1、IP-MAC綁定，更甚可做交換機端口綁定---對私接路由器有MAC克隆功能者，此方法不理想甚至無效2、在匯聚層Drop掉不被允許路由IP/MAC出來的包3、防火墻或路由上設(shè)置數(shù)據(jù)包轉(zhuǎn)發(fā)次數(shù)TTL限制4、PPPoE帳號認證、802.1x端口認證+RADIUS用戶認證服務器（需有一臺認證服務器+交換機支持）---網(wǎng)絡準入+控件準入5、域+ISA防火墻，設(shè)置只有域內(nèi)成員被允許的主機才能上網(wǎng)6、添加端口靜態(tài)安全MAC地址，缺省端口最大安全MAC數(shù)為16、其他限速方法，使其不能快速上網(wǎng)，以達到逐漸放棄私接路由給別人用的目的（1）流量控制（2）session限制/交換機端口連接數(shù)限制方法三：網(wǎng)控設(shè)備+軟件1、硬件入網(wǎng)準入系統(tǒng)：盈高、深信服……2、軟路由+流控軟件：WAYOS+Panabit，海蜘蛛……延伸討論：不禁用私接路