新手716814 发表于 2023-11-11 08:07
  
感谢分享有助于工资和学习!
新手378833 发表于 2023-11-27 09:36
  
感谢分享有助于工资和学习!
新手716814 发表于 2023-12-3 17:45
  
谢谢楼主分享,学习了。。。。
新手612152 发表于 2024-9-8 07:35
  
一起来学习,一起来学习
dhf 发表于 2024-9-25 10:21
  
感谢楼主的精彩分享,有助工作!!!
如何通过AC防止企业网私接小路由器
  

钱多多 83162人觉得有帮助

{{ttag.title}}

1.1 需求
目前企业需要面对共享上网主要带来的以下 个问题:
1)企业中,不少用户共享自己访问互联网的权限给其他用户,绕开了企业对用户设定的上网权限控制,使得原本没有上网权限的用户可以上网了,或者使得原本上网权限较低的用户拥有了较高的权限,给网络管理带来了诸多麻烦。
2)私接Wi-Fi容易暴露内网,因此需要禁止共享上网行为,避免共享接入的用户绕开企业的上网权限控制和上网行为监控。
在企业的网络管理中出现了防共享上网的需求,即防代理、防一拖N的需求(多台终端通过同一个前端路由器NAT共享上网)
1.2 测试环境
使用测试设备搭建小型局域网环境,拓扑如下
1.3 防共享原理简介

传统的防共享技术,如流量/连接数统计、MAC地址检测、SNMP扫描检测、TTL检测防共享效果差,识别不准,深信服采用行业内领先的防共享技术精准识别,主要有如下几种
1、深信服DPI检测技术
通过分析常用应用软件的数据包,发现一些软件刚启用不久发送的TCP数据包中带有PCIP信息,AC设备通过分析这些数据包可以提取出PC端的IP,根据不同的IP数量得出共享的PC数量,比如QQ登录时候的数据包中会携带电脑网卡的IP地址,适用于windows的电脑。
2QQ检测防共享原理
3、深信服字体检测技术
在共享的PC相继访问http网站,播放在线视频(浏览器需要安装flash), AC篡改PC请求,令PC上报系统字体信息到AC,假设pc1 上报的字体为font1PC2上报的为font2, 那么要检测到PC1PC2共享需要类似于这样的上报序列 font1font2font1交错上报,就可以识别出共享行为。
4、深信服辅助检测技术
1URL检测通过分析常用应用软件的数据包,发现一些软件刚启用不久发送的HTTP请求中, URL会有一些特征串,在这些特征串中会有一段信息是和终端强关联的,即同一终端发送的特征串信息是相同的,不同终端间发送的是不同的, AC设备根据提取到的不同的特征串数量得出共享的终端数量。
2微信特征ID 检测通过分析微信客户端在发送消息时,在数据包固定的偏移位置,存在相同的一串二进制数对于同一个微信客户端。AC通过提取这串二进制数,统计提取数量的个数得出共享移动终端数量。

1.4 业务改造过程
第一步:识别小路由器然后禁止小路由器上网(梳理出有多少小路由器)
1、采用深信服上网行为管理来识别私接的小路由器的IP地址
2、设置终端数量达到2台及以上,进行冻结该IP(时长可以自定义)
第二步:改造小路由器,将小路由器,变成一个单纯无线信号发射器(解决私网无法准入的问题)
1)登入无线路由器,关闭无线路由器的DHCP功能,只保留WIFI,设置好WIFISSID和密码。
2)网线接到无线路由器的LAN口上即可,这时候无线路由器就是起无线交换机的作用。
第三步:网络改造(解决终端无法获取IP地址的问题)
由于在第二步中我们关闭的小路由器的DHCP功能,所以终端设备连接上小路由器的信号后是无法获取IP地址的,所以我们需要在核心交换机上从新启用一个新的网段,如192.168.100.0/24,这样终端设备在连接小路由器发射出来的信号后就会获取到核心交换机给它分配的IP地址,这样终端设备就可以上网了

第三步:开启portal准入
启动准入,终端打开网页的时候就弹出认证界面,进行认证,可以对上网日志记录

1.5 总结
员工上网随意,办公场所沦为网吧,虽然有企业规章制度,但形同空文,缺少有效的管控手段。分析原因,主要还是上网权限缺乏管理和控制,采用深信服上网行为管理,可以有效解决路由器共享、准入认证问题。

打赏鼓励作者,期待更多好文!

打赏
32人已打赏

发表新帖
热门标签
全部标签>
西北区每日一问
技术盲盒
安全效果
【 社区to talk】
技术笔记
干货满满
每日一问
信服课堂视频
新版本体验
GIF动图学习
技术咨询
功能体验
2023技术争霸赛专题
产品连连看
安装部署配置
通用技术
秒懂零信任
技术晨报
自助服务平台操作指引
原创分享
标准化排查
排障笔记本
玩转零信任
排障那些事
SDP百科
深信服技术支持平台
POC测试案例
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
高手请过招
升级&主动服务
高频问题集锦
社区新周刊
全能先锋系列
云化安全能力

本版版主

147
113
49

发帖

粉丝

关注

121
315
351

发帖

粉丝

关注

7
20
6

发帖

粉丝

关注

5
7
7

发帖

粉丝

关注

本版达人

新手89785...

本周建议达人

七嘴八舌bar

本周分享达人

新手76619...

本周提问达人