如何禁止内网私接路由.pptx

如何禁止内网私接路由器 －－－案例分享讨论 私接路由会有哪些危害？ 1、如果私接路由器下的某台电脑中病毒，网络中心或网管人员将很难定位病毒源，造成病毒肆意传播，甚至造成网络瘫痪，资料损坏等。 2、如果私接路由器没有设置正确，直接接到内网中，可能造成路由器下电脑和内网电脑抢IP的现象，使部分电脑不能上网。 3、更显然的是，若私接路由的WAN的IP为内网中允许访问web的IP，那么其LAN下主机都能通过这个IP上web，这不仅是盗用企业资源，更是企业内部的巨大安全隐患。 哪些现象可能是有私接路由了？ 1、同工作区域内部分同仁反映不能正常联公司内部网络、或不能正常收发邮件。 2、未授权访问外网web的同仁在看网页，在线看视频等。 发现有私接路由了，如何查找？ 多种方法的结合： 1、查看故障主机IP、网关等相关设定。 2、区域内IP、MAC扫描，跟内部主机IP表、常用设备型号对比等。 3、ping -a xxx，可以获取电脑的主机名，若不返回主机名，则可疑。 4、在可网管上层交换机上看状态、防火墙上看Session。 如何禁止那些私自接上的路由器？ 1、行政干预 2、技术手段 3、网控设备+软件 方法一：行政干预 最不靠谱，但又必须执行的手段－－可能成为最有效手段 回收管理员权限、网络安全基础知识普及…… 方法二：技术手段 1、IP-MAC绑定，更甚可做交换机端口绑定 ---对私接路由器有MAC克隆功能者，此方法不理想甚至无效 2、在汇聚层Drop掉不被允许路由IP/MAC出来的包 3、防火墙或路由上设置数据包转发次数TTL限制 4、PPPoE帐号认证、802.1x端口认证+RADIUS用户认证服务器 （需有一台认证服务器+交换机支持）---网络准入+控件准入 5、域+ISA防火墙，设置只有域内成员被允许的主机才能上网 6、添加端口静态安全MAC地址，缺省端口最大安全MAC数为1 6、其他限速方法，使其不能快速上网，以达到逐渐放弃私接路由给别人用的目的 （1）流量控制 （2）session限制/交换机端口连接数限制 方法三：网控设备+软件 1、硬件入网准入系统：盈高、深信服…… 2、软路由+流控软件：WAYOS+Panabit，海蜘蛛…… 延伸讨论： 不禁用私接路由的情况下，如何禁止路由、电脑等设备的DHCP功能？ 网络安全不仅是网管人员的事， 而是全公司同仁共同的事