當(dāng)前，通過(guò)移動(dòng)設(shè)備連接wifi進(jìn)行辦公的現(xiàn)象越來(lái)越普遍，很多單位也都組建了無(wú)線局域網(wǎng)，便于大家通過(guò)移動(dòng)設(shè)備開展工作。這雖然方便了大家通過(guò)移動(dòng)設(shè)備辦公，但也由此引發(fā)了網(wǎng)絡(luò)安全問(wèn)題，使得各種移動(dòng)設(shè)備，尤其是與工作無(wú)關(guān)的移動(dòng)設(shè)備也可以輕松接入公司局域網(wǎng)，通過(guò)公司局域網(wǎng)無(wú)線wifi進(jìn)行上網(wǎng)、訪問(wèn)網(wǎng)絡(luò)資源等行為。

[[242865]]

不僅是公司的內(nèi)部員工，外來(lái)人員也可以輕松通過(guò)手機(jī)、平板電腦等移動(dòng)設(shè)備連接到公司無(wú)線局域網(wǎng)，獲得免費(fèi)上網(wǎng)沖浪，甚至訪問(wèn)局域網(wǎng)共享文件的權(quán)限，從而給單位網(wǎng)絡(luò)安全造成了巨大安全隱患。因此，必須采取有效的舉措來(lái)禁止移動(dòng)設(shè)備接入，實(shí)現(xiàn)wifi禁止他人接入，控制移動(dòng)終端隨意接入網(wǎng)絡(luò)。

公司局域網(wǎng)如何禁止移動(dòng)設(shè)備接入，實(shí)現(xiàn)移動(dòng)終端禁止接入網(wǎng)絡(luò)呢?可以通過(guò)以下兩種舉措：

方法一、通過(guò)路由器、防火墻或者交換機(jī)來(lái)實(shí)現(xiàn)移動(dòng)終端禁止接入網(wǎng)絡(luò)。

通常的做法是：在路由器、防火墻或者交換機(jī)上做IP和MAC地址綁定，只有加入到綁定表內(nèi)的電腦才可以上網(wǎng);同時(shí)一般還關(guān)閉路由器上DHCP服務(wù)功能，從而使得外來(lái)電腦無(wú)法接入到內(nèi)網(wǎng)上網(wǎng)。如下圖所示：喜歡互聯(lián)網(wǎng)做事業(yè)的朋友，可以咨詢微信：15179264793 一部手機(jī)做全球生意，零成本，零開支，團(tuán)隊(duì)運(yùn)作手把手教。

但是，由于路由器、防火墻或者交換機(jī)的IP和MAC地址綁定一般是禁止內(nèi)網(wǎng)的電腦私自更改IP地址或者M(jìn)AC地址，但是卻無(wú)法禁止外來(lái)電腦接到內(nèi)網(wǎng)，也就是說(shuō)外來(lái)電腦可以接入到內(nèi)網(wǎng)訪問(wèn)內(nèi)網(wǎng)共享資源，并且還可以上網(wǎng)，從而無(wú)法實(shí)現(xiàn)對(duì)內(nèi)網(wǎng)共享資源的有效保護(hù);而對(duì)于單位內(nèi)部電腦，雖然更改IP或MAC地址可以防止電腦上網(wǎng)，但是仍舊無(wú)法阻止電腦訪問(wèn)局域網(wǎng)其他電腦或服務(wù)器，從而無(wú)法實(shí)現(xiàn)有效的局域網(wǎng)安全管理和商業(yè)機(jī)密的保護(hù)。

同時(shí)，一些單位還常常需要開啟路由器等設(shè)備的DHCP服務(wù)功能，從而可以更加便利了外來(lái)電腦接入到內(nèi)網(wǎng);此外，很多單位是采用無(wú)線局域網(wǎng)上網(wǎng)，外來(lái)筆記本可以輕松獲取IP地址進(jìn)行上網(wǎng)，即便設(shè)置了密鑰，但一般情況下也礙于情面，不可能拒絕外來(lái)用戶的上網(wǎng)行為;

而對(duì)局域網(wǎng)ARP攻擊、ARP欺騙雖然可以通過(guò)在路由器上做IP和MAC綁定或者開啟ARP攻擊防御功能，但是實(shí)際上有效防御ARP攻擊還必須在員工電腦做綁定，也即雙向綁定，由于這個(gè)工作量較大而常常使得網(wǎng)管望而卻步。同時(shí)，當(dāng)前流行的ARP;而對(duì)于局域網(wǎng)內(nèi)處于混雜模式的網(wǎng)卡，可能運(yùn)行的一些黑客軟件、嗅探軟件或抓包軟件，則網(wǎng)管員通常無(wú)法及時(shí)發(fā)現(xiàn)，同時(shí)也無(wú)法阻斷，這使得企事業(yè)單位面臨著巨大的商業(yè)機(jī)密泄露的風(fēng)險(xiǎn)和信息安全的風(fēng)險(xiǎn)。

方法二、通過(guò)一些網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)、網(wǎng)絡(luò)終端接入控制軟件來(lái)實(shí)現(xiàn)。

鑒于通過(guò)路由器控制移動(dòng)終端接入的不足，可以考慮通過(guò)一些網(wǎng)絡(luò)準(zhǔn)入控制軟件來(lái)實(shí)現(xiàn)。目前國(guó)內(nèi)有很多架構(gòu)的網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)，但基本分為B/S架構(gòu)和C/S架構(gòu)兩種，前者不需要安裝客戶端軟件，后者需要安裝管理端和客戶端。具體如何選擇呢?

筆者以為，首先要考慮單位的實(shí)際需要，然后是系統(tǒng)的便捷性、易用性，以及系統(tǒng)的成本支出等方面。同時(shí)，經(jīng)過(guò)筆者多年的實(shí)踐，發(fā)現(xiàn)B/S架構(gòu)的網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)基本可以滿足用戶的需要，可以避免每臺(tái)電腦都要安裝客戶端軟件的麻煩，更為便捷和易用。

例如有一款“大勢(shì)至網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)”，基于B/S架構(gòu)，只需要在局域網(wǎng)一臺(tái)電腦安裝部署之后就可以實(shí)時(shí)監(jiān)測(cè)局域網(wǎng)移動(dòng)終端接入情況，可以有效禁止外來(lái)筆記本電腦、平板電腦和手機(jī)等移動(dòng)設(shè)備接入，防止隨意訪問(wèn)局域網(wǎng)共享或隨意上網(wǎng)的行為。同時(shí)，還可以實(shí)現(xiàn)IP和MAC地址綁定，禁止修改IP地址、禁止修改MAC地址的行為，還可以防范ARP攻擊行為。此外，還可以禁止無(wú)線路由器接入局域網(wǎng)、禁止局域網(wǎng)代理上網(wǎng)等，有效阻止各種網(wǎng)絡(luò)接入行為，如下圖所示：

總之，公司局域網(wǎng)實(shí)現(xiàn)移動(dòng)終端禁止接入、禁止移動(dòng)終端接入無(wú)線wifi，一方面可以通過(guò)路由器、防火墻或者交換機(jī)等網(wǎng)絡(luò)設(shè)備實(shí)現(xiàn)，另一方面也可以借助一些專門的移動(dòng)終端接入軟件，具體采用何種方法，可以根據(jù)自己的需要進(jìn)行抉擇。