禁止使用无线路由器、限制局域网接无线路由器、局域网禁用路由器的方法

作者：大势至 日期：2014.3.2

当前，在公司局域网中，由于白领上班族的手机、平板电脑以及笔记本电脑等无线上网设备很多，而公司的局域网常常没有足够的网线供这些设备上网，同时手机和平板电脑也不支持有线网络，而只能通过无线wifi上网。而很多公司也不并都有自己的无线wifi，这使得员工经常会自行安装一些无线路由器，然后为自己的手机、平板等设备提供无线上网服务。同时，现在无线路由器的价格非常便宜，很多员工还随身携带无线路由器，这使得在公司局域网中，私接无线路由器的现象极为普遍。

同时，由于员工私自接无线路由器，并用自己的手机、平板电脑通过无线路由器下载文件，一方面会占用公司的网络带宽；另一方面，在公司本来就是无线局域网的情况下，还会占用公司的无线IP地址。此外，员工通过手机、平板无线上网也会占用员工自身的工作时间，造成工作效率降低，影响公司的经营生产活动。

为此，公司局域网必须禁止使用无线路由器、禁止局域网接无线路由器，实现局域网禁止路由器的网络管理举措。那么，公司局域网如何屏蔽无线路由器、限制使用无线路由器呢？笔者以为，公司局域网控制无线路由器使用的方法主要有几个：

首先，如果是在有线局域网的情况下，则可以通过IP和MAC地址绑定的方法来限制无线路由器接入交换机。在对局域网电脑做了IP和MAC地址绑定的情况，则外来电脑、无线路由器等由于没有加入到公司的IP和MAC绑定列表中去，自然也就无法接入公司局域网了。同时，也可以防止员工私自修改IP和MAC地址而引发的局域网IP地址冲突攻击的情况发生。但是，由于员工可以通过修改无线路由器的IP地址成自己电脑的IP地址，同时将无线路由器的MAC地址克隆自己电脑的MAC地址，因此依然可以绕过公司的IP和MAC地址绑定而达到重新可以启用无线路由器的目的，因此这种管理局域网无线路由器使用的方法存在一定的安全漏洞，很容易被一些稍微懂一些网络技术的员工绕过，是一种不太彻底的阻止无线路由器接入局域网的方法。如下图所示：

图：路由器的IP和MAC地址绑定功能

其次，可以通过一些网络安全管理软件来检测局域网无线路由器，然后禁止使用无线路由器。目前，国内一些有一些专门的网络安全管理软件，如“聚生网管”软件（下载地址：http://www.grablan.com/soft.html），可以检测局域网无线路由器，同时这种检测基于深度数据包识别，包括探测数据包的签名、从数据包里面解析出路由器的特征的方法来识别无线路由器，然后在发现无线路由器之后，可以直接阻止无线路由器的网络通信，从而使得所有通过无线路由器上网的手机、平板电脑等都无法上网，从而实现了阻止局域网无线路由器的目的。同时，如果你的局域网本来就是无线局域网，则你一方面可以通过聚生网管查找局域网无线路由器，阻止无线路由器上网；另外一个方面，由于员工的手机、平板电脑或笔记本电脑和聚生网管是在同一个IP段内，则你可以通过聚生网管的网络控制功能，把这些手机和平板电脑当做电脑来管理，有效控制P2P下载、炒股、聊天、玩游戏以及限制电脑网速等功能，从而也可以防止员工通过手机做这些与工作无关的上网行为。如下图所示：

图：启用手机、平板和无线路由器扫描功能

图：扫描到局域网手机、平板和无线路由器

图：控制P2P下载、限制网络视频截图

图：控制局域网网速、限制上网带宽截图

图：禁止局域网网购、限制在线购物截图

此外，较近出现一种“随身wifi”的无线上网设备，插入电脑USB接口之后，也可以充当无线路由器的功能，可以为自己的手机或平板提供上网服务。这种情况下，由于这种无线上网设备是依赖员工自己的电脑，同时传输网卡也是基于台式机自身的有线网卡，因此很难通过网络扫描的方式来探测这些无线上网设备。那么，这种情况下，网管员可以通过BIOS屏蔽USB端口、禁用USB接口的方式来禁用随身wifi、屏蔽随身wifi的使用。但是，由于现在很多鼠标、键盘都是USB接口，包括很多U盾、打印机也都用到USB端口，因此也不能完全禁止USB接口使用。那么，这种情况下可以用一款“大势至USB端口管理软件”来实现，这是一款专业禁用U盘、移动硬盘和手机存储卡的软件，集成了一个“禁用随身wifi”的功能，可以让你轻松禁用360随身wifi、禁用百度随身wifi等主流的随身wifi设备，从而可以有效阻止员工随意在电脑使用随身wifi的行为，防止了网络不适当扩展。如下图所示：

图：禁用随身wifi、禁用360随身wifi截图
 

        总之，在公司局域网中，由于无线路由器、随身wifi等设备的存在，会对公司局域网造成各种各样的负面影响，因此必须采取各种举措加以制止和管理。对于国内大多数企事业单位来说，推荐使用专业的电脑安全软件加以管理，比较方便，同时效果相对更好。