本文目录导读：
- 物理/链路层：MAC 地址过滤（基础但易绕过）
- 网络层：802.1X 认证（企业级标准）
- 应用层：网络准入控制（NAC, Network Access Control）
- 无线专有方案：WPA2/WPA3-Enterprise + RADIUS
- 动态环境：证书认证（零信任理念）
- 低成本防御：VLAN + DHCP 隔离+行为监控
- 终极方案：物理端口控制
- 具体实施建议（分场景）
- 警告：切勿忽视的漏洞
- 快速排查：检测当前是否有陌生终端
禁止陌生终端接入网络（如公司内网、家庭WiFi或服务器），需要从网络层、设备认证、接入控制三个维度进行组合防御,以下是具体的技术实现方案：
物理/链路层：MAC 地址过滤（基础但易绕过）
适用场景：小型家庭网络、非敏感区域。 操作步骤：
- 路由器后台：找到“无线MAC地址过滤”或“访问控制”功能。
- 白名单模式：将已知设备（手机、电脑）的MAC地址添加进允许列表。
- 拒绝模式：开启“禁止未授权设备接入”，默认拒绝所有新设备。 缺点：MAC地址可被伪造,且手动管理大量设备不现实。
网络层：802.1X 认证（企业级标准）
适用场景：公司内网（有线+无线）、学校/政府网络。 原理：终端连接网络时必须通过RADIUS服务器校验身份（用户名+密码或证书）。 实现方式：
- 交换机/AP开启802.1X，部署RADIUS服务器（如FreeRADIUS, Windows NPS）。
- 终端需安装客户端（如Windows内置的Wired AutoConfig）。
- 禁止陌生设备：未在RADIUS后台登记的设备，即使物理接入网口,也无法获取IP。
应用层：网络准入控制（NAC, Network Access Control）
适用场景：需要精细管控接入设备类型（如仅允许Windows域设备）。 功能：在设备接入后，检查其合规性（如是否安装杀毒软件、补丁版本、操作系统类型）。 典型产品：
- Cisco ISE（思科身份服务引擎）
- Aruba ClearPass
- FortiNAC 效果：陌生终端（如私人笔记本）接入后，被重定向到隔离VLAN,无法访问业务系统。
无线专有方案：WPA2/WPA3-Enterprise + RADIUS
适用场景：WiFi网络（企业级）。 操作：
- 配置WPA2/WPA3-Enterprise加密方式。
- RADIUS服务器验证用户凭证（如域账号、证书）。
- 关键配置：在RADIUS中设置“拒绝未知用户”或“仅允许特定设备组”。
动态环境：证书认证（零信任理念）
适用场景：高安全环境（金融、政府、研发部门）。 原理：每个允许接入的终端必须安装由内部CA签发的客户端证书。 实施：
- 部署企业CA（如AD CS, OpenSSL）。
- 交换机/AP配置TLS握手,要求终端提交证书。
- 未安装合法证书的设备（陌生终端）无法完成握手,直接断开。
低成本防御：VLAN + DHCP 隔离+行为监控
适用场景：中小型企业、临时防御。 组合策略：
- 端口安全：在交换机上配置“Sticky MAC”，自动学习端口上第一个设备的MAC，后续设备接入即告警/断网。
- DHCP Snooping：仅允许从授权DHCP服务器获取IP,防止陌生设备手动配置静态IP。
- DNS/RADIUS联动：陌生设备接入后，DHCP分配特殊IP（如172.16.x.x），该段IP只能访问认证页面（强制Portal认证）。
终极方案：物理端口控制
适用场景：物理安全要求极高的环境。 操作：
- 锁闭配线架：未使用的网口在交换机端直接配置
shutdown。 - 现场管控：需经申请、登记后,管理员才手动开启对应端口。
具体实施建议（分场景）
| 场景 | 推荐方案 | 实施难度 | 投入成本 |
|---|---|---|---|
| 家庭WiFi防蹭网 | ① MAC白名单 ② 隐藏SSID ③ WPA3+AES 密码强度 | 低 | 无 |
| 小企业（10-50人） | ① 企业级AP + WPA2-Enterprise ② 简单NAC（如OpenNAC） | 中 | 低（软路由/OpenWRT） |
| 公司内网有线端口 | ① 1X + AD域 ② 交换机端口安全（Sticky MAC） | 高 | 中（RADIUS服务器） |
| 数据中心/实验室 | ① 证书认证 ② 物理开关（管理员手动接网线） | 极高 | 中 |
警告：切勿忽视的漏洞
- MAC欺骗：纯MAC过滤可被嗅探并伪造。
- HUB/TAP设备：攻击者可能插入小型交换机绕过端口安全。
- Guest VLAN：确保“Guest”或“Public”VLAN被严格隔离，仅能访问互联网,不能访问内网。
快速排查：检测当前是否有陌生终端
- 扫描工具：使用
Nmap（局域网IP扫描）、Wireshark（抓包分析）、路由器的“设备列表”。 - 对比白名单：将当前在线设备与允许列表对比，发现异常立即踢下线（通过路由器/交换机）。
