當前，通過移動設備連接wifi進行辦公的現(xiàn)象越來越普遍，很多單位也都組建了無線局域網(wǎng)，便于大家通過移動設備開展工作。這雖然方便了大家通過移動設備辦公，但也由此引發(fā)了網(wǎng)絡安全問題，使得各種移動設備，尤其是與工作無關的移動設備也可以輕松接入公司局域網(wǎng)，通過公司局域網(wǎng)無線wifi進行上網(wǎng)、訪問網(wǎng)絡資源等行為。

不僅是公司的內(nèi)部員工，外來人員也可以輕松通過手機、平板電腦等移動設備連接到公司無線局域網(wǎng)，獲得免費上網(wǎng)沖浪，甚至訪問局域網(wǎng)共享文件的權限，從而給單位網(wǎng)絡安全造成了巨大安全隱患。因此，必須采取有效的舉措來禁止移動設備接入，實現(xiàn)wifi禁止他人接入，控制移動終端隨意接入網(wǎng)絡。

公司局域網(wǎng)如何禁止移動設備接入，實現(xiàn)移動終端禁止接入網(wǎng)絡呢?可以通過以下兩種舉措：

方法一、通過路由器、防火墻或者交換機來實現(xiàn)移動終端禁止接入網(wǎng)絡。

通常的做法是：在路由器、防火墻或者交換機上做IP和MAC地址綁定，只有加入到綁定表內(nèi)的電腦才可以上網(wǎng);同時一般還關閉路由器上DHCP服務功能，從而使得外來電腦無法接入到內(nèi)網(wǎng)上網(wǎng)。如下圖所示：喜歡互聯(lián)網(wǎng)做事業(yè)的朋友，可以咨詢微信：15179264793 一部手機做全球生意，零成本，零開支，團隊運作手把手教。

但是，由于路由器、防火墻或者交換機的IP和MAC地址綁定一般是禁止內(nèi)網(wǎng)的電腦私自更改IP地址或者MAC地址，但是卻無法禁止外來電腦接到內(nèi)網(wǎng)，也就是說外來電腦可以接入到內(nèi)網(wǎng)訪問內(nèi)網(wǎng)共享資源，并且還可以上網(wǎng)，從而無法實現(xiàn)對內(nèi)網(wǎng)共享資源的有效保護;而對于單位內(nèi)部電腦，雖然更改IP或MAC地址可以防止電腦上網(wǎng)，但是仍舊無法阻止電腦訪問局域網(wǎng)其他電腦或服務器，從而無法實現(xiàn)有效的局域網(wǎng)安全管理和商業(yè)機密的保護。

同時，一些單位還常常需要開啟路由器等設備的DHCP服務功能，從而可以更加便利了外來電腦接入到內(nèi)網(wǎng);此外，很多單位是采用無線局域網(wǎng)上網(wǎng)，外來筆記本可以輕松獲取IP地址進行上網(wǎng)，即便設置了密鑰，但一般情況下也礙于情面，不可能拒絕外來用戶的上網(wǎng)行為;

而對局域網(wǎng)ARP攻擊、ARP欺騙雖然可以通過在路由器上做IP和MAC綁定或者開啟ARP攻擊防御功能，但是實際上有效防御ARP攻擊還必須在員工電腦做綁定，也即雙向綁定，由于這個工作量較大而常常使得網(wǎng)管望而卻步。同時，當前流行的ARP;而對于局域網(wǎng)內(nèi)處于混雜模式的網(wǎng)卡，可能運行的一些黑客軟件、嗅探軟件或抓包軟件，則網(wǎng)管員通常無法及時發(fā)現(xiàn)，同時也無法阻斷，這使得企事業(yè)單位面臨著巨大的商業(yè)機密泄露的風險和信息安全的風險。

方法二、通過一些網(wǎng)絡準入控制系統(tǒng)、網(wǎng)絡終端接入控制軟件來實現(xiàn)。

鑒于通過路由器控制移動終端接入的不足，可以考慮通過一些網(wǎng)絡準入控制軟件來實現(xiàn)。目前國內(nèi)有很多架構的網(wǎng)絡準入控制系統(tǒng)，但基本分為B/S架構和C/S架構兩種，前者不需要安裝客戶端軟件，后者需要安裝管理端和客戶端。具體如何選擇呢?

筆者以為，首先要考慮單位的實際需要，然后是系統(tǒng)的便捷性、易用性，以及系統(tǒng)的成本支出等方面。同時，經(jīng)過筆者多年的實踐，發(fā)現(xiàn)B/S架構的網(wǎng)絡準入控制系統(tǒng)基本可以滿足用戶的需要，可以避免每臺電腦都要安裝客戶端軟件的麻煩，更為便捷和易用。

例如有一款“大勢至網(wǎng)絡準入控制系統(tǒng)”，基于B/S架構，只需要在局域網(wǎng)一臺電腦安裝部署之后就可以實時監(jiān)測局域網(wǎng)移動終端接入情況，可以有效禁止外來筆記本電腦、平板電腦和手機等移動設備接入，防止隨意訪問局域網(wǎng)共享或隨意上網(wǎng)的行為。同時，還可以實現(xiàn)IP和MAC地址綁定，禁止修改IP地址、禁止修改MAC地址的行為，還可以防范ARP攻擊行為。此外，還可以禁止無線路由器接入局域網(wǎng)、禁止局域網(wǎng)代理上網(wǎng)等，有效阻止各種網(wǎng)絡接入行為，如下圖所示：

總之，公司局域網(wǎng)實現(xiàn)移動終端禁止接入、禁止移動終端接入無線wifi，一方面可以通過路由器、防火墻或者交換機等網(wǎng)絡設備實現(xiàn)，另一方面也可以借助一些專門的移動終端接入軟件，具體采用何種方法，可以根據(jù)自己的需要進行抉擇。