请教一下目前的技术是否可以做到封锁员工自己带的随身 wifi？就是说让员工即便是插上随身 wifi 但是也用不了，如果能做到的话效果是啥样的？是没有 wifi 信号吗

[turan12]

不知道干扰 2.4G 和 5G 频段的罪过会不会比直接干扰移动信号频段大。这问题应该要用行政手段来解决吧，比如说发现一次罚款 2k，再次发现罚款 5k，第三次发现直接走人之类的。

[murmur]

抓到就开除即可
损一点可以鼓励互相举报

[7sa]

上网行为管理设备就可以，一般效果就是封你电脑 ip 一段时间

[yanyuechuixue]

封锁 USB 接口不就行了？

不过干嘛要不允许…

[SuperMild]

楼主是说员工手机还是公司电脑？

[b821025551b]

把旁边的三家运营商基站炸了。

[yulitian888]

定向干扰？怎么识别哪些设备是员工带来的，哪些是办公环境里的？

[Tink]

我们公司可以

[hing]

爱快路由器可以限制随身 WiFi

[learnshare]

何必？

[Laobai]

爱快，高恪等固件都能限制随身 wifi

[zj299792458]

用法拉第笼啊，墙上地上铺一层金属即可，然后在屋内放一个运营商信号 2g 的发射器，类似电梯里，如果电话也不让用那就不用了。文科生纯 yy。

[IllllI]

不明白这是要干嘛

[Applenice]

那直接禁所有设备的 USB （先指定一台开放 USB 的机器），大家都从那台机器传输文件不就行了

[f2f2f]

终端装管理软件就行，全部连接都封死

[timwei]

有域控的话，组策略禁用无线网卡跟 usb 口

怕员工取回本地管理员就锁机箱

再不济就上 workwin/ipguard

[Applenice]

加一句，手机开热点的话就不知道了啊（逃

[bfhh126]

防火墙监测到多终端上网直接封 IP 一段时间。

[l0wkey]

有个脑洞...
准实时探测非公司提供的 ssid，找 bssid，AP 模拟对应 bssid 和 ssid 发一个一样的信号。。。

[sothx]

如果是出于管理考虑，公司这么做并不好，如果是出于带宽考虑，可以执行。
如果有技术部门，限制了 wifi 也会影响一些需要 wifi 的工作。
更何况现在的流量这么廉价，通过 wifi，督促员工作的作用不大。

[SeeMeTomorrow]

目前只允许每个账号使用随时 wifi 连接一台手机

[DOLLOR]

首先你该说明白你的目的是什么？是防止员工用 wifi 把公司的内网广播出来？还是防止员工利用数据流量转 wifi 来访问互联网？
如果是前者，直接设立 MAC 地址、IP 地址实名制，只许公司电脑联网。
如果是后者，那就无解。除非你能把隔壁、楼上、楼下公司及其员工的 wifi 以及方圆 5 公里内所有基站都炸了。

[SeeMeTomorrow]

上图第二行那个用户接入了两台移动终端，所以被冻结 20 分钟

[zyxbcde]

为了防止员工玩手机的话完全没必要吧，手机都无限流量了。

[MikuM97]

我们公司，早期是靠深信服的行为管理，做共享检测，后期有了内网安全系统之后，直接禁止私自安装软件，世界都清静了。

[nullcoder]

@miaojiang22220 内网安全系统是什么？

[mytsing520]

仅就楼主的标题的提问来回答：
可以做到，行为是屏蔽该内网地址的访问，相关 IP 用户需要主动申请恢复网络

[MikuM97]

@nullcoder 合法在你的电脑里面下个木马，各种监控各种阻断

[stanjia]

贵公司真是无聊= =

[yoke123]

无解 你周围一堆伪装各种东西基站呢
https://www.zhihu.com/question/27598571
把它们都炸了吧

[leavic]

贵公司是秦城监狱吗？

[Soar360]

~去网吧，电脑的 USB 口只要插上 360 随身 WiFi，系统就会自动重启……

[function007]

公司网络不许私用还是算正常操作吧，行政上执行严一点应该就能杜绝大部分，再加个行为管理的辅助一下监督。不过事先要给员工说清楚，这样再犯事的于情于理公司都该处罚了

[laqow]

装一个带宽小一点带身份验证的简单 wifi 给员工用就好了嘛。。大部分情况不就是图个看微信省钱。。

[yingfengi]

两种
1.上网行为管理做防共享策略：检测到随身 WIFI 对该 PC 断网，并且后台记录。
2.无线反制：只允许连接白名单的 WIFI

[Admstor]

楼主说的是那种公司没有 wifi,但是有网线,然后禁止在电脑上插 USB 网卡分享网络的事
这个 21 楼已经给了答案
毕竟所有设备都有 MAC 地址的,封禁起来有 100 种方法,即便是 MAC 伪装也没用,详细去复习网络基础就能知道了

但是如果你是移动 mofi,应该目前除了频道干扰还没其他办法做到

说实在的,公司的 wifi 就算给我用我也懒得用,各种监听太泄露隐私

[yingfengi]

@sothx 这么做基本是出于防泄密考虑

[yingfengi]

@SeeMeTomorrow 深信服 AC12.0.3 版本？

[imbushuo]


当然可以，企业级设备都做了几年这个了……
AP 带单独的天线直接扫，发现了疑似在 LAN/符合关键词之类的，客户端和 Rouge AP 被周围所有 AP 用单独的第三天线踢爆，然后如果是大规模部署网络的话可以直接上报位置

[Cu635]

lz 这么干的目的是啥？是公司没有 wifi 只有有线，不让员工上班玩手机？

[wanhuiming]

上有政策 下有对策 别这样吧

[contmonad]

进厂的时候过安检加搜身就可以，参考华为红区管理

[likuku]

MAC 地址绑定，仅白名单

[tuding]

一般来说随身 wifi 上网有两种模式，一种是 NAT 模式，一种是桥模式。
NAT 模式可以通过控制 TTL 来禁止随身 wifi 上网
桥模式可以通过 IP+MAC+VLAN(+PORT)来禁止随身 wifi 上网

当然，还是通过行政手段是最有效的，某大厂的做法是罚款把直属领导捆绑上，员工罚多少直属领导也罚多少，效果良好。

[axisray]

@yingfengi 还有可能是 SG 哦，不过可能性不大就是了
@SeeMeTomorrow 推荐您升级到 12.0.5，这个版本优化了防共享的模块

[Tounea]

666

[yingfengi]

@axisray 请教下，今天有个客户说 AC 做微信认证，说微信经常拉不起来会是什么情况，还没给他远程。

[totoro625]

只需要封锁随身 wifi 的话，可以吊销那个 wifi 辅助程序的数字证书，或者电脑定时杀那个程序，让 wifi 的那个辅助程序无法运行。顺便再弄个监控程序，程序被破坏直接发信息给管理员。这样他们带来的随身 wifi 就没用了

[xiaozecn]

不如干脆公司提供一个独立于内网的 WIFI 啊。这都啥年代了，还玩禁止这一套。

[F2Sky]

总想着用技术手段解决管理上的问题。

[fate]

可以了解下 360 天巡

[rooftop64]

云子可信

[smg]

代理服务器 完美解决 接什么随身 wifi 都没用

[geralt0725]

啥公司？告诉大家免得误投简历

[yuriko]

不太理解 LZ 的需求，是不让公司网络扩散，还是不想员工用手机？

[sky96111]

@hing 有什么必要换用这种自行车？

[winglight2016]

参考一下华为、远光等大公司等做法吧，直接控制互联网访问，禁止安装 usb 驱动，安装系统安全策略等等

[anheiyouxia]

以前的公司，不知怎么设置的，所有 USB 端口都没用，插上去没反应的

[icorgi]

如果可以做到终端管控（有域、准入环境）就禁 usb 口，禁无线网卡，没办法就上网行为管理

[flyfishcn]

如果不上域，参考公安网，安装类似禁止一机两用监控程序，插入未授权外设自动报警。如果卸载，检测到网络通但是监控软件并没有运行的，如果没有上报故障，则按泄密直接纪律处分。
上域就直接禁止软件安装、禁止安装设备驱动。
另外之前看一些行为管理软件有准入客户端，准入网关有动态 ACL，不安装直接没有网络访问权限，安装了自带防私接。用过诺顿企业版套件有此功能。

[yanyuechuixue]

@zj299792458 法拉第牢笼需要把发送者单独关起来或接受者单独关起来,关在一起是不行的...

[woscaizi]

现在 4G 套餐有的都无限了，还冒着被处罚的危险共享电脑的 wifi ？

[Cyron]

我觉得真要管理，就要求所有员工必须连接公司 wifi，然后统一加限制。当然，两台手机可破

[huangtao728]

可以的，但是打开之后连公司提供的 WiFi 也会受限（不过看使用场景这点并不影响）
跟考场的信号屏蔽器一个原理，可以搜得到 WiFi，但是连不上，最简单的，一块 ESP8266 也能实现

话说回来，什么年代了都还用这一招。。。提高工作效率绝对有比这更好的方法。

[bclerdx]

@function007 如果公司非要这么干，那就所有人，包括领导在内的全部禁止，光禁止底层员工，有意思么？

[bclerdx]

@tuding 等着公司倒闭好了。

[travelforlove]

其实非常容易，也是国外的行业标准。
在公司是大跨国技术公司并完全实施了大跨国技术公司的全套行业标准的前提下。
设置一些 AP 去扫描所有广播 /未广播的 wifi 信号，排除掉已知的公司外部的干扰。
剩下一旦出现新的信号就查到是谁然后约谈。
如果有人通过伪装 mac 之类的明显恶意行为提升查找难度的话，
就直接远程拿到那附近所有电脑的 USB 记录然后不给任何赔偿的开除那个涉嫌泄密的人。

国内农企也有很多不画那么多钱在基础设备上的方法，
比如所有 USB 能物理拆除的就物理拆除，不能的就贴封条之类的。
比如抓到一个典型之后判个入狱十五年之内的。

[travelforlove]

@f2f2f 这个可以通过使用 USB 启动员工自己的操作系统来破解。

[travelforlove]

@turan12 @murmur 这些对于准备离职前干一票的人没啥用。

[travelforlove]

@flyfishcn 可以通过克隆 MAC 地址让没有安装任何监控程序的电脑接入，也可以自己发包伪装成监控软件有在运行，公安内网数据以前基本上是个专业贩子都能拿到，最近不知道具体什么状况。

[travelforlove]

@Laobai @hing 这种也只是虚假的安全，不上深度包检测设备的话你只要在任意设备上打洞，然后让另外一个设备连接上再在那个设备上装 wifi 就检测不到了。

[des]

@travelforlove 成本啊，只要让大部分人觉得成本有点高，其余的事先警告，然后走法律途径就好。

如果你可以不记成本，我给你出个主意。每个人都配个人在旁边看，然后定期换。

[zj299792458]

@yanyuechuixue 个人理解楼主的目的是要让员工不能通过随身 wifi 上网，而不是要屏蔽随身 wifi 的信号怕有辐射？

[openbsd]

仅限 Windows 环境 AD 配合组策略，不适用任何第三方软件的情况下
可以精细到 只能使用公司制定的 U 盘

[luoqeng]

公司网线直接插无线路由器。隐藏 SSID。

[fchypzero]

现有网络环境做好授权，堵住非授信设备访问网络。
上 IP-Guard 类似的软件，亲测有用。

[Famio]

我们公司 AD+ISA，走域用户认证，热点你能连，没认证过不去。

[dilu]

技术上不是什么问题 但是对员工这么苛刻真的好吗？如果你是有特殊的安全性需求还好，不然的话，工作苦，工资少，零食没有，奖金没有，还不让用一下 WIFI 估计辞职也是早晚的事

[chaleaoch]

随身 wifi windows 系统可以封。

[DevNet]

@l0wkey 这不是脑洞啊。。好几年的思科，aruba 这种商用 AP 都是双芯片的，一个用来发射正常的 ssid，另一个用来无线压制，就是检测周围的非法 wifi 信号，然后发射干扰，要么连不上，要么连上了上不了网。这是无线安全领域必备的吧。 @bannychen

[c0878]

直接网关上把不想让员工访问的域名封掉就好了 随身 wifi 不也是最终要走有线网络

[8cbx]

办法一：断掉所有网口，贴封条，拿胶水堵死，发现拆封罚款或开除
办法二：WiFi 压制，大功率压制所有 2.4g 和 5g 频段，让网速成渣，自然就没人用了

[flyfishcn]

@travelforlove 真要弄有很多办法，这种只是能防止未经授权访问，当然这样防范已经够了，能查到人了。如果加个摄像头，你还敢随便接入么？当然你可以破坏摄像头，还有再好的防泄密措施也防不住记在脑子里然后带出去，对吧？

[winstars]

可以的，操作系统组策略里面直接禁止开热点。

[que01]

让我想起上学时候的锐捷了。。。。。。那时候用它拨号上网 不能发热点 发热点就给你断网。。。所以说 按说还是可以的。。。。。。。

[yoqu]

我们公司上网拨号用 inode，完美解决大家电脑乱分 wifi 的问题

[picasso250]

所有的公司电脑都使用有线.

然后全频带阻塞干扰.

绝对安全.

只是人可能要穿上防护服.

[panpanpan]

参考一下大学里面封锁共享 wifi 的方式。