① 项目背景：访客连上一个叫「Office-Free」的信号
稀土大厦某公司，员工反映会议室附近有个不加密的 Wi-Fi，名字跟公司内网只差一个字母。连上去能上网，但打开 OA 会跳到一个仿冒登录页。我用笔记本跑了一下午抓包，确认是 rogue AP，藏在 12 楼茶水间的插座后面，一个巴掌大的随身 Wi-Fi，插着充电宝。
② 咨询设计：先发现，再定位，最后阻断
方案三步：一，用 WIDS（无线入侵检测）做全频段扫描，2.4G/5G 每 5 分钟一轮，识别 SSID 仿冒、BSSID 异常、加密方式降级；二，用三台 AP 做三角定位，按 RSSI 差值算位置，误差 3 米内；三，交换机侧开 DHCP Snooping + 动态 ARP 检测，发现私接设备直接 shutdown 端口。认证侧上 802.1X + 证书，员工设备才准入。
③ 施工规划：覆盖与安全一起做
原来 12 楼只有 3 个 AP，茶水间、打印区是盲区，员工才去连外面的信号。补 2 个 Wi-Fi 6 AP（华为 AirEngine 5762-12），做定向吸顶，信道 36/44/149 错开，功率调到 12dBm，减少外溢。SSID 只留一个员工网 + 一个访客网，访客网做 Portal + 限速 4Mbps，与内网 ACL 隔离。
④ 安全补丁：钓鱼页面的取证
抓包看到仿冒页面挂在一个境外 VPS 上，表单 POST 明文提交。我把域名、证书、IP 全部留证，上报集团安全，同时在内网 DNS 上做黑洞。很多公司觉得钓鱼是邮件的事，但实际上无线钓鱼热点就贴在办公室墙上，员工连一次，域账号就没了。
⑤ 验收交付：复扫与演练
整改后全楼复扫 3 轮，rogue AP 0 个；模拟私接路由器，交换机 8 秒内阻断并告警；802.1X 准入测试 40 台设备，通过率 100%。给行政做了「办公室不明 Wi-Fi 不要连」的一页纸，附举报二维码。
技术上还加了两道：交换机开端口安全，每口学 MAC 上限 2 个，超了 err-disable；DHCP Snooping 绑定表 + IP Source Guard，私接路由器发不了地址。无线侧开 WIDS 的 SSID 仿冒告警，同名同 BSSID 直接反制。访客网单独出口，限速 4Mbps，禁止访问内网段与打印机。
定位那天用三台 AP 的 RSSI：-52、-61、-74dBm，按对数距离模型反算，落在茶水间 3 米内，误差 2.4 米。抓包看 DHCP Offer 来自 192.168.50.0/24，与公司网段不同，说明是独立 NAT 设备，不是内网私接路由。
那台设备是员工从网上买的便携路由器，插在茶水间插座上做手机热点，SSID 手打成公司名字，一字之差。
⑥ 售后承诺：无线这块我们常扫
写字楼环境复杂，建议每季度做一次无线安全扫描。包头本地 2 小时到场，17704868686，发现不明信号先别拔，留证再处理。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）