① 项目背景
昆区苏宁广场一家新搬办公室的公司，三十多台电脑无线信号满格，连上了就是上不了网，打开浏览器转圈。网管查了半天，说信号好肯定没问题，换了AP、换了网线都白搭。我到现场一台笔记本抓包，发现DNS请求发出去没应答，网关指向192.168.100.1，但真正核心交换机是192.168.1.1——有人在网里私接了一台带DHCP的路由器，把默认网关和DNS都劫持了。
② 咨询设计
顺着ARP表找，在四楼会议室找到一台运营商送的光猫改路由模式用，LAN口插墙上，DHCP地址池192.168.100.0/24，DNS还指向上游运营商地址。客户觉得「就接个光猫临时用」，实际上它一开DHCP，整层楼设备随机抢地址，网关和DNS都被它顶掉。方案：核心H3C S5130S开DHCP Snooping，只信任上联口；开IP Source Guard和ARP防护，非法网关地址直接丢。那台光猫改成纯桥接，交给运营商拨号，不再发DHCP。全网DNS统一指核心内置DNS或公网114.114.114.114。
③ 施工规划
私接光猫拔除后，我把整层墙插用寻线仪捋了一遍，标出每个口归属，贴了标签，杜绝再私接。核心交换机VLAN 10办公、VLAN 15访客分开，访客口走独立SSID，ACL只放80/443/53。AP全部重新校准信道，2.4G和5G错开，密度按每AP覆盖60平方算，别贪多。上线后用终端扫描查一遍还有没有私接设备，MAC地址和资产台账核对。访客SSID走PSK口令每季度换一次，员工终端接802.1X认证，RADIUS走TCP 1812，私接设备没注册MAC就进不了网，把「随手插个路由」这口子彻底堵死。网关和DNS在核心做主备，DNS应答超时200ms自动切到备用解析，防单一DNS挂了全员上不了网的尴尬再发生。
④ 安全补丁
这次根子是私接设备，得堵住口子。核心开ARP防护和DHCP Snooping绑定表，访客VLAN的端口只认注册过的MAC，新设备要走IT登记。DNS加DoH/DoT可选，防内网DNS再被劫。所有员工终端USB口默认禁用，要用走IT发放带芯片锁的U盘——私接设备的背后往往是员工图方便，管住入口比排查高效。
⑤ 验收交付
验收做全楼层漫游测试，30台终端并发，DNS解析成功率100%，无线漫游切换50ms内，无掉线。私接设备扫描一遍清零。交付IP规划表、VLAN和ACL配置、墙插标签图。培训网管用ARP表和Snooping绑定表自查，教他三分钟定位私接。
⑥ 售后承诺
AP、交换机、光模块备件常备，2小时到场。大年三十电话通，17704868686。私接设备复发终身免费上门排查一次。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）