通过无线AP轻松突破内网准入控制-创新互联

以定级为等保二级或更高安全等级的网络为例，针对违规内联，会专门部署终端桌面管理系统，并对网络接入实行准入控制，准入控制手段主要有：

（1）基于802.1X进行准入控制；

（2）基于交换机端口绑定实行准入控制；

（3）基于认证网关进行准入控制；

（4）其他如DHCP等准入控制。

上述技术手段的组合，会对边界完整性保护发挥重要作用，但仍无法完全杜绝违规内联问题。

原因解析：

第一：无线AP通过NAT结合DMZ，可轻松突破802.1X的准入控制。事实上，基于802.1X的准入控制，推广和普及力度大的地方是在大学校园，大学校园实行准入控制的目的是为了收费，而非安全。在淘宝网上，输入“校园网路由器802.1x认证”进行搜索，可以发现很多淘宝卖家在兜售它们专门改装的无线AP，这些无线AP自带802.1X客户端，可以兼容校园网的802.1X认证。下面介绍的这种方法，可以绕过绝大多数基于802.1X的准入控制系统，如802.1X+客户端健康检查的组合控制，具体做法是将合法终端接入无线AP的DMZ区充当堡垒机，然后AP以MAC地址克隆＋NAT方式接入原有网络，802.1X的接入认证由无线AP来完成，802.1X认证通过后，其他的附加认证均由堡垒机来完成，其他接入无线AP的无线设备就可以通过DMZ区的堡垒机接入内网，而无须再认证。

第二：对于无法部署客户端的亚终端（如IP电话、网络打印机等），其认证方式多是基于MAC或IP地址进行验证，无线AP可以通过MAC克隆+NAT轻易突破此限制；

第三：对于交换机端口绑定，无线AP可以通过MAC克隆+NAT轻易突破此限制；

第四：准入控制系统的覆盖率影响监管效果，覆盖率达到100%是很难完成的任务，总有小部分终端通过各种方式能够逃避监管，导致存在监管盲区；

下面转发一技术达人撰写的破解文章：http://blog.csdn.net/github_33709120/article/details/50849175。其他类似的文章很多，大家可以在互联网上搜索“突破802.1x”。

另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。