防二级路由器的问题

私接小路由不是在防火墙上面防止，要在接入交换机上配置端口安全

ACG有检测限制防私接功能

1、方法一，传统准入方案

2、方法二，acg有防私接功能，官方名字叫：40-共享上网监控

文档：

https://www.h3c.com/cn/d_202402/2053374_30005_0.htm

防火墙也支持防共享接入的

防火墙透明模式串接在出口路由器与核心交换机之间，核心做单臂路由，多个业务 VLAN；已具备 AV/ACG/IPS/URL 全套授权。 需求：识别内网私接带 NAT 的小路由器，可阻断，输出日志，不影响正常业务 PC、服务器。

关键点：F1000‑C8330 用【共享上网管理（防共享检测，ACG 能力）】，适合本透明串接场景；UAD 防私接是对接 iMC 控制器的，独立防火墙透明模式下 UAD 不适用，不要用 UAD 功能H3C。

检测原理：同一个内网 IP，如果背后是私接 NAT 小路由，会出现多套终端特征（多套 IPID、多套应用指纹），防火墙识别 “1 个内网 IP 背后多台终端”，判定私接 NAT 路由器，可以仅告警日志，也可以直接阻断该 IP 上网H3C。

配置思路

1. 配置地址对象，把所有业务内网 VLAN 网段加入检测范围；排除服务器网段（服务器多进程会误判共享）。
2. 开启共享上网管理策略：设置单 IP 最大允许终端数；动作优先logging只记录日志（先观察），确认无误后再改为block阻断。
3. 开启共享上网日志；日志中心查看共享接入日志，可以看到哪个内网 IP 存在私接共享行为。
4. 原有安全策略、IPS/AV/URL 过滤保持不变，不影响正常业务。

限制：该功能识别的是 “一个内网 IP 后面有多台终端（小路由 NAT）”；不能 100% 区分是小路由器 NAT，还是 PC 开代理软件；服务器网段务必要排除，避免服务器多进程产生误报。

Web 配置步骤（F1000‑C8330，V9 版本）

1. 对象‑地址，新建内网业务网段对象，把各个业务 VLAN 网段加入；再新建排除对象（服务器网段，不要做共享检测）。
2. 策略配置 → 共享上网管理 → 共享策略：新建策略
   • 源地址：业务内网网段对象；源地址排除服务器网段
   • 单 IP 最大允许终端数量：填1（正常员工一个 IP 对应一台终端）
   • 动作：先选【仅记录日志】，试运行几天；确认误报少再改成【阻断】
   • 检测方式：全部勾选（应用检测、IPID 轨迹检测）
3. 开启共享上网日志：对象‑日志设置，开启【共享接入日志】，可以输出本地日志，也可发送 Syslog 日志服务器。
4. 保存配置。

日志查看

数据中心 → 日志中心 → 终端日志 → 共享接入日志，可以看到触发私接共享行为的内网 IP、识别到背后终端数量。

CLI 参考配置

重要注意事项

1. 部署模式：防火墙是透明模式，共享上网管理功能不受透明 / 路由模式影响，可正常工作，不需要改现有桥接口配置。
2. 服务器网段、打印机视频监控等多会话哑终端，一定要从共享检测策略中排除，否则会大量误报私接。
3. 上线建议：先只开日志观察 2‑3 天，统计误报情况，再启用阻断动作；直接上 block 容易误断正常业务终端。
4. 该功能检测的是 “共享上网行为”，只能定位私接小路由器的上游内网 IP（小路由 WAN 口获取的内网地址），不能直接拿到小路由下面的设备 IP/MAC。
5. 如果想要精准溯源到接入交换机端口，该防火墙做不到，需要在接入交换机开启 802.1X、DHCP Snooping+IPSG 方案。