通过无线AP轻松突破内网准入控制

以定级为等保二级或更高安全等级的网络为例，针对违规内联，会专门部署终端桌面管理系统，并对网络接入实行准入控制，准入控制手段主要有：

（1）基于802.1X进行准入控制；

（2）基于交换机端口绑定实行准入控制；

（3）基于认证网关进行准入控制；

（4）其他如DHCP等准入控制。

上述技术手段的组合，会对边界完整性保护发挥重要作用，但仍无法完全杜绝违规内联问题。

原因解析：

第一：无线AP通过NAT结合DMZ，可轻松突破802.1X的准入控制。事实上，基于802.1X的准入控制，推广和普及力度最大的地方是在大学校园，大学校园实行准入控制的目的是为了收费，而非安全。在淘宝网上，输入"校园网路由器802.1x认证"进行搜索，可以发现很多淘宝卖家在兜售它们专门改装的无线AP，这些无线AP自带802.1X客户端，可以兼容校园网的802.1X认证。下面介绍的这种方法，可以绕过绝大多数基于802.1X的准入控制系统，如802.1X+客户端健康检查的组合控制，具体做法是将合法终端接入无线AP的DMZ区充当堡垒机，然后AP以MAC地址克隆＋NAT方式接入原有网络，802.1X的接入认证由无线AP来完成，802.1X认证通过后，其他的附加认证均由堡垒机来完成，其他接入无线AP的无线设备就可以通过DMZ区的堡垒机接入内网，而无须再认证。

第二：对于无法部署客户端的亚终端（如IP电话、网络打印机等），其认证方式多是基于MAC或IP地址进行验证，无线AP可以通过MAC克隆+NAT轻易突破此限制；

第三：对于交换机端口绑定，无线AP可以通过MAC克隆+NAT轻易突破此限制；

第四：准入控制系统的覆盖率影响监管效果，覆盖率达到100%是很难完成的任务，总有小部分终端通过各种方式能够逃避监管，导致存在监管盲区；

下面转发一技术达人撰写的破解文章：http://blog.csdn.net/github_33709120/article/details/50849175。其他类似的文章很多，大家可以在互联网上搜索"突破802.1x"。