一、从一次蹊跷的“网速变慢”说起

上个月松江一家汽配厂的老板找到我们：最近厂里网络明显变慢，ERP 打开要转好几秒，有时候视频会议还卡顿。IT 负责人查了一周，交换机没报警、带宽套餐也没问题，百思不得其解。

我们到场后先看 DHCP 地址池——发现地址分配得七七八八，里面混着好几个陌生主机名：某某的手机、某某的 iPad，甚至还有一台“小米随身WiFi”。一排查才知道，仓库几个员工为了午休刷视频，偷偷把个人手机和便携路由器接进了厂里办公网，有人还开了热点给同事连。全厂带宽被这么“分食”，正式业务能不慢吗？

这就是典型的“蹭网”：不仅是外来人员蹭，更多时候是自己员工的私人设备在蹭。今天这篇就聊聊，工厂网络里这些“看不见的终端”到底有哪些风险，以及怎么把它们揪出来、管起来。

二、先说清楚：蹭网设备到底有什么风险

很多老板觉得“不就是连个 WiFi 上个网吗”，其实风险远不止变慢这一条：

  • 带宽被挤占，业务系统卡顿：视频、下载、直播流量会把有限的出口带宽吃光，ERP、MES、视频会议这些“正经业务”反而排队。
  • 安全防线被打穿：私人手机、笔记本没装杀毒软件、系统长期不更新，一旦中招（比如挖矿木马、蠕虫病毒），在同一个网段里可以横向传播，直接威胁服务器和办公电脑。
  • 图纸和数据多了外泄通道：能连上内网，就有机会访问共享盘、连打印机、扫内网段。对于做图纸防泄密的工厂来说，一个不受管控的终端就是防泄密体系上的一个洞。
  • 私接小路由搅乱网络：员工为图方便私接的便携路由器会乱发 DHCP 地址，导致其他电脑拿到错误 IP、上不了网，排查起来特别费劲。
  • 违规内容追责困难：出口 IP 是全厂共用的，一旦发生违规访问（比如浏览非法网站、半夜批量下载），没有设备级管控就说不清是谁干的。

三、怎么发现厂里的蹭网设备？四个实用排查手段

蹭网设备不会自己举手报到，需要主动排查。下面四个方法，按投入从小到大排列，中小工厂按需选用：

1. 查 DHCP 地址池（零成本，5 分钟）

登录路由器或核心交换机的管理后台，查看 DHCP 已分配列表。把里面的主机名过一遍：凡是带个人手机型号、iPad、随身WiFi 字样的，基本可以判定为私人设备。这是最快的一招，适合先摸个底。

2. 扫内网存活主机（低成本，半小时）

用网管工具（如 Advanced IP Scanner、nmap）对办公网段做一次存活扫描，把扫到的 IP、MAC 地址和台账比对。MAC 地址是设备的“身份证”——不在台账里的一律列为可疑，逐一确认。有经验的网管还能通过 MAC 前六位（OUI）直接判断是手机、电脑还是网络设备。

3. 查无线 AP 的接入客户端列表（有 AC 的话顺手就查）

如果厂里上了 AC+AP 的无线方案，登录 AC 控制器就能看到每个 SSID 下的全部客户端：终端类型、MAC、信号、连的是哪个 AP。重点看员工 SSID 里混进来的陌生设备，以及是不是有人连了不该连的网段。

4. 上网行为管理设备（一劳永逸，推荐）

以上都是“事后排查”，要长期管住，还是得靠上网行为管理网关（比如深信服 AC）。它能看到全网所有终端的实时流量和访问行为，谁是私人设备、谁在大流量下载、谁在访问不该访问的网站，一目了然，还能直接下发管控策略。对工厂来说这是最省心的方案。

四、揪出来之后怎么管？四条务实策略

排查只是第一步，管住才是目的。给中小工厂四条建议，从软到硬：

  1. 制度先行，公告周知：先发一纸通知，明确“私人设备不得接入办公网/生产网”，给员工一个缓冲期自行下线。很多蹭网行为是无心之过，一句话就能解决一大半。
  2. 无线分网：办公、访客、生产三个 SSID 各走各的：员工手机统一走访客 SSID（只上外网、与内网隔离、限速、定期换密码），生产设备走专用 SSID 并绑定 MAC。物理上分开了，蹭内网就无从谈起。
  3. 网络准入（NAC）：没登记的设备进不来：部署网络准入后，所有终端接入必须“对暗号”——未注册的 MAC、没装管控客户端的电脑，一律只能进隔离区，拿不到业务网段地址。这是治本的方案，新员工、外来调试设备的接入也一并管住了。
  4. 交换机端口绑定 + DHCP Snooping：堵住私接路由：办公区固定工位的网口做 IP-MAC-端口绑定，交换机开启 DHCP Snooping 防止私接的小路由乱发地址。这一招专治“仓库私接小路由”这类老问题。

五、一份蹭网设备排查自查清单

本周就可以让 IT 照着做一遍：

检查项合格标准
DHCP 地址池无身份不明的终端，私人设备已清理
内网存活扫描全部终端与资产台账对应得上
无线客户端列表员工/访客/生产 SSID 无混连
访客网络独立 SSID、与内网隔离、有限速和密码时效
私接路由排查交换机已开 DHCP Snooping，无私接小路由
准入机制未登记设备无法获取业务网段地址（或已有建设计划）
制度与告知已有书面的网络接入管理制度并传达到人

如果排查下来发现“干净得反常”，也别高兴太早——很可能是你还没看清全貌。网络里有多少台设备、每一台是谁，这个问题答不上来的工厂，建议尽快把网络准入 + 资产台账补起来。

上海企敬信息科技有限公司

企福集团旗下 IT 公司，服务重心松江，深信服、绿盾金牌代理。

主营业务：

  • 网络弱电工程：综合布线、机房建设、无线覆盖（含访客 WiFi 分区、无线勘测与漫游调优）；
  • 防泄密与网络安全：绿盾/IP-Guard 防泄密软件部署、图纸加密、U盘管控、打印审计；深信服上网行为管理、防火墙、网络准入部署与策略调优；
  • IT 运维托管：网络日常巡检、终端准入管理、故障 2 小时本地响应。

我们的优势：松江大量工厂案例，2 小时本地响应；弱电施工和防泄密实施一套团队，不用分开找两家；擅长制造企业图纸防泄密与全厂网络管控的一体化落地。

适合客户：生产工厂、中小科创企业，弱电改造 + 防泄密一起落地。