有人架假WiFi冒充公司网络偷信息？华为非法设备检测反制了解一下
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
无线网有一类很阴的攻击：攻击者在企业附近放一台非法AP，SSID照抄公司的WiFi名，员工的手机笔记本一看名字一样就自动连了过去，账号密码、业务数据全从假AP过一遍。开放式办公场所尤其容易中招。整理自华为官方发布的典型配置案例，这篇讲华为AC上的设备检测和反制功能——让自家AP兼当哨兵，把混进空口的陌生设备查出来，还能主动打断终端与假AP的连接。
官方场景写得很具体：攻击者放一台非法AP（area_2），SSID设置为wlan-net冒充合法AP，与终端建立连接窃取企业信息；在合法AP上配置设备检测和反制功能后，AC能检测出这个既不受本AC管理、也不在合法AP列表中的area_2，并保证终端不接入它。
组网为AC旁挂二层组网，AC给AP发地址，汇聚交换机SwitchB给终端发地址（网关10.23.101.2），隧道转发，管理VLAN100、业务VLAN101。反制策略用的是WIDS模板default，反制模式设为「反制仿冒SSID的非法AP」——只打假AP，不误伤邻居的真WiFi，这是模式选择上的讲究。
先把底层配通。接入交换机SwitchA，GE0/0/1接AP、GE0/0/2上行，都进VLAN100，AP口缺省VLAN设100并开端口隔离：
<HUAWEI> system-view
[HUAWEI] sysname SwitchA
[SwitchA] vlan batch 100
[SwitchA] interface gigabitethernet 0/0/1
[SwitchA-GigabitEthernet0/0/1] port link-type trunk
[SwitchA-GigabitEthernet0/0/1] port trunk pvid vlan 100
[SwitchA-GigabitEthernet0/0/1] port trunk allow-pass vlan 100
[SwitchA-GigabitEthernet0/0/1] port-isolate enable
[SwitchA-GigabitEthernet0/0/1] quit
[SwitchA] interface gigabitethernet 0/0/2
[SwitchA-GigabitEthernet0/0/2] port link-type trunk
[SwitchA-GigabitEthernet0/0/2] port trunk allow-pass vlan 100
[SwitchA-GigabitEthernet0/0/2] quit
汇聚交换机SwitchB，GE0/0/1、GE0/0/2进VLAN100，GE0/0/2、GE0/0/3进VLAN101：
<HUAWEI> system-view
[HUAWEI] sysname SwitchB
[SwitchB] vlan batch 100 101
[SwitchB] interface gigabitethernet 0/0/1
[SwitchB-GigabitEthernet0/0/1] port link-type trunk
[SwitchB-GigabitEthernet0/0/1] port trunk allow-pass vlan 100
[SwitchB-GigabitEthernet0/0/1] quit
[SwitchB] interface gigabitethernet 0/0/2
[SwitchB-GigabitEthernet0/0/2] port link-type trunk
[SwitchB-GigabitEthernet0/0/2] port trunk allow-pass vlan 100 101
[SwitchB-GigabitEthernet0/0/2] quit
[SwitchB] interface gigabitethernet 0/0/3
[SwitchB-GigabitEthernet0/0/3] port link-type trunk
[SwitchB-GigabitEthernet0/0/3] port trunk allow-pass vlan 101
[SwitchB-GigabitEthernet0/0/3] quit
出口路由器GE1/0/0进VLAN101，VLANIF101地址10.23.101.2/24：
<HUAWEI> system-view
[HUAWEI] sysname Router
[Router] vlan batch 101
[Router] interface gigabitethernet 1/0/0
[Router-GigabitEthernet1/0/0] port trunk allow-pass vlan 101
[Router-GigabitEthernet1/0/0] quit
[Router] interface vlanif 101
[Router-Vlanif101] ip address 10.23.101.2 24
[Router-Vlanif101] quit
AC侧走Web向导：首次登录选「传统开局」（快速开局只适用旁挂直接转发且终端地址池不在AC上的场景，这里不匹配）；端口GigabitEthernet0/0/1设Trunk加入VLAN100和VLAN101；开DHCP，VLANIF100配10.23.100.1/24并建接口地址池；AC源地址选Vlanif100。AP上线用批量导入，模板填AP MAC地址00e0-fc76-e360、名称area_1、AP组ap-group1。无线业务新建SSID为wlan-net、隧道转发、业务VLAN101，安全认证用密钥认证加AES（规划WPA-WPA2+PSK+AES，密码YsHsjx_202206），绑定ap-group1。
接下来是本文重点。先固定信道功率：进入AP个性化配置的射频管理，对射频0关闭信道自动调优和功率自动调优，设置信道为带宽20MHz信道6、发送功率127dBm；射频1同样关闭自动调优，设20MHz信道149、127dBm。注意官方特别说明：自动调优默认开启，不关掉的话手动配置不生效。
然后开启检测与反制：依次单击「配置 > AP配置 > AP组配置」，选ap-group1进「射频管理 > 射频0」，让射频工作在normal模式并开启非法设备检测和反制功能，应用；射频1同样操作。再进「WIDS模板」界面，把反制模式配为反制仿冒SSID的非法AP，应用即可。
这里有个体验权衡要交代：官方说明本示例中合法AP工作在normal模式且开启了设备检测，射频除传业务数据外兼做监控，扫描周期内业务时延可能出现瞬时增加，正常上网无感；但视频会议这类低时延业务，建议单独用一个射频做空口扫描。
怎么验证：配置完成后单击「监控 > WIDS」，在「设备检测」区域看检测结果；点检测结果列表里的数字进「设备检测信息」查设备详情；选中设备点「查看发现AP」看是哪些AP侦测到它；再点「查看白名单」核对该AP的白名单。一旦仿冒wlan-net的假AP出现，列表里立刻现形，反制功能还会把连过去的终端断开。对开放式场所来说，这套能力等于给空口加了巡逻岗，不用额外买设备。贵州诚鑫致达科技在无线安全加固上有成熟实施经验，可以把WIDS检测、白名单和反制策略一并配齐。
企业存储选型参考｜贵州诚鑫致达
做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。云南昆明企业 NAS 存储方案与备份容灾，支持远程与上门服务。