如何禁止外部电脑连接内部wifi、禁止非单位电脑连接单位wifi、禁止手机连接内部wifi？

要彻底禁止外部电脑、手机接入公司内网 WiFi，核心是企业级认证 + 网络隔离 + 接入管控 + 审计，拒绝仅靠密码或简单 MAC 过滤。下面按 “必做→进阶→管理” 给出可直接落地的方案。

当然，对于企事业单位来说，可以直接部署一套专门的网络准入控制软件，如国内流行的“大势至网络准入控制系统”，只需要在公司一台电脑安装就可以实时监测接入公司局域网wifi的设备，如笔记本电脑、手机、平板等，有效保护公司网络带宽资源安全，同时还可以保护公司内网安全，防止未经授权访问公司内部共享文件的行为等。如下图：

编辑

图：大势至网络准入控制系统

一、基础必做：先把 WiFi 本身锁死（最关键）

1. 加密与认证：彻底淘汰共享密码

• 加密协议：必须用 WPA3-Enterprise（优先）或 WPA2-Enterprise，绝对禁用 WPA/WPA2-PSK（个人版）。

• 认证方式（二选一，推荐前者）：

• 802.1X + RADIUS：员工用域账号 / AD 账号 / 证书认证，一人一账号，可审计、可随时禁用。

• 证书认证：给每台公司设备下发唯一证书，无证书无法接入，安全性最高。

• 关闭危险功能：关闭 WPS/QSS、关闭 SSID 广播（隐藏员工 WiFi）、关闭 AP 隔离（按需）。

2. 双 SSID 隔离：员工网 vs 访客网（必须分开）

• 员工 SSID：隐藏、仅内部设备可连、可访问内网资源。

• 访客 SSID：公开、仅能上网、禁止访问内网任何 IP / 端口、限时 / 限带宽 / 限连接数。

• 防火墙策略：访客网与员工网完全隔离，禁止跨 VLAN 访问。

3. MAC 地址白名单（小型企业低成本方案）

• 在 AC / 路由器开启 MAC 地址过滤（白名单模式），仅允许 IT 登记过的设备 MAC 接入。

• 缺点：MAC 可伪造，适合 100 人以下、安全要求不极高场景。

二、进阶加固：从源头拦截非法接入（企业级标配）

1. 网络准入控制（NAC）：先认证、再检查、再放行

• 802.1X + 终端合规检查：接入前验证身份 + 检查设备（是否装杀毒、是否打补丁、是否合规），不合规自动隔离到修复区。

• 动态 VLAN：认证通过才划入员工 VLAN，未认证划入隔离 VLAN（仅能访问认证页面）。

• 效果：外来设备连 WiFi 后，即使知道密码也无法获取 IP、无法通信。

2. 无线入侵检测 / 防御（WIDS/WIPS）

• 实时监控：非法 AP、暴力破解、异常连接、私接随身 WiFi。

• 自动动作：告警、阻断非法连接、下线未认证设备。

3. 禁止私接随身 WiFi / 热点

• 用 NAC / 终端管理软件检测并自动断网 / 禁用热点。

• 交换机端口 + WiFi 双重管控，防止员工用手机 / 笔记本开热点 “搭桥”。

三、终端与管理：堵住最后漏洞

1. 终端管控（防止员工私人设备接入）

• MDM（移动设备管理）：公司手机统一管理，禁止连接非授权 WiFi。

• 组策略 / EDP：Windows 电脑禁用 WiFi、或仅允许连接指定 SSID。

• USB / 蓝牙管控：防止用随身 WiFi、蓝牙共享网络。

2. 日志与审计（出事可追溯）

• 记录：谁、什么设备、何时、何地、接入时长。

• 定期审计：异常连接、未登记设备、长时间离线后重连。

3. 制度与流程（技术 + 管理才闭环）

• 设备入网必须IT 登记 + 审批，未备案设备一律禁止接入。

• 离职 / 调岗立即禁用账号 / 证书 / 解绑 MAC。

• 禁止员工将私人设备接入内网 WiFi，违者追责。

四、不同规模企业落地建议（直接照做）

1. 小微企业（≤50 人，低成本）

2. 隐藏员工 SSID，用 WPA2-Enterprise + 简单 RADIUS（如 FreeRADIUS）。

4. 开启 MAC 白名单，仅允许登记设备接入。

6. 单独访客 SSID，防火墙禁止访客访问内网。

8. 定期改密码、审计连接日志。

2. 中型企业（50–300 人，标准方案）

2. 企业 AC+AP，802.1X + AD/RADIUS 认证。

4. 部署 NAC 准入，做终端合规检查。

6. 开启 WIDS/WIPS，监控非法接入。

8. 访客 Portal 认证（短信 / 扫码），限时限带宽。

3. 大型 / 涉密企业（≥300 人，高安全）

2. 证书认证 + 双因素（2FA），无证书 + 无动态码无法接入。

4. 全网 NAC+VLAN 隔离，核心区域额外物理 / 逻辑隔离。

6. 终端 DLP+EDP，严格管控外设与网络连接。

8. 7×24 小时 安全监控 + 应急响应。

五、常见误区与避坑

• ❌ 只用 WPA2-PSK（共享密码）：密码一泄露全网络沦陷。

• ❌ 只隐藏 SSID：可被扫描发现，不是安全措施。

• ❌ 只靠 MAC 过滤：MAC 易伪造，无法防专业攻击。

• ✅ 正确思路：认证（是谁）+ 准入（能不能进）+ 隔离（能去哪）+ 审计（干了啥）。

六、快速落地步骤（3 天可完成）

2. 规划：员工 SSID（隐藏）+ 访客 SSID（隔离）。

4. 配置：AC / 路由器开启 WPA3-Enterprise + 802.1X。

6. 登记：收集所有公司设备 MAC / 证书，做白名单。

8. 测试：内部设备正常接入，外部设备无法连接 / 无法访内网。

10. 启用：WIDS/WIPS + 日志审计 + 制度宣贯。