谁说私接路由和随身WiFi无法管控？其实是你的方式不对！

猕猴桃

谁说私接路由和随身WiFi无法管控？其实是你的方式不对！

随着科技的发展和人们生活水平的提高，电子产品越来越多，我们的生活也越发离不开网络，随身WiFi可一键接入任何网络，为此也成为了除手机之外最受欢迎的电子产品。然而，随身WiFi在给用户带来上网便利的同时，也带来了极大的安全隐患，使用随身WiFi上网时遭受黑客攻击的事件随处可见，用户私自接入和使用随身WiFi是对原有网络边界的私自延伸和扩展，不仅会对原有网络带来不可预知的安全风险，也会给宽带运营商带来一定的经济损失。
随身WiFi因其很好的满足了智能手机可随时通过WiFi上网的需求，加上其安装和使用的便利和便捷性，随身WiFi很快成为了智能手机的上网伴侣。小米WiFi、360WiFi、百度WiFi，遍地开花，网上搜索随身WiFi就可看到此类设备的出货量——用户评价数量已过千万，由此可见其普及程度。
以360随身WiFi为例看一下其内部构造：

由图可鉴，360随身WiFi其本质上就是一款USB接口的无线网卡，通过接入到Windows台式机或笔记本电脑， 依靠Windows上Internet连接共享技术——ICS或NAT，形成无线热点AP，将接入的无线终端源IP地址转换为合法的主机IP地址，最终传输到互联网中。
随身WiFi带来的的便利性显而易见，由此给企业、学校、小区、运营商等带来的风险和经济损失也是不可估量的。下面就以企业网络为例说一下：

当前，在企业局域网中使用随身WiFi为自己手机、平板电脑提供无线上网服务的员工不乏少数，通常都是用来下载、网购、看视频、玩游戏等，均与本职工作无关，甚至还占用工作时间，极大降低工作效率；而且会严重占用公司网络带宽资源，不利于公司局域网正常运行和其他员工的正常工作。员工使用随身WiFi这不仅破坏了企业原有的安全体系，而且会导致上网行为、防火墙、IPS等安全设备完全失效，非授权用户可以随意访问互联网或公司内网应用，导致泄密等事件。因此，公司局域网必须限制随身WiFi或私接无线路由的使用。 为此，Panabit智能应用网关推出“共享检测”功能并有效解决了这一难题。

Panabit智能应用网关之共享检测
Panabit智能应用网关，是专门为宽带运营商ISP设计的互联网带宽优化设备。它能协助运营商检测出同一个帐号下有多少台电脑以及手机等移动终端设备共享着上网；能自动分析并获取用户登录帐号，辨别出其中的非法共享行为；能对非法共享行为用弹出警告、网页阻挡、智能限速等引导方式；基于综合多种检测方法，使用户无法逃避。系统可采用旁路部署和串行部署的两种组网形式，旁路部署方式不会对运营商原有的网络造成影响；串行部署采用透明桥接方式，在增强打击的力度的同时也具有很高的可靠性。

常见的共享检测技术主要有TTL检测、时钟漂移、IP包头Identification轨迹检测、应用特征检测和cookie检测。
TTL检测
TTL指生存时间，指定数据报被路由器丢弃之前允许通过的路由器数量，转发IP数据包时，要求路由器至少将TTL减1，不同操作系统TTL值不同，如果检测到有多个TTL的值则可以断定有多台主机。
时钟漂移（时间戳判定）
不同主机物理时钟偏移不同，网络协议栈时钟与物理时钟存在对应关系，不同主机发送报文频率与时钟存在统计对应关系，通过特定的频谱分析算法，发现不同的网络时钟偏移来确定  不同主机。时钟漂移检测以其复杂的计算方法可以非常准确地判断出共享上网主机数以及共享上网用户。
时钟漂移检测：


IPID检测技术
IPID共享检测的机制适用于windows系统的主机。Windows网络协议栈实现时，IP报文中ID字段的值随着发送IP报文数的增加而增加，这里我们将此IP报文连续的值的特征称之为轨迹。Identification的初始值是随机值，一般来说，不同主机的初始值有较大的差异，所以当检测到多个不同连续的IP轨迹即可判断共享主机的数目。PID检测技术可以较准备地判断出是否为共享上网用户，判断出共享上网主机数，完全被动监听，不发送探测信息；
IPID检测轨迹：


应用特征检测
DPI技术将网络上的数据报文根据五元组分为若干个的应用流，并通过识别技术对应用流中的特定的数据报文进行探测，从而确定应用流对应的应用或者用户动作。Panabit的DPI引擎，将传统DPI技术中的基于“特征字”的识别技术、应用层网关识别技术、行为模式识别技术有机的整合起来，有效的灵活的识别网络上的各类应用。基于DPI协议识别，某些应用协议报文具备可识别特征，并且经过NAT之后仍然保留原始信息，那么当最终的客户终端使用到这些协议时，即可被检测到共享的主机数。Panabit内置了1000多种具备此种特性的国内各类主流应用的协议特征。例如：用户安装迅雷、QQ、360安全卫士、搜狗拼音、迅雷、英雄联盟、穿越火线等应用，在使用该软件或者该软件进行更新时，Panabit在网络出口处都能检测到来自于该IP的应用特征。 若发现有同一个用户账号下有2个或超过2个的IP接入，则判断为共享上网的行为。
Cookie检测法
Panabit在Cookie检测时候，可以通过HTTP Cookie和Flash Cookie 两种方式进行检测。在HTTP包头，HTTP报文头中user-agent字段、cookie字段，不同操作系统、不同IE版本、不同补丁的user-agent字段不同。
cookie检测可以标示一个用户，进而标示出一台PC，根据这个原理，可对一个确定的用户（IP地址+用户名）在其使用的浏览器中中下cookie，如果一个确定的用户同种浏览器（浏览器核心相同）上有两个或两个以上的不同的cookie则认为该用户使用了代理，cookie检测可实时判断出共享上网用户，对分时上网的共享用户同样有效。
IE浏览器版本特征：


Flash Cookie也就是记录用户在访问Flash网页的时候保留的信息，鉴于Flash技术的普遍性，很多网站都采用，所以具有同Http Cookie一样的作用，只要当用户打开浏览器去上网，PanAbit就会记录到Flash Cookie的特征值。
由于Flash Cookie不容易被清除，而且具有针对每个用户具有唯一，并且支持跨浏览器，所以被用于做防共享检测，可以减少了共享上网的漏判率和误判率

Panabit综合以上多种检测技术于一身，从网络3层—7层进行分析，降低漏检率，实时准确的识别出共享终端用户，无论是无线AP、随身WiFi还是手机移动终端，都一览无余，真正的实现了企业的需求。

Panabit智能应用网关共享检测功能特点

准确率高
以自身优越的DPI应用特征识别引擎为依托，配合多种检测技术，准确度可达到100%，使家用路由、市面常见随身WiFi（如360随身WiFi、小米WiFi）无线热点等接入设备以及“万能钥匙”蹭网等网络应用无处遁形；
实时在线用户趋势图：

实时共享用户检测：


万能钥匙检测：

当万能钥匙客户端试图发送密钥对无线认证时会被Panabit检测到，并根据策略对其阻断，免受网络被蹭的困扰。

移动支持
目前，市面上绝大多数的共享检测技术只做到了针对非法级联上PC终端的检测，而无线热点覆盖下的网络有很大一部分是为手机等移动终端服务的。Panabit智能应用网关独到的手机移动终端指纹识别技术对手机等移动终端的共享上网同样有效，而不需要修改客户端配置、安装插件，不限制USB设备的正常使用。


灵活管控
配置界面简单， 运营商可以设定个性化资费套餐，如设置为“共享用户三台不管控，四台以上管控”，运营商可自由设置管控阀值，而同类厂商只能对两台以上管控，而无法区别N台分别对待；


快速有效
检测粒度精确到秒， 实时分析，实时控制，非延迟统计，无需将数据采集完后进行分析在采取动作，对二级、三级或更多非法级联下的PC设备、手机等移动终端都可有效的识别管控,同类厂商的检测设备虽可对手机进行识别，但做不到控制；
高性能、高可靠性
100M至80G（单板80G，非机柜式堆叠）流量的处理能力，7000W在线用户，小于50us的处理延时，满足各种部署方案的性能要求；Bypass功能、双OS主备运行，为网络运营创造了零风险的安全保障；


Panabit智能应用网关共享检测价值
价值一：准确、快速、实时、非延迟检测
Panabit智能应用网关共享上网检测功能可以快速、实时的进行检测，并且采用多种先进技术保障了检测的准确性，为运营商及时堵住营收漏洞。
价值二：灵活有效的管控手段
Panabit智能应用网关共享上网检测功能可提供页面警告、重定向、阻挡、限速等多种灵活有效的打击方式，为运营商人性化处理用户的私接共享行为创造条件。
价值三：丰富实用的其他功能
Panabit智能应用网关除具备共享检测功能外，还具备DPI应用识别、QoS保证、应用路由、ACL功能、链路负载均衡、智能DNS、上网行为管理和日志审计等功能，极大满足了运营商的成本精细化需求。

coolman

好东西  收藏了  慢慢学习中

初学者

共享用户检测，实际上只有QQ检测选择项有作用，其它都不能准确有效。

flywincn

终端上的虚拟机信包会不会被误判？