旁路绕行为什么难治理
区域边界的设计再完整，只要有人接一根线、加一个随身路由器，所有规则都会被短路。旁路绕行的常见形态包括：调试或抢修时拉的临时网线、供应商自带的移动网络网关、在办公网与控制网之间来回插网线的运维笔记本、跨车间的无线桥接、以及通过串口服务器或拨号链路建立的非 IP 通道。这些行为的共同点是发起者动机合理（为了尽快恢复生产）、影响范围隐蔽（网络图上没有变化）、且事后无人收口。治理思路是技术手段收缩可绕行面，管理手段让绕行必须走流程并能被追溯。
基本信息
| 常见绕行方式 | 临时网线、随身路由器、双网卡或网络共享、移动网络网关、无线桥接、串口与拨号链路 |
|---|---|
| 发现手段 | 交换机 MAC 地址表与端口变化、流量异常与资产被动发现、物理巡检、变更记录比对 |
| 技术控制 | 未用端口关闭并加说明、端口安全与 MAC 绑定、接入认证、网络准入控制 |
| 管理控制 | 临时通道申请与时限、调试登记、供应商与外来人员退场清单 |
| 高发场景 | 设备调试与抢修、供应商远程支持、临时改造与扩产施工 |
| 收口要求 | 临时通道到期必须核实拆线并对端口做一次现场核对 |
技术措施落地要点
- 未使用的端口默认关闭并锁闭柜门：把可插口数量降到最少，是最直接的收缩手段
- 启用端口安全与地址绑定：非授权设备接入时端口自动关闭并告警
- 对关键接入点启用接入认证：只有登记过的设备才能通过认证进入网络
- 对空口交换机做定期端口状态核对：与配置基线比对，发现无记录的上联或跨接
- 把无线接入纳入统一管理：自建无线接入点必须备案并配置准入，否则一律视为越界
- 流量侧做资产被动发现：把流量中出现的未知设备与未知通信关系作为巡检线索
绕行方式与对应控制
| 绕行方式 | 发现方法 | 控制手段 |
|---|---|---|
| 临时网线跨接两网 | 端口状态变化、资产发现出现双归属设备 | 空余端口关闭、端口安全、现场巡检 |
| 随身路由器或移动网络网关 | 流量出现未知出口与外部地址 | 出口流量审计、准入认证、现场检查 |
| 双网卡运维笔记本 | 同一终端出现在两个网段 | 运维规范、堡垒机集中接入、终端管控 |
| 无线桥接 | 无线信号普查、未知接入点出现 | 无线备案与准入、现场排查 |
| 串口与拨号链路 | 核查设备串口与电话线连接 | 台账登记、物理封堵、纳入边界清单 |
技术手段无法阻止有人把一台笔记本同时接到两台交换机上。这类风险只能靠现场管理兜底：明确临时接入的审批与登记制度、把收口动作列入抢修流程的收尾项、并在每次抢修后做一次端口与流量核对。