家用路由器的wan口插在交换机上 如何查出来呢

您好，可以直接把这个接口shutdown

acg设备能查出来

分两部分解答：①识别 WAN 口接交换机的私路由 ②封堵 USB 共享热点 / 电脑软路由
一、如何排查内网私接家用路由器（WAN 口插交换机）
家用路由 WAN 接内网交换机，会带来双重 NAT、网段冲突、网关漂移、环路，可通过 4 种方式定位：
1. 网关异常扫描（最简便）
正常内网仅 1 个官方网关，私路由会发布第二个网关：
电脑 CMD 执行，扫描全网网关：
cmd
for /L %i in (1,1,254) do ping -w 100 -n 1 192.168.1.%i
route print
查看路由表出现多条默认网关，多余 IP 就是私路由 WAN 地址。
2. 登录核心交换机，查看 ARP 表：
bash
运行
display arp
找出 MAC 地址对应多个网关 IP，该 MAC 即为私路由 WAN 口 MAC。
2. 抓包识别 DHCP 异常（精准定位）
私路由开启 DHCP 服务器，内网会出现双 DHCP 服务器，终端随机获取错误网关 / DNS：
交换机全局开启 DHCP Snooping，非法 DHCP 设备直接告警并记录端口：
bash
运行
dhcp snooping enable
dhcp snooping alarm enable
告警日志会输出非法 DHCP 的 MAC、接入交换机端口。
2. 临时抓包：Wireshark 过滤dhcp报文，看 Offer 报文来源 MAC，就是私路由。
3. 环路 / 广播风暴辅助判断
家用路由 WAN-LAN 存在二层环路，交换机端口会出现：
端口入广播流量暴涨、端口频繁 flapping；
交换机日志提示loop detected环路告警；
找到环路告警端口，就是私路由接入端口。
4. MAC 特征识别
家用路由器、随身路由 MAC 厂商段固定（TP-Link、小米、水星、腾达等），交换机display mac-address过滤厂商 MAC，结合端口流量定位设备。
二、封堵电脑 USB 无线网卡共享热点（电脑充当软路由）
电脑 USB 无线网卡开热点 = 电脑同时做内网网卡 + 无线 WAN，形成私子网，分三层管控方案：
方案 1：交换机侧端口安全封堵（源头拦截，推荐）
DHCP Snooping
仅上联设备配置为信任端口，所有接入 PC 端口非信任，PC 私自开启 DHCP 共享热点时，下发 DHCP 报文会被交换机直接丢弃、端口告警。
bash
运行
dhcp snooping trust GigabitEthernet 0/0/1 # 上联核心口
interface GigabitEthernet 0/0/2 to 0/0/24
dhcp snooping untrust
端口 MAC 地址限制
单 PC 端口仅允许 1 个终端 MAC，电脑虚拟网卡热点会产生额外 MAC，端口自动 shutdown：
bash
运行
interface GigabitEthernet 0/0/2
port-security maximum 1
port-security protect shutdown
环路检测
PC 开启热点形成二层环路，交换机环路检测自动阻断端口。
方案 2：ACG / 防火墙安全策略管控（流量层拦截）
识别热点共享行为：防火墙应用特征库拦截「Windows 热点、手机 USB 共享网络、第三方 WiFi 共享软件」；
禁止内网终端充当网关：配置 ACL 拒绝内网非网关设备发送 0.0.0.0/0 默认路由报文；
DNS 管控：拦截私路由下发的第三方 DNS，强制终端使用企业 DNS。
方案 3：终端桌面管控（兜底，配合网络设备）
域策略 / 组策略：禁用 Windows 移动热点、ICS 互联网共享服务；
终端安全软件：拦截 WiFi 共享类第三方工具（猎豹 WiFi、360 随身 WiFi 等）；
USB 外设管控：限制 USB 无线网卡驱动安装，从硬件层面杜绝。
三、配套事后处置流程
定位私路由接入交换机端口后，执行端口关闭：interface G0/0/X ; shutdown；
内网公示禁止私接路由、USB 热点的管理规范；
长期防护：交换机全局开启 DHCP Snooping + 环路检测 + 端口安全，自动拦截私接行为。

一、 如何查出家用路由器的 WAN 口插在了交换机上？

1. 物理接口排查：最直接的方法是顺着网线进行物理追踪。检查交换机上连接的所有网线，顺藤摸瓜确认其另一端是否连接了家用路由器的 WAN 口（通常颜色不同或单独标明 WAN/Internet）。
2. MAC 地址排查：登录上级核心交换机或路由器的管理后台，查看 ARP 表或 MAC 地址表。家用路由器 WAN 口通常具有特定的 MAC 地址前缀（OUI），通过比对 MAC 地址和对应的交换机端口，可以快速定位异常接入点。
3. 环路或异常流量排查：错误的接线有时会导致网络环路或广播风暴。您可以在命令行执行 netstat -e 查看广播数据包数量，若广播包异常增多，可能存在接线错误导致的环路。对于企业级网管交换机，还可以开启环路检测功能（Loopback-detection）来精准定位异常端口。

二、 如何封锁“USB无线网卡把电脑当路由器”的行为？

1. 终端外设管控（最有效）：
   借助企业网络管理软件或终端安全管理软件（如安全员网络管理版、通用趋势USB禁用软件等），在管理端下发策略，直接禁用终端电脑的 USB 接口或专门禁用“便携式WiFi/无线网卡”功能。这样即使员工插入 USB 无线网卡，系统也会拒绝识别，从根本上切断硬件支持。
2. 系统策略限制：
   如果是 Windows 系统，可以通过组策略（GPO）限制“移动热点”功能的开启，或者通过设备管理器/注册表禁用特定的无线网卡驱动，防止用户私自开启网络共享。
3. 网络准入与行为审计：
   部署网络准入控制（NAC）系统，只允许登记在册的合法 MAC 地址接入内网。当电脑私自开启热点时，其连接的手机等终端设备的 MAC 地址不在白名单内，将被网络自动阻断。同时，上网行为管理设备也可以对异常的 NAT 转发流量进行识别和告警。