华为：防私接配置注意事项

S620

S620-24T16X8Y2CZ

S530

S530-24ST4XE，S530-24T4XE，S530-48S4XE

私接判定

对于S530系列：

1. 私接终端的操作系统大类存在差异，支持的操作系统大类：Windows、Ubuntu、iOS、Android。

2. 如果私接终端的操作系统只有Ubuntu和Android，无法识别私接。

3. 私接终端需要发送HTTP流量，否则无法识别私接。

4. 当终端的浏览器或者APP的HTTP User-Agent标识被设置为其他终端大类标识，并直接访问DNS规则列表里面的域名时，会被误检测为私接。比如将Android平板的浏览器标识修改为Windows PC模式，并且直接用浏览器访问DNS规则里边的Windows域名，此时平板会出现Android和Windows两种操作系统的特征，会被检测为私接。

5. 合法终端安装虚拟机/模拟器等特殊场景，如果终端的TCP-SYN/HTTP/DNS出现非合法的IP报文TTL值，会被检测为私接。

私接判定

私接两个及以上终端，终端IP不同，直连终端的交换机上开启私接检测。私接终端需要发送HTTP报文、TCP syn报文、DNS报文。非直连终端的交换机开启私接HUB检测时有误报，直连终端存在多个虚拟网卡时有误报。

私接判定

对于S530系列：

端口安全功能启用场景，交换机会限制学习到的MAC地址数量。MAC地址表项达到上限后，采用新MAC地址的报文会被丢弃，影响私接HUB检测

私接判定

私接路由器及私接路由器下挂终端不允许刷机和root。私接路由器下挂终端需要发送HTTP报文、TCP syn报文、DNS报文。私接路由器是家庭路由器，使用校园网路由器私接，检测时间超过规格值。

私接判定

对于S530系列：

如果私接路由器和其下挂的终端，其IP报文TTL初始值不属于以下范围：128、64、255、32，则无法正确检测出私接类型

私接判定

对于S530系列：

私接路由器自身存在背景流量场景，比如访问网络获取更新固件，此时私接路由器可能会被误检测为代理WiFi共享。

私接判定

对于S530系列：

私接路由器检测不支持在跨三层设备部署，否则会出现误检

私接判定

对于S530系列：

私接路由器不支持隧道转发场景。

私接判定

私接终端的操作系统不同，支持的终端操作系统为windows/Linux/ios/Android，终端需要发送HTTP报文、TCP syn报文、DNS报文。共享热点的PC上开启中间人代理，检测时间超过规格值。连接PC热点的终端关闭系统更新、软件更新、网络连接测试，不支持检测私接行为。

终端部署虚拟机或者模拟器时，存在终端操作系统多样性，存在私接行为识别不准确

私接判定

对于S530系列：

如果代理终端和其下挂的终端，其IP报文TTL初始值不属于以下范围：128、64、255、32，则无法正确检测出私接类型

私接判定

对于S530系列：

代理共享WiFi检测不支持在跨三层设备部署，否则会出现误检。

私接判定

对于S530系列：

代理WiFi共享检测不支持隧道转发场景。