WindowsXP/7: 限制特有的无线网络连接

WindowsXP/7: 限制特有的无线网络连接

场景是这样的：在我们的学校环境中，提供三种不同的无线网络服务，一个是我们内部所有电脑服务器打印机等等设备所使用的相对安全的内部网络，登陆认证使用AD；第二个是为学生准备的服务，它提供基本的连接Internet的服务，但是不能连接学校内部网络，适用于有有学校账户的人群使用个人网络设备，用户连接后，需要进入浏览器，浏览器提示用户认证，用户输入普通的在学校的账户确认之后，就可以使用了；第三个与第二个类似，不同的是它适合于学校以外的访问者使用，学校可以临时产生一个账户供客人使用，这个特殊账户有使用时限，同样不能访问内部网络，只提供有限的Internet服务。不仅如此，在学校里，还可以连接到外部其他无线信号。

面对复杂的网络环境，很多时候会造成麻烦，最主要的是，学校的无线设备，比如笔记本电脑，可能由于连接到其他无线网络上，而无法让用户登陆，因为无法连接到AD，或者是无法访问学校网络资源，比如打印机等。 而由于学生的好奇心或者是恶作剧，他们可能会有意无意地通过状态栏上的无线网络图标，手动连接到其他网络，下一个用户登陆时，当然就登陆不上去，或者是即便可以登陆，但是无法访问学校的内部服务，这样造成网络支持的麻烦，而且学生们会乐此不疲。

应对的方法就是，不让普通用户变更网络。

首先使用组策略禁止打开Control Panel，不能使用Command Prompt等基本配置这是第一步，然后把学校的无线网络添加到预设网络列表(PreferredNetwork)中并且放在第一位，设置即便没有广播SSID都可以连接等等配置，而组策略不能阻止用户添加一个无线网络连接到预设网络列表(PreferredNetwork)中。所以要进行下面的操作。

注意，不是所有的移动无线设备都应该被限制，比如有员工可以被准许拿笔记本电脑离开校园使用(off-site)，这样的设备，用户需要被培训，如何使用和配置无线网络，那么在出现上述问题的时候他们可以自我解决。

 

针对Windows 7:

我们可以只准许用户看到特定的无线网络，而不是所有的，这样即便普通用户想改变，也是无计可施，这个特性，只有在WindowsVista之后才提供。比如说，学校内部无线网络的SSID是SchoolOwned Devices，那么下面的命令可以只显示该网络。

netsh wlanadd filter permission=denyall networktype=adhoc

netsh wlanadd filter permission=denyall networktype=infrastructure

netsh wlanset blockednetworks display=hide

netsh wlanadd filter permission=allow ssid="School Owned Devices"networktype=infrastructure

 

粗看上面的命令，首先它在无线网络中使用过滤器禁止了两种类型的网络，然后禁止显示所有无线网络，最后是让它显示一个特定的无线网络。

要恢复原始状态，使用下面的命令

netsh wlandelete filter permission=denyall networktype=adhoc

netsh wlandelete filter permission=denyall networktype=infrastructure

netsh wlanset blockednetworks display=show

 

针对Windows XP:

Windows XP中不如Windows 7那样简单明了，不过可以通过修改注册表可以让无线图标不再显示在状态栏中，加上上面的诸多限制，用户没有手段来变更无线连接，这也是不得已的这种策略了。

其实很简单，也容易编写成脚本执行

[-HKEY_CLASSES_ROOT\CLSID\{7007ACCF-3202-11D1-AAD2-00805FC1270E}]

 

Reference:

Windows XP and Windows Server 2003 Behavior When Connected toBoth Wired and Wireless Networks [http://technet.microsoft.com/en-us/library/bb878031.aspx].

Links to the WS08 version of the product help for these settingsare: Group Policy settings that prohibit home and small office networking onyour domain [http://technet.microsoft.com/en-us/library/cc758455(WS.10).aspx]:

-- Enable or Disable Internet Connection Sharing by Using Group Policy [http://technet.microsoft.com/en-us/library/cc770930(WS.10).aspx

-- Enable or Disable the Network Bridge by Using Group Policy [http://technet.microsoft.com/en-us/library/cc732103(WS.10).aspx

In WS03-based Group Policy:  Add, edit, or remove Active

Directory-based wireless network policies [http://technet.microsoft.com/en-us/library/cc787324(WS.10).aspx]

In WS08 and WS08 R2-based Group Policy:

Deploying 802.1XAuthenticated Wireless Access with PEAP-MS-CHAPv2 [http://technet.microsoft.com/en-us/library/dd183603(WS.10).aspx],in thesections:

-- Configure Windows Vista Wireless Network (IEEE 802.11) Policies [http://technet.microsoft.com/en-us/library/dd145296(WS.10).aspx]

-- Configure Windows XP Wireless Network (IEEE 802.11) Policies [http://technet.microsoft.com/en-us/library/dd183688(WS.10).aspx

Win7 wireless clients: Hosted Network at: About the WirelessHosted Network [http://msdn.microsoft.com/en-us/library/dd815243(VS.85).aspx]

in WS08 R2, they can follow the steps provided in the topicConfigure Network Permissions and Connection

Preferences [http://technet.microsoft.com/en-us/library/dd759204.aspx.