公司或学校网络突然卡顿、网页打不开，一查日志发现“XX工号在非工作时间访问游戏网站”“IP 192.168.3.42多次访问境外论坛”——这不是黑客入侵，而是网络审计系统亮起了红灯。
先搞清：谁在审计？审什么？
大多数单位用的都是国产上网行为管理设备（比如网康、天融信NGFW、H3C SecPath），或者在路由器/防火墙上启用了URL过滤+日志审计功能。这些系统默认会记录：访问域名、时间、源IP、用户账号（如果对接了AD/LDAP）、流量大小、甚至页面截图（高级版）。所谓“违规”，不一定是违法，常见有三类：
• 访问明确禁止的网站（赌博、色情、非法信息）
• 占用大量带宽的行为（迅雷下载、在线视频、直播推流）
• 绕过公司代理或使用未授权VPN
发现之后，宽带侧能做的几件事
作为负责宽带设置的一线人员，你不用去查法条，重点是快速响应、留痕、配合后续处理：
1. 立即限速或临时封禁该IP
登录路由器后台（如华三IRF、华为AR系列），进“安全策略→访问控制”，添加一条规则：
源IP：192.168.3.42
目的端口：any
动作：deny
生效时间：立即，持续2小时（可调）这样既不影响其他设备，又能阻断当前行为，给管理员留出调查窗口。
2. 查MAC地址，定位物理位置
在交换机上执行：
display arp | include 192.168.3.42
display mac-address | include xxxx-xxxx-xxxx（对应MAC）就能知道这台电脑连在几楼几号端口，避免“找不到人”的尴尬。
3. 检查是否为误报
有些“违规”是冤案：比如员工用百度搜“比特币挖矿原理”，被误判为访问虚拟货币站点；或者企业微信内嵌网页跳转到外部链接，触发了URL关键词拦截。建议导出原始日志，按时间+URL+User-Agent一起看，比单看标题靠谱得多。
日常预防比事后补救更省事
与其等审计告警再手忙脚乱，不如提前在宽带出口做点小动作：
• 在路由器QoS策略里，给HTTP/HTTPS流量设上限（比如单IP峰值5Mbps），大文件下载自然慢下来，没人愿意等；
• 把“迅雷”“qBittorrent”“ffmpeg”等特征UA加入HTTP过滤黑名单；
• 开启DNS日志（dnsmasq或pdnsd），比抓包轻量，还能发现偷偷改DNS的设备。
最后提醒一句：所有操作务必留截图、记时间、存日志。审计不是找茬，是帮大家守住网络边界。宽带稳了，大家刷网页才踏实。