Un hub no autorizado, un router no autorizado, o alguien compartiendo el Wi-Fi de su teléfono desde una toma de pared — cada uno de estos debería disparar una alerta en un switch de acceso correctamente configurado, y la mayoría de las veces no lo hace porque falta una pieza específica de la cadena de detección. Esta es la lógica de detección detrás de cada uno de los tres tipos de conexión no autorizada, los comandos exactos en vista diagnose a ejecutar, y las cinco razones por las que la detección vuelve vacía incluso cuando el dispositivo no autorizado está justo ahí.
Por Yuwen Zhang (Atlas), fundador de AtlasCommTech — 13 años de despliegues de redes de operadores y empresariales · Actualizado en julio de 2026
Un hub se delata por repetición, un router o un punto de acceso compartido se delata por contradicción — tratar los tres como un único problema de detección es la razón por la que tantos de estos casos se estancan.
La detección de conexión no autorizada de Huawei cubre tres dispositivos no autorizados distintos detrás de un solo puerto de acceso: un hub no autorizado, compartiendo un puerto entre varias direcciones MAC; un router no autorizado, traduciendo una dirección legítima en varios dispositivos detrás de él; y el uso compartido de Wi-Fi, un teléfono o portátil que conecta su propio punto de acceso a la red cableada. Cada uno de los tres es su propia función — detección unauthorized-hub, unauthorized-router y wi-fi-sharing — con su propio mecanismo de detección, y su propia razón para volver vacío incluso cuando el dispositivo no autorizado realmente está ahí.
A continuación, la lógica de detección detrás de cada tipo, el árbol de fallas para ubicar un síntoma de «sin resultado» en la rama correcta, los comandos en vista diagnose para cada etapa, las cinco causas raíz que explican la mayoría de estos casos, y cinco respuestas de preguntas frecuentes extraídas de casos reales de campo. Confirmar si un dispositivo siquiera llega al proceso de identificación del switch es una cuestión relacionada pero separada — vea terminal-identification-troubleshooting.html si el propio puerto parece no reportar nada en absoluto.
Antes de ejecutar un solo comando, decida cuál de las tres preguntas realmente está haciendo — el diagrama a continuación es la forma más rápida de hacerlo.
unauthorized-hub pregunta si la misma MAC sigue reapareciendo detrás de un puerto; unauthorized-router y wi-fi-sharing preguntan si el tráfico de un puerto contiene huellas de dispositivo contradictorias; el sondeo activo ARP hace una pregunta de confirmación más acotada, una vez que ya se sospecha de un hub.
Las etiquetas del diagrama se mantienen en inglés por claridad técnica.
Ninguno de los tres tipos de detección tiene que habilitarse en conjunto — cada uno se activa de forma independiente con su propio comando uap enable uap-type, y un «sin resultado» en uno no dice nada sobre el estado de los otros dos.
Tres tipos de detección, tres comandos distintos a revisar primero — y la verificación de la ruta de reporte que aplica a todos ellos.
unauthorized-hub, unauthorized-router y wi-fi-sharing son funciones independientes — confirme que las tres están realmente activadas antes de asumir que alguna está averiada.
[HUAWEI] uap enable uap-type unauthorized-hub
[HUAWEI] uap enable uap-type unauthorized-router
[HUAWEI] uap enable uap-type wi-fi-sharing
// each type is independent -- enabling one says nothing about the other twoUn hub solo se marca una vez que la misma dirección MAC aparece dos veces detrás del mismo puerto — una sola aparición no prueba nada.
<HUAWEI> diagnose
[HUAWEI-diagnose] display uap profiling interface
Interface Ip-address MAC Vlan Online-time
10GE1/0/1 192.168.137.3 607d-095a-ee83 4094 2024-01-25T06:29:59+00:00
// same MAC repeating on the same interface is what actually gets a port flagged
[HUAWEI-diagnose] display cpu-defend statistics packet-type ntid-http all
PacketType Total Passed Total Dropped
ntid-http 658 0
// Total Passed = 0 means the switch never received a reply packet at all
[HUAWEI-diagnose] debugging host packet 0a010101 slot 1 number 10
// capture by source-IP hex if the report path itself is in questionEsto no es una coincidencia de firma — es una comprobación lógica de dos cosas que no deberían ser ciertas ambas detrás del mismo puerto.
[HUAWEI-diagnose] display uap profiling mac
MAC Ip-address Interface TTL Dns-feature Http-feature Tcp-feature
fe51-6735-3c5f 192.168.137.130 10GE1/0/1 64/0_1_0 - - ios
0055-c055-0102 2.2.2.205 10GE1/0/1 64/63/1_1_0 - Windows6.1 -
// two different TTLs, or an illegal repeat like 63, is what actually flags a port here
[HUAWEI-diagnose] display uap feature
Interface MAC Type Value
10GE1/0/1 0055-c055-0102 UAP_HTTP_UA 0,64,2.2.2.205,Mozilla/5.0 (Windows; U; Windows NT 6.1...)
// thin traffic in this table produces a thin, inconclusive profile aboveEste sondeo solo se ejecuta contra terminales que se conectaron después de que se habilitó arp snooping — y solo cuenta como hub con una proporción específica, no con cualquier respuesta adicional.
[HUAWEI-diagnose] display arp snooping all
VLAN/CEVLAN IP ADDRESS MAC ADDRESS INTERFACE EXPIRE(S)
1/0 10.2.0.167 4ce1-7345-1fe5 GE1/0/7 866
// only terminals listed here were even eligible for the ARP probe
[HUAWEI-diagnose] display uap arp-detection
Interface Vlan IP-Address MAC-Address Send-Count Recv-Count Is-HubUa
GE1/0/7 1 10.2.0.167 4ce1-7345-1fe5 2 4 true
GE1/0/8 1 10.2.0.168 4ce1-7345-1fe6 2 0 false
// Is-HubUa only reads true once Recv-Count is at least 2x Send-Count
[HUAWEI] display cpu-defend statistics packet-type arp-reply all
PacketType Total Passed Total Dropped
arp-reply 1427 2
// Total Passed = 0 means no ARP replies are being received from that port at allUna vez que las comprobaciones anteriores han indicado dónde está el problema, estas cinco causas explican la mayor parte de lo que realmente falla.
SÍNTOMAdisplay uap detection-results vuelve vacío para un tipo de dispositivo que puede ver enchufado justo delante de usted.
CAUSAunauthorized-hub, unauthorized-router y wi-fi-sharing son tres funciones independientes, cada una activada con su propio comando uap enable uap-type. Habilitar una no dice nada sobre el estado de las otras dos, y es fácil asumir que las tres están activadas porque una de ellas claramente lo está.
SOLUCIÓNConfirme que los tres tipos están realmente habilitados con display current-configuration antes de seguir resolviendo problemas — no asuma que la detección está rota cuando simplemente nunca se activó para ese tipo de dispositivo específico.
SÍNTOMAdisplay uap arp-detection muestra un Recv-Count distinto de cero, pero Is-HubUa sigue mostrando false.
CAUSAEl sondeo ARP solo clasifica un puerto como hub una vez que Recv-Count alcanza al menos el doble de Send-Count dentro de un ciclo de detección. Una única respuesta legítima por sondeo — el caso normal, sin hub — nunca cruza esa proporción, sin importar cuántos ciclos se ejecuten.
SOLUCIÓNLea Recv-Count contra Send-Count como una proporción, no como una comprobación de presencia sí/no — un patrón de 1:1 o 2:2 es exactamente cómo se ve un único dispositivo legítimo detrás del puerto.
SÍNTOMAUn hub que ha estado detrás de un puerto durante semanas nunca aparece en display uap arp-detection, mientras que uno nuevo conectado hoy se detecta casi de inmediato.
CAUSAEl sondeo activo ARP se dispara desde arp snooping, y solo los terminales que se conectaron después de habilitar arp snooping quedan registrados para el sondeo. Un dispositivo que ya estaba en funcionamiento antes de activar la función es invisible para esta comprobación específica, aunque el hub en sí no haya cambiado en absoluto.
SOLUCIÓNVerifique display arp snooping all para la entrada del terminal antes de asumir que el sondeo debería detectarlo. Si falta, el terminal se conectó demasiado pronto para esta función — un flap de puerto, o una nueva verificación programada, lo devuelve al alcance.
SÍNTOMAdisplay uap profiling mac muestra un TTL que parece un poco inusual, pero el puerto nunca se marca como router no autorizado o punto de acceso compartido.
CAUSALa lógica no consiste en si un TTL parece incorrecto — es específicamente dos valores de TTL diferentes detrás del mismo puerto, o un valor repitiéndose en un número ilegal, 63 o 127. Un TTL único, internamente consistente, incluso inusual, describe un solo dispositivo detrás de ese puerto, exactamente el caso que la detección está diseñada para dejar pasar.
SOLUCIÓNLea el campo TTL buscando variedad, no rareza. Si cada paquete de ese puerto muestra el mismo TTL, eso no es una detección parcial — es el mecanismo decidiendo correctamente que no hay nada que marcar.
SÍNTOMATodos los comandos de perfilado y sondeo anteriores devuelven vacío o cero, en todos los tipos de detección, en un puerto que usted tiene la certeza de que tiene tráfico.
CAUSALa detección unauthorized-hub, unauthorized-router y wi-fi-sharing depende toda de la misma ruta de entrega subyacente — una ACL programada en el hardware, y una entrada de microcódigo que realmente reenvía el paquete coincidente hasta el servicio UAP. Cuando esa ruta se rompe, comúnmente una ACL que no se programó, cada tipo de detección se ve idéntico desde afuera — silencioso, sin nada que mostrar, sin importar lo que realmente esté conectado.
SOLUCIÓNVerifique Total Passed en display cpu-defend statistics packet-type ntid-http all, y los contadores NTID cause-ID correspondientes bajo display forward information. Si ninguno de ellos se incrementa, es un problema de entrega por debajo de la propia detección, que merece una captura de depuración del lado HOST y escalado en lugar de más comandos de perfilado.
Sacadas directamente del campo — las que vale la pena tener respuesta lista.
Ejecute display uap detection-results en cualquier vista. Enumera cada interfaz marcada, MAC, dirección IP, el tipo específico no autorizado — hub, router, o uso compartido de Wi-Fi — y cuándo se detectó.
display uap profiling mac muestra la evidencia real: el campo TTL indica si se trata de una repetición pura de tipo hub, mientras que las columnas Dns-feature, Http-feature y Tcp-feature muestran qué huellas de sistema operativo se vieron — dos firmas de SO distintas, o dos versiones de una, detrás del mismo puerto apuntan a un router o punto de acceso compartido en lugar de un hub simple.
Son totalmente independientes — habilite solo unauthorized-hub, solo unauthorized-router, solo wi-fi-sharing, o cualquier combinación, con comandos uap enable uap-type separados. No hay dependencia entre ellas, ni un umbral compartido que cambie según cuáles otras estén activadas.
Confirme primero que la misma MAC realmente se ha repetido detrás de ese puerto — una sola aparición no es suficiente. Si se ha repetido y la detección sigue vacía, verifique si los comandos de perfilado y caché de características muestran algún dato para ese puerto; si ambos también están vacíos, el problema generalmente está completamente por debajo de la detección, en si los paquetes relevantes están llegando al servicio en primer lugar.
El perfilado es pasivo — lee lo que el tráfico normal de un dispositivo ya revela sobre él: TTL, y huellas de SO de DNS, HTTP y TCP. El sondeo ARP es activo — el switch envía deliberadamente solicitudes ARP y cuenta cuántas respuestas regresan, que es específicamente cómo se confirma un hub sospechoso, ya que un hub hace que un sondeo llegue a múltiples dispositivos reales y genere más respuestas de las que un solo dispositivo generaría jamás.
Esta nota se basa en la guía de localización de fallos de la detección de conexión no autorizada y en los casos de campo del manual de mantenimiento de switches de campus Huawei serie S — S1720, S5700, S6700, S6730, S7700 y modelos relacionados. Cubre la lógica de detección propia del switch y los comandos en vista diagnose; no cubre la alerta del lado del controlador de campus gestionado en la nube ni la política automatizada de deshabilitación de puertos, y no aborda la detección de AP no autorizado del lado inalámbrico, que es una función WLAN separada con su propio mecanismo de detección.
Cuéntenos qué tipo está persiguiendo — hub, router, o uso compartido de Wi-Fi — más la salida de display uap profiling y display uap detection-results, y le ayudaremos a interpretarla.