WFilter的(de)“SSL監控(kong)(kong)(kong)”模塊，可以對(dui)https以及SSL加密的(de)smtp/imap/pop3的(de)內容(rong)(rong)進(jin)行(xing)解(jie)密從而記錄其內容(rong)(rong)。該SSL監控(kong)(kong)(kong)模塊，既(ji)可以對(dui)電(dian)腦進(jin)行(xing)管控(kong)(kong)(kong)，而且對(dui)手機一樣生效(xiao)。但是(shi)要(yao)不影響客戶(hu)機的(de)正常使(shi)用，首先(xian)需(xu)要(yao)在(zai)客戶(hu)機上安裝ca證(zheng)書(shu)(shu)。電(dian)腦上安裝ca證(zheng)書(shu)(shu)比較簡單，我們(men)不再贅述。本(ben)文中，我將介紹如何在(zai)蘋果手機（iphone）上安裝SSL監控(kong)(kong)(kong)的(de)ca證(zheng)書(shu)(shu)，從而實現對(dui)iphone的(de)SSL監控(kong)(kong)(kong)。

1. 開啟SSL監控

說(shuo)到https，不得不提http（HyperText Transfer Protocol）這(zhe)個(ge)互聯(lian)網上用(yong)(yong)(yong)的(de)(de)(de)最(zui)廣泛的(de)(de)(de)網絡(luo)協議(yi)，其技術架(jia)構，協議(yi)功(gong)能(neng)(neng)，協議(yi)原(yuan)理(li)百(bai)度或者(zhe)google都(dou)(dou)有詳細解(jie)釋。而https（Hyper Text Transfer Protocol over Secure Socket Layer）多就(jiu)多在(zai)這(zhe)個(ge)S上，SSL加(jia)密(mi)(mi)，通(tong)常(chang)理(li)解(jie)，https就(jiu)是(shi)(shi)(shi)http加(jia)入SSL加(jia)密(mi)(mi)層變成以安(an)全(quan)為目標(biao)的(de)(de)(de)http傳輸。那么(me)SSL是(shi)(shi)(shi)個(ge)啥(sha)呢(ni)，SSL是(shi)(shi)(shi)一(yi)個(ge)目前應(ying)用(yong)(yong)(yong)非常(chang)廣泛的(de)(de)(de)一(yi)種(zhong)非對(dui)稱(cheng)加(jia)密(mi)(mi)方(fang)式(shi)(shi)，也是(shi)(shi)(shi)公認破解(jie)不了(le)的(de)(de)(de)。安(an)全(quan)，又(you)好用(yong)(yong)(yong)，所以才能(neng)(neng)廣泛應(ying)用(yong)(yong)(yong)，除了(le)http,郵件(jian)的(de)(de)(de)pop3,smtp，IM通(tong)訊等(deng)(deng)等(deng)(deng)，都(dou)(dou)能(neng)(neng)用(yong)(yong)(yong)上，是(shi)(shi)(shi)個(ge)很(hen)好的(de)(de)(de)加(jia)密(mi)(mi)方(fang)式(shi)(shi)。起初用(yong)(yong)(yong)https通(tong)常(chang)都(dou)(dou)是(shi)(shi)(shi)金融類網站用(yong)(yong)(yong)到財務交易，時(shi)光(guang)如(ru)水(shui)，歲月如(ru)歌，IT技術一(yi)日百(bai)里的(de)(de)(de)飛(fei)速發展，現在(zai)很(hen)多門(men)戶網站，企業網站也都(dou)(dou)逐(zhu)漸使用(yong)(yong)(yong)https協議(yi)，這(zhe)個(ge)也是(shi)(shi)(shi)事實的(de)(de)(de)趨勢。概念(nian)(nian)就(jiu)是(shi)(shi)(shi)這(zhe)個(ge)概念(nian)(nian)了(le)，那么(me)https如(ru)何監控管(guan)理(li)呢(ni)？以下說(shuo)明(ming)是(shi)(shi)(shi)獻給非專(zhuan)(zhuan)業IT技術人員，非專(zhuan)(zhuan)業碼(ma)農的(de)(de)(de)。為了(le)大家都(dou)(dou)能(neng)(neng)明(ming)白，可能(neng)(neng)有些敘(xu)述比較幼(you)稚和(he)粗淺，請多多理(li)解(jie)。

WFilter上網(wang)(wang)行為(wei)管理(li)軟件（WFilter ICF）是基于網(wang)(wang)絡監(jian)(jian)控技(ji)術(shu)的(de)上網(wang)(wang)行為(wei)管理(li)軟件，其原(yuan)理(li)和客戶端監(jian)(jian)控（內網(wang)(wang)監(jian)(jian)控）的(de)技(ji)術(shu)原(yuan)理(li)有著很大(da)的(de)差異。

本文將分析這兩種方案的優缺點，以協助您做出正確的選擇。

一個有(you)效的網(wang)(wang)址庫是(shi)上網(wang)(wang)行(xing)為(wei)管(guan)理產(chan)品進行(xing)網(wang)(wang)頁過濾的基(ji)本條件。現(xian)在市場上的大(da)部分上網(wang)(wang)行(xing)為(wei)管(guan)理產(chan)品，都自帶了網(wang)(wang)址庫功(gong)能(neng)，但是(shi)各家的實現(xian)方式(shi)差別挺(ting)大(da)的。大(da)部分廠商都著(zhu)重于(yu)(yu)宣傳自己的“大(da)”，動輒號稱幾(ji)千(qian)萬網(wang)(wang)址庫，殊不知(zhi)相對于(yu)(yu)數以(yi)億計（2015年網(wang)(wang)站總數已(yi)(yi)經超過3億）的互(hu)聯網(wang)(wang)而言，千(qian)萬級(ji)的網(wang)(wang)址庫也只(zhi)是(shi)覆(fu)蓋了一小(xiao)部分而已(yi)(yi)。

WFilter系列上網行(xing)為管理(li)產品(pin)，在”網址(zhi)庫“方面，采用了如下(xia)三種技術：

1. 自(zi)帶基(ji)本百萬(wan)(wan)級網址庫；涵(han)蓋alex排名(ming)前百萬(wan)(wan)的網站列表。

2. 本地(di)自動(dong)分類(lei)(lei)技術(shu)；對于(yu)未知(zhi)的網站類(lei)(lei)型，可(ke)以(yi)基(ji)于(yu)網站的內(nei)容，實時進行自動(dong)分類(lei)(lei)。

3. 云(yun)(yun)主(zhu)機分類(lei)(lei)技術；對于(yu)未知的網(wang)址(zhi)類(lei)(lei)型，可以發送到我們的網(wang)站(zhan)分類(lei)(lei)云(yun)(yun)主(zhu)機進行查詢，由主(zhu)機進行分類(lei)(lei)后返回。

網(wang)(wang)址(zhi)庫是網(wang)(wang)頁過(guo)濾的(de)(de)(de)基礎。網(wang)(wang)頁分類(lei)(lei)就是根據(ju)網(wang)(wang)站的(de)(de)(de)內容，將網(wang)(wang)站分為什么類(lei)(lei)型，比如門戶網(wang)(wang)站、購物類(lei)(lei)、信息類(lei)(lei)、技術類(lei)(lei)等等等。這樣的(de)(de)(de)產品早在N年前，Websence，surfcontrol就有(you)號(hao)稱千萬(wan)級的(de)(de)(de)網(wang)(wang)址(zhi)庫，甚至(zhi)有(you)些國內的(de)(de)(de)行為管理硬件，動輒需要1T的(de)(de)(de)內存空間，都是因為網(wang)(wang)址(zhi)庫不夠精簡(jian)的(de)(de)(de)原因。但是互(hu)聯網(wang)(wang)的(de)(de)(de)網(wang)(wang)址(zhi)就跟(gen)汪洋大(da)海(hai)的(de)(de)(de)海(hai)水一樣，數不過(guo)來。

實際使用過程中(zhong)，尤其是工(gong)作局域網(wang)(wang)環(huan)境，只會(hui)訪問到網(wang)(wang)址(zhi)庫(ku)(ku)中(zhong)1%的網(wang)(wang)址(zhi)，其余的99%網(wang)(wang)址(zhi)庫(ku)(ku)幾乎不(bu)用。這樣大型(xing)網(wang)(wang)址(zhi)庫(ku)(ku)的優點僅有一個就(jiu)是“大型(xing)”而這樣的“大型(xing)”網(wang)(wang)址(zhi)庫(ku)(ku)也(ye)會(hui)造成軟件性能滯后(hou)，軟件自身(shen)文件過大。

WFilter系統產品的(de)(de)網(wang)(wang)址(zhi)庫收錄了(le)常用的(de)(de)百萬級網(wang)(wang)址(zhi)（實時(shi)更新），但是互聯(lian)網(wang)(wang)的(de)(de)工作內容又是千(qian)變萬化，如果網(wang)(wang)址(zhi)庫的(de)(de)定義不夠，我們另外(wai)有動態網(wang)(wang)址(zhi)分(fen)類，讓(rang)您根(gen)據自己的(de)(de)目標，要求(qiu)去定義您對(dui)網(wang)(wang)站分(fen)類的(de)(de)理解或者(zhe)新增您的(de)(de)網(wang)(wang)站分(fen)類。

除了自帶的60多種網(wang)(wang)頁分(fen)類外，您還可(ke)以(yi)在“WFilter上網(wang)(wang)行為管(guan)理軟件”中根據(ju)管(guan)理需要自定義網(wang)(wang)頁分(fen)類。具(ju)體步驟如下(xia)：

HTTPS就是HTTP over SSL（通過SSL加密的HTTP網頁瀏覽協議），而SSL采用了非對稱密鑰的加密方式，在目前的硬件條件下，不知道私鑰是不可能解密SSL的密文的。

對(dui)于HTTP的(de)網頁瀏(liu)覽內(nei)容，“WFilter（超級嗅探狗）”和“WFilter上網行(xing)為管理(li)系統（WFilter NGF）”無需額外(wai)配置(zhi)，都可(ke)以(yi)直接記(ji)(ji)錄網址、網頁標題(ti)和瀏(liu)覽器類型。但(dan)是，對(dui)于https的(de)訪問，默(mo)認情況(kuang)下(xia)，只能記(ji)(ji)錄域名。如(ru)下(xia)圖：

域(yu)服務(wu)器使用(yong)越(yue)來越(yue)廣泛了，對于局域(yu)網設備機動(dong)使用(yong)的，用(yong)了域(yu)賬(zhang)號(hao)，能準(zhun)確管(guan)理到(dao)位。那么如何監控到(dao)客(ke)戶機登陸(lu)的域(yu)賬(zhang)號(hao)呢？

本文將(jiang)介紹如何用”WFilter（超(chao)級嗅探狗）“軟(ruan)件來監控局域網(wang)客戶機登錄(lu)的(de)域賬號。

1. 什么是根據MAC地址監控？

WFilter支持“根(gen)據(ju)IP地址(zhi)監(jian)(jian)(jian)控(kong)(kong)”和“根(gen)據(ju)MAC地址(zhi)監(jian)(jian)(jian)控(kong)(kong)”兩種方案（如果您(nin)有AD域，還可以(yi)根(gen)據(ju)域賬號進行監(jian)(jian)(jian)控(kong)(kong)）。“根(gen)據(ju)MAC地址(zhi)監(jian)(jian)(jian)控(kong)(kong)”模(mo)式(shi)(shi)下，WFilter通(tong)過被監(jian)(jian)(jian)控(kong)(kong)設(she)備的(de)(de)(de)物理MAC地址(zhi)來進行識別，即使客(ke)戶機修(xiu)改(gai)了(le)IP（或者自動(dong)(dong)獲(huo)取了(le)一個新的(de)(de)(de)IP），仍然可以(yi)準確(que)識別。所以(yi)“MAC監(jian)(jian)(jian)控(kong)(kong)模(mo)式(shi)(shi)”在自動(dong)(dong)獲(huo)取IP地址(zhi)，或者IP地址(zhi)不固定的(de)(de)(de)網絡中，有很大的(de)(de)(de)優(you)越性。

我(wo)們一(yi)般建議用戶采(cai)用如下的監(jian)控方式：

1. 已經是固定IP或者可以實現固定IP的情況下，優先采用“根據IP監控”的模式。
2. 動態IP的局域網，單網段情況下，優先采用“根據MAC監控”模式。

2. 多網段根據MAC監控方案

多網段的情(qing)況(kuang)下，由(you)于三層交換機的存在(zai)，屏蔽了(le)客戶(hu)機實際的MAC地(di)址，從(cong)而無(wu)法直接實現(xian)“根據MAC地(di)址”監控。

一(yi)個WFilter監(jian)控主機可以監(jian)控一(yi)個局域網(wang)的(de)上網(wang)行為，當您有多個局域網(wang)需(xu)要管理(li)的(de)時候，需(xu)要在每個網(wang)絡都安裝一(yi)套(tao)WFilter才可以。

為管理多個WFilter服務(wu)器，我們推(tui)薦您在WFilter界(jie)面中直(zhi)接切換到不(bu)同的服務(wu)器進行查看。請參考：[URL=//iwto38k.cn/blog/post/148.html]如何(he)集中管理多個超級嗅探狗監控服務(wu)器？[/URL]

有(you)些情況下，個別(bie)用(yong)(yong)戶可能(neng)需要把數(shu)(shu)據(ju)集(ji)中存放以便(bian)于管(guan)理。要實(shi)現這樣的(de)功(gong)能(neng)，您(nin)必須(xu)安裝WFilter的(de)數(shu)(shu)據(ju)庫版本。從(cong)而利(li)用(yong)(yong)數(shu)(shu)據(ju)庫的(de)管(guan)理功(gong)能(neng)來同(tong)步WFilter數(shu)(shu)據(ju)庫。

本例中，我們(men)將演示如何用mysqldump來同步(bu)WFilter數(shu)據庫(ku)（mysql版本）

WFilter（超級嗅探狗）4.1版本中新增了“網頁推送”功能，可以在滿足指定條件時給客戶機來推送web頁面，它可以用于企業公告、內容推送、報表推送等功能的實現。 本例中，我們將演示如何使用WFilter進行網頁推送。

根據(ju)我們最新的(de)壓力測試(shi)，WFilter（超級嗅(xiu)探狗）4.1版本的(de)性能得到了大(da)幅提(ti)升(sheng)，監(jian)控5000臺毫無(wu)壓力，相比(bi)4.0大(da)幅提(ti)升(sheng)啦。 測試(shi)環(huan)境是(shi)Server 2008 R2，dlink千兆(zhao)交換機(ji)。測試(shi)機(ji)的(de)內存(cun)只(zhi)有2G、CPU是(shi)Intel Celeron E3200@2.4GHZ。由于測試(shi)的(de)硬件(jian)配置(zhi)比(bi)較低，帶(dai)機(ji)量還存(cun)在大(da)幅的(de)上(shang)升(sheng)空間(jian)。 [IMG]upload/wfilter_performance_1.png[/IMG] [IMG]upload/wfilter_performance_2.png[/IMG]

雖然WFilter（超級嗅探狗）提供了一系列的統計報表，但是有時候您可能需要對數據進行一些處理。以“網頁明細統計”報表為例，該報表列出了日期、姓名、網站分類、網站、訪問次數的信息。如果您需要按日期求和，可以先把該報表導出為csv格式，然后在excel中利用“數據透視”功能進行二次統計。

終端服務給企業局域網的網絡管理帶來了很多好處，不少企業都在自己的局域網內架設了終端服務器來提供網絡服務。但是，因為客戶端都共享了終端服務器的網絡資源，所以傳統的基于IP或者MAC地址的上網行為管理無法對終端服務器上的不同用戶進行監控和管理。 最新發布的超級嗅探狗zh.4.0.200版本新增了代理服務器用戶驗證功能，使用WFilter（超級嗅探狗）的“帳號監控功能”和“代理服務器功能”相結合，可以監控到終端服務器上的不同用戶，且可以給每個用戶設置單獨的上網策略。 具體方案請參考：[URL=//iwto38k.cn/help/doc/WFilter_monitor_terminalserver.htm]如何監控終端服務器上不同用戶的上網行為?[/URL]

我們在使用超級嗅探狗網絡監控軟件對網絡進行監控管理的時候還要結合路由器或者防火墻封堵UDP端口。為什么旁路模式不能封堵UDP端口？

本例中演示了如何在dlink 7300路由器上面禁止UDP端口。

1. 首先登陸路由(you)器，在“網絡安全- - >防(fang)火墻(qiang)(qiang)設置”里(li)面對(dui)防(fang)火墻(qiang)(qiang)進行設置，具體(ti)設置如下圖所示：

現在很多軟件不僅僅通過TCP 方式進行通訊，還能夠通過UDP方式進行通訊。所以我們在使用超級嗅探狗網絡監控軟件對網絡進行管理的時候還要結合路由器或者防火墻封堵UDP端口。為什么旁路模式不能封堵UDP端口？

1. 首先(xian)登(deng)陸(lu)路(lu)由(you)器(qi)，在“高級-->防火墻&DMZ”里面對防火墻進行(xing)設置，具體設置如下圖(tu)所示：

有些公司會(hui)采用多(duo)寬帶(dai)接入的(de)方(fang)式來聯(lian)接互聯(lian)網，例如，公司內部有20臺(tai)電腦通過(guo)(guo)兩條獨(du)立的(de)ADSL寬帶(dai)上(shang)網，10臺(tai)劃(hua)分為192.168.1.0網段，通過(guo)(guo)192.168.1.1的(de)路由器上(shang)網；另外10臺(tai)劃(hua)分為192.168.2.0網段，通過(guo)(guo)192.168.2.1的(de)路由器上(shang)網。

這種環境下實現監(jian)控(kong)，一般是(shi)把(ba)兩臺(tai)路由器同時接到鏡像交換機上(shang)，然(ran)后在鏡像端口安裝超級(ji)嗅探狗來實現監(jian)控(kong)。

但(dan)是由(you)(you)于這兩(liang)(liang)個(ge)網(wang)(wang)段互相獨立(li)，而且(qie)這兩(liang)(liang)個(ge)路由(you)(you)器之間并不能互相轉發(fa)數據，導致在默認配置下，超級嗅探狗(gou)只能禁止其中一個(ge)網(wang)(wang)段的上網(wang)(wang)行為。要實現同時可以禁止多個(ge)網(wang)(wang)段，需要修(xiu)改嗅探狗(gou)電腦(nao)(nao)的“子網(wang)(wang)掩碼”配置，使(shi)嗅探狗(gou)的電腦(nao)(nao)同時屬于這兩(liang)(liang)個(ge)網(wang)(wang)段。

現在很多軟(ruan)件(jian)不僅僅通(tong)(tong)(tong)過TCP 方(fang)式(shi)進(jin)行通(tong)(tong)(tong)訊，還能夠通(tong)(tong)(tong)過UDP方(fang)式(shi)進(jin)行通(tong)(tong)(tong)訊。所以我們在使用超級嗅探(tan)狗網絡監控軟(ruan)件(jian)對(dui)網絡進(jin)行管理的時候還要結合路(lu)(lu)由器或者防火墻封堵UDP端口。[URL=//iwto38k.cn/blog/post/108.html]為什么旁路(lu)(lu)模(mo)式(shi)不能封堵UDP端口？[/URL]

1. 首先登陸(lu)路(lu)由器，在“安(an)全(quan)設置(zhi)- - >防火墻(qiang)(qiang)設置(zhi)”里面對防火墻(qiang)(qiang)進行設置(zhi)，具體設置(zhi)如下圖所示：

這一步(bu)需要注意(yi)的是：

（1）首先需要勾選(xuan)“開(kai)啟防火墻(qiang)”和“開(kai)啟IP地址過(guo)濾”。

（2）在“缺(que)省過濾規則”當中，一定要選擇“凡是不符合(he)已(yi)設(she)IP地(di)址過濾規則的數據(ju)包，允許通過本(ben)路由器”。

2．接下(xia)來打開(kai)“安全設置(zhi)(zhi)-- >IP地址過濾”配(pei)置(zhi)(zhi)需要禁止的UDP端口(kou)，具(ju)體配(pei)置(zhi)(zhi)如下(xia)圖所示：

常見的網絡監控模(mo)式(shi)可(ke)以(yi)分為(wei)兩種(zhong)：一(yi)種(zhong)是(shi)串聯監控模(mo)式(shi)，另一(yi)種(zhong)是(shi)旁路監控模(mo)式(shi)。

旁(pang)(pang)路(lu)模(mo)式(shi)一般是指(zhi)通過(guo)交換(huan)機(ji)等網(wang)絡設(she)備的“端口(kou)鏡(jing)像”功能來實現監(jian)控，在(zai)此(ci)模(mo)式(shi)下，監(jian)控設(she)備只需(xu)要連接到(dao)交換(huan)機(ji)的指(zhi)定鏡(jing)像端口(kou)，所以(yi)形(xing)象的稱之為(wei)“旁(pang)(pang)路(lu)監(jian)控”；而串(chuan)聯模(mo)式(shi)一般是通過(guo)網(wang)關或(huo)者網(wang)橋(qiao)的模(mo)式(shi)來進行監(jian)控，由于監(jian)控設(she)備做為(wei)網(wang)關或(huo)者網(wang)橋(qiao)串(chuan)聯在(zai)網(wang)絡中，所以(yi)稱之為(wei)“串(chuan)聯監(jian)控模(mo)式(shi)”。

旁路模式和串聯模式各(ge)有(you)其優(you)缺點(dian)，比較如下(xia)：

[B]旁路(lu)模式的優(you)點(dian)：[/B]

1. 旁路監控(kong)模(mo)(mo)式部署起來(lai)比較靈活方(fang)便，只(zhi)需要(yao)在交換機上(shang)面配置鏡(jing)像端口即可。不會影(ying)響現有(you)(you)的網(wang)絡結(jie)構(gou)。而(er)串聯模(mo)(mo)式一般要(yao)作為網(wang)關或者網(wang)橋(qiao)，所以需要(yao)對現有(you)(you)網(wang)絡結(jie)構(gou)進行變動。

利用交換機(ji)的(de)端(duan)口鏡(jing)像功能，可以(yi)把(ba)鏡(jing)像源端(duan)口的(de)數(shu)據包，拷貝到指定(ding)的(de)目(mu)的(de)端(duan)口。從而在(zai)管理(li)口可以(yi)實(shi)現對整個網絡的(de)監(jian)控管理(li)。

端口鏡(jing)像功能是(shi)通(tong)過交換機的(de)硬件芯片(pian)來(lai)實現的(de)，理論(lun)上講不會對網絡產生任何影(ying)響。但是(shi)在啟用了鏡(jing)像功能后，不合理的(de)配(pei)置會導致數據量(liang)過大，從而導致鏡(jing)像口丟包。

所以我們在(zai)配置鏡像的時候，要(yao)考慮到幾(ji)個(ge)原則(ze)：

1. 盡量(liang)采用(yong)一(yi)(yi)對一(yi)(yi)鏡像。就是說(shuo)，一(yi)(yi)個鏡像源端(duan)口對應一(yi)(yi)個目(mu)的(de)端(duan)口。試想一(yi)(yi)下，如果你把(ba)兩個100M口的(de)數(shu)據都發送到(dao)一(yi)(yi)個100M的(de)目(mu)的(de)端(duan)口，目(mu)的(de)端(duan)口怎么能夠來得及處理(li)呢。

2. 如果由于(yu)某些原因必須要有多(duo)個鏡像源(yuan)端口(kou)，一(yi)定(ding)要考慮到每個源(yuan)端口(kou)的(de)最大流量，總和(he)不能超過目標(biao)端口(kou)（一(yi)般是100M），否(fou)則會有丟(diu)包。

3.如果只(zhi)需要對上網情況進行監(jian)測，只(zhi)鏡像互聯網數(shu)據(ju)即(ji)可。

4. 在交(jiao)換(huan)機不支持鏡像口通訊的情況下，或者監(jian)控的電腦(nao)臺(tai)數比較多時（超過(guo)50臺(tai)），建(jian)議使用(yong)兩塊(kuai)(kuai)網卡：一(yi)塊(kuai)(kuai)用(yong)于(yu)監(jian)聽(ting)、另(ling)外一(yi)塊(kuai)(kuai)用(yong)于(yu)封堵和通訊。

[B]網(wang)絡監控[/B]

網絡(luo)監控這(zhe)里(li)指的是(shi)對使用互聯(lian)網的人員(yuan)的上(shang)網行(xing)為進行(xing)監控管理(li)。

[B]網絡監控設(she)備[/B]

從實現方式(shi)上來分(fen)可以分(fen)為：網絡(luo)監控軟件(jian)和網絡(luo)監控硬(ying)件(jian)。

網絡監控軟件只需要在一(yi)臺監控服務器(qi)上(shang)面安裝，即可對整個局域網的上(shang)網行(xing)為(wei)進(jin)行(xing)監控管理(li)。

硬件網絡監(jian)(jian)控設備實質上(shang)(shang)是(shi)將軟件預先安(an)裝在硬件監(jian)(jian)控系(xi)統中，然后捆綁銷(xiao)售給客戶。而客戶從傳統的思維方式認為，硬件的監(jian)(jian)控系(xi)統一定比(bi)軟件的監(jian)(jian)控性(xing)(xing)能(neng)要(yao)好。實際上(shang)(shang)是(shi)錯誤的，因為監(jian)(jian)控系(xi)統性(xing)(xing)能(neng)的高低(di)取決(jue)于多(duo)種因素。

網絡(luo)監控軟(ruan)件與網絡(luo)監控硬件相(xiang)比較的優缺點：

[B]優點：[/B]

[B]1. 安裝使用方(fang)便[/B]

軟件(jian)的(de)試用(yong)(yong)、升(sheng)級、安(an)裝(zhuang)都比(bi)較方(fang)便，只要下(xia)載安(an)裝(zhuang)即可使用(yong)(yong)；而硬(ying)件(jian)的(de)試用(yong)(yong)、升(sheng)級由于涉及到硬(ying)件(jian)的(de)替換，比(bi)較而言要麻(ma)煩一些。

[B]2. 價格方(fang)面[/B]

網絡監控軟件(jian)(jian)的價格不涉及硬(ying)件(jian)(jian)費用，所以(yi)相對來說要便宜(yi)些。

[B]缺點：[/B]

[B]1. 部署(shu)方式(shi)[/B]

網絡(luo)監(jian)控(kong)(kong)軟件一(yi)般通過旁路(lu)模(mo)式(shi)（如超級嗅探狗網絡(luo)監(jian)控(kong)(kong)軟件）來進行(xing)監(jian)控(kong)(kong)，而網絡(luo)監(jian)控(kong)(kong)硬(ying)件除了旁路(lu)模(mo)式(shi)外，一(yi)般都可以(yi)還替代網關(guan)，部署方(fang)式(shi)上更(geng)加(jia)靈活(huo)一(yi)些。更(geng)多旁路(lu)監(jian)控(kong)(kong)和串(chuan)聯監(jian)控(kong)(kong)的比較請參見：

[B]2. 兼(jian)容(rong)性問題(ti)[/B]

網絡(luo)監控(kong)(kong)軟件安(an)(an)裝時不可避(bi)(bi)免要與其他的軟件共存(cun)，這樣不可避(bi)(bi)免就(jiu)會(hui)存(cun)在一些兼(jian)容(rong)性(xing)問題。而網絡(luo)監控(kong)(kong)硬件則只安(an)(an)裝了監控(kong)(kong)系(xi)統，從而幾乎不存(cun)在兼(jian)容(rong)性(xing)問題。

端口鏡像（Port Mirroring）

一般情況(kuang)下，與交換機或者(zhe)路由器相連(lian)的(de)(de)電腦只能(neng)夠接收到(dao)自己的(de)(de)數據包，為了網絡管(guan)理的(de)(de)需要，有些交換機或者(zhe)路由器提供了端口鏡像的(de)(de)功(gong)能(neng)。

配置了鏡(jing)像(xiang)端口后，通過(guo)網絡(luo)分析(xi)軟(ruan)件就可監控整個網絡(luo)的運行狀況(kuang)，和上網數(shu)據。

如下圖所示，此例(li)中把1號口(kou)鏡像到16號口(kou),從而在16號口(kou)安裝(zhuang)監控軟件，即可實現監控。

1. 為什么需要鏡像交換機實現監控？

1.1 端口鏡像交換機與普通交換機有什么不同？

一般(ban)情況下，與交換機或者路(lu)由器相(xiang)連的(de)電腦只能夠接收到自己(ji)的(de)數據包(bao)，為(wei)了(le)網(wang)絡管(guan)理的(de)需要(yao)，有些(xie)交換機或者路(lu)由器提供(gong)了(le)端口鏡像的(de)功能。

配置了鏡像端(duan)口(kou)后，通過網絡分析(xi)軟(ruan)件就可監控整個(ge)網絡的運(yun)行(xing)狀況和上網數據。有關一些(xie)交換機的鏡像配置，請(qing)參見(jian)：[URL=//iwto38k.cn/help/doc/deployment_example.htm]超(chao)級嗅探(tan)狗部署用例(li)[/URL]。

1.2 如何判斷交換機是否有端口鏡像功能？

一般可(ke)以通過查看交換機的說(shuo)明文(wen)檔或者web配置界面來(lai)判(pan)斷。

A 如果文檔介紹中聲稱此交換機支持“端口鏡像”或者“支持網管功(gong)能(neng)”，那么該交換機就可以支持端口鏡像。如：

[IMG]upload/TPL.jpg[/IMG]      [IMG]upload/HW.jpg[/IMG]

B 查看交換機(ji)的配置界面，如果存在“端(duan)口(kou)鏡(jing)像(xiang)”、“端(duan)口(kou)監控”之類的功能。就說(shuo)明此(ci)交換機(ji)支持端(duan)口(kou)鏡(jing)像(xiang)。

[IMG]upload/H3CS.JPG[/IMG]

網絡技術的(de)(de)(de)(de)不(bu)斷發展(zhan)，企事業(ye)單位的(de)(de)(de)(de)網絡管理人員逐漸意(yi)識到網絡監(jian)控(kong)的(de)(de)(de)(de)重(zhong)要(yao)性(xing)，因此出現了功能(neng)各異，技術不(bu)同的(de)(de)(de)(de)監(jian)控(kong)管理軟(ruan)件。面對市場上良莠不(bu)齊的(de)(de)(de)(de)品牌，作為企事業(ye)單位的(de)(de)(de)(de)網管人員，如(ru)何從中選擇能(neng)夠適合本單位的(de)(de)(de)(de)上網監(jian)控(kong)需要(yao)的(de)(de)(de)(de)網絡監(jian)控(kong)軟(ruan)件，成(cheng)為非常(chang)重(zhong)要(yao)的(de)(de)(de)(de)問題。

在(zai)使用超級嗅探狗監控局(ju)域網(wang)時，如(ru)(ru)果交換機的鏡像口不允許通訊(xun)(xun)(xun)，或者需要監控的電腦臺數(shu)比較多，一般需要分開設置(zhi)通訊(xun)(xun)(xun)網(wang)卡(ka)(ka)(ka)(ka)和(he)監聽網(wang)卡(ka)(ka)(ka)(ka)。而在(zai)windows系統中，當本機有兩塊網(wang)卡(ka)(ka)(ka)(ka)時，默認使用第二塊網(wang)卡(ka)(ka)(ka)(ka)進行通訊(xun)(xun)(xun)。如(ru)(ru)果第二塊網(wang)卡(ka)(ka)(ka)(ka)不是通訊(xun)(xun)(xun)網(wang)卡(ka)(ka)(ka)(ka)的時候(hou)，您的計算機可能會出現無法正常上(shang)網(wang)的情(qing)況。此時，您可以(yi)通過設置(zhi)TCP/IP協議配置(zhi)中的“自動躍(yue)點(dian)計數(shu)”來解(jie)決此問題。

躍(yue)點(dian)數(shu)是windows給特殊(shu)網(wang)絡接(jie)口的(de)(de)IP路由(you)分配(pei)的(de)(de)值，用來標識與使(shi)用該路由(you)有(you)關的(de)(de)成(cheng)本，系統會自(zi)(zi)動(dong)選擇躍(yue)點(dian)數(shu)低的(de)(de)網(wang)卡(ka)接(jie)入(ru)網(wang)絡。Windows XP 中，默認啟用“自(zi)(zi)動(dong)躍(yue)點(dian)計數(shu)”功(gong)能，為較慢(man)的(de)(de)網(wang)絡接(jie)口分配(pei)較高(gao)的(de)(de)躍(yue)點(dian)數(shu)，強(qiang)制流(liu)向Internet的(de)(de)所(suo)有(you)流(liu)量使(shi)用可用的(de)(de)最快網(wang)絡接(jie)口。同樣，您可以(yi)通過手動(dong)配(pei)置躍(yue)點(dian)數(shu)，使(shi)系統通過你(ni)所(suo)配(pei)置的(de)(de)網(wang)卡(ka)接(jie)入(ru)網(wang)絡。

網絡監控的正規辦法是通過交換機的“端口鏡像”功能，[URL=//baike.baidu.com/view/1381921.html?wtp=tt]端口鏡像[/URL]可以把其他端口的網絡通訊數據包都拷貝到某一個指定的端口，從而實現監控。 但是現在有些網管軟件，采用[URL=//iwto38k.cn/arp-spoof.htm]ARP欺騙[/URL]的方式來欺騙其他機器把數據包發送到監控機。這樣來實現監控，雖然省略了配置交換機這個步驟，但是卻帶來了一些問題： 1). ARP廣播風暴 ARP欺騙需要發送大量的ARP Reply數據包來欺騙被監控機，同時發送大量的ARP廣播包。會給局域網帶來廣播風暴，從而導致網絡緩慢。 2). 導致局域網不穩定 由于數據包都需要從監控主機轉發，一旦監控主機出現不穩定、掉電、斷線等情況，會導致局域網癱瘓。另外，如果局域網中有多個人同時進行ARP欺騙，將直接導致局域網癱瘓。