當你(ni)有多臺(tai)WSG時，你(ni)可(ke)能(neng)會想把上(shang)網日志和統計(ji)數(shu)據(ju)集中(zhong)保(bao)存(cun)(cun)(cun)和管(guan)理。集中(zhong)保(bao)存(cun)(cun)(cun)可(ke)以保(bao)存(cun)(cun)(cun)更長日期的歷史數(shu)據(ju)，也更加便于管(guan)理。本文中(zhong)，我將(jiang)介(jie)紹如何搭建WSG數(shu)據(ju)中(zhong)心(xin)管(guan)理系統來實現數(shu)據(ju)的集中(zhong)存(cun)(cun)(cun)儲管(guan)理。

1. WSG數據中心的搭建

WSG數據中心安(an)裝(zhuang)在一(yi)臺windows電(dian)腦(nao)上，該系統的搭建需要安(an)裝(zhuang)以下產品：

1. SQL Server數(shu)據庫，所(suo)有的日志數(shu)據都(dou)會被(bei)導入到(dao)SQL Server數(shu)據庫中。

2. FTP服(fu)務器(qi)，用于提供(gong)FTP上傳服(fu)務。

3. WFilterDC（WFilter數據(ju)中心管理系統(tong)），該系統(tong)可以導入數據(ju)并且提供查(cha)詢和(he)統(tong)計等功能。

相對(dui)于二層交(jiao)換機的網絡環境，在三層交(jiao)換機環境下部署上(shang)網行為(wei)管理的步驟(zou)要(yao)復雜一(yi)(yi)些(xie)，差別主要(yao)在“靜態路(lu)由”和“MAC地址收集(ji)器(qi)”，還有上(shang)層防火墻的一(yi)(yi)些(xie)安全策(ce)略的影響(xiang)。在本文中，我將結合一(yi)(yi)次(ci)實際的安裝(zhuang)經歷，介(jie)紹三層環境下用(yong)網橋模式部署WSG上(shang)網行為(wei)管理的一(yi)(yi)些(xie)常見問題。

1. 配置并部署網橋

本(ben)例中(zhong)，網(wang)關是華為USG防火墻(qiang)172.16.200.253，三層交換機是172.16.200.254，子(zi)網(wang)掩碼都是255.255.255.0。既然200段IP是足夠的，所以我就(jiu)直接把(ba)管(guan)理口設置(zhi)在網(wang)橋上面(mian)，把(ba)WSG的IP設置(zhi)為172.16.200.252，網(wang)關地(di)址和DNS是防火墻(qiang)的IP地(di)址172.16.200.253。

很多網絡環(huan)境目前都采(cai)用(yong)光纖的連接(jie)(jie)方式(shi)，比如主(zhu)交(jiao)(jiao)換機(ji)到其(qi)他(ta)(ta)樓層交(jiao)(jiao)換機(ji)采(cai)用(yong)光口(kou)連接(jie)(jie)，再從樓層交(jiao)(jiao)換機(ji)的RJ45電(dian)口(kou)連接(jie)(jie)到其(qi)他(ta)(ta)網絡設備。這種網絡環(huan)境中(zhong)，很多情況(kuang)下都采(cai)用(yong)透明(ming)網橋的方式(shi)部(bu)署(shu)上網行(xing)為管理。本文中(zhong)，我將介紹如何把上網行(xing)為管理的透明(ming)網橋串(chuan)接(jie)(jie)到光口(kou)交(jiao)(jiao)換機(ji)和電(dian)口(kou)交(jiao)(jiao)換機(ji)中(zhong)間。主(zhu)要有(you)如下兩(liang)種方式(shi)：

1. 采用支持光口的上網行為管理設備

如(ru)下圖(tu)，以(yi)WSG-500E為(wei)例，該型號有6個(ge)(ge)(ge)千兆(zhao)電(dian)(dian)口(kou)(kou)和(he)(he)2個(ge)(ge)(ge)千兆(zhao)光口(kou)(kou)，可(ke)以(yi)把網橋創建(jian)在一(yi)個(ge)(ge)(ge)光口(kou)(kou)和(he)(he)一(yi)個(ge)(ge)(ge)電(dian)(dian)口(kou)(kou)上。光口(kou)(kou)接(jie)上層的匯聚交(jiao)換機，電(dian)(dian)口(kou)(kou)接(jie)下面的二(er)層交(jiao)換機。

利用“擴展插件”中(zhong)的“NGF配置同步(bu)插件”可以同步(bu)多臺(tai)WFilter NGF（WSG硬件）的相關(guan)配置，這個功能在管理維護多臺(tai)WSG設(she)備(bei)時非常(chang)實用。在本(ben)文中(zhong)，我(wo)將結合(he)WSG上(shang)網行為(wei)管理網關(guan)來介紹“NGF配置同步(bu)插件”的使用步(bu)驟(zou)。

1. 準備工作

1. 首先要有一臺WSG作為服務端，其他做為客戶端。服務端可以直接把配置推送給客戶端，也可以等客戶端主動來進行同步。
   

2. 多臺WSG之間通(tong)過Web來同(tong)步配置，所以要確保(bao)服(fu)務(wu)端和(he)客戶端之間的Web連接可達。（在服(fu)務(wu)端可以訪問(wen)客戶端的web，或者(zhe)客戶端可以訪問(wen)服(fu)務(wu)端的web）

3. 創建同(tong)步用戶(hu)。每臺WSG都應(ying)當建一個用戶(hu)名(ming)密碼(ma)一樣的(de)操作員用于進(jin)行同(tong)步操作。

4. 下載“NGF配置同步插件”，并且(qie)進行配置。

二級路由(you)器(qi)默認都啟用了網絡(luo)地址轉(zhuan)(zhuan)換，會把客(ke)戶(hu)機的(de)(de)IP地址和mac地址都轉(zhuan)(zhuan)換成路由(you)器(qi)的(de)(de)IP和mac。這樣從上層(ceng)的(de)(de)行(xing)為(wei)管理來(lai)看，只能看到(dao)路由(you)器(qi)的(de)(de)IP地址。要區分二級路由(you)下面的(de)(de)終(zhong)端，必(bi)須把二級路由(you)器(qi)改成AP模式（也就是無線交換機模式）。

在WSG上網行為管理網關的初步設置詳細教程中，我(wo)們介紹了(le)WSG上網行為管理(li)網關(guan)(guan)的初步設置，該(gai)文檔(dang)中，我(wo)們采用了(le)網關(guan)(guan)部(bu)署(shu)的方式。在實際使用中，網橋部(bu)署(shu)方式也極(ji)為常見；用網橋的方式來部(bu)署(shu)WSG上網行為管理(li)，是完全透明部(bu)署(shu)，不需(xu)要修改(gai)現有的網絡(luo)參數，也不需(xu)要更(geng)改(gai)路由(you)器和交換機的配置。網絡(luo)拓撲(pu)圖如下(xia)：

網橋(qiao)部署(shu)有如下優點：

• 不(bu)需(xu)要修改現有的網絡設置。

• 無需斷網，即插即用(yong)。

• 功能一樣(yang)強大：上網(wang)行(xing)為記錄(lu)、行(xing)為管理、流控都(dou)可(ke)以實現。

• 硬件bypass（要看具體型號），即使網橋設備掉電，也可以保證不斷網。
  

1. 網橋部署的準備工作

首先需(xu)要給WSG設備分配一個靜(jing)態IP地址。該IP用(yong)于(yu)遠程訪(fang)問(wen)WSG設備，進行Web認證(zheng)等遠程訪(fang)問(wen)操作。需(xu)要注意(yi)如(ru)下幾(ji)點(dian)：

來(lai)賓(bin)用戶(hu)、流動人員比(bi)較(jiao)多的局域網，如(ru)果不對來(lai)賓(bin)上網進行管(guan)控，不但會占(zhan)用企(qi)(qi)業(ye)帶寬(kuan)資源，還會帶來(lai)安全隱患(huan)和(he)政策風險。對于企(qi)(qi)業(ye)環境來(lai)說，一般推薦來(lai)賓(bin)和(he)辦公網絡采用不同(tong)的無線(xian)SSID，分開進行管(guan)控。具體(ti)方案如(ru)下：

1. 來賓和辦公網絡采用不同的無線SSID。
   

2. 對來賓和(he)辦公采用不同(tong)的限速和(he)行為(wei)管理(li)策略。

3. 來賓(bin)和辦公(gong)網絡(luo)采(cai)用(yong)不(bu)同的(de)VLAN，并且(qie)不(bu)允許(xu)來賓(bin)訪問公(gong)司(si)內網。

4. 不但要設(she)置不同的無線密碼，而且(qie)需要進行IP-MAC綁定等策略，禁止來(lai)賓用(yong)戶接入到辦公網絡。

本文將介紹如何用WFilter NGF來實(shi)(shi)現短(duan)信(xin)認證網關(guan)，以及短(duan)信(xin)平臺的具體實(shi)(shi)現步驟。

1. 首先要搭建短信Web服務

WFilter NGF的(de)短(duan)信(xin)(xin)發送(song)通(tong)過調(diao)用Web API來實現(xian)，支持Web API接口的(de)短(duan)信(xin)(xin)平臺很多（一些短(duan)信(xin)(xin)貓也可以支持Web API）。下文中，我們以阿里云(yun)的(de)短(duan)信(xin)(xin)服務(wu)為例。首先需(xu)要創建AccessKey，如下圖：

很(hen)多局域網(wang)考(kao)慮(lv)到安全需要(yao)，會部署兩(liang)臺核心(xin)交換機(ji)做雙機(ji)熱備。在這樣(yang)的情況(kuang)下(xia)(xia)，如(ru)果要(yao)旁路部署上網(wang)行為管(guan)理軟件，需要(yao)在兩(liang)臺核心(xin)上都配置端口鏡像，從而(er)實現不間(jian)斷的監控(kong)管(guan)理。拓(tuo)撲圖如(ru)下(xia)(xia)：

　　有些小型局域網只通過一個無線路由器接入，而且沒有支持鏡像的交換機或者路由器。這樣的情況下，可以采用本文中演示的方案：“把安裝WFilter的電腦配置為網關，然后把無線路由器當成無線AP來提供無線服務”。 　　網絡結構如下圖： [IMG]upload/web-1.jpg[/IMG]

本文(wen)將介(jie)紹如何用(yong)WFilter來監控(kong)多個(ge)局(ju)(ju)域(yu)(yu)網(wang)（多個(ge)互聯網(wang)接入）。由(you)于每個(ge)鏡像(xiang)只監控(kong)到一(yi)(yi)個(ge)局(ju)(ju)域(yu)(yu)網(wang)，那么要(yao)在一(yi)(yi)臺監控(kong)主機(ji)上監控(kong)多個(ge)局(ju)(ju)域(yu)(yu)網(wang)時，需要(yao)使(shi)用(yong)多塊網(wang)卡，每塊網(wang)卡都接到一(yi)(yi)個(ge)鏡像(xiang)端口。然后在WFilter的“系統配置”->“監控(kong)配置”中配置多個(ge)監控(kong)網(wang)卡來進行監控(kong)。

1. 網絡拓撲圖

以(yi)同時監控兩個局(ju)域網(wang)為例，如下圖：

[IMG]upload/morelanMon01.jpg[/IMG]

請注意：兩個(ge)局(ju)域網的網段(duan)不能設(she)置(zhi)成一樣，否(fou)則監控記錄會混淆。分別設(she)置(zhi)不同的網段(duan)，比如：192.168.1.x，192.168.2.x。

在(zai)“旁路”過(guo)濾模式（通(tong)(tong)過(guo)鏡像端(duan)口實現監控）下，WFilter（超(chao)級(ji)嗅探狗）通(tong)(tong)過(guo)在(zai)“通(tong)(tong)訊(xun)(xun)網卡”上(shang)發(fa)送RST包來阻斷TCP連(lian)接。所(suo)以如果通(tong)(tong)訊(xun)(xun)網卡不能通(tong)(tong)訊(xun)(xun)或者通(tong)(tong)訊(xun)(xun)不暢(chang)，就可以導致封堵功(gong)能不起作(zuo)用。

什么情況下需要用兩塊網卡

一般情(qing)況(kuang)，用同(tong)(tong)一塊(kuai)網(wang)卡就可以同(tong)(tong)時(shi)實現(xian)監控和封堵，當下列情(qing)況(kuang)出現(xian)時(shi)，需(xu)要用兩塊(kuai)網(wang)卡。

1. 交換(huan)機(ji)的(de)鏡(jing)(jing)(jing)像端(duan)口不(bu)(bu)(bu)允許(xu)通(tong)訊(xun)。有(you)些交換(huan)機(ji)是不(bu)(bu)(bu)允許(xu)鏡(jing)(jing)(jing)像上(shang)網的(de)，該鏡(jing)(jing)(jing)像口只能收(shou)包，不(bu)(bu)(bu)能發包。你可(ke)以在(zai)監控的(de)電腦上(shang)ping其他(ta)的(de)電腦來檢查(cha)這一項。改變交換(huan)機(ji)的(de)設(she)置（如果支持的(de)話）或(huo)者增加一個(ge)獨立的(de)通(tong)訊(xun)網卡(ka)就可(ke)以解決這個(ge)問題。比如Cisco交換(huan)機(ji)有(you)一個(ge)參數“ingress”，它能允許(xu)鏡(jing)(jing)(jing)像端(duan)口進行通(tong)訊(xun)。

2. 監聽網(wang)卡(ka)過于(yu)繁忙。由于(yu)鏡像端口要(yao)接收其(qi)他電(dian)腦(nao)的(de)上(shang)網(wang)數據包，網(wang)絡壓力大(da)時(shi)網(wang)卡(ka)的(de)負(fu)荷會很大(da)。如果需(xu)要(yao)監控(kong)50臺及(ji)以上(shang)的(de)電(dian)腦(nao)，我們建議您使(shi)用兩(liang)塊網(wang)卡(ka)。點擊(ji)“系(xi)統配(pei)置”—>“配(pei)置檢測”可以檢查監控(kong)網(wang)卡(ka)是否存在此(ci)問(wen)題(ti)（存在此(ci)問(wen)題(ti)時(shi)會提示“封(feng)堵效率(lv)過低”）。

1、Network Tap簡介

網(wang)(wang)路分流器(Network Tap)可以透明(ming)串聯在網(wang)(wang)絡中實(shi)現網(wang)(wang)絡流量(liang)的(de)監(jian)控。相比較鏡像交換機而言，network tap有以下(xia)優點：

1. 即插即用，不需要電源就可以工作。
2. 利用網線來實現監控，不會影響網速。
3. 成本低，自己就可以手工制作。

網上有很(hen)多如何自己(ji)制作network tap的帖子(zi)，有興趣的同學(xue)可以(yi)自己(ji)嘗試(shi)下(xia)，請參見(jian)：

對于有多個部門的公司，各部門一般有不同的上網權限，如果部門內部的人員變動和策略設置都由IT部門來設置的話會比較麻煩。 在這種情況下，可以給每個部門單獨設置一個操作員，這個操作員只能看到本部門的電腦的上網記錄、報表，也能給本部門的員工設置上網策略。 本例中將演示如何用超級嗅探狗來設置多部門操作員。

隨(sui)著(zhu)虛擬化(hua)技術(shu)的(de)(de)日趨(qu)成(cheng)熟，越來越多的(de)(de)用戶選擇使用VMWare ESXi來搭建(jian)自己的(de)(de)虛擬化(hua)平臺，本文著(zhu)重介紹如何在VMWare ESXi中部(bu)署WFilter（超級嗅探狗(gou)）來實(shi)現(xian)監(jian)控。

在VMware ESXi環境下，WFilter（超(chao)級嗅探狗）可以支持兩種(zhong)部署(shu)方式(shi)(shi)：旁路模式(shi)(shi)和串聯模式(shi)(shi)，有關這(zhe)兩種(zhong)模式(shi)(shi)的(de)區別和優(you)缺點，請參見：[URL=//iwto38k.cn/help/doc/WFilter_deployment_mode.htm]WFilter部署(shu)模式(shi)(shi)[/URL]

旁路模式監控時，只(zhi)需(xu)要在(zai)一臺虛(xu)擬機中(zhong)安裝WFilter，然后開啟虛(xu)擬交換機的(de)混(hun)雜模式即可。但是由(you)(you)于旁路模式無法禁(jin)止UDP通訊，還需(xu)要在(zai)上(shang)層的(de)路由(you)(you)器或者(zhe)防火(huo)墻設備(bei)上(shang)禁(jin)止UDP端口(kou)才(cai)可以(yi)，請(qing)參見：[URL=//iwto38k.cn/help/doc/WFilter_blockudp.htm]如何在(zai)路由(you)(you)器上(shang)禁(jin)止UDP端口(kou)？[/URL]

本(ben)文主要介紹如何(he)在ESXi環境(jing)中，用(yong)串聯模(mo)式(shi)來部署WFilter。串聯模(mo)式(shi)不需要在上(shang)層設(she)備禁止(zhi)UDP端(duan)口即可(ke)實現WFilter的所(suo)有功能。

用(yong)超級嗅探(tan)狗局域(yu)網(wang)管(guan)理軟件實(shi)現網(wang)絡監(jian)控，需要把安(an)裝超級嗅探(tan)狗的電腦接到(dao)交換(huan)(huan)機的“鏡像(xiang)端口”上面。本例(li)將以Cisco2950交換(huan)(huan)機為例(li)，介紹如何通過Cisco2950交換(huan)(huan)機來實(shi)現局域(yu)網(wang)網(wang)絡監(jian)控管(guan)理。此例(li)也適用(yong)于Cisco的其他交換(huan)(huan)機，如Cisco 2960, Cisco 3750等。

下面本文將(jiang)以Cisco2950為例，介紹如何配置鏡(jing)像端口，部署(shu)監控軟件。

更多內容請參考：

[URL=//iwto38k.cn/blog/post/102.html]網(wang)絡監(jian)控為什么需要端(duan)口鏡像交換機？[/URL]

[URL=//iwto38k.cn/blog/post/110.html]如何判斷端口鏡像是否成(cheng)功？[/URL]

1. 監控部署

某公司電信光(guang)纖接入， CISCO2950作為(wei)中心交換機。網(wang)絡拓撲圖如下(xia)：

用(yong)超級嗅探狗局域網(wang)(wang)監(jian)控軟(ruan)件(jian)實(shi)現網(wang)(wang)絡監(jian)控，需要把(ba)安裝(zhuang)超級嗅探狗的(de)電腦接到交(jiao)(jiao)換機的(de)“鏡像端口”上(shang)面。本(ben)例將以(yi)D-Link3226交(jiao)(jiao)換機為例，介紹如(ru)何(he)通過D-Link3226交(jiao)(jiao)換機來實(shi)現局域網(wang)(wang)網(wang)(wang)絡監(jian)控管(guan)理(li)。此例也(ye)同樣(yang)適用(yong)于D-Link的(de)其他支持端口鏡像的(de)交(jiao)(jiao)換機。

下面本(ben)文將著重介紹如(ru)何(he)通過D-Link3226交換機實現網(wang)絡監控。

更多內容請參考：[URL=//iwto38k.cn/blog/post/102.html]網絡監控為什么需要端口鏡像交換機？

[URL=//iwto38k.cn/blog/post/110.html]如何判斷端口鏡像是否成功？[/URL]

現在很(hen)(hen)多公司(si)(si)都采用筆記(ji)本電腦辦(ban)公，但是出于(yu)工作效率方面(mian)的考慮，很(hen)(hen)多公司(si)(si)都希(xi)望(wang)進行網(wang)絡(luo)(luo)監控(kong)。這(zhe)種既有有線網(wang)絡(luo)(luo)又有無線網(wang)絡(luo)(luo)的情況下(xia)，想(xiang)要實現網(wang)絡(luo)(luo)監控(kong)就比(bi)較困難。下(xia)面(mian)將介紹怎樣在這(zhe)樣的情況下(xia)實現監控(kong)。

[B]1. 通過串聯有線路由實(shi)現(xian)監控。[/B]

某網絡環境如下圖，ADSL接入到linksys寬帶路(lu)由器(qi)（BEFSR41），然(ran)后(hou)通過(guo)“cisco無線(xian)AP”（Cisco 1200）搭建一無線(xian)局域網環境。 局域網內既有通過(guo)無線(xian)上(shang)網的機器(qi)，又有有線(xian)上(shang)網的機器(qi)。

[IMG]upload/wireless network deployment.jpg[/IMG]

在本(ben)例中，為了能同時(shi)對有(you)線(xian)環境的機(ji)器和無線(xian)環境的機(ji)器進行監(jian)控。我們(men)增加(jia)了一(yi)個TPLINK的鏡像(xiang)交換機(ji)（TL-SL2210WEB）。并且需要對無線(xian)AP進行設置(zhi)。 如上圖中框內部(bu)分。

TPlink鏡像交換機的設置如下圖： [IMG]upload/tplink_zh.jpg[/IMG]

通過無(wu)線(xian)AP上網的(de)機器，經過無(wu)線(xian)AP后，IP地址會被統一轉換(huan)，這樣(yang)我們就不能(neng)(neng)(neng)區分(fen)。所以(yi)(yi)，需要禁止(zhi)無(wu)線(xian)AP的(de)NAT功能(neng)(neng)(neng)。有(you)兩(liang)種方(fang)式可(ke)以(yi)(yi)禁止(zhi)：1)有(you)的(de)無(wu)線(xian)AP有(you)自帶的(de)禁止(zhi)功能(neng)(neng)(neng)，可(ke)以(yi)(yi)直接(jie)禁止(zhi)無(wu)線(xian)AP的(de)NAT功能(neng)(neng)(neng)；2)如(ru)果(guo)沒有(you)自帶的(de)功能(neng)(neng)(neng)，可(ke)以(yi)(yi)手動(dong)將無(wu)線(xian)AP的(de)廣域網口接(jie)線(xian)轉到LAN口上，使其NAT功能(neng)(neng)(neng)失效。

網絡實(shi)(shi)現(xian)監控(kong)(kong)，就(jiu)需要端口鏡(jing)(jing)像(xiang)(xiang)的支持。但是(shi)，我們常常會發現(xian)鏡(jing)(jing)像(xiang)(xiang)端口已經配置(zhi)好了，可還是(shi)不能實(shi)(shi)現(xian)監控(kong)(kong)。下面將介紹4種可能導(dao)致鏡(jing)(jing)像(xiang)(xiang)端口配置(zhi)不成(cheng)功的原因：

1. 配置的鏡像端口和實(shi)際(ji)連接的不一(yi)致。比如(ru)鏡像的是5號(hao)端口，但(dan)是實(shi)際(ji)連接的是6號(hao)端口，建議檢查(cha)一(yi)下接線。

2. 超級(ji)嗅探(tan)狗實現監(jian)控需(xu)要雙向(xiang)（發送(song)+接收）數據包(bao)，如果只鏡像了(le)單向(xiang)數據是無法實現監(jian)控的。

3. 安裝嗅探狗的電腦要直接接到鏡像端(duan)口。

4. 超(chao)級嗅探狗設(she)置不正確。

5. 監控主機的殺毒(du)軟(ruan)件(jian)或者防火墻(qiang)原(yuan)因。有些殺毒(du)軟(ruan)件(jian)或者防火墻(qiang)會自動丟棄掉非本機的數據(ju)包。建議關掉防火墻(qiang)和殺毒(du)軟(ruan)件(jian)以排除其影響(xiang)。已知(zhi)的有影響(xiang)的軟(ruan)件(jian)有：NOD32,、瑞星。具(ju)體配置請查看：

[URL=//iwto38k.cn/web_acl_example.htm]網站黑白名單配置用例[/URL] [URL=//iwto38k.cn/mail_acl_example.htm]郵局黑白名單配置用例[/URL] [URL=//iwto38k.cn/chat_acl_example.htm]聊天ID黑白名單配置用例[/URL] [URL=//iwto38k.cn/qq_example.htm]QQ配置用例[/URL] [URL=//iwto38k.cn/msn_example.htm]MSN配置用例[/URL] [URL=//iwto38k.cn/configure_example.htm]配置用例列表[/URL]

某公司，通過路由器上網，采用dlink2366做為核心交換機。 在本例中，直接在dlink2366上做端口鏡像即可，dlink2366端口鏡像的配置如下圖：

某網絡環(huan)境如(ru)下(xia)(xia)圖，ADSL接入到linksys寬(kuan)帶路(lu)由器(qi)（BEFSR41），然后通(tong)過“cisco無線AP”（Cisco 1200）搭建(jian)一(yi)無線局(ju)域(yu)網環(huan)境。局(ju)域(yu)網內既(ji)有(you)通(tong)過無線上(shang)網的機器(qi)，又有(you)有(you)線上(shang)網的機器(qi)。 [IMG]upload/HomeNetwork.jpg[/IMG] 在本例中，為(wei)了(le)能同時對有(you)線環(huan)境的機器(qi)和無線環(huan)境的機器(qi)進行監控。我們增加了(le)一(yi)個TPLINK的鏡(jing)像(xiang)交(jiao)換機（TL-SL2210WEB）。如(ru)上(shang)圖中框(kuang)內部分。 tplink鏡(jing)像(xiang)交(jiao)換機的設(she)置如(ru)下(xia)(xia)圖：

某公司(si)電信光纖接(jie)入，采(cai)用ISA2004做(zuo)為上(shang)網(wang)服(fu)務(wu)(wu)器，CISCO2950做(zuo)為中心(xin)交換機(ji)。 網(wang)絡拓撲圖如下： 如上(shang)圖所示，針(zhen)對這種網(wang)絡結構(gou)，有兩種解決方(fang)案(an)(an)： 方(fang)案(an)(an)一： 直接(jie)把超級嗅(xiu)探狗(gou)安裝在(zai)代理服(fu)務(wu)(wu)器上(shang)來(lai)監(jian)控(kong)局域網(wang)。 方(fang)案(an)(an)二： 在(zai)其他(ta)電腦(nao)上(shang)安裝超級嗅(xiu)探狗(gou)，通(tong)過(guo)交換機(ji)做(zuo)端(duan)口鏡像來(lai)監(jian)控(kong)網(wang)絡。 [B]請(qing)注意：對于通(tong)過(guo)內部代理服(fu)務(wu)(wu)器上(shang)網(wang)的環境，要把代理服(fu)務(wu)(wu)器IP添加到超級嗅(xiu)探狗(gou)的“監(jian)聽配置”的“本地服(fu)務(wu)(wu)器”中。[/B]

CISCO2950如何配置端口鏡像來實現網絡監控？