WSG上網行為(wei)管理(li)有著強(qiang)大的(de)報表系統(tong)，可以實現對于(yu)網站訪(fang)問(wen)、流量、工作(zuo)效率、網絡(luo)訪(fang)問(wen)趨勢等一系列的(de)統(tong)計(ji)功能(neng)。在本文中，我將以每日流量統(tong)計(ji)為(wei)例，配置一個自動(dong)發送的(de)流量統(tong)計(ji)報表。

1. 新增流量統計報表

在“查詢統計”-“統計報表”的報表列表中，點擊“新增”。

WSG上(shang)網(wang)(wang)(wang)行(xing)為管理通過安(an)裝(zhuang)在網(wang)(wang)(wang)絡出口處，可以(yi)對(dui)局域網(wang)(wang)(wang)內終端的(de)上(shang)網(wang)(wang)(wang)行(xing)為進(jin)行(xing)審(shen)計(ji)記(ji)錄(lu)，從而保障企事業(ye)單位的(de)信息安(an)全，提供一年(nian)以(yi)上(shang)的(de)上(shang)網(wang)(wang)(wang)審(shen)計(ji)記(ji)錄(lu)，使上(shang)網(wang)(wang)(wang)行(xing)為有據可查。那(nei)么，WSG上(shang)網(wang)(wang)(wang)行(xing)為管理可以(yi)審(shen)計(ji)哪些內容呢？本(ben)文將為您作詳(xiang)細介紹。

1. WSG的部署位置

WSG上網行(xing)為(wei)審(shen)計(ji)系統一(yi)般部(bu)署在網絡(luo)出(chu)口處即可(ke)對全網進行(xing)審(shen)計(ji)記錄，既可(ke)作為(wei)網絡(luo)的主(zhu)路由器，也可(ke)以做(zuo)透明(ming)網橋串接在路由器和(he)交(jiao)換機之間。網絡(luo)拓撲圖如下：

通過用(yong)上(shang)網(wang)(wang)行(xing)為管理限制電(dian)腦的網(wang)(wang)絡訪問，管控(kong)終端可(ke)以訪問的外網(wang)(wang)站點，可(ke)以實現只允許(xu)終端使用(yong)指(zhi)定的網(wang)(wang)絡軟(ruan)件(jian)。請注(zhu)意(yi)，網(wang)(wang)絡管控(kong)只能管控(kong)網(wang)(wang)絡軟(ruan)件(jian)，并不(bu)能限制單機軟(ruan)件(jian)。

本(ben)文中(zhong)，我(wo)將以WSG上(shang)網行為管理為例，使終(zhong)端電腦(nao)只(zhi)能使用“虛幻引擎”這個軟件(jian)。

1. 首先，配置“應用過濾”禁止所有外網

為了保(bao)障(zhang)網絡安全，提高員工工作效(xiao)(xiao)率(lv)，企業(ye)(ye)(ye)有必要部署(shu)上網行為管理(li)。上網行為管理(li)可對企業(ye)(ye)(ye)內部員工的(de)上網行為進行全方位(wei)有效(xiao)(xiao)管理(li)，保(bao)護Web訪問(wen)安全，降低互聯網使用(yong)風險，避免(mian)機密信息(xi)泄露(lu)，提升工作效(xiao)(xiao)率(lv)，限制下(xia)載(zai)和(he)視頻P等(deng)嚴重(zhong)消耗帶寬的(de)應用(yong)，保(bao)障(zhang)企業(ye)(ye)(ye)核心業(ye)(ye)(ye)務(wu)帶寬。

利用WSG的(de)用戶認(ren)證(zheng)和(he)行為(wei)管理策略，可以對域(yu)(yu)用戶、非(fei)域(yu)(yu)用戶配(pei)置不(bu)同的(de)上(shang)網策略。比如，你可以默認(ren)禁止所(suo)有(you)的(de)終(zhong)端上(shang)網，當電腦加入域(yu)(yu)后，則(ze)可以根(gen)據賬號(hao)、OU等放行具體的(de)訪問(wen)內(nei)容(rong)。本文中，我(wo)將介(jie)紹如何(he)開啟域(yu)(yu)認(ren)證(zheng)，并且屏蔽非(fei)域(yu)(yu)用戶上(shang)網。

現(xian)在的(de)視(shi)頻資源非常多，抖音、愛奇藝(yi)、騰(teng)訊視(shi)頻、優酷......可(ke)以說是數不勝數。而對(dui)于公司局域網來說，手機刷視(shi)頻不但嚴重影響工(gong)作(zuo)效率，而且是一個非常耗費網絡帶(dai)寬的(de)一個行為。

本文中，我(wo)將以(yi)WSG上(shang)網(wang)行為管理為例，介(jie)紹如何在公司(si)局域網(wang)內禁止手機(ji)刷(shua)抖音等視頻(pin)。

該視頻(pin)簡要介紹了WSG上網行為(wei)管(guan)理的各項(xiang)功能。

在局域網內部署WSG上(shang)網行(xing)為(wei)管理后，可(ke)以對(dui)全網的(de)上(shang)網行(xing)為(wei)進(jin)行(xing)分(fen)析(xi)、記錄和(he)統計。除了內置的(de)一系列報(bao)表(biao)外，你還(huan)可(ke)以利用(yong)WSG的(de)自(zi)定義報(bao)表(biao)功能，來(lai)實現(xian)更強大的(de)統計功能。在本文(wen)中，我將介紹(shao)如何用(yong)WSG的(de)統計報(bao)表(biao)，來(lai)對(dui)員工找工作(zuo)的(de)行(xing)為(wei)進(jin)行(xing)分(fen)析(xi)告警，從(cong)而使公司領導了解員工的(de)工作(zuo)心態(tai)，減(jian)少公司損(sun)失(shi)。

1. 首先，創建一個自定義報表。

如下圖(tu)，選(xuan)擇“網頁統計”-“網頁瀏覽次數統計”，勾選(xuan)“保存(cun)該報表”，點擊保存(cun)后(hou)，再點擊“設置”。

很多企事(shi)業(ye)單(dan)位需要對電腦的(de)外網(wang)(wang)訪問采用(yong)嚴(yan)格(ge)的(de)控制策略，比(bi)如只允許工作網(wang)(wang)站(zhan)、只允許使用(yong)163郵箱(xiang)等。本文中，我將(jiang)以WSG上網(wang)(wang)行(xing)為管(guan)理為例，來演示(shi)如何實現(xian)網(wang)(wang)站(zhan)白名單(dan)功能。

具體的配置邏輯是：先在“應用過濾”中禁止所有的網絡應用，然后再把要放行的內容加到“例(li)外設置”里面。因為“例外設置”的優先級是最高的，這樣就達到了管控的效果，被管控的終端只能訪問指定

很多情況下，局(ju)域網內(nei)部的一些終端，比如領導電(dian)腦(nao)、移動pos機(ji)、內(nei)網服務器等(deng)，需要不加限制(zhi)的訪問外網（即(ji)不受到任何上網行(xing)為策略的管控(kong)）。在WFilter NGF（WSG上網行(xing)為管理）中(zhong)，我們(men)主要通過“例外設置”來實(shi)現。本例中(zhong)，我將介紹如何用例外設置來實(shi)現終端白名單(dan)的功能。

不加管控的(de)局域網下(xia)載，不但(dan)會(hui)占用大量(liang)的(de)帶寬資源(yuan)，而且下(xia)載不明類(lei)型的(de)軟(ruan)件(jian)程序等(deng)會(hui)給局域網來(lai)的(de)病毒等(deng)危害。在(zai)本文中，我將結合WSG上網行為(wei)管理網關，來(lai)介紹如(ru)何屏蔽局域網的(de)下(xia)載行為(wei)。

下載行為的管控，主要從(cong)以下幾個方面來入手：

1. 屏蔽各(ge)類下載站的訪問。

2. 屏蔽(bi)各類下載工具、P2P下載軟件等。

3. 禁(jin)止網盤等文(wen)件傳輸(shu)。

4. 屏(ping)蔽(bi)網頁上的文件下載。

釘釘的(de)(de)通(tong)訊過程(cheng)比較復(fu)雜，需要用到(dao)(dao)釘釘相關的(de)(de)網站(zhan)、阿里云平臺，還有一些私有的(de)(de)通(tong)訊協議(yi)。所(suo)以要達到(dao)(dao)“只允(yun)許釘釘并且屏(ping)蔽其他網絡行為(wei)“這個管(guan)控效果，一般的(de)(de)路由器是(shi)做不到(dao)(dao)的(de)(de)，需要專業的(de)(de)上(shang)網行為(wei)管(guan)理產品才可(ke)以。專業的上網行為管理產品可以準確識別出釘釘的流量并且加以管控。

釘釘的使用過程中必須(xu)連接(jie)外網，對于網絡權限設置比較嚴格的局域網來說，如何開放釘釘一直是一個難題。由于釘釘官方已經不再公布服務器的段，所以不能基于IP范圍來做管控。必須要有專業的上網行為管理產品，才可以準確識別出釘釘的流量并且加以管控。

本(ben)文，我(wo)就(jiu)來(lai)介(jie)紹下在WSG上網(wang)行(xing)為管理(li)網(wang)關中(zhong)如何放行(xing)釘(ding)(ding)(ding)釘(ding)(ding)(ding)。釘(ding)(ding)(ding)釘(ding)(ding)(ding)的使(shi)用需(xu)要(yao)通過https訪(fang)問釘(ding)(ding)(ding)釘(ding)(ding)(ding)相(xiang)關的網(wang)站，另外(wai)還有(you)自己的通訊協議（端口443）。所以要(yao)放行(xing)釘(ding)(ding)(ding)釘(ding)(ding)(ding)，我(wo)們需(xu)要(yao)放行(xing)DNS、釘(ding)(ding)(ding)釘(ding)(ding)(ding)這兩個(ge)應用協議，并且允許釘(ding)(ding)(ding)釘(ding)(ding)(ding)的相(xiang)關網(wang)站。具(ju)體的配置步驟如下：

在部署了上網(wang)行為管理的局(ju)域網(wang)內，總會有人想各種各樣的辦法來突破(po)上網(wang)管控。常見的方法有：

1. IP地址盜用。
   

2. MAC地址克隆。

首先可以考(kao)慮不開(kai)放管理員權限，或(huo)者采用域控的(de)方式禁止客戶(hu)機自行修改(gai)網(wang)(wang)絡設(she)置等辦法(fa)。其次也(ye)可以通過上網(wang)(wang)行為管理的(de)管控策(ce)略(lve)來阻止這些行為。本文中，我(wo)來介紹下(xia)如何用WSG上網(wang)(wang)行為管理網(wang)(wang)關來應(ying)對IP地址盜用和(he)MAC地址克(ke)隆。

在(zai)三層(ceng)交(jiao)換機環境(jing)下，由于三層(ceng)交(jiao)換機屏蔽了終端的(de)(de)(de)(de)實際mac地址(zhi)(zhi)，上層(ceng)的(de)(de)(de)(de)上網(wang)行(xing)為管理(li)在(zai)不開啟“MAC地址(zhi)(zhi)收集(ji)器(qi)”的(de)(de)(de)(de)情況下，是檢測不到(dao)終端的(de)(de)(de)(de)實際mac地址(zhi)(zhi)的(de)(de)(de)(de)。這(zhe)樣也就(jiu)不能實現mac地址(zhi)(zhi)黑白名(ming)單的(de)(de)(de)(de)功能。網(wang)絡結(jie)構如下圖：

對于(yu)一些安全性要求比較高的(de)(de)局域(yu)網(wang)來說，有時候(hou)只(zhi)允許客戶機(ji)訪問指定(ding)的(de)(de)網(wang)站(zhan)，其他(ta)網(wang)絡(luo)行為一律禁(jin)止。這時候(hou)我們就需要用(yong)到“網(wang)站(zhan)白名(ming)單(dan)”功能（只(zhi)允許訪問下列網(wang)站(zhan)）。具體的(de)(de)配置如下圖：

1. 在網頁過濾中開啟“只允許訪問下列網站”

“只允許訪問下列網站”功能開啟后，客戶機只能訪問允許的站點。其他網頁一律訪問不了。

選擇應用對象和生效時間

我們一般把WSG上網行(xing)為管理的使用分為三個步(bu)驟：安裝(zhuang)部署、基本(ben)配置、策略(lve)配置。

1. 安裝部署：把設備安裝到網絡中，使網絡能正常工作。
   

2. 基礎配置：DHCP和(he)VLAN設置、防(fang)火(huo)墻策略、端口映射、分組設置等基本配置。

3. 策(ce)(ce)略(lve)配置：上網行(xing)為的審計策(ce)(ce)略(lve)、過濾(lv)策(ce)(ce)略(lve)、查詢和報表等功能(neng)和配置。

在本(ben)文中，我(wo)將介紹WSG網關的安裝部署(shu)的具體(ti)步(bu)驟(zou)。用戶拿到設備后，按此步(bu)驟(zou)即可完(wan)成安裝部署(shu)工作，并且開(kai)通遠程管理(li)訪(fang)問。使技術人員可以進行(xing)遠程協助配置。

2018俄羅斯世界杯大幕拉開，世界杯期間球迷們將通過各種途徑觀看世界杯。互聯網作為世界杯的主要承載媒體，也使得我們的網絡感受到了前所未有的壓力。對于各類企事業單位來說，首要保障公司業務所需的帶寬資源，同時也要人性化的滿足世界杯的激情需要。

因(yin)此在(zai)世(shi)界(jie)杯期間，無論是門戶網(wang)站、運(yun)營商或(huo)是企事業單位(wei)，都需(xu)要解決(jue)帶寬分配(pei)和流(liu)量管理(li)的問(wen)題。既(ji)讓客(ke)戶和員(yuan)工可以觀看(kan)世(shi)界(jie)杯，同時又要讓企業的網(wang)絡(luo)帶寬不(bu)被搶(qiang)占，關鍵應(ying)用(yong)的質量不(bu)受影響(xiang)。

相(xiang)對(dui)(dui)于(yu)固(gu)定IP而言(yan)，自(zi)動獲(huo)取IP（DHCP）更加(jia)方(fang)(fang)便，而且(qie)不會(hui)導(dao)致IP地址(zhi)沖突。但是(shi)對(dui)(dui)于(yu)局域網(wang)網(wang)絡管理而言(yan)，IP地址(zhi)不固(gu)定就無法(fa)實現有(you)效的管控。作(zuo)為專(zhuan)業(ye)的上(shang)網(wang)行(xing)為管理廠(chang)家，WFilter系(xi)列上(shang)網(wang)行(xing)為管理產品針對(dui)(dui)該情況可以提供兩種(zhong)解決方(fang)(fang)案：

1. 先進行IP-mac地(di)址綁定(ding)，然后基于(yu)IP地(di)址管控。 

2. 直接基于MAC地址進行管控。
   

以WFilter NGF（WSG網關(guan)）為例，具體配(pei)置介紹(shao)如下：

上網行(xing)為(wei)管理網關(guan)、防(fang)火(huo)墻、路由，不管是(shi)(shi)硬(ying)件(jian)(jian)還是(shi)(shi)軟(ruan)件(jian)(jian)，其基本原理都(dou)是(shi)(shi)一(yi)樣的(de)(de)。硬(ying)件(jian)(jian)產品(pin)(pin)其實就是(shi)(shi)軟(ruan)件(jian)(jian)包(bao)灌到硬(ying)件(jian)(jian)設備(bei)里(li)面(mian)打包(bao)成一(yi)個整體設備(bei)。而上網行(xing)為(wei)管理、防(fang)火(huo)墻和路由的(de)(de)共同點，都(dou)是(shi)(shi)部署在(zai)局域(yu)網出口的(de)(de)，大部分都(dou)基于LINUX系統(tong)進行(xing)的(de)(de)定制開發。如(ru)果是(shi)(shi)軟(ruan)件(jian)(jian)方(fang)(fang)式，安(an)裝(zhuang)時需要(yao)用一(yi)臺(tai)專門(men)的(de)(de)服務(wu)器。所以，產品(pin)(pin)性能的(de)(de)指標取決于兩(liang)(liang)方(fang)(fang)面(mian)：硬(ying)件(jian)(jian)配(pei)置和軟(ruan)件(jian)(jian)系統(tong)。那么產品(pin)(pin)的(de)(de)選擇(ze)，主要(yao)在(zai)這兩(liang)(liang)方(fang)(fang)面(mian)進行(xing)優(you)選。以下是(shi)(shi)一(yi)些簡單(dan)的(de)(de)介紹：

一、從軟件內核(he)角度來說(shuo)，路由系(xi)統(tong)、防(fang)火墻(qiang)系(xi)統(tong)、上網行為管理網關系(xi)統(tong)，都(dou)是(shi)在(zai)LINUX上裁剪開(kai)發出來的(de)。但是(shi)這些系(xi)統(tong)各自的(de)功能側(ce)重點、和(he)性(xing)能指(zhi)標都(dou)是(shi)完全不一樣的(de)。如下圖(tu)：

全世界的(de)(de)路由，防火墻，網關(guan)，VPN服務器(qi)，各(ge)種(zhong)服務器(qi)的(de)(de)設(she)備(bei)(bei)可(ke)以說(shuo)都是一樣(yang)的(de)(de)構造：軟件(jian)系統灌到硬件(jian)設(she)備(bei)(bei)當中去(qu)。同(tong)時差別(bie)又很大：一兩百(bai)就可(ke)以買(mai)到一個小路由，十(shi)萬二十(shi)萬才能購置(zhi)一臺重(zhong)量級服務器(qi)。為什(shen)么差別(bie)這么大？其實就兩樣(yang)：硬件(jian)配置(zhi)和軟件(jian)系統。幾百(bai)的(de)(de)小路由是那種(zhong)路由芯片(pian)(pian)，過萬的(de)(de)服務器(qi)最低intel X86的(de)(de)芯片(pian)(pian)。而(er)用什(shen)么硬件(jian)設(she)備(bei)(bei)，取決灌什(shen)么軟件(jian)系統了。

以(yi)最普遍(bian)的(de)(de)路由(you)器來說，都是基于嵌入式(shi)系統(tong)裁(cai)剪出(chu)來的(de)(de)。一些(xie)經典的(de)(de)路由(you)系統(tong)，比(bi)如(ru)Routeros，系統(tong)很輕巧(qiao)，運算壓力也不(bu)大(da)，簡(jian)單的(de)(de)芯片就可以(yi)承載。而防火(huo)墻系統(tong)、上(shang)網行為管理系統(tong)，還需要在LINUX的(de)(de)基礎上(shang)，做大(da)量(liang)的(de)(de)開發。所以(yi)對硬件(jian)需求(qiu)，一定要有個(ge)強勁的(de)(de)CPU，以(yi)及大(da)容量(liang)的(de)(de)硬盤和內(nei)存(cun)才足夠。普遍(bian)都用工控機來實(shi)現。

就上網(wang)行(xing)(xing)為管理設備來說，首先WSG上網(wang)行(xing)(xing)為管理網(wang)關，系統基于LINUX獨(du)立系統，支(zhi)持海量協議庫和網(wang)址庫。這(zhe)點就決定(ding)了硬件的配置級別一定(ding)不(bu)是路由芯(xin)片可以(yi)滿(man)足(zu)的。

之前有用戶反映過一個挺困擾的(de)問題：就(jiu)是(shi)騰訊的(de)QQ經常會自(zi)(zi)動下載QQ電腦管(guan)家和QQ瀏覽(lan)器(qi)，占用大量(liang)的(de)帶(dai)寬資源，而且給(gei)PC機(ji)的(de)管(guan)理帶(dai)來(lai)麻煩。如圖(tu)，你只要點擊“一鍵領取(qu)”，就(jiu)會自(zi)(zi)動下載并安裝騰訊的(de)相關軟件(jian)。

本文(wen)中，我將介紹如(ru)何(he)用WFilter ICF來禁止這些軟件的自動下載安裝。

上網行為管理的部署方式主要有旁路、網關、網橋這三種部署方式。在之前的一篇博客“企業上網行為管理部署方案”中，我們已經簡(jian)單介紹了(le)三種(zhong)方案的(de)優(you)缺(que)點(dian)。那么在本(ben)文中，我們再側(ce)重介紹下“網橋”和“網關”兩種(zhong)模式的(de)優(you)缺(que)點(dian)比較(jiao)。

經常有用戶問到上網行為管理是軟件好還是硬件好，實際上硬件從本質上來說也是軟件，只不過是預裝好的系統。所以從功能上來說，硬件和軟件并沒有區別，差別主要在穩定性、兼容性和服務上。

本文將(jiang)著重從穩定(ding)性、兼容性、服(fu)務上(shang)討論上(shang)網行為管理軟(ruan)件和硬(ying)件的(de)區別。