當我們看到app store有更新的時候，總是忍不住要去點擊下。可你知道點擊的一剎那要消耗多少流量嗎？根據WFilter的監控，在WiFi狀態下，app store的更新速度可以達到幾兆。初步估算下，如果同一個局域網有十個人同時打開app store進行更新，那么百兆帶寬瞬間就可以被占滿。如下圖：

WFilter NGF（WSG上網行為管理網關）的“Web認證模塊”主要包括兩個部分：“用戶名認證”和“營銷認證”。

1. 用戶名認證：輸入用戶名口令來認證上網。

2. 營銷認證：國內主要是“微信WiFi”，國外主要用“Facebook WiFi”。

本文中，我將簡單介紹如何用WFilter NGF（WSG上網行為管理網關）來實現微信掃碼上網。

163和騰訊的企業郵箱，給企業帶來了很大的便利。很多企業都采用兩家的企業郵箱服務，有的企業出于信息安全的考慮，需要對企業郵箱的外發內容進行監管。本文中，我將簡單介紹企業郵箱監控的兩個重點關注的方面：

1. 網頁版的企業郵箱監控。
   

2. 客戶端收發的企業郵箱監控。
   

IP-MAC綁定一直是局域網管理的一個重要部分。但是其實現卻往往比較復雜，一般會有如下問題：

1. 大部分路由器的IP-MAC綁定功能比較局限。一般就是簡單的ARP綁定。客戶機手動修改IP等方式來突破。
   

2. 路由器由于硬件限制，允許的IP-MAC綁定條目比較少，一般在256條以內。

3. 交換機上進行IP-MAC綁定，配置和維護的工作量會比較大。

4. 三層交換機的IP-MAC綁定往往需要專業技術人員才可以操作。
   

今天，我要介紹的是一種非常簡單方便的IP-MAC綁定方式，無需修改交換機和路由器，不改變當前網絡結構和配置，即插即用，web界面配置。非常簡單方便就可以實現對局域網內客戶機的IP-MAC綁定。具體介紹如下：

《絕地求生》(PUBG) 是一款突破性的戰術競技類游戲，憑借其獨特創新的玩法模式，寫實風格帶來的代入感和沉浸感深受玩家喜愛。目前，吃雞類游戲深受用戶喜愛，也涌現了一大批的同款端游和手游。

對于上網行為管理來說，我們要討論的是如何禁止局域網客戶機（電腦和手機）玩這類游戲。在本文中，我將演示如何用WSG-500E（WFilter NGF系統）來屏蔽局域網用戶玩吃雞類游戲。

很多局域網考慮到安全需要，會部署兩臺核心交換機做雙機熱備。在這樣的情況下，如果要旁路部署上網行為管理軟件，需要在兩臺核心上都配置端口鏡像，從而實現不間斷的監控管理。拓撲圖如下：

微信作為現在很常用的一個通訊軟件，很多企業在管理時不想把微信完全禁止掉，但是微信的傳文件和視頻聊天等行為會占用大量帶寬，并且影響網絡安全。所以很多我們的WFilter用戶，都會在局域網內把微信傳文件和微信視頻禁止掉。

本文將演示如何用WSG-200E來配置微信視頻聊天的屏蔽。

說到https，不得不提http（HyperText Transfer Protocol）這個互聯網上用的最廣泛的網絡協議，其技術架構，協議功能，協議原理百度或者google都有詳細解釋。而https（Hyper Text Transfer Protocol over Secure Socket Layer）多就多在這個S上，SSL加密，通常理解，https就是http加入SSL加密層變成以安全為目標的http傳輸。那么SSL是個啥呢，SSL是一個目前應用非常廣泛的一種非對稱加密方式，也是公認破解不了的。安全，又好用，所以才能廣泛應用，除了http,郵件的pop3,smtp，IM通訊等等，都能用上，是個很好的加密方式。起初用https通常都是金融類網站用到財務交易，時光如水，歲月如歌，IT技術一日百里的飛速發展，現在很多門戶網站，企業網站也都逐漸使用https協議，這個也是事實的趨勢。概念就是這個概念了，那么https如何監控管理呢？以下說明是獻給非專業IT技術人員，非專業碼農的。為了大家都能明白，可能有些敘述比較幼稚和粗淺，請多多理解。

WSG-200E上網行為管理網關，不是用的最頂尖高端的硬件設備，但是對于150-300人局域網范圍，真的是性價比最高的一款。系統采用了WFilter NGF企業級上網行為管理系統，在硬件方面，采用了Intel B75的主板架構，I3-32200的酷睿4核CPU，主頻高達3.3GHz.實實在在的優質選型。

WSG-500E上網行為管理設備是WFilter系列上網行為管理中性能非常強悍的一款設備，系統采用了WFilter NGF企業級上網行為管理系統，在硬件方面，采用了Intel B75的主板架構，I5-3450的酷睿4核CPU，主頻高達3.1GHz。很多用戶對這個性能缺少形象的概念，讓我來簡單比較下：

1. 普通的路由器芯片，比如典型的MTK7620芯片，主頻是580MHz。

2. D525工控機，CPU是4核1.8GHz。性能至少是MTK的3-4倍。

3. WSG-500E的I5-3450，采用了新的設計，性能差不多又是D525的3-4倍。
   

配合4G的DDR3內存，6個千兆端口，構建了性能強悍的WSG-500E。這款設備，雖然官方推薦是500Mbps的帶寬，實測可以達到900-920M，而且網絡訪問很順暢，一點也不卡頓。

 這里說的大型局域網是500-1000臺局域網環境，一般是一棟樓，廠房或者學校。大型局域網的組網方案已經非常成熟了。大網絡，多了防火墻，核心交換機，不同需求的服務器。這里就不一一贅述，這里重點介紹大局域網的上網行為管理方案。大網環境數據量大，各種協議走的很復雜。很多網安廠家把第二代防火墻的概念

 （Next Generation Firewall）包括了上網行為管理概念，專業的上網行為管理是無法被代替的。協議分析，應用層解析，上網日志記錄，審計等模塊需要大量的運算，后期需要專業的研發團隊維護升級。所以不應該被防火墻，殺毒的概念混亂。上網方式這三十年發生了天翻地覆的變化，網絡協議一年又一年的更新，應用協議天天有新出，移動上網方式的應用都已經變成日常行為了。各種病毒方式已經不像原始方式文件打開，有的時候甚至點開一個不安全的網站會導致病毒入侵，所以內網管控不僅僅是上網效率提高，還有上網行為管控，網址庫，協議庫過濾，才會讓局域網上網內網安全兼得。

提到上網行為管理，最初想到的內容記錄、聊天內容、郵件內容、文件傳輸內容、網頁瀏覽記錄等等。但是再往深里研究，對于有一定規模的局域網，內容審計的意義并不是很大，聊天幾句話、瀏覽的幾個網站都是瞬間的意識。所以，企業的對員工聊天內容的審計實在沒有太大的意義。況且國內主流的QQ和微信的通訊，騰訊公司早就進行了協議改進和安全強化，加上微信QQ都可以綁定銀行卡。所以，網絡監控解析QQ和微信的內容，理論上已經不現實。對于企業網絡管理來說，規整的上網秩序、上網內容的報表分析以及信息安全才是王道。

WSG-200P上網行為管理路由是一款性價比非常高的上網行為管理設備。和WSG的企業版（E系列）相比，雖然沒有上網記錄、域賬號等功能，但是就上網行為管理和流控來說，與E系列基本是一樣的，可以提供專業的上網行為管理和流控。下面讓我們一起來看看WSG-200P這款企業級上網行為管理路由有哪些亮點功能吧。

這里說的小型局域網是50臺左右上網設備（電腦加手機），出口帶寬不超過100兆的局域網。比較普遍的組網方案設備，路由，交換機，無線路由，對于小局域網足夠了。但是對于企業，公共網絡來說，管理是必不可少的。

常規小型局域網組網一般是這樣的：

作者:笨小驢 | 分類:企業網絡安全方案設計 | 瀏覽:5480 | 評論:0

上網行為管理網關、防火墻、路由，不管是硬件還是軟件，其基本原理都是一樣的。硬件產品其實就是軟件包灌到硬件設備里面打包成一個整體設備。而上網行為管理、防火墻和路由的共同點，都是部署在局域網出口的，大部分都基于LINUX系統進行的定制開發。如果是軟件方式，安裝時需要用一臺專門的服務器。所以，產品性能的指標取決于兩方面：硬件配置和軟件系統。那么產品的選擇，主要在這兩方面進行優選。以下是一些簡單的介紹：

一、從軟件內核角度來說，路由系統、防火墻系統、上網行為管理網關系統，都是在LINUX上裁剪開發出來的。但是這些系統各自的功能側重點、和性能指標都是完全不一樣的。如下圖：

這里說的網橋部署，是透明網橋部署。有的局域網環境里面，路由暫時不想被代替，那么WSG上網行為管理網關可以用網橋部署的方式接在局域網里面。

• 網橋模式下，只用到LAN和WAN1這兩個端口。其他端口都不起作用。

• WSG接在路由器（防火墻）和交換機之間。

• 內網交換機接在LAN口。

• 上層設備（路由器或者防火墻）接在WAN1口。

上網行為管理網關不管是在功能還是在性能上，都是完爆路由器的。隨著生產力的提高，硬件設備的成本也逐步降低，普及也越來越廣（例如電器的價格越來越低）。上網行為管理網關部署也將成為一個趨勢，因為網關除了擁有專業路由的功能以外，還有專業的網絡管理功能，和專業防火墻功能，這個都是路由硬件芯片做不到的。

那么上網行為管理設備應該如何部署呢？其實很簡單，就是和路由器一樣，直接把路由器的相關配置移植到行為管理設備上，把之前的路由器替換掉即可。

WSG系列上網行為管理網關是WFilter系列上網行為管理產品的經典之作，軟件系統采用了WFilter NGF企業級上網行為管理系統，而且在硬件的選型上絕不吝嗇，都是優選的工控機。比如WSG-50E的D525 CPU（推薦50用戶），放在其他廠商，至少都是100-200臺的環境的宣傳了。下面讓我們一起來看看WSG-50E這款企業級上網行為管理硬件網關有哪些特殊功能吧。

1. 外觀一覽

第一印象就是盒子好大，比一般的路由器要大的多。開箱后，1U的鐵殼機箱，相當于一臺14寸筆記本的大小，還挺沉的。典型的企業級網絡硬件設備，和華為思科的機器差不多。

1.1) 機器正面

全世界的路由，防火墻，網關，VPN服務器，各種服務器的設備可以說都是一樣的構造：軟件系統灌到硬件設備當中去。同時差別又很大：一兩百就可以買到一個小路由，十萬二十萬才能購置一臺重量級服務器。為什么差別這么大？其實就兩樣：硬件配置和軟件系統。幾百的小路由是那種路由芯片，過萬的服務器最低intel X86的芯片。而用什么硬件設備，取決灌什么軟件系統了。

以最普遍的路由器來說，都是基于嵌入式系統裁剪出來的。一些經典的路由系統，比如Routeros，系統很輕巧，運算壓力也不大，簡單的芯片就可以承載。而防火墻系統、上網行為管理系統，還需要在LINUX的基礎上，做大量的開發。所以對硬件需求，一定要有個強勁的CPU，以及大容量的硬盤和內存才足夠。普遍都用工控機來實現。

就上網行為管理設備來說，首先WSG上網行為管理網關，系統基于LINUX獨立系統，支持海量協議庫和網址庫。這點就決定了硬件的配置級別一定不是路由芯片可以滿足的。

在最新版的WFilter NGF中，新增了“ip-mac歷史查詢”的功能，可以實現如下功能：

1. 記錄局域網客戶機的ip、mac、mac廠商的歷史記錄。

2. 支持網橋和網關部署模式，即使是網橋模式，也可以記錄ip-mac信息。

3. 啟用“mac地址收集器”功能后，可以跨三層交換機獲取實際的ip mac信息。

   
   

無線上網已經是企業員工的基本需求，企業為了滿足員工的無線上網需要，大部分都部署了無線路由器或者無線AP設備。但是，不加管理的無線接入無疑會威脅企業的信息安全，并且給帶寬帶來較大壓力。

1. 概述

本文將介紹如何對局域網的無線設備進行管理和流控。一般而言，無線的部署有如下兩種方案：

1. 多個無線路由器或者胖AP，采用云管理的方案。

2. 集中AC管理加瘦AP的部署方案。

隨身WIFI非常方便，USB大小的東西，電腦一插，手機就可以無線上網了，但是企業局域網來說，其實是個讓網絡管理頭疼的東西，隨身WIFI的帶寬用的都是局域網帶寬資源，員工或者什么人偷偷把隨身WIFI接在電腦上，看視頻，玩APP，占用帶寬，影響資源。但是實際管理上又很難抓到，因為一插一拔瞬間的工夫就搞定了。那么有了我們的WFilter-ICF,WFilter-NGF或者WSG的E系列，這個問題完全不是問題，我們可以檢測到局域網哪些電腦接了隨身WIFI，WIFI下有什么手機。那么第一步檢測到了，

旁路部署實現上網監控的好處顯而易見，旁路在網絡上，對網絡沒有任何影響。上網監控機器關機也不會影響網絡流通，對監控服務器配置要求不用太高，也無需聯網。

WFilter-ICF目前也是國內外最典型的旁路監控原理的上網行為管理軟件。注意哦，WFilter-ICF本身就是一個旁路原理的上網行為管理軟件，下面介紹的只是ICF的部署方式。

微信WiFi，又名“微信連WiFi”。這個功能要求連接WiFi的用戶關注公眾號后上網，既可以推廣公眾號，還可以顯示廣告位，具備很實用的商業價值。微信WiFi認證的實現，有如下辦法：

1. 廣告路由器。直接把微信WiFi集成在無線路由器中，通過路由器界面或者云管理來進行配置。

2. 認證網關（網橋） + 無線AP的方式。由認證網關網橋來進行微信WiFi認證，無線AP只提供無線接入。

3. 旁路軟件 + 無線AP的方式。由旁路軟件來推送認證頁面，無線AP只提供無線接入。

這三種方案，廣告路由器的方案比較適合小環境，成本和實施都非常的簡單。如果網絡有一定規模，不適合部署多個廣告路由器時，就需要考慮第二和第三種方案。“認證網關”和“旁路軟件”的主要差別在于部署模式。

所謂串聯部署，顧名思義就是串接在網絡里面，所有數據都會流經過監控系統，從而可以讓監控系統解析，還原；還可以實現中間人技術（HTTPS,SSL監控）。這樣部署可以直接深入網絡，對網絡管理，協議分析，內容審計更加全面到位。

串聯部署方案兩種形式：