劃分VLAN一般出于如下幾個目的：

1. 把內網劃分為不同的網段，可以提高內網安全性，而且更加便于管理。比如：有線和無線處于不同的網段，不允許無線設備訪問企業內網，這樣可以保護內部信息安全；而且可以對不同網段配置不同的上網策略和流控策略。

2. 分割廣播域，避免廣播風暴。廣播風暴這個現象，在無線時代更加突出，AP設備的發現、管理等操作都會產生廣播包。

那么，什么情況下需要劃分VLAN呢？主要考慮以下幾點：

為了管理和安全需要，很多局域網都要求固定IP，每個設備的IP地址和mac地址都登記在案，結合IP-mac綁定，從而使上網記錄、病毒攻擊都有據可查，并且可以迅速定位到個人。但是和自動獲取IP地址比較，固定IP也有一些弊端：

1. 配置較復雜，一些非技術人員不懂也不會配置IP地址。需要網管人員全局維護。
   

2. 固定IP地址列表需要維護。人員離職、電腦報廢后，IP地址如果沒有及時回收，會導致IP地址不夠用。

本文我將結合WFilter（WSG網關）的IP-mac綁定功能，介紹如何分配、管理和回收IP地址。

2018俄羅斯世界杯大幕拉開，世界杯期間球迷們將通過各種途徑觀看世界杯。互聯網作為世界杯的主要承載媒體，也使得我們的網絡感受到了前所未有的壓力。對于各類企事業單位來說，首要保障公司業務所需的帶寬資源，同時也要人性化的滿足世界杯的激情需要。

因此在世界杯期間，無論是門戶網站、運營商或是企事業單位，都需要解決帶寬分配和流量管理的問題。既讓客戶和員工可以觀看世界杯，同時又要讓企業的網絡帶寬不被搶占，關鍵應用的質量不受影響。

在大部分公司，客人用的WiFi和員工用的WiFi都是分開的。從理論上來說，這樣有利于局域網的信息安全。但是有些員工缺乏安全意識，會有意無意的泄漏辦公WiFi的密碼，甚至公開張貼WiFi密碼，再加上一些共享WiFi密碼的app；實際上你自認為安全的辦公WiFi密碼實際上并不安全。

一旦來賓、其他人員接入了公司WiFi，就可以直接訪問到企業內網，這時候勒索病毒、黑客入侵就已經離你不遠了。所以，企業在提供WiFi時，安全是頭等大事，絕對不容忽視。

本文，我們將探討如何禁止客人wifi訪問到公司內部的局域網？具體方案如下：

現在大部分局域網都提供了無線上網的功能。無線主要用于滿足以下幾種需求：

1. 無線辦公的需要，比如無線pos機等辦公設備。
   

2. 員工無線上網的需要。

3. 來賓、客人的無線上網。

這樣就帶來了相關的安全性問題：

1. 來賓有可能通過無線接入到企業內網，導致安全隱患。

2. 員工有可能通過來賓的無線網絡上網，從而繞開公司的行為管理策略，影響工作效率。

目前大部分解決方案都是來賓網絡和內部無線網絡使用不同的無線SSID和密碼。但是實際上這個方案存在很大的漏洞：密碼泄漏。來賓可以直接詢問到內網的無線密碼，甚至很多無線密碼都是公開張貼的。而企業員工更是可以直接通過來賓網絡上網。

本文將結合WFilter NGF的相關功能，來介紹更進階的解決方案。

這里說的路由，是千元以上的路由，一千塊以下的就不談的。現在很多企業路由，都說有這樣的功能，

IP-MAC綁定是很多路由，網關的一個常見功能，主要用來綁定局域網終端的IP地址，防止終端隨便修改IP，導致網內IP地址沖突，而導致網絡歇火。先來說IP-MAC綁定的原理分兩個部分：前部分，所謂綁定，就是讓這臺電腦的MAC始終獲取同一個ip地址或者指定ip，這個做到很容易，很多路由都號稱有這樣功能稱之IP-MAC綁定。但是做到這一步，沒啥意義，因為上網終端一旦修改了IP，照樣可以上網，照樣IP沖突，真正夯實IP-MAC綁定的是后半部分，這個上網行為管理才可以做到（核心交換機也能做到，但是配置很麻煩費事）要有上網數據，通過行為管理來檢測這個這個MAC是不是一直都是獲取的這個IP，一旦不是獲取的這個IP或者IP被擅自修改了，就會讓MAC斷網。或者一旦有新的沒有登記再案的終端進來（電腦，路由或者手機）進來，即使插上，也無法上網

DHCP服務用于給局域網的客戶機分配IP地址，從而實現統一的IP地址管理，可以有效簡化配置過程，并且防止IP沖突等異常。但是有時候我們也會發現電腦獲取不到IP的情況。這時候該怎么診斷呢？分兩種情況：

1. 所有的電腦都獲取不到IP，基本可以判斷是DHCP服務出了問題，一般需要檢查和重啟DHCP。
   

2. 只有個別電腦獲取不到IP，首先要排除網線接觸問題和系統問題。

實際工作中發現，即使網線和系統都不存在問題時，有時候也會獲取不到IP。這個情況是怎么產生的呢？請繼續往下看。

 IP地址沖突是網絡管理的一個常見問題。尤其在企業局域網內部，由于管控策略的存在，總會有人試圖通過修改IP地址來繞開管控、獲取更多的上網權限以及更高的帶寬。修改的IP一旦和公司的服務器發送IP沖突，會直接影響到辦公和業務的正常運行。IP沖突的危害如下：

1. 繞開行為管理策略和流控策略的管控。
   

2. 導致被沖突的客戶機斷網。
   

3. 和服務器IP沖突會影響業務的正常運行。

4. 難以定位，使網絡管理混亂無序。

微信WiFi的默認流程，已經從最初的“關注公眾號”變成了目前的“打開公眾號”。應該說，“打開公眾號但是不強制關注“其實是一個更加人性化的做法；因為任何誘導/強制關注，都會影響最終用戶的體驗和公正性原則；長遠來看會影響公眾號的發展。微信WiFi如下圖：

在手機上網占多大流量？WiFi要不要進行限速？這篇文章中，我們介紹了WiFi速度慢的一個重要原因：后臺應用的大量帶寬占用。如下圖：即使在沒有任何app運行的情況下，后臺應用仍然會占用大量的帶寬。

很多企業、公共場所都會給員工或者顧客提供WiFi服務，但是網管人員很快會發現大部分人都會抱怨WiFi速度太慢沒法用，明明是100M的專線，速度卻和撥號速度差不多。這究竟是什么原因呢？今天我們就從網絡應用的角度來分析下，手機上網究竟需要多大的流量。

無線的速度，還取決于無線AP的信號強度、信道干擾、帶機量等因素，這些方面已經有大量的技術文章，我們就不再贅述，本文主要著重從網絡應用的角度來解釋無線帶寬的占用問題。

如下圖，這是一臺普通的華為安卓手機，已經清理掉所有的app。

 WFilter NGF的“Web認證”模塊，提供了一系列的上網認證解決方案。包括如下認證方式：

1. 本地用戶名密碼認證
   

2. AD域用戶名密碼認證

3. 企業郵箱用戶名密碼認證

4. Radius用戶名密碼認證

5. 微信WiFi認證

6. Facebook Wifi認證

 除此，WFilter NGF還有一個“其他”的選項，利用這個選項，你可以擴展更多的用戶認證方式，比如“短信認證”，使用者必須輸入自己的手機號碼，獲取驗證短信后輸入才可以上網。如圖：

 相對于固定IP而言，自動獲取IP（DHCP）更加方便，而且不會導致IP地址沖突。但是對于局域網網絡管理而言，IP地址不固定就無法實現有效的管控。作為專業的上網行為管理廠家，WFilter系列上網行為管理產品針對該情況可以提供兩種解決方案：

1. 先進行IP-mac地址綁定，然后基于IP地址管控。

2. 直接基于MAC地址進行管控。
   

以WFilter NGF（WSG網關）為例，具體配置介紹如下：

 分支結構和總部之間的數據通訊現在一般都通過VPN線路來實現，如果總部只有一條VPN線路，那么當總部線路故障時，就會導致分支機構數據無法上傳，影響正常的辦公需要。其解決辦法，一般是通過多條VPN線路的方式，來實現VPN線路備份，一條線路不通時，會自動切換到另外一條線路，從而實現不間斷的VPN連接。

 本文將介紹用WFilter NGF中的Open VPN（SSL VPN）組建site-to-site VPN，并且實現高可用性的VPN線路備份。

支持遠程撥入的VPN技術，使員工在出差、下班時可以連接到公司的局域網處理工作，給工作帶來了很大的便利。所以現在很多公司都支持VPN遠程撥入。本文將簡單介紹VPN的幾種組建方式，以及相關的安全問題。如果您需要創建site-to-site的VPN，請參考：Ipsec VPN

1. PPTP VPN

 PPTP（Point to Point Tunneling Protocol），即點對點隧道協議。該協議是在PPP協議的基礎上開發的一種新的增強型安全協議，支持多協議虛擬專用網（VPN），可以通過密碼驗證協議（PAP）、可擴展認證協議（EAP）等方法增強安全性。可以使遠程用戶通過撥入ISP、通過直接連接Internet或其他網絡安全地訪問企業網。

VLAN可以把網絡劃分成多個廣播域，可以有效的控制廣播風暴，還可以控制網絡中不同部門和網段之間的互相訪問。如果您已經有了三層交換機，可以直接在三層交換機上劃分VLAN，請參閱：多VLAN三層交換機如何連接WFilter上網行為管理系統？

在沒有三層交換機的環境下，您可以直接用WFilter NGF（WSG網關）來劃分VLAN。支持兩種VLAN的劃分方式：

1. 基于端口的VLAN劃分。每個端口一個VLAN接二層交換機。
   

2. 802.1Q VLAN（單臂路由）。和交換機的trunk口連接，通過一個端口實現多個VLAN的封裝。

本文將介紹這兩種方式如何配置。

很多企業為了數據的安全，需要對外發文件進行管控。而手機、usb存儲的廣泛使用，使得外發文件的管控非常難以實現。在本文中，我將拋磚引玉，探討外發文件管控的幾種方式。外發文件的管控，需要考慮如下幾個方面：

• 屏蔽通過網絡外發文件

• 屏蔽藍牙、usb等外設外發文件
  

• 文件加密
  

對于局域網信息安全來說，首要的一點就是接入認證，缺少接入認證，那內網安全完全無從談起。而在接入認證中，“Web Portal認證”是目前應用最為廣泛的一種方式。那么，今天我們來看看WFilter的“Web認證”提供哪些認證解決方案。

首先，WFilter NGF的“Web認證”包括兩個部分：

1. 用戶名認證：基于用戶名口令的認證方案
   

2. 營銷認證：主要是微信WiFi（國內）和Facebook WiFi（國外）。

現在的便攜式路由器非常的小巧輕便，而且即插即用，很受大家的喜愛。

但是，對于局域網的網管人員來說，這個小東西造成的危害可不小，比如：

有這么一個app，很多人沉溺其中，但是你會發現隨隨便便刷幾個小時的短視頻，你就會收到短信提示“您本月的流量已經用完”。即使你用wifi網絡，網管同學們也會發現最近公司的帶寬完全不夠用啊。這就是抖音短視頻，稱之為流量殺手絕對不過分。

今天，我就來實際測試下，看一個抖音究竟要耗費多大的帶寬。“測試手機：iphone 7 plus，抓包工具wireshark，網關：WSG-500E上網行為管理”。

如圖所示，我用iphone7 plus刷了3個抖音視頻，耗時30秒左右。平均帶寬占用高達766Kbyte，也就是6Mbps。

局域網網絡慢，一般存在如下可能：

1. 內網ARP欺騙攻擊。
   

2. 內網病毒攻擊。

3. 交換機、路由器硬件故障。

4. 網線接觸不良、網線老化。
   

5. 廣播風暴、網絡環路。

以上這些問題，即使是一個有經驗的網管，需要組合ping、arp、tracert等多條命令進行測試分析，才可以逐步排查出來。有時還需要用抓包工具來抓包分析。為了簡化網管人員的工作，我們的WFilter軟件（WSG網關）中，都集成了一個實用性很強的插件“網絡健康度檢測”。以上問題一鍵就可以檢測出來。如下圖：

騰訊游戲是騰訊四大網絡平臺之一,是全球領先的游戲開發和運營機構,也是國內最大的網絡游戲社區。但是，很多青少年沉迷游戲，不但影響工作和學習，還會傷害身體、滋生犯罪。

本文中，我將演示如何用WSG上網行為管理網關來屏蔽騰訊游戲的登錄。根據騰訊游戲登錄協議介紹，騰訊游戲的登錄主要是http方式，需要連接

抖音現在實在是太火了，辦公室一個個都忙著刷抖音，哈哈大笑者有之，忍俊不禁者有之...，可這帶寬占用可也不小啊。一個人看抖音的實時帶寬可以達到5Mbps，十幾個人一起刷就可以把百兆帶寬給用完了。而且手指一刷就換到下一個視頻，隨便刷刷就幾G的流量。如圖：

上班時間刷刷朋友圈，一眨眼半小時就過去了。不但會影響工作效率，而且朋友圈的視頻會占用大量的帶寬。所以對企業管理人員來說，很多時候需要禁止員工在工作時段刷朋友圈。但是行政手段要和技術手段配合，才可以發揮真正的作用。

本文將介紹如何用WFilter NGF（WSG網關）來禁止朋友圈的視頻。

首先，應該設置什么樣的管理制度？