對于一個小型的局域網(wǎng)環(huán)境（終端數(shù)少于50）來說，一個企業(yè)級上網(wǎng)行為管理路由器就可以實現(xiàn)基本的上網(wǎng)行為管理功能。當(dāng)然，路由器的功能比較局限，對于上網(wǎng)內(nèi)容記錄、上網(wǎng)統(tǒng)計、網(wǎng)址庫過濾等高級功能，你就需要部署一臺專業(yè)的上網(wǎng)行為管理來實現(xiàn)了。
本文中，我將介紹少于50客戶端的局域網(wǎng)，如何部署一臺專業(yè)的上網(wǎng)行為管理設(shè)備？
你需要一臺雙網(wǎng)卡的PC機或者x86架構(gòu)的工控機，安裝上WFilter NGF上網(wǎng)行為管理系統(tǒng)。
很多局域網(wǎng)采用的是“防火墻/路由--三層交換機--二層交換機”的拓撲結(jié)構(gòu)，而由于三層交換機的配置相對來說比較復(fù)雜，在這樣的局域網(wǎng)中部署上網(wǎng)行為管理，用戶往往會面臨如下的一些問題：
找不到交換機的管理員用戶名和口令。
沒有技術(shù)人員可以修改交換機的配置。
沒有交換機廠商技術(shù)支持。
其實在有三層交換機的網(wǎng)絡(luò)環(huán)境中部署上網(wǎng)行為管理并不困難。在本文中，我將分別介紹“網(wǎng)橋部署”和“網(wǎng)關(guān)部署”的兩種方案。我們的方案，都盡量避免了對交換機的配置進行修改。
電腦修改IP，最直接的結(jié)果，會導(dǎo)致這個電腦不能上網(wǎng)，如果改成另外一臺電腦的IP，那么IP會沖突，兩個電腦都沒法上網(wǎng)。這樣的問題，不是大問題，但是卻很麻煩，如果是想在本機禁止，網(wǎng)上有一水的經(jīng)驗和方法，就不一一介紹的。但是如果碰到員工自己的電腦，或者網(wǎng)管的爪子伸不到電腦上，那么如果在網(wǎng)絡(luò)層管理呢？
1. 如果您是域環(huán)境，做禁止修改IP也好做的。給每臺電腦設(shè)置固定IP地址，且不開放管理員權(quán)限（客戶機無法自行修改）。這個方案只能對電腦起作用，一般在域環(huán)境的局域網(wǎng)用的比較多。如圖中的組策略配置。
WFilter NGF的整個系統(tǒng)設(shè)計都遵循了API設(shè)計的原則，甚至可以說，現(xiàn)有的WFilterNGF的UI就是基于我們的API系統(tǒng)開發(fā)而成。本文，將結(jié)合一個簡單的例子，來演示下WFilter NGF的API調(diào)用。需求很簡單：“調(diào)用WFilter的API，對某個IP進行限速和Web過濾。”
由于限速和Web過濾是分開的模塊，那么我們的思路是建立一個“虛擬組”，對這個虛擬組配置限速和Web過濾策略，API調(diào)用只需要把這個IP加入到虛擬組即可。
這個世界有矛就有盾，既然有IP-MAC綁定的技術(shù)，總歸就有人會嘗試去突破這個綁定。一般來說，無非是通過”修改IP地址“和”修改MAC地址“兩種方式。
1. IP地址的修改很簡單，在“本地連接”里面，修改TCP/IP的屬性就可以，如圖：
隨著移動終端使用越來越廣泛，WIFI也是漫天遍野都是，但是企業(yè)局域網(wǎng)里面私接路由或者電腦上插了隨身WIFI，看視頻或者下載什么，對于局域網(wǎng)帶寬消耗很大，最直接的也非常影響了工作狀態(tài)。如果把IP綁定以后，能否杜絕這一現(xiàn)象呢？一半的一半，私接路由可以拒絕，但是隨身WIFI不行。
1. 先說私接路由，這里的私接路由，是局域網(wǎng)里面某個大神自己帶個小無線路由器，往角落里面交換機上一插，然后就可以無線上網(wǎng)了，那么這個時候如果想要阻止這位大神，需要采用那個NGF或者WSG網(wǎng)關(guān)的IP綁定策略，采取這樣的策略，隨便什么無線路由，或者電腦直接插都無法上網(wǎng)，這樣配置，那么局域網(wǎng)里面電腦擅自修改IP，也無法上網(wǎng)。這樣的IP管理的妥妥的。一人一P，人改P不改。
交換機上配置IP-mac綁定，主要需要考慮兩個因素：
該交換機是否開啟DHCP服務(wù)？
是采用端口綁定還是ARP綁定？
端口綁定或者ARP綁定，只是強制了IP-MAC的對應(yīng)關(guān)系。但是，對于自動獲取IP地址的客戶機而言，還需要在DHCP服務(wù)器上分配固定IP才可以；否則客戶機重新獲取IP后，就會聯(lián)不了網(wǎng)。所以，一個完善的IP-MAC綁定方案，既要考慮DHCP的靜態(tài)地址分配，還要考慮IP-MAC的實際綁定實現(xiàn)。對于三層交換機而言，分為兩種情況：
對于企業(yè)的辦公局域網(wǎng)來說，IP-MAC綁定帶來的好處是顯而易見的。但是各企業(yè)在具體實施的過程中，應(yīng)當(dāng)根據(jù)各自局域網(wǎng)的特點，結(jié)合行政手段，有計劃、有目的的進行實施。
如果沒有相應(yīng)的行政命令，員工會不斷的嘗試手動修改IP來繞開監(jiān)管。從而導(dǎo)致不斷的IP地址沖突等網(wǎng)絡(luò)問題。所以在行政命令上，需要做到：
1. 禁止私自修改IP。
2. 禁止私接路由器、隨身wifi等設(shè)備。
以上行為一旦發(fā)現(xiàn)，配合一定的懲罰手段，可以減少技術(shù)手段的工作負擔(dān)。
對局域網(wǎng)設(shè)備進行IP-MAC綁定是網(wǎng)絡(luò)管理的一個重要手段，可以有效的防止IP盜用、IP濫用、IP地址沖突等異常情況。
IP-MAC綁定可以采用多種方法來實現(xiàn)，本文中，我將介紹一些常用的局域網(wǎng)IP-MAC綁定方案。
給每臺電腦設(shè)置固定IP地址，且不開放管理員權(quán)限（客戶機無法自行修改）。這個方案只能對電腦起作用，一般在域環(huán)境的局域網(wǎng)用的比較多。如圖中的組策略配置。
IP地址沖突是一個非常常見的網(wǎng)絡(luò)問題，電腦甲本來用的IPA的，不知道怎么回事，改成電腦乙的IPB了，那么做直接的結(jié)果就是電腦甲和乙都沒法上網(wǎng)，這種事故真的是平常事故，但是一出來，就不能上網(wǎng)了，如果沒有合適的檢測工具，IT或者網(wǎng)管為這樣事故頭疼愈烈的時候多呢。
1. 要有一個好的檢測工具，這樣網(wǎng)絡(luò)問題可以初步判斷出來。這個功能我們我們的WFilter的所有產(chǎn)品以及WSG的所有產(chǎn)品都有的。檢測到IP和MAC地址沖突了，具體情況看的妥妥的。
很多公司出于安全考慮，需要對IP-MAC地址進行綁定。IP-MAC綁定可以采用多種方法來實現(xiàn)，本文中，我將介紹各款交換機是如何進行IP-MAC綁定的。請注意，本文中的IP-MAC綁定是基于端口做的綁定，要求客戶機必須固定IP地址才可以聯(lián)網(wǎng)。
#進入配置模式
Switch#config terminal
#進入具體端口配置模式
Switch(config)#Interface fastethernet 0/1
#配置端口安全模式
#配置該端口要綁定的主機的MAC地址
Switch(config-if )#switchport port-security mac-address MAC(主機的MAC地址) ip-address 192.168.x.x
WFilter NGF上網(wǎng)行為管理系統(tǒng)專為企事業(yè)單位的局域網(wǎng)量身打造，今天我來介紹下為什么說WFilter NGF更適合做企業(yè)的局域網(wǎng)環(huán)境。
很多廠商的上網(wǎng)行為管理、防火墻、VPN都是單獨的產(chǎn)品，企業(yè)實現(xiàn)這些功能必須要買多臺設(shè)備，不但導(dǎo)致高額的投入，而且設(shè)備的維護管理也比較麻煩。而WFilter NGF系統(tǒng)集成了“上網(wǎng)行為管理”、“防火墻”、“流控”、“VPN”以及劃分VLAN的功能。只需要一臺設(shè)備，即可滿足企業(yè)的多種需求，大大降低企業(yè)的運營成本，能夠防止外部攻擊及內(nèi)部威脅，并將復(fù)雜化的網(wǎng)絡(luò)環(huán)境簡便化，方便后期的運營與維護。
WFilter ICF（超級嗅探狗）是一款為企事業(yè)單位的局域網(wǎng)量身打造的上網(wǎng)行為管理軟件，今天我來介紹下為什么說WFilter ICF更適合做企業(yè)的上網(wǎng)行為管理？
上網(wǎng)行為管理的核心是”網(wǎng)址庫“和”協(xié)議庫“。沒有哪家的產(chǎn)品可以涵蓋所有的網(wǎng)站和協(xié)議，所以網(wǎng)址庫和協(xié)議庫的設(shè)計直接就體現(xiàn)了產(chǎn)品的適用對象。舉例來說：有的協(xié)議庫主要針對各種網(wǎng)游，那么這個產(chǎn)品的主要適用對象一定是網(wǎng)吧這樣的客戶，用于做游戲的加速。
而WFilter的網(wǎng)址庫和協(xié)議庫，都是和企業(yè)網(wǎng)絡(luò)管理息息相關(guān)的，比如用于提高工作效率的”游戲類“、”聊天類“等，用于節(jié)省帶寬的”流媒體類“、“下載類”等，用于信息安全的“文件傳輸類”、“郵件類”、“網(wǎng)盤和文件分享類”等。
WFilter NGF的IPSec VPN模塊，可以很方便的在企業(yè)總部和分支機構(gòu)之間創(chuàng)建VPN局域網(wǎng)，利用現(xiàn)有的互聯(lián)網(wǎng)出口，虛擬出一條“專線”，將組織的分支機構(gòu)和總部連接起來，組成一個大的局域網(wǎng)。網(wǎng)絡(luò)拓撲圖如下：
IPSec隧道建立成功后，總部以及各分支的內(nèi)網(wǎng)之間就可以直接互相訪問。下面是具體的配置步驟：
IP-MAC綁定是網(wǎng)絡(luò)管理的一個重要手段，在局域網(wǎng)內(nèi)啟用IP-MAC綁定，可以給您帶來如下好處：
只有通過綁定的設(shè)備才可以接入網(wǎng)絡(luò)，從而有效的防止了私接設(shè)備。
大部分上網(wǎng)和流控策略都是基于IP地址的，需要綁定IP和MAC才可以更好的應(yīng)用上網(wǎng)策略。
實現(xiàn)有效的上網(wǎng)記錄和上網(wǎng)統(tǒng)計。如果不綁定，那么記錄統(tǒng)計不能有效的定位到具體用戶。
節(jié)省IP資源，防止IP盜用。
減少ARP攻擊，杜絕IP地址沖突，從而提高網(wǎng)絡(luò)的穩(wěn)定性。
所以，對于企業(yè)的辦公局域網(wǎng)來說，IP-MAC綁定帶來的好處是顯而易見的。我建議任何有條件的局域網(wǎng)都進行ip-mac綁定，至少做到部分綁定（比如：辦公設(shè)備綁定、手機設(shè)備自動分配），這樣可以有效的提高網(wǎng)絡(luò)安全性和穩(wěn)定性。
軟路由系統(tǒng)是一個非常常熟開源的系統(tǒng)了，功能是以路由功能為主。很多網(wǎng)絡(luò)技術(shù)人員或者網(wǎng)絡(luò)部署小達人，自力更生，最小成本去找一個最大功能的路由。這個真的非常好，節(jié)約成本，且部署了很有成就感，但是路由系統(tǒng)畢竟功能有限，局域網(wǎng)管理，網(wǎng)絡(luò)層面的，應(yīng)用層面的，防火墻上的，如果方方面面都想管理到，那代價肯定不在小型局域網(wǎng)的范圍以內(nèi)。今天推薦一個比路由系統(tǒng)的要先進很多的上網(wǎng)行為管理系統(tǒng)，這個系統(tǒng)灌在工控機里面或者安裝在電腦上，那就是個第二代防火墻設(shè)備，這樣的系統(tǒng)怎么就不能用小型局域網(wǎng)里面呢，笨驢技術(shù)給免費提供給您，讓您的小網(wǎng)絡(luò)轉(zhuǎn)起來。
公司的庫房堆了一堆舊電腦無人問津，其實大部分電腦仍然具有很強的運算能力。只要做一些小小的改造，就可以廢物利用哦。
本文，我將介紹如何把一臺舊電腦華麗變身為專業(yè)的上網(wǎng)行為管理設(shè)備。
中小企業(yè)局域網(wǎng)都很簡單，但是企業(yè)就是企業(yè)，即使規(guī)模不大，一樣需要管理。人員上網(wǎng)，帶寬管理，員工上網(wǎng)意識形態(tài)，趨勢，等等，都和工作內(nèi)容息息相關(guān)。這個也是企業(yè)人力成本的很大因素。這里說的中小企業(yè)是50人以內(nèi)的局域網(wǎng)。我們?yōu)槿澜缰行∑髽I(yè)提供一款全方位上網(wǎng)線行為管理系統(tǒng)。
上網(wǎng)行為管理和防火墻設(shè)備一直是網(wǎng)絡(luò)設(shè)備中高大上的代名詞，一臺設(shè)備動輒幾萬十幾萬，大部分中小企業(yè)只能望而卻步。而WFilter NGF軟件版本的發(fā)布，直接把上網(wǎng)行為管理拉低到了千元的級別。請參考我們的另外一篇博文：重磅發(fā)布！WFilter NGF全功能版本！
本文中，我將介紹如何自己購買工控機硬件來DIY一臺上網(wǎng)行為管理設(shè)備。
在一次交流中，某用戶提出公司內(nèi)部無線上網(wǎng)比較混亂，既有無線上網(wǎng)的辦公電腦，又有無線手機設(shè)備。而且都是自動獲取IP地址，無法基于IP進行管理，所以基本上處于放任不管的狀態(tài)。經(jīng)過了帶寬的擴容，仍然存在上網(wǎng)緩慢的情況，甚至影響到了辦公。網(wǎng)絡(luò)拓撲圖如下：
問：50人左右的網(wǎng)絡(luò)環(huán)境，不會太復(fù)雜，有個無線路由，公司預(yù)算有限，網(wǎng)絡(luò)資源有線，兩條線，家庭帶寬50M的，和一條專線10M的。雖然是小公司，一眼望到頭，但是也好幾個房間，真要管起來，也沒個正規(guī)的人力資源配件，那么作為領(lǐng)導(dǎo)的最大心腹，還是要搞定這方面的困擾的。
答：首先如果您的上網(wǎng)設(shè)備（電腦，手機，或者PAD)不超過50臺，那么可以滿足您一個最大的需求。
一起來看看WFilter NGF上網(wǎng)行為管理可以做到哪些功能吧：
1. 強大的上網(wǎng)統(tǒng)計功能。
這里說的中小型企業(yè)是50人以內(nèi)的企業(yè)，隨著互聯(lián)網(wǎng)，電子商務(wù)在企業(yè)中及其深入的使用，那么上網(wǎng)行為管理對企業(yè)的需求也越來越強，一說到網(wǎng)關(guān)，防火墻，上網(wǎng)行行為管理就想到大企業(yè)需要。其實未必然，中小企業(yè)的采購預(yù)算可能有限，但是用到互聯(lián)網(wǎng)的企業(yè)不分規(guī)模大小，管理互聯(lián)網(wǎng)上網(wǎng)行為說透了目的也是對員工的工作行以及工作效率的管理。在這里推薦一款免費的上網(wǎng)行為管理（免費的，系統(tǒng)是免費的，50人以內(nèi)的局域網(wǎng)用這個系統(tǒng)完全是免費的，全功能開放），為您的小型局域網(wǎng)不管是上網(wǎng)行為管理還是網(wǎng)絡(luò)管理帶來更安全更踏實的防護。
