無(wú)線上網(wǎng)已經(jīng)是企業(yè)員工的基本需求，企業(yè)為了滿足員工的無(wú)線上網(wǎng)需要，大部分都部署了無(wú)線路由器或者無(wú)線AP設(shè)備。但是，不加管理的無(wú)線接入無(wú)疑會(huì)威脅企業(yè)的信息安全，并且給帶寬帶來(lái)較大壓力。
本文將介紹如何對(duì)局域網(wǎng)的無(wú)線設(shè)備進(jìn)行管理和流控。一般而言，無(wú)線的部署有如下兩種方案：
多個(gè)無(wú)線路由器或者胖AP，采用云管理的方案。
集中AC管理加瘦AP的部署方案。
隨身WIFI非常方便，USB大小的東西，電腦一插，手機(jī)就可以無(wú)線上網(wǎng)了，但是企業(yè)局域網(wǎng)來(lái)說(shuō)，其實(shí)是個(gè)讓網(wǎng)絡(luò)管理頭疼的東西，隨身WIFI的帶寬用的都是局域網(wǎng)帶寬資源，員工或者什么人偷偷把隨身WIFI接在電腦上，看視頻，玩APP，占用帶寬，影響資源。但是實(shí)際管理上又很難抓到，因?yàn)橐徊逡话嗡查g的工夫就搞定了。那么有了我們的WFilter-ICF,WFilter-NGF或者WSG的E系列，這個(gè)問(wèn)題完全不是問(wèn)題，我們可以檢測(cè)到局域網(wǎng)哪些電腦接了隨身WIFI，WIFI下有什么手機(jī)。那么第一步檢測(cè)到了，
旁路部署實(shí)現(xiàn)上網(wǎng)監(jiān)控的好處顯而易見(jiàn)，旁路在網(wǎng)絡(luò)上，對(duì)網(wǎng)絡(luò)沒(méi)有任何影響。上網(wǎng)監(jiān)控機(jī)器關(guān)機(jī)也不會(huì)影響網(wǎng)絡(luò)流通，對(duì)監(jiān)控服務(wù)器配置要求不用太高，也無(wú)需聯(lián)網(wǎng)。
WFilter-ICF目前也是國(guó)內(nèi)外最典型的旁路監(jiān)控原理的上網(wǎng)行為管理軟件。注意哦，WFilter-ICF本身就是一個(gè)旁路原理的上網(wǎng)行為管理軟件，下面介紹的只是ICF的部署方式。
微信WiFi，又名“微信連WiFi”。這個(gè)功能要求連接WiFi的用戶關(guān)注公眾號(hào)后上網(wǎng)，既可以推廣公眾號(hào)，還可以顯示廣告位，具備很實(shí)用的商業(yè)價(jià)值。微信WiFi認(rèn)證的實(shí)現(xiàn)，有如下辦法：
廣告路由器。直接把微信WiFi集成在無(wú)線路由器中，通過(guò)路由器界面或者云管理來(lái)進(jìn)行配置。
認(rèn)證網(wǎng)關(guān)（網(wǎng)橋） + 無(wú)線AP的方式。由認(rèn)證網(wǎng)關(guān)網(wǎng)橋來(lái)進(jìn)行微信WiFi認(rèn)證，無(wú)線AP只提供無(wú)線接入。
旁路軟件 + 無(wú)線AP的方式。由旁路軟件來(lái)推送認(rèn)證頁(yè)面，無(wú)線AP只提供無(wú)線接入。
這三種方案，廣告路由器的方案比較適合小環(huán)境，成本和實(shí)施都非常的簡(jiǎn)單。如果網(wǎng)絡(luò)有一定規(guī)模，不適合部署多個(gè)廣告路由器時(shí)，就需要考慮第二和第三種方案。“認(rèn)證網(wǎng)關(guān)”和“旁路軟件”的主要差別在于部署模式。
所謂串聯(lián)部署，顧名思義就是串接在網(wǎng)絡(luò)里面，所有數(shù)據(jù)都會(huì)流經(jīng)過(guò)監(jiān)控系統(tǒng)，從而可以讓監(jiān)控系統(tǒng)解析，還原；還可以實(shí)現(xiàn)中間人技術(shù)（HTTPS,SSL監(jiān)控）。這樣部署可以直接深入網(wǎng)絡(luò)，對(duì)網(wǎng)絡(luò)管理，協(xié)議分析，內(nèi)容審計(jì)更加全面到位。
串聯(lián)部署方案兩種形式：
無(wú)線上網(wǎng)的被監(jiān)控端主要都是手機(jī)、PAD，也包括無(wú)線上網(wǎng)的電腦。手機(jī)的安卓系統(tǒng)以及蘋果系統(tǒng)底層都是不開(kāi)放的，所以沒(méi)有任何辦法安裝監(jiān)控客戶端。所以無(wú)線監(jiān)控只有一個(gè)方式，就是網(wǎng)絡(luò)監(jiān)控。網(wǎng)絡(luò)監(jiān)控的部署分兩種，串聯(lián)監(jiān)控部署以及旁路監(jiān)控部署。
現(xiàn)在很多企業(yè)局域網(wǎng)都是全無(wú)線覆蓋，給員工和客戶的網(wǎng)絡(luò)接入提供了很大的便利。無(wú)論在公司或者廠區(qū)的任何位置，都可以很方便的接入到公司局域網(wǎng)和互聯(lián)網(wǎng)。但是這樣也帶來(lái)了不可避免的安全性問(wèn)題：一旦有未經(jīng)授權(quán)的網(wǎng)絡(luò)接入，不但會(huì)占用寶貴的帶寬資源；而且會(huì)帶來(lái)病毒、黑客攻擊等局域網(wǎng)安全問(wèn)題。
所以，局域網(wǎng)在做無(wú)線覆蓋的同時(shí)，一定要考慮到安全問(wèn)題。一般來(lái)說(shuō)，可以從兩方面入手：
合理的劃分VLAN。無(wú)線接入應(yīng)當(dāng)處于單獨(dú)的VLAN，并且控制該VLAN對(duì)企業(yè)內(nèi)部資源的訪問(wèn)。即使有惡意的攻擊，也可以被控制在無(wú)線VLAN內(nèi)部。
對(duì)無(wú)線上網(wǎng)的設(shè)備進(jìn)行用戶認(rèn)證。
對(duì)無(wú)線上網(wǎng)的設(shè)備進(jìn)行ip-mac綁定。
記錄無(wú)線上網(wǎng)的上網(wǎng)記錄，包括ip地址、mac地址、網(wǎng)站訪問(wèn)等信息。供需要時(shí)查詢。
