相對于固定IP而言，自動獲取IP（DHCP）更加方便，而且不會導致IP地址沖突。但是對于局域網網絡管理而言，IP地址不固定就無法實現有效的管控。作為專業的上網行為管理廠家，WFilter系列上網行為管理產品針對該情況可以提供兩種解決方案：

1. 先進行IP-mac地址綁定，然后基于IP地址管控。

2. 直接基于MAC地址進行管控。
   

以WFilter NGF（WSG網關）為例，具體配置介紹如下：

分支結構和總部之間的數據通訊現在一般都通過VPN線路來實現，如果總部只有一條VPN線路，那么當總部線路故障時，就會導致分支機構數據無法上傳，影響正常的辦公需要。其解決辦法，一般是通過多條VPN線路的方式，來實現VPN線路備份，一條線路不通時，會自動切換到另外一條線路，從而實現不間斷的VPN連接。

本文將介紹用WFilter NGF中的Open VPN（SSL VPN）組建site-to-site VPN，并且實現高可用性的VPN線路備份。

支持遠程撥入的VPN技術，使員工在出差、下班時可以連接到公司的局域網處理工作，給工作帶來了很大的便利。所以現在很多公司都支持VPN遠程撥入。本文將簡單介紹VPN的幾種組建方式，以及相關的安全問題。如果您需要創建site-to-site的VPN，請參考：Ipsec VPN

1. PPTP VPN

PPTP（Point to Point Tunneling Protocol），即點對點隧道協議。該協議是在PPP協議的基礎上開發的一種新的增強型安全協議，支持多協議虛擬專用網（VPN），可以通過密碼驗證協議（PAP）、可擴展認證協議（EAP）等方法增強安全性。可以使遠程用戶通過撥入ISP、通過直接連接Internet或其他網絡安全地訪問企業網。

VLAN可以把網絡劃分成多個廣播域，可以有效的控制廣播風暴，還可以控制網絡中不同部門和網段之間的互相訪問。如果您已經有了三層交換機，可以直接在三層交換機上劃分VLAN，請參閱：多VLAN三層交換機如何連接WFilter上網行為管理系統？

在沒有三層交換機的環境下，您可以直接用WFilter NGF（WSG網關）來劃分VLAN。支持兩種VLAN的劃分方式：

1. 基于端口的VLAN劃分。每個端口一個VLAN接二層交換機。
   

2. 802.1Q VLAN（單臂路由）。和交換機的trunk口連接，通過一個端口實現多個VLAN的封裝。

本文將介紹這兩種方式如何配置。

很多企業為了數據的安全，需要對外發文件進行管控。而手機、usb存儲的廣泛使用，使得外發文件的管控非常難以實現。在本文中，我將拋磚引玉，探討外發文件管控的幾種方式。外發文件的管控，需要考慮如下幾個方面：

• 屏蔽通過網絡外發文件

• 屏蔽藍牙、usb等外設外發文件
  

• 文件加密
  

對于局域網信息安全來說，首要的一點就是接入認證，缺少接入認證，那內網安全完全無從談起。而在接入認證中，“Web Portal認證”是目前應用最為廣泛的一種方式。那么，今天我們來看看WFilter的“Web認證”提供哪些認證解決方案。

首先，WFilter NGF的“Web認證”包括兩個部分：

1. 用戶名認證：基于用戶名口令的認證方案
   

2. 營銷認證：主要是微信WiFi（國內）和Facebook WiFi（國外）。

現在的便攜式路由器非常的小巧輕便，而且即插即用，很受大家的喜愛。

但是，對于局域網的網管人員來說，這個小東西造成的危害可不小，比如：

有這么一個app，很多人沉溺其中，但是你會發現隨隨便便刷幾個小時的短視頻，你就會收到短信提示“您本月的流量已經用完”。即使你用wifi網絡，網管同學們也會發現最近公司的帶寬完全不夠用啊。這就是抖音短視頻，稱之為流量殺手絕對不過分。

今天，我就來實際測試下，看一個抖音究竟要耗費多大的帶寬。“測試手機：iphone 7 plus，抓包工具wireshark，網關：WSG-500E上網行為管理”。

如圖所示，我用iphone7 plus刷了3個抖音視頻，耗時30秒左右。平均帶寬占用高達766Kbyte，也就是6Mbps。

局域網網絡慢，一般存在如下可能：

1. 內網ARP欺騙攻擊。
   

2. 內網病毒攻擊。

3. 交換機、路由器硬件故障。

4. 網線接觸不良、網線老化。
   

5. 廣播風暴、網絡環路。

以上這些問題，即使是一個有經驗的網管，需要組合ping、arp、tracert等多條命令進行測試分析，才可以逐步排查出來。有時還需要用抓包工具來抓包分析。為了簡化網管人員的工作，我們的WFilter軟件（WSG網關）中，都集成了一個實用性很強的插件“網絡健康度檢測”。以上問題一鍵就可以檢測出來。如下圖：

騰訊游戲是騰訊四大網絡平臺之一,是全球領先的游戲開發和運營機構,也是國內最大的網絡游戲社區。但是，很多青少年沉迷游戲，不但影響工作和學習，還會傷害身體、滋生犯罪。

本文中，我將演示如何用WSG上網行為管理網關來屏蔽騰訊游戲的登錄。根據騰訊游戲登錄協議介紹，騰訊游戲的登錄主要是http方式，需要連接

抖音現在實在是太火了，辦公室一個個都忙著刷抖音，哈哈大笑者有之，忍俊不禁者有之...，可這帶寬占用可也不小啊。一個人看抖音的實時帶寬可以達到5Mbps，十幾個人一起刷就可以把百兆帶寬給用完了。而且手指一刷就換到下一個視頻，隨便刷刷就幾G的流量。如圖：

上班時間刷刷朋友圈，一眨眼半小時就過去了。不但會影響工作效率，而且朋友圈的視頻會占用大量的帶寬。所以對企業管理人員來說，很多時候需要禁止員工在工作時段刷朋友圈。但是行政手段要和技術手段配合，才可以發揮真正的作用。

本文將介紹如何用WFilter NGF（WSG網關）來禁止朋友圈的視頻。

首先，應該設置什么樣的管理制度？

當我們看到app store有更新的時候，總是忍不住要去點擊下。可你知道點擊的一剎那要消耗多少流量嗎？根據WFilter的監控，在WiFi狀態下，app store的更新速度可以達到幾兆。初步估算下，如果同一個局域網有十個人同時打開app store進行更新，那么百兆帶寬瞬間就可以被占滿。如下圖：

WFilter NGF（WSG上網行為管理網關）的“Web認證模塊”主要包括兩個部分：“用戶名認證”和“營銷認證”。

1. 用戶名認證：輸入用戶名口令來認證上網。

2. 營銷認證：國內主要是“微信WiFi”，國外主要用“Facebook WiFi”。

本文中，我將簡單介紹如何用WFilter NGF（WSG上網行為管理網關）來實現微信掃碼上網。

163和騰訊的企業郵箱，給企業帶來了很大的便利。很多企業都采用兩家的企業郵箱服務，有的企業出于信息安全的考慮，需要對企業郵箱的外發內容進行監管。本文中，我將簡單介紹企業郵箱監控的兩個重點關注的方面：

1. 網頁版的企業郵箱監控。
   

2. 客戶端收發的企業郵箱監控。
   

IP-MAC綁定一直是局域網管理的一個重要部分。但是其實現卻往往比較復雜，一般會有如下問題：

1. 大部分路由器的IP-MAC綁定功能比較局限。一般就是簡單的ARP綁定。客戶機手動修改IP等方式來突破。
   

2. 路由器由于硬件限制，允許的IP-MAC綁定條目比較少，一般在256條以內。

3. 交換機上進行IP-MAC綁定，配置和維護的工作量會比較大。

4. 三層交換機的IP-MAC綁定往往需要專業技術人員才可以操作。
   

今天，我要介紹的是一種非常簡單方便的IP-MAC綁定方式，無需修改交換機和路由器，不改變當前網絡結構和配置，即插即用，web界面配置。非常簡單方便就可以實現對局域網內客戶機的IP-MAC綁定。具體介紹如下：

《絕地求生》(PUBG) 是一款突破性的戰術競技類游戲，憑借其獨特創新的玩法模式，寫實風格帶來的代入感和沉浸感深受玩家喜愛。目前，吃雞類游戲深受用戶喜愛，也涌現了一大批的同款端游和手游。

對于上網行為管理來說，我們要討論的是如何禁止局域網客戶機（電腦和手機）玩這類游戲。在本文中，我將演示如何用WSG-500E（WFilter NGF系統）來屏蔽局域網用戶玩吃雞類游戲。

很多局域網考慮到安全需要，會部署兩臺核心交換機做雙機熱備。在這樣的情況下，如果要旁路部署上網行為管理軟件，需要在兩臺核心上都配置端口鏡像，從而實現不間斷的監控管理。拓撲圖如下：

微信作為現在很常用的一個通訊軟件，很多企業在管理時不想把微信完全禁止掉，但是微信的傳文件和視頻聊天等行為會占用大量帶寬，并且影響網絡安全。所以很多我們的WFilter用戶，都會在局域網內把微信傳文件和微信視頻禁止掉。

本文將演示如何用WSG-200E來配置微信視頻聊天的屏蔽。

說到https，不得不提http（HyperText Transfer Protocol）這個互聯網上用的最廣泛的網絡協議，其技術架構，協議功能，協議原理百度或者google都有詳細解釋。而https（Hyper Text Transfer Protocol over Secure Socket Layer）多就多在這個S上，SSL加密，通常理解，https就是http加入SSL加密層變成以安全為目標的http傳輸。那么SSL是個啥呢，SSL是一個目前應用非常廣泛的一種非對稱加密方式，也是公認破解不了的。安全，又好用，所以才能廣泛應用，除了http,郵件的pop3,smtp，IM通訊等等，都能用上，是個很好的加密方式。起初用https通常都是金融類網站用到財務交易，時光如水，歲月如歌，IT技術一日百里的飛速發展，現在很多門戶網站，企業網站也都逐漸使用https協議，這個也是事實的趨勢。概念就是這個概念了，那么https如何監控管理呢？以下說明是獻給非專業IT技術人員，非專業碼農的。為了大家都能明白，可能有些敘述比較幼稚和粗淺，請多多理解。

WSG-200E上網行為管理網關，不是用的最頂尖高端的硬件設備，但是對于150-300人局域網范圍，真的是性價比最高的一款。系統采用了WFilter NGF企業級上網行為管理系統，在硬件方面，采用了Intel B75的主板架構，I3-32200的酷睿4核CPU，主頻高達3.3GHz.實實在在的優質選型。

WSG-500E上網行為管理設備是WFilter系列上網行為管理中性能非常強悍的一款設備，系統采用了WFilter NGF企業級上網行為管理系統，在硬件方面，采用了Intel B75的主板架構，I5-3450的酷睿4核CPU，主頻高達3.1GHz。很多用戶對這個性能缺少形象的概念，讓我來簡單比較下：

1. 普通的路由器芯片，比如典型的MTK7620芯片，主頻是580MHz。

2. D525工控機，CPU是4核1.8GHz。性能至少是MTK的3-4倍。

3. WSG-500E的I5-3450，采用了新的設計，性能差不多又是D525的3-4倍。
   

配合4G的DDR3內存，6個千兆端口，構建了性能強悍的WSG-500E。這款設備，雖然官方推薦是500Mbps的帶寬，實測可以達到900-920M，而且網絡訪問很順暢，一點也不卡頓。

這里說的大型局域網是500-1000臺局域網環境，一般是一棟樓，廠房或者學校。大型局域網的組網方案已經非常成熟了。大網絡，多了防火墻，核心交換機，不同需求的服務器。這里就不一一贅述，這里重點介紹大局域網的上網行為管理方案。大網環境數據量大，各種協議走的很復雜。很多網安廠家把第二代防火墻的概念

（Next Generation Firewall）包括了上網行為管理概念，專業的上網行為管理是無法被代替的。協議分析，應用層解析，上網日志記錄，審計等模塊需要大量的運算，后期需要專業的研發團隊維護升級。所以不應該被防火墻，殺毒的概念混亂。上網方式這三十年發生了天翻地覆的變化，網絡協議一年又一年的更新，應用協議天天有新出，移動上網方式的應用都已經變成日常行為了。各種病毒方式已經不像原始方式文件打開，有的時候甚至點開一個不安全的網站會導致病毒入侵，所以內網管控不僅僅是上網效率提高，還有上網行為管控，網址庫，協議庫過濾，才會讓局域網上網內網安全兼得。

提到上網行為管理，最初想到的內容記錄、聊天內容、郵件內容、文件傳輸內容、網頁瀏覽記錄等等。但是再往深里研究，對于有一定規模的局域網，內容審計的意義并不是很大，聊天幾句話、瀏覽的幾個網站都是瞬間的意識。所以，企業的對員工聊天內容的審計實在沒有太大的意義。況且國內主流的QQ和微信的通訊，騰訊公司早就進行了協議改進和安全強化，加上微信QQ都可以綁定銀行卡。所以，網絡監控解析QQ和微信的內容，理論上已經不現實。對于企業網絡管理來說，規整的上網秩序、上網內容的報表分析以及信息安全才是王道。

WSG-200P上網行為管理路由是一款性價比非常高的上網行為管理設備。和WSG的企業版（E系列）相比，雖然沒有上網記錄、域賬號等功能，但是就上網行為管理和流控來說，與E系列基本是一樣的，可以提供專業的上網行為管理和流控。下面讓我們一起來看看WSG-200P這款企業級上網行為管理路由有哪些亮點功能吧。