由于公網(wǎng)IP資源越來越緊張，現(xiàn)在很多運營商給撥號上網(wǎng)的用戶只分配內(nèi)網(wǎng)IP地址，如下圖所示：
這樣的運營商內(nèi)網(wǎng)IP是外網(wǎng)不可達的（即使用動態(tài)域名也不起作用）。而企業(yè)由于業(yè)務需要，比如虛擬局域網(wǎng)組網(wǎng)、辦公OA系統(tǒng)、ERP系統(tǒng)等，都需要有公網(wǎng)IP才可以實現(xiàn)。公網(wǎng)IP的解決，目前主要有三種方案：
申請固定IP專線。穩(wěn)定且速度有保障，缺點是費用高。
云方案。把業(yè)務主機都搬到云上，直接通過云主機來訪問。費用比較低，缺點是云主機不能本地維護，且搬遷工作量都不小。
云主機+內(nèi)網(wǎng)穿透方案。通過云主機做跳板來實現(xiàn)內(nèi)網(wǎng)穿透，既可以復用現(xiàn)有的業(yè)務系統(tǒng)，又解決了公網(wǎng)IP的問題。第三種方案的成本是最低的，但是配置比較復雜。本文將對第三種方案做詳細介紹。
有些企業(yè)為了信息安全需要，需要對企業(yè)的郵件收發(fā)進行監(jiān)管。比如：“只允許使用公司郵箱來發(fā)郵件，且記錄公司郵箱的收發(fā)內(nèi)容，從而達到管理目的?！?/p>
本文中，我將介紹如何使用WFilter NGF的郵件過濾功能來對郵件的發(fā)件人進行白名單限制（只允許白名單中的郵箱發(fā)送郵件），有兩個方案：
禁止所有的網(wǎng)頁郵件和客戶端郵件。同時把公司郵件服務器的IP地址加到“例外設置”中。（需要公司有專門的郵件服務器）
如果公司沒有專門的郵件服務器，通過購買租用公開的郵件服務。要進行郵件過濾，則需要用到WFilter NGF中的郵件過濾模塊。
本文中，我將詳細介紹下第二種方式的具體步驟。
郵件收發(fā)協(xié)議，除了標準的SMTP/IMAP/POP3外，還有一些私有協(xié)議：比如Lotusnote, 網(wǎng)易閃電郵等。為了對郵件發(fā)件人進行過濾，需要禁止其他的私有郵件協(xié)議，只開放標準協(xié)議。如下圖：
在“應用過濾”模塊中，把這些郵件協(xié)議設置為允許：發(fā)送郵件（SMTP）、接收郵件（POP3）、接收郵件（IMAP）、SMTP發(fā)送帶附件的郵件、SMTP發(fā)送混合格式郵件、以及SSL加密的SMTP/POP3/IMAP。
在如何對來賓用戶進行上網(wǎng)行為管理中，我們介紹了基于VLAN或者DHCP范圍來區(qū)分來訪人員和普通辦公人員。在本文中，我將介紹另外一種較典型的方式：“對辦公人員進行IP-MAC綁定；并要求來訪人員Web認證?！?/p>
首先需要在IP-MAC綁定中錄入辦公人員的IP和MAC地址（略）。然后再進行下述配置：
IP-MAC綁定后，辦公電腦DHCP獲取的都是綁定的IP地址。為了區(qū)分辦公電腦和來訪人員的IP地址，我們首先需要設置DHCP的范圍和辦公電腦綁定的IP范圍區(qū)分開。
蘋果（IOS）、以及一些新的andriod和windows系統(tǒng)，在連接網(wǎng)絡時，會自動檢測網(wǎng)絡是否連通以及是否存在認證頁面（Captive Web Portal），一旦發(fā)現(xiàn)網(wǎng)絡需要認證，操作系統(tǒng)會自動彈出認證頁面供用戶進行認證。這個功能最早是在IOS上實現(xiàn)的，所以一些老版本的安卓系統(tǒng)或者windows系統(tǒng)并不會自動彈出認證頁面。
WFilter NGF中的“Web認證”完全按照Web Portal認證的標準來實現(xiàn)，在WFilter NGF中開啟”Web認證“后，也會存在一部分系統(tǒng)不能自動彈出認證頁面的情況。一般有如下原因：
客戶機操作系統(tǒng)比較老舊。安卓4.0和windows 8.0之前的版本都不支持自動彈出。
客戶機的瀏覽器問題導致不能自動打開瀏覽器。
本文中，我將結(jié)合WSG的相關(guān)功能來介紹如何解決此問題。一般而言有三種辦法，具體描述如下：
林子大了什么鳥都有，局域網(wǎng)內(nèi)總有一些不自覺的員工違反公司條例，占用大量帶寬進行下載視頻之類的活動。碰到這樣的情況，網(wǎng)管技術(shù)人員會很惱火。針對這樣的情況，WFilter NGF(WSG網(wǎng)關(guān)）里面的“懲罰組”功能，可以臨時的設置懲罰策略進行上網(wǎng)限制和流控。
給懲罰組定義一個比較嚴格的限速，并且把懲罰組的策略拖動到限速策略的第一行。如下圖：
現(xiàn)在很多下載站都優(yōu)先推廣高速下載器下載，一不小心就會下載一個未知內(nèi)容的xxxx@xxxx.exe這樣的文件。給局域網(wǎng)的安全帶來很大的隱患。如圖：
在本文中，我將介紹如何用WFilter ICF（超級嗅探狗）來禁止高速下載器的下載。
在阿里云短信認證網(wǎng)關(guān)的具體實現(xiàn)這篇文章中，我們介紹了如何使用阿里云的php sdk來實現(xiàn)短信認證功能。在實際使用中，有一些用戶不具備開發(fā)sdk的技術(shù)能力。所以在最新版的WFilter NGF系統(tǒng)中，我們集成了阿里云的SDK模塊。用戶無需搭建SDK的web服務等環(huán)境，即可實現(xiàn)阿里云短信認證的功能。
本文中，我將結(jié)合阿里云短信平臺來介紹WFilter NGF的短信認證功能。
首先要創(chuàng)建AccessKey
根據(jù)《中華人民共和國網(wǎng)絡安全法》（第十條、第二十一條、第二十四條）、《中華人民共和國反恐怖主義法》（第十九條、第二十一條）、《計算機信息網(wǎng)絡國際聯(lián)網(wǎng)安全保護管理辦法》(第十條、第十一條、第十二條、第十七條)、《互聯(lián)網(wǎng)安全保護技術(shù)措施規(guī)定》(第七條、第八條、第十一條)等相關(guān)法律規(guī)定，公共無線上網(wǎng)場所應當落實相關(guān)網(wǎng)絡安全保護技術(shù)措施。而從2018年11月1日開始正式施行的《公安機關(guān)互聯(lián)網(wǎng)安全監(jiān)督檢查規(guī)定》（公安部令第151號），是網(wǎng)絡安全執(zhí)法檢查工作與《網(wǎng)絡安全法》的深度結(jié)合，對執(zhí)法過程進行了詳細的規(guī)定，使得監(jiān)督檢查工作做到依法檢查、依法處置。簡單的說，有兩條需要值得我們重點關(guān)注的地方：
1. 提供WiFi上網(wǎng)服務的公共場所，必須落實上網(wǎng)實名認證。
2. 提供上網(wǎng)服務的公共場所，必須至少保存六十天的上網(wǎng)記錄備份。
自從2014年騰訊推出“微信連Wi-Fi”功能以來，“微信WiFi”一度成為商業(yè)公眾號的吸粉利器。手機連接WiFi即可自動打開公眾號，或者掃描二維碼打開公眾號。既滿足了客戶WiFi上網(wǎng)，又可以滿足商家漲粉的需要。
在本文中，我將介紹如何在RouterOS和WSG上網(wǎng)行為管理網(wǎng)關(guān)之間使用openvpn組建site-to-site VPN。網(wǎng)絡拓撲圖如下：
本例中，我們把WSG作為openvpn的服務端，RouterOS作為openvpn的客戶端。反過來的配置也基本類似。
在本文中，我將介紹如何在RouterOS和WSG上網(wǎng)行為管理網(wǎng)關(guān)之間創(chuàng)建IPSec隧道。網(wǎng)絡拓撲圖如下：
本例中，我們把WSG作為IPSec的服務端，RouterOS作為IPSec的客戶端。反過來的配置也基本類似。
眾所周知，SSL加密的通訊數(shù)據(jù)，比如https，pops, imaps, smtps，由于在通訊過程中進行非對稱加密，其數(shù)據(jù)是密文傳輸?shù)模粚е戮W(wǎng)絡監(jiān)控不能直接監(jiān)控到其內(nèi)容，也無法對內(nèi)容中的信息進行深度過濾。作為專業(yè)的上網(wǎng)行為管理系統(tǒng)，WFilter NGF在最新版本中，新增了“SSL監(jiān)控模塊”。該SSL監(jiān)控模塊，可以充當SSL的中間人進行證書攔截，從而解析出SSL加密的數(shù)據(jù)內(nèi)容。利用該模塊，可以實現(xiàn)如下內(nèi)容：
記錄https網(wǎng)站的頁面內(nèi)容、發(fā)帖內(nèi)容。
對https網(wǎng)站的訪問進行深度過濾，比如禁止https網(wǎng)站的下載文件格式、禁止在https網(wǎng)頁上傳附件等。
記錄pops, imaps, smtps的郵件內(nèi)容。
對pops, imaps, smtps的郵件進行深度過濾，比如設置郵件發(fā)送接收黑白名單，禁止發(fā)送附件等等。
由于公網(wǎng)IP地址不夠用，一些網(wǎng)絡運營商只給撥號用戶提供二級IP地址。換句話說，你的網(wǎng)關(guān)獲取到的只是一個內(nèi)網(wǎng)IP地址，在公網(wǎng)上是不可達的。這個事實，會給撥號上網(wǎng)的企業(yè)帶來如下問題：
無法實現(xiàn)依賴端口映射的業(yè)務功能。
無法實現(xiàn)直接VPN組網(wǎng)。
在本文中，我將介紹一種通過云主機來進行中轉(zhuǎn)的VPN組網(wǎng)方式。你只需要購買一臺有固定IP地址的云主機，即可實現(xiàn)多地VPN組網(wǎng)。既節(jié)省了專線的費用，而且云主機還可以用來搭建Web服務或者其他服務。網(wǎng)絡拓撲圖如下：
WFilter NGF的“運營管理”模塊，集成了用戶管理、實時帶寬限制、累計流量限制、用戶Portal通知等功能。適合酒店、ISP等進行帶寬的運營管控。在酒店網(wǎng)絡管理、上網(wǎng)行為管理方案和小區(qū)寬帶運營商的網(wǎng)絡管理這兩篇教程中，我們介紹了“運營管理”的基本功能。
還有一點要補充的，就是對于超流量用戶的策略管控。如下圖，我們增加了一個“累計帶寬”策略，一旦超流量后，就會自動把用戶加到“限制上網(wǎng)組“。
在WSG上網(wǎng)行為管理網(wǎng)關(guān)的初步設置詳細教程中，我們介紹了WSG上網(wǎng)行為管理網(wǎng)關(guān)的初步設置，該文檔中，我們采用了網(wǎng)關(guān)部署的方式。在實際使用中，網(wǎng)橋部署方式也極為常見；用網(wǎng)橋的方式來部署WSG上網(wǎng)行為管理，是完全透明部署，不需要修改現(xiàn)有的網(wǎng)絡參數(shù)，也不需要更改路由器和交換機的配置。網(wǎng)絡拓撲圖如下：
網(wǎng)橋部署有如下優(yōu)點：
不需要修改現(xiàn)有的網(wǎng)絡設置。
無需斷網(wǎng)，即插即用。
功能一樣強大：上網(wǎng)行為記錄、行為管理、流控都可以實現(xiàn)。
硬件bypass（要看具體型號），即使網(wǎng)橋設備掉電，也可以保證不斷網(wǎng)。
首先需要給WSG設備分配一個靜態(tài)IP地址。該IP用于遠程訪問WSG設備，進行Web認證等遠程訪問操作。需要注意如下幾點：
對人員流動比較頻繁的局域網(wǎng)來說，首要的一個問題就是要進行網(wǎng)絡的準入認證，記錄用戶的身份信息和上網(wǎng)日志。從而使網(wǎng)絡行為有據(jù)可查，也能滿足職能部門的督察需要。WFilter NGF中的幾種認證機制，優(yōu)缺點比較如下：
用戶名密碼認證。需要維護用戶名密碼，適合人員比較固定的網(wǎng)絡。
微信WiFi認證。微信WiFi的流程是打開公眾號即可上網(wǎng)，并且記錄微信的openid。適合在人員流動大的網(wǎng)絡環(huán)境中做營銷推廣。
手機短信認證。通過手機接收驗證碼來上網(wǎng)，記錄手機號和上網(wǎng)記錄。適合人員流動比較大的網(wǎng)絡環(huán)境留存身份信息和上網(wǎng)審計記錄。
本文中， 我將結(jié)合一個實際例子來介紹WFilter NGF（WSG網(wǎng)關(guān)）的短信認證功能。
企業(yè)為了滿足出差人員，在家人員的辦公需要，往往需要開通遠程辦公功能。使得員工可以通過互聯(lián)網(wǎng)連接到公司內(nèi)網(wǎng)進行工作。在WFilter NGF中，“OpenVPN服務端“和“PPTP服務端”這兩個模塊都可以滿足遠程辦公的需要。相對而言，OpenVPN的配置復雜，但是安全性更高一些。
本例中，我將演示如何用WFilter NGF的OpenVPN服務端模塊來實現(xiàn)遠程辦公。
企業(yè)微信是騰訊微信團隊為企業(yè)打造的專業(yè)辦公管理工具，現(xiàn)在很多企業(yè)用企業(yè)微信來進行辦公溝通。但是一些企業(yè)開通了微信后，卻發(fā)現(xiàn)員工會花大量時間用在個人微信聊天、朋友圈上面。所以，為了不影響工作效率，在使用企業(yè)微信的同時還需要禁止個人微信的使用。
本文將介紹如何用WSG上網(wǎng)行為管理網(wǎng)關(guān)來實現(xiàn)“允許企業(yè)微信的同時屏蔽個人微信”。
很多企業(yè)為了工作需要都申請了多WAN接入。而大部分的多WAN口設備在默認配置下都是直接負載均衡；以WSG上網(wǎng)行為管理網(wǎng)關(guān)為例，默認配置是這樣的：
運營商分流。電信網(wǎng)站的訪問會優(yōu)先走電信線路，聯(lián)通站點優(yōu)先走聯(lián)通線路。
負載均衡。根據(jù)wan口的帶寬大小進行負載均衡。
在企業(yè)的網(wǎng)絡內(nèi)部有著很多重要的IT資源，比如：OA服務器、ERP服務器等，這些業(yè)務主機一旦停止工作或者被攻擊，會直接影響業(yè)務的正常運行，帶來重大損失。在有線網(wǎng)絡的情況下，安全性還是比較可靠的。而現(xiàn)階段絕大部分企業(yè)都提供了無線上網(wǎng)；客戶機只要知道了無線密碼，就可以接入企業(yè)的局域網(wǎng)，導致安全隱患。而關(guān)鍵的一點在于你的無線密碼并不安全：
aircrack等軟件可以對無線密碼進行暴力破解。
一旦有員工安裝了wifi鑰匙等軟件，你的無線就等于是公開的。
訪客網(wǎng)絡和辦公網(wǎng)絡分開的方式，并不能阻止訪客連接辦公網(wǎng)絡。（訪客可以直接詢問密碼，或者通過wifi鑰匙等軟件接入）
HTTPS（HTTP over SSL）由于其通訊協(xié)議的特殊性，域名信息和訪問的URL等都處于SSL加密保護下；所以大部分的路由器系統(tǒng)都無法對https網(wǎng)站的域名進行過濾和屏蔽。而諸如WFilter這樣的專業(yè)級上網(wǎng)行為管理產(chǎn)品，則可以對流量進行深度分析，并提取出https通訊中的域名信息，從而進行過濾屏蔽。
由于無線的便利性，越來越多的企業(yè)局域網(wǎng)采用無線辦公的方式。而因為無線網(wǎng)絡的特殊性，如果缺乏上網(wǎng)行為管理和流控手段，會導致無線緩慢、網(wǎng)絡不可用等情況。而且無線網(wǎng)絡更加容易產(chǎn)生廣播風暴。所以，在WiFi無線局域網(wǎng)中部署上網(wǎng)行為管理和流控是非常必要的。
本文中，我就將來介紹WiFi局域網(wǎng)的上網(wǎng)行為管理方案。
首先，由于無線路由器的穩(wěn)定性不高，所以主路由不推薦用無線設備。可以用一臺有線路由器做網(wǎng)關(guān)，后面串接上網(wǎng)行為管理設備。或者直接用上網(wǎng)行為管理做網(wǎng)關(guān)。
推薦采用瘦AP的組網(wǎng)方式。通過AC控制器統(tǒng)一管理。
釘釘作為一個免費智能移動辦公平臺，受到很多公司的歡迎。但是對于網(wǎng)絡權(quán)限設置比較嚴格的局域網(wǎng)來說，如何開放釘釘一直是一個難題。之前釘小密給了個局域網(wǎng)需要白名單的一些IP段，參見：https://tieba.baidu.com/p/4358596988 ，但是根據(jù)我們的測試，文中的IP段并不能覆蓋釘釘需要的IP范圍。而且在釘釘?shù)墓倬W(wǎng)已經(jīng)找不到官方的相關(guān)文檔了。
為了放行釘釘，我們技術(shù)人員做了相關(guān)測試。本文，我就來介紹下在WSG上網(wǎng)行為管理網(wǎng)關(guān)中如何放行釘釘。釘釘?shù)氖褂眯枰ㄟ^https訪問釘釘相關(guān)的網(wǎng)站，另外還有自己的通訊協(xié)議（端口443）。所以要放行釘釘，我們需要放行DNS、釘釘和TLS這三個協(xié)議。如下圖：
合理的IP地址分配是網(wǎng)絡安全和網(wǎng)絡管理的基礎，IP地址管理直接影響著企業(yè)員工的工作效率及企業(yè)的信息安全。
首先，應當以行政命令的方式規(guī)定IP地址管理的權(quán)限、流程，以及相應的懲罰手段。如以下這個例子：
廣播風暴和網(wǎng)絡環(huán)路，雖然兩者的原理不一樣，但是其物理表現(xiàn)卻比較相似：“交換機燈狂閃，同時內(nèi)網(wǎng)丟包或者ping值變高?！弊鳛橐幻W(wǎng)管，需要可以迅速判斷故障的原因，從而制定不同的解決方案。兩者的主要差別如下：
廣播風暴只在特定的條件下出現(xiàn)，所以廣播風暴是不持續(xù)的。而環(huán)路是持續(xù)存在的。
廣播風暴由局域網(wǎng)架構(gòu)的缺陷導致，而網(wǎng)絡環(huán)路屬于網(wǎng)絡故障。
網(wǎng)絡環(huán)路對網(wǎng)絡的影響比較大，丟包和ping值都要比廣播風暴嚴重的多。
廣播風暴需要通過劃分VLAN來解決。網(wǎng)絡環(huán)路只需要拔掉環(huán)路設備或者網(wǎng)線即可。
有經(jīng)驗的網(wǎng)管，還可以通過抓包來區(qū)別風暴和環(huán)路。如果你不會抓包分析，也可以總結(jié)故障出現(xiàn)的規(guī)律來進行判斷。下面我再介紹下WFilter里面的網(wǎng)絡健康度檢測插件是如何區(qū)分廣播風暴和環(huán)路的。
