在防火墻、上網(wǎng)行為管理如何實(shí)現(xiàn)雙機(jī)熱備一文中，我們介紹了如何用兩條外線來實(shí)現(xiàn)網(wǎng)絡(luò)雙機(jī)熱備。在有些情況下，一些用戶還需要對同一條線路做雙機(jī)熱備。準(zhǔn)確的說，外線只有一條，但是要確保防火墻/上網(wǎng)行為管理設(shè)備是可以實(shí)現(xiàn)熱備的。這種情況下，和防火墻、上網(wǎng)行為管理如何實(shí)現(xiàn)雙機(jī)熱備一文不同的是，我們需要同時在“內(nèi)網(wǎng)口”和“外網(wǎng)口”上都開啟虛擬IP。這樣的效果就是：內(nèi)網(wǎng)口和外網(wǎng)口都工作虛擬IP上，一旦主設(shè)備故障，可以迅速切換到備份設(shè)備上去。

鏈路聚合和端口聚合是兩個概念：

1). 鏈路聚合是指多條外線的情況下把多條外線聚合使用。該功能可以通過WSG的“多線均衡”模塊來實(shí)現(xiàn)。

2). 端口聚合是指在WSG上接多個內(nèi)網(wǎng)交換機(jī)端口，從而提升內(nèi)網(wǎng)的上聯(lián)帶寬。

一些企事業(yè)單位出于安全考慮，需要做內(nèi)外網(wǎng)分離。舉例來說，需要達(dá)到如下的技術(shù)要求：

1. 生產(chǎn)網(wǎng)、辦公網(wǎng)、外網(wǎng)三網(wǎng)隔離。

2. 啟用網(wǎng)絡(luò)準(zhǔn)入，對非規(guī)定允許接入的設(shè)備禁止其接入網(wǎng)絡(luò)。
   

3. 上網(wǎng)數(shù)據(jù)留存。

在本文中，我將結(jié)合WSG上網(wǎng)行為管理來闡述如何實(shí)現(xiàn)內(nèi)外網(wǎng)分離。

企業(yè)內(nèi)網(wǎng)一般都會劃分多個VLAN。劃分VLAN可以提高內(nèi)網(wǎng)安全性，而且更加便于管理。比如：有線和無線處于不同的網(wǎng)段，不允許無線設(shè)備訪問企業(yè)內(nèi)網(wǎng)，這樣可以保護(hù)內(nèi)部信息安全；而且可以對不同網(wǎng)段配置不同的上網(wǎng)策略和流控策略。而且劃分VLAN可以分割廣播域，避免廣播風(fēng)暴。VLAN的劃分一般有如下三種方法：

1. 通過三層交換機(jī)來劃分VLAN

無線網(wǎng)絡(luò)由于安全性比較低，企事業(yè)單位的無線組網(wǎng)需要考慮如下因素：

1. 有線網(wǎng)段和無線網(wǎng)段互相隔離。
   

2. 辦公無線和訪客無線也需要互相隔離。

3. 每個網(wǎng)段的無線終端建議控制在150以內(nèi)，避免廣播風(fēng)暴。
   

4. 員工內(nèi)網(wǎng)要做接入認(rèn)證或者設(shè)備綁定。

5. 對訪客進(jìn)行實(shí)名認(rèn)證（可選）

一般采用這樣的網(wǎng)絡(luò)結(jié)構(gòu)圖：

WSG上網(wǎng)行為管理做透明網(wǎng)橋部署有很多優(yōu)勢：

1. 即插即用，不影響現(xiàn)有網(wǎng)絡(luò)。
   

2. 不需要修改原有設(shè)備的配置（交換機(jī)、路由器都不需要做任何修改）

3. 可以利用到硬件bypass的功能，即使機(jī)器斷電死機(jī)也不會斷網(wǎng)。

WFilter NGF（WSG上網(wǎng)行為管理網(wǎng)關(guān)）支持網(wǎng)關(guān)和網(wǎng)橋兩種部署模式：

1. 網(wǎng)關(guān)模式：WSG作為整個局域網(wǎng)的網(wǎng)關(guān)，提供NAT服務(wù)。

2. 網(wǎng)橋模式：WSG作為透明網(wǎng)橋串接在局域網(wǎng)中。

在有些情況下，我們需要采用純路由模式（WSG只做路由轉(zhuǎn)接，不進(jìn)行NAT轉(zhuǎn)換）。本例中，我將介紹如何用WSG來搭建路由模式的上網(wǎng)行為管理。

網(wǎng)絡(luò)結(jié)構(gòu)如下圖：

具體配置步驟如下：

由于公網(wǎng)IP資源越來越緊張，現(xiàn)在很多運(yùn)營商給撥號上網(wǎng)的用戶只分配內(nèi)網(wǎng)IP地址，如下圖所示：

這樣的運(yùn)營商內(nèi)網(wǎng)IP是外網(wǎng)不可達(dá)的（即使用動態(tài)域名也不起作用）。而企業(yè)由于業(yè)務(wù)需要，比如虛擬局域網(wǎng)組網(wǎng)、辦公OA系統(tǒng)、ERP系統(tǒng)等，都需要有公網(wǎng)IP才可以實(shí)現(xiàn)。公網(wǎng)IP的解決，目前主要有三種方案：

1. 申請固定IP專線。穩(wěn)定且速度有保障，缺點(diǎn)是費(fèi)用高。
   

2. 云方案。把業(yè)務(wù)主機(jī)都搬到云上，直接通過云主機(jī)來訪問。費(fèi)用比較低，缺點(diǎn)是云主機(jī)不能本地維護(hù)，且搬遷工作量都不小。

3. 云主機(jī)+內(nèi)網(wǎng)穿透方案。通過云主機(jī)做跳板來實(shí)現(xiàn)內(nèi)網(wǎng)穿透，既可以復(fù)用現(xiàn)有的業(yè)務(wù)系統(tǒng)，又解決了公網(wǎng)IP的問題。第三種方案的成本是最低的，但是配置比較復(fù)雜。本文將對第三種方案做詳細(xì)介紹。

由于無線的便利性，越來越多的企業(yè)局域網(wǎng)采用無線辦公的方式。而因?yàn)闊o線網(wǎng)絡(luò)的特殊性，如果缺乏上網(wǎng)行為管理和流控手段，會導(dǎo)致無線緩慢、網(wǎng)絡(luò)不可用等情況。而且無線網(wǎng)絡(luò)更加容易產(chǎn)生廣播風(fēng)暴。所以，在WiFi無線局域網(wǎng)中部署上網(wǎng)行為管理和流控是非常必要的。

本文中，我就將來介紹WiFi局域網(wǎng)的上網(wǎng)行為管理方案。

1. 常用的網(wǎng)絡(luò)拓?fù)?/h2>

1. 首先，由于無線路由器的穩(wěn)定性不高，所以主路由不推薦用無線設(shè)備?？梢杂靡慌_有線路由器做網(wǎng)關(guān)，后面串接上網(wǎng)行為管理設(shè)備。或者直接用上網(wǎng)行為管理做網(wǎng)關(guān)。
   

2. 推薦采用瘦AP的組網(wǎng)方式。通過AC控制器統(tǒng)一管理。

對于企業(yè)局域網(wǎng)來說，一個合理的IP地址分配是網(wǎng)絡(luò)安全和網(wǎng)絡(luò)管理的基礎(chǔ)，IP地址管理的好壞直接影響著企業(yè)員工的工作效率及企業(yè)的信息安全。
局域網(wǎng)的IP地址分配，需要考慮到如下方面：

1. 服務(wù)器的IP地址段和辦公電腦的IP地址段要區(qū)分開。

2. 手機(jī)、pad等移動設(shè)備需要自動獲取IP。

3. 無線由于安全性比較低，一般需要用VLAN進(jìn)行隔離。

4. 每個網(wǎng)段的客戶機(jī)數(shù)量不宜過多，有線250以內(nèi)，無線150以內(nèi)比較合理。否則會引起網(wǎng)絡(luò)風(fēng)暴。
   

下面是我總結(jié)的企業(yè)局域網(wǎng)IP地址分配方案，希望能對大家有幫助。

現(xiàn)在無線組網(wǎng)越來越普遍，但是不合理的組網(wǎng)方案，往往會導(dǎo)致無線接入緩慢、網(wǎng)絡(luò)卡的情況。根據(jù)我們的經(jīng)驗(yàn)和抓包分析，由于無線設(shè)備（包括AP、AC等）在通訊過程會更多的依賴廣播包，非常容易出現(xiàn)廣播風(fēng)暴。無線網(wǎng)絡(luò)的穩(wěn)定運(yùn)行，請注意如下幾點(diǎn)：

1. 首先要合理的進(jìn)行AP布局，保證無線信號強(qiáng)度、并且避免無線信號的互相干擾。

2. 合理的VLAN劃分。無線設(shè)備的廣播包比較多，非常容易產(chǎn)生廣播風(fēng)暴。一個VLAN容納的無線設(shè)備要控制在200以內(nèi)。

3. 主路由網(wǎng)關(guān)的性能要強(qiáng)勁，并且設(shè)置上網(wǎng)行為管理策略和流控策略。
   

4. 定期檢測廣播風(fēng)暴等網(wǎng)絡(luò)問題

某企業(yè)由于網(wǎng)絡(luò)架設(shè)比較早，網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)結(jié)構(gòu)已經(jīng)不再適合當(dāng)前的網(wǎng)絡(luò)需要。為了更好的實(shí)現(xiàn)網(wǎng)絡(luò)管理和信息安全的需要，提出了如下升級改造需求：

1. 帶寬擴(kuò)容，采用兩條寬帶接入。
   

2. 內(nèi)網(wǎng)需要劃分不同的VLAN，分為辦公、監(jiān)控、生產(chǎn)幾大網(wǎng)段。

3. 內(nèi)網(wǎng)客戶機(jī)需要進(jìn)行嚴(yán)格的IP-MAC綁定，只有綁定后的設(shè)備才可以接入。

4. 全網(wǎng)上網(wǎng)行為審計(jì)記錄。

5. 部署上網(wǎng)行為管理策略，建立上網(wǎng)秩序。

很多企業(yè)為了解決網(wǎng)速不夠用的問題，都升級了帶寬資源。比如50M升級到100M，或者干脆多拉幾根外線。但是，很多用戶發(fā)現(xiàn)，帶寬升級了但是網(wǎng)絡(luò)還是慢。

本文中，我整理了企業(yè)帶寬優(yōu)化的三點(diǎn)要求。帶寬升級后，一定要注意這三點(diǎn)，才能真正的享受帶寬升級帶來的更好寬帶體驗(yàn)。

我們在選擇網(wǎng)關(guān)設(shè)備的時候，經(jīng)常會面臨選擇路由器還是專業(yè)網(wǎng)關(guān)（x86架構(gòu)工控機(jī)）的問題。本文將從硬件角度來解釋這兩者的差別。

兩者的硬件架構(gòu)都由CPU、存儲、內(nèi)存（RAM）組成，但是配件的差別非常大。

劃分VLAN一般出于如下幾個目的：

1. 把內(nèi)網(wǎng)劃分為不同的網(wǎng)段，可以提高內(nèi)網(wǎng)安全性，而且更加便于管理。比如：有線和無線處于不同的網(wǎng)段，不允許無線設(shè)備訪問企業(yè)內(nèi)網(wǎng)，這樣可以保護(hù)內(nèi)部信息安全；而且可以對不同網(wǎng)段配置不同的上網(wǎng)策略和流控策略。

2. 分割廣播域，避免廣播風(fēng)暴。廣播風(fēng)暴這個現(xiàn)象，在無線時代更加突出，AP設(shè)備的發(fā)現(xiàn)、管理等操作都會產(chǎn)生廣播包。

那么，什么情況下需要劃分VLAN呢？主要考慮以下幾點(diǎn)：

為了管理和安全需要，很多局域網(wǎng)都要求固定IP，每個設(shè)備的IP地址和mac地址都登記在案，結(jié)合IP-mac綁定，從而使上網(wǎng)記錄、病毒攻擊都有據(jù)可查，并且可以迅速定位到個人。但是和自動獲取IP地址比較，固定IP也有一些弊端：

1. 配置較復(fù)雜，一些非技術(shù)人員不懂也不會配置IP地址。需要網(wǎng)管人員全局維護(hù)。
   

2. 固定IP地址列表需要維護(hù)。人員離職、電腦報廢后，IP地址如果沒有及時回收，會導(dǎo)致IP地址不夠用。

本文我將結(jié)合WFilter（WSG網(wǎng)關(guān)）的IP-mac綁定功能，介紹如何分配、管理和回收IP地址。

現(xiàn)在大部分局域網(wǎng)都提供了無線上網(wǎng)的功能。無線主要用于滿足以下幾種需求：

1. 無線辦公的需要，比如無線pos機(jī)等辦公設(shè)備。
   

2. 員工無線上網(wǎng)的需要。

3. 來賓、客人的無線上網(wǎng)。

這樣就帶來了相關(guān)的安全性問題：

1. 來賓有可能通過無線接入到企業(yè)內(nèi)網(wǎng)，導(dǎo)致安全隱患。

2. 員工有可能通過來賓的無線網(wǎng)絡(luò)上網(wǎng)，從而繞開公司的行為管理策略，影響工作效率。

目前大部分解決方案都是來賓網(wǎng)絡(luò)和內(nèi)部無線網(wǎng)絡(luò)使用不同的無線SSID和密碼。但是實(shí)際上這個方案存在很大的漏洞：密碼泄漏。來賓可以直接詢問到內(nèi)網(wǎng)的無線密碼，甚至很多無線密碼都是公開張貼的。而企業(yè)員工更是可以直接通過來賓網(wǎng)絡(luò)上網(wǎng)。

本文將結(jié)合WFilter NGF的相關(guān)功能，來介紹更進(jìn)階的解決方案。

VLAN可以把網(wǎng)絡(luò)劃分成多個廣播域，可以有效的控制廣播風(fēng)暴，還可以控制網(wǎng)絡(luò)中不同部門和網(wǎng)段之間的互相訪問。如果您已經(jīng)有了三層交換機(jī)，可以直接在三層交換機(jī)上劃分VLAN，請參閱：多VLAN三層交換機(jī)如何連接WFilter上網(wǎng)行為管理系統(tǒng)？

在沒有三層交換機(jī)的環(huán)境下，您可以直接用WFilter NGF（WSG網(wǎng)關(guān)）來劃分VLAN。支持兩種VLAN的劃分方式：

1. 基于端口的VLAN劃分。每個端口一個VLAN接二層交換機(jī)。
   

2. 802.1Q VLAN（單臂路由）。和交換機(jī)的trunk口連接，通過一個端口實(shí)現(xiàn)多個VLAN的封裝。

本文將介紹這兩種方式如何配置。

WSG-200E上網(wǎng)行為管理網(wǎng)關(guān)，不是用的最頂尖高端的硬件設(shè)備，但是對于150-300人局域網(wǎng)范圍，真的是性價比最高的一款。系統(tǒng)采用了WFilter NGF企業(yè)級上網(wǎng)行為管理系統(tǒng)，在硬件方面，采用了Intel B75的主板架構(gòu)，I3-32200的酷睿4核CPU，主頻高達(dá)3.3GHz.實(shí)實(shí)在在的優(yōu)質(zhì)選型。

WSG-500E上網(wǎng)行為管理設(shè)備是WFilter系列上網(wǎng)行為管理中性能非常強(qiáng)悍的一款設(shè)備，系統(tǒng)采用了WFilter NGF企業(yè)級上網(wǎng)行為管理系統(tǒng)，在硬件方面，采用了Intel B75的主板架構(gòu)，I5-3450的酷睿4核CPU，主頻高達(dá)3.1GHz。很多用戶對這個性能缺少形象的概念，讓我來簡單比較下：

1. 普通的路由器芯片，比如典型的MTK7620芯片，主頻是580MHz。

2. D525工控機(jī)，CPU是4核1.8GHz。性能至少是MTK的3-4倍。

3. WSG-500E的I5-3450，采用了新的設(shè)計(jì)，性能差不多又是D525的3-4倍。
   

配合4G的DDR3內(nèi)存，6個千兆端口，構(gòu)建了性能強(qiáng)悍的WSG-500E。這款設(shè)備，雖然官方推薦是500Mbps的帶寬，實(shí)測可以達(dá)到900-920M，而且網(wǎng)絡(luò)訪問很順暢，一點(diǎn)也不卡頓。

這里說的大型局域網(wǎng)是500-1000臺局域網(wǎng)環(huán)境，一般是一棟樓，廠房或者學(xué)校。大型局域網(wǎng)的組網(wǎng)方案已經(jīng)非常成熟了。大網(wǎng)絡(luò)，多了防火墻，核心交換機(jī)，不同需求的服務(wù)器。這里就不一一贅述，這里重點(diǎn)介紹大局域網(wǎng)的上網(wǎng)行為管理方案。大網(wǎng)環(huán)境數(shù)據(jù)量大，各種協(xié)議走的很復(fù)雜。很多網(wǎng)安廠家把第二代防火墻的概念

（Next Generation Firewall）包括了上網(wǎng)行為管理概念，專業(yè)的上網(wǎng)行為管理是無法被代替的。協(xié)議分析，應(yīng)用層解析，上網(wǎng)日志記錄，審計(jì)等模塊需要大量的運(yùn)算，后期需要專業(yè)的研發(fā)團(tuán)隊(duì)維護(hù)升級。所以不應(yīng)該被防火墻，殺毒的概念混亂。上網(wǎng)方式這三十年發(fā)生了天翻地覆的變化，網(wǎng)絡(luò)協(xié)議一年又一年的更新，應(yīng)用協(xié)議天天有新出，移動上網(wǎng)方式的應(yīng)用都已經(jīng)變成日常行為了。各種病毒方式已經(jīng)不像原始方式文件打開，有的時候甚至點(diǎn)開一個不安全的網(wǎng)站會導(dǎo)致病毒入侵，所以內(nèi)網(wǎng)管控不僅僅是上網(wǎng)效率提高，還有上網(wǎng)行為管控，網(wǎng)址庫，協(xié)議庫過濾，才會讓局域網(wǎng)上網(wǎng)內(nèi)網(wǎng)安全兼得。

提到上網(wǎng)行為管理，最初想到的內(nèi)容記錄、聊天內(nèi)容、郵件內(nèi)容、文件傳輸內(nèi)容、網(wǎng)頁瀏覽記錄等等。但是再往深里研究，對于有一定規(guī)模的局域網(wǎng)，內(nèi)容審計(jì)的意義并不是很大，聊天幾句話、瀏覽的幾個網(wǎng)站都是瞬間的意識。所以，企業(yè)的對員工聊天內(nèi)容的審計(jì)實(shí)在沒有太大的意義。況且國內(nèi)主流的QQ和微信的通訊，騰訊公司早就進(jìn)行了協(xié)議改進(jìn)和安全強(qiáng)化，加上微信QQ都可以綁定銀行卡。所以，網(wǎng)絡(luò)監(jiān)控解析QQ和微信的內(nèi)容，理論上已經(jīng)不現(xiàn)實(shí)。對于企業(yè)網(wǎng)絡(luò)管理來說，規(guī)整的上網(wǎng)秩序、上網(wǎng)內(nèi)容的報表分析以及信息安全才是王道。

WSG-200P上網(wǎng)行為管理路由是一款性價比非常高的上網(wǎng)行為管理設(shè)備。和WSG的企業(yè)版（E系列）相比，雖然沒有上網(wǎng)記錄、域賬號等功能，但是就上網(wǎng)行為管理和流控來說，與E系列基本是一樣的，可以提供專業(yè)的上網(wǎng)行為管理和流控。下面讓我們一起來看看WSG-200P這款企業(yè)級上網(wǎng)行為管理路由有哪些亮點(diǎn)功能吧。

這里說的網(wǎng)橋部署，是透明網(wǎng)橋部署。有的局域網(wǎng)環(huán)境里面，路由暫時不想被代替，那么WSG上網(wǎng)行為管理網(wǎng)關(guān)可以用網(wǎng)橋部署的方式接在局域網(wǎng)里面。

• 網(wǎng)橋模式下，只用到LAN和WAN1這兩個端口。其他端口都不起作用。

• WSG接在路由器（防火墻）和交換機(jī)之間。

• 內(nèi)網(wǎng)交換機(jī)接在LAN口。

• 上層設(shè)備（路由器或者防火墻）接在WAN1口。

上網(wǎng)行為管理網(wǎng)關(guān)不管是在功能還是在性能上，都是完爆路由器的。隨著生產(chǎn)力的提高，硬件設(shè)備的成本也逐步降低，普及也越來越廣（例如電器的價格越來越低）。上網(wǎng)行為管理網(wǎng)關(guān)部署也將成為一個趨勢，因?yàn)榫W(wǎng)關(guān)除了擁有專業(yè)路由的功能以外，還有專業(yè)的網(wǎng)絡(luò)管理功能，和專業(yè)防火墻功能，這個都是路由硬件芯片做不到的。

那么上網(wǎng)行為管理設(shè)備應(yīng)該如何部署呢？其實(shí)很簡單，就是和路由器一樣，直接把路由器的相關(guān)配置移植到行為管理設(shè)備上，把之前的路由器替換掉即可。