在防火墻、上網(wǎng)行為管理如何實(shí)現(xiàn)雙機(jī)熱備一文中，我們介紹了如何用兩條外線來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)雙機(jī)熱備。在有些情況下，一些用戶(hù)還需要對(duì)同一條線路做雙機(jī)熱備。準(zhǔn)確的說(shuō)，外線只有一條，但是要確保防火墻/上網(wǎng)行為管理設(shè)備是可以實(shí)現(xiàn)熱備的。這種情況下，和防火墻、上網(wǎng)行為管理如何實(shí)現(xiàn)雙機(jī)熱備一文不同的是，我們需要同時(shí)在“內(nèi)網(wǎng)口”和“外網(wǎng)口”上都開(kāi)啟虛擬IP。這樣的效果就是：內(nèi)網(wǎng)口和外網(wǎng)口都工作虛擬IP上，一旦主設(shè)備故障，可以迅速切換到備份設(shè)備上去。

鏈路聚合和端口聚合是兩個(gè)概念：

1). 鏈路聚合是指多條外線的情況下把多條外線聚合使用。該功能可以通過(guò)WSG的“多線均衡”模塊來(lái)實(shí)現(xiàn)。

2). 端口聚合是指在WSG上接多個(gè)內(nèi)網(wǎng)交換機(jī)端口，從而提升內(nèi)網(wǎng)的上聯(lián)帶寬。

一些企事業(yè)單位出于安全考慮，需要做內(nèi)外網(wǎng)分離。舉例來(lái)說(shuō)，需要達(dá)到如下的技術(shù)要求：

1. 生產(chǎn)網(wǎng)、辦公網(wǎng)、外網(wǎng)三網(wǎng)隔離。

2. 啟用網(wǎng)絡(luò)準(zhǔn)入，對(duì)非規(guī)定允許接入的設(shè)備禁止其接入網(wǎng)絡(luò)。
   

3. 上網(wǎng)數(shù)據(jù)留存。

在本文中，我將結(jié)合WSG上網(wǎng)行為管理來(lái)闡述如何實(shí)現(xiàn)內(nèi)外網(wǎng)分離。

企業(yè)內(nèi)網(wǎng)一般都會(huì)劃分多個(gè)VLAN。劃分VLAN可以提高內(nèi)網(wǎng)安全性，而且更加便于管理。比如：有線和無(wú)線處于不同的網(wǎng)段，不允許無(wú)線設(shè)備訪問(wèn)企業(yè)內(nèi)網(wǎng)，這樣可以保護(hù)內(nèi)部信息安全；而且可以對(duì)不同網(wǎng)段配置不同的上網(wǎng)策略和流控策略。而且劃分VLAN可以分割廣播域，避免廣播風(fēng)暴。VLAN的劃分一般有如下三種方法：

1. 通過(guò)三層交換機(jī)來(lái)劃分VLAN

無(wú)線網(wǎng)絡(luò)由于安全性比較低，企事業(yè)單位的無(wú)線組網(wǎng)需要考慮如下因素：

1. 有線網(wǎng)段和無(wú)線網(wǎng)段互相隔離。
   

2. 辦公無(wú)線和訪客無(wú)線也需要互相隔離。

3. 每個(gè)網(wǎng)段的無(wú)線終端建議控制在150以?xún)?nèi)，避免廣播風(fēng)暴。
   

4. 員工內(nèi)網(wǎng)要做接入認(rèn)證或者設(shè)備綁定。

5. 對(duì)訪客進(jìn)行實(shí)名認(rèn)證（可選）

一般采用這樣的網(wǎng)絡(luò)結(jié)構(gòu)圖：

WSG上網(wǎng)行為管理做透明網(wǎng)橋部署有很多優(yōu)勢(shì)：

1. 即插即用，不影響現(xiàn)有網(wǎng)絡(luò)。
   

2. 不需要修改原有設(shè)備的配置（交換機(jī)、路由器都不需要做任何修改）

3. 可以利用到硬件bypass的功能，即使機(jī)器斷電死機(jī)也不會(huì)斷網(wǎng)。

WFilter NGF（WSG上網(wǎng)行為管理網(wǎng)關(guān)）支持網(wǎng)關(guān)和網(wǎng)橋兩種部署模式：

1. 網(wǎng)關(guān)模式：WSG作為整個(gè)局域網(wǎng)的網(wǎng)關(guān)，提供NAT服務(wù)。

2. 網(wǎng)橋模式：WSG作為透明網(wǎng)橋串接在局域網(wǎng)中。

在有些情況下，我們需要采用純路由模式（WSG只做路由轉(zhuǎn)接，不進(jìn)行NAT轉(zhuǎn)換）。本例中，我將介紹如何用WSG來(lái)搭建路由模式的上網(wǎng)行為管理。

網(wǎng)絡(luò)結(jié)構(gòu)如下圖：

具體配置步驟如下：

由于公網(wǎng)IP資源越來(lái)越緊張，現(xiàn)在很多運(yùn)營(yíng)商給撥號(hào)上網(wǎng)的用戶(hù)只分配內(nèi)網(wǎng)IP地址，如下圖所示：

這樣的運(yùn)營(yíng)商內(nèi)網(wǎng)IP是外網(wǎng)不可達(dá)的（即使用動(dòng)態(tài)域名也不起作用）。而企業(yè)由于業(yè)務(wù)需要，比如虛擬局域網(wǎng)組網(wǎng)、辦公OA系統(tǒng)、ERP系統(tǒng)等，都需要有公網(wǎng)IP才可以實(shí)現(xiàn)。公網(wǎng)IP的解決，目前主要有三種方案：

1. 申請(qǐng)固定IP專(zhuān)線。穩(wěn)定且速度有保障，缺點(diǎn)是費(fèi)用高。
   

2. 云方案。把業(yè)務(wù)主機(jī)都搬到云上，直接通過(guò)云主機(jī)來(lái)訪問(wèn)。費(fèi)用比較低，缺點(diǎn)是云主機(jī)不能本地維護(hù)，且搬遷工作量都不小。

3. 云主機(jī)+內(nèi)網(wǎng)穿透方案。通過(guò)云主機(jī)做跳板來(lái)實(shí)現(xiàn)內(nèi)網(wǎng)穿透，既可以復(fù)用現(xiàn)有的業(yè)務(wù)系統(tǒng)，又解決了公網(wǎng)IP的問(wèn)題。第三種方案的成本是最低的，但是配置比較復(fù)雜。本文將對(duì)第三種方案做詳細(xì)介紹。

由于無(wú)線的便利性，越來(lái)越多的企業(yè)局域網(wǎng)采用無(wú)線辦公的方式。而因?yàn)闊o(wú)線網(wǎng)絡(luò)的特殊性，如果缺乏上網(wǎng)行為管理和流控手段，會(huì)導(dǎo)致無(wú)線緩慢、網(wǎng)絡(luò)不可用等情況。而且無(wú)線網(wǎng)絡(luò)更加容易產(chǎn)生廣播風(fēng)暴。所以，在WiFi無(wú)線局域網(wǎng)中部署上網(wǎng)行為管理和流控是非常必要的。

本文中，我就將來(lái)介紹WiFi局域網(wǎng)的上網(wǎng)行為管理方案。

1. 常用的網(wǎng)絡(luò)拓?fù)?/h2>

1. 首先，由于無(wú)線路由器的穩(wěn)定性不高，所以主路由不推薦用無(wú)線設(shè)備?？梢杂靡慌_(tái)有線路由器做網(wǎng)關(guān)，后面串接上網(wǎng)行為管理設(shè)備?；蛘咧苯佑蒙暇W(wǎng)行為管理做網(wǎng)關(guān)。
   

2. 推薦采用瘦AP的組網(wǎng)方式。通過(guò)AC控制器統(tǒng)一管理。

對(duì)于企業(yè)局域網(wǎng)來(lái)說(shuō)，一個(gè)合理的IP地址分配是網(wǎng)絡(luò)安全和網(wǎng)絡(luò)管理的基礎(chǔ)，IP地址管理的好壞直接影響著企業(yè)員工的工作效率及企業(yè)的信息安全。
局域網(wǎng)的IP地址分配，需要考慮到如下方面：

1. 服務(wù)器的IP地址段和辦公電腦的IP地址段要區(qū)分開(kāi)。

2. 手機(jī)、pad等移動(dòng)設(shè)備需要自動(dòng)獲取IP。

3. 無(wú)線由于安全性比較低，一般需要用VLAN進(jìn)行隔離。

4. 每個(gè)網(wǎng)段的客戶(hù)機(jī)數(shù)量不宜過(guò)多，有線250以?xún)?nèi)，無(wú)線150以?xún)?nèi)比較合理。否則會(huì)引起網(wǎng)絡(luò)風(fēng)暴。
   

下面是我總結(jié)的企業(yè)局域網(wǎng)IP地址分配方案，希望能對(duì)大家有幫助。

現(xiàn)在無(wú)線組網(wǎng)越來(lái)越普遍，但是不合理的組網(wǎng)方案，往往會(huì)導(dǎo)致無(wú)線接入緩慢、網(wǎng)絡(luò)卡的情況。根據(jù)我們的經(jīng)驗(yàn)和抓包分析，由于無(wú)線設(shè)備（包括AP、AC等）在通訊過(guò)程會(huì)更多的依賴(lài)廣播包，非常容易出現(xiàn)廣播風(fēng)暴。無(wú)線網(wǎng)絡(luò)的穩(wěn)定運(yùn)行，請(qǐng)注意如下幾點(diǎn)：

1. 首先要合理的進(jìn)行AP布局，保證無(wú)線信號(hào)強(qiáng)度、并且避免無(wú)線信號(hào)的互相干擾。

2. 合理的VLAN劃分。無(wú)線設(shè)備的廣播包比較多，非常容易產(chǎn)生廣播風(fēng)暴。一個(gè)VLAN容納的無(wú)線設(shè)備要控制在200以?xún)?nèi)。

3. 主路由網(wǎng)關(guān)的性能要強(qiáng)勁，并且設(shè)置上網(wǎng)行為管理策略和流控策略。
   

4. 定期檢測(cè)廣播風(fēng)暴等網(wǎng)絡(luò)問(wèn)題

某企業(yè)由于網(wǎng)絡(luò)架設(shè)比較早，網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)結(jié)構(gòu)已經(jīng)不再適合當(dāng)前的網(wǎng)絡(luò)需要。為了更好的實(shí)現(xiàn)網(wǎng)絡(luò)管理和信息安全的需要，提出了如下升級(jí)改造需求：

1. 帶寬擴(kuò)容，采用兩條寬帶接入。
   

2. 內(nèi)網(wǎng)需要?jiǎng)澐植煌腣LAN，分為辦公、監(jiān)控、生產(chǎn)幾大網(wǎng)段。

3. 內(nèi)網(wǎng)客戶(hù)機(jī)需要進(jìn)行嚴(yán)格的IP-MAC綁定，只有綁定后的設(shè)備才可以接入。

4. 全網(wǎng)上網(wǎng)行為審計(jì)記錄。

5. 部署上網(wǎng)行為管理策略，建立上網(wǎng)秩序。

很多企業(yè)為了解決網(wǎng)速不夠用的問(wèn)題，都升級(jí)了帶寬資源。比如50M升級(jí)到100M，或者干脆多拉幾根外線。但是，很多用戶(hù)發(fā)現(xiàn)，帶寬升級(jí)了但是網(wǎng)絡(luò)還是慢。

本文中，我整理了企業(yè)帶寬優(yōu)化的三點(diǎn)要求。帶寬升級(jí)后，一定要注意這三點(diǎn)，才能真正的享受帶寬升級(jí)帶來(lái)的更好寬帶體驗(yàn)。

我們?cè)谶x擇網(wǎng)關(guān)設(shè)備的時(shí)候，經(jīng)常會(huì)面臨選擇路由器還是專(zhuān)業(yè)網(wǎng)關(guān)（x86架構(gòu)工控機(jī)）的問(wèn)題。本文將從硬件角度來(lái)解釋這兩者的差別。

兩者的硬件架構(gòu)都由CPU、存儲(chǔ)、內(nèi)存（RAM）組成，但是配件的差別非常大。

劃分VLAN一般出于如下幾個(gè)目的：

1. 把內(nèi)網(wǎng)劃分為不同的網(wǎng)段，可以提高內(nèi)網(wǎng)安全性，而且更加便于管理。比如：有線和無(wú)線處于不同的網(wǎng)段，不允許無(wú)線設(shè)備訪問(wèn)企業(yè)內(nèi)網(wǎng)，這樣可以保護(hù)內(nèi)部信息安全；而且可以對(duì)不同網(wǎng)段配置不同的上網(wǎng)策略和流控策略。

2. 分割廣播域，避免廣播風(fēng)暴。廣播風(fēng)暴這個(gè)現(xiàn)象，在無(wú)線時(shí)代更加突出，AP設(shè)備的發(fā)現(xiàn)、管理等操作都會(huì)產(chǎn)生廣播包。

那么，什么情況下需要?jiǎng)澐諺LAN呢？主要考慮以下幾點(diǎn)：

為了管理和安全需要，很多局域網(wǎng)都要求固定IP，每個(gè)設(shè)備的IP地址和mac地址都登記在案，結(jié)合IP-mac綁定，從而使上網(wǎng)記錄、病毒攻擊都有據(jù)可查，并且可以迅速定位到個(gè)人。但是和自動(dòng)獲取IP地址比較，固定IP也有一些弊端：

1. 配置較復(fù)雜，一些非技術(shù)人員不懂也不會(huì)配置IP地址。需要網(wǎng)管人員全局維護(hù)。
   

2. 固定IP地址列表需要維護(hù)。人員離職、電腦報(bào)廢后，IP地址如果沒(méi)有及時(shí)回收，會(huì)導(dǎo)致IP地址不夠用。

本文我將結(jié)合WFilter（WSG網(wǎng)關(guān)）的IP-mac綁定功能，介紹如何分配、管理和回收IP地址。

現(xiàn)在大部分局域網(wǎng)都提供了無(wú)線上網(wǎng)的功能。無(wú)線主要用于滿足以下幾種需求：

1. 無(wú)線辦公的需要，比如無(wú)線pos機(jī)等辦公設(shè)備。
   

2. 員工無(wú)線上網(wǎng)的需要。

3. 來(lái)賓、客人的無(wú)線上網(wǎng)。

這樣就帶來(lái)了相關(guān)的安全性問(wèn)題：

1. 來(lái)賓有可能通過(guò)無(wú)線接入到企業(yè)內(nèi)網(wǎng)，導(dǎo)致安全隱患。

2. 員工有可能通過(guò)來(lái)賓的無(wú)線網(wǎng)絡(luò)上網(wǎng)，從而繞開(kāi)公司的行為管理策略，影響工作效率。

目前大部分解決方案都是來(lái)賓網(wǎng)絡(luò)和內(nèi)部無(wú)線網(wǎng)絡(luò)使用不同的無(wú)線SSID和密碼。但是實(shí)際上這個(gè)方案存在很大的漏洞：密碼泄漏。來(lái)賓可以直接詢(xún)問(wèn)到內(nèi)網(wǎng)的無(wú)線密碼，甚至很多無(wú)線密碼都是公開(kāi)張貼的。而企業(yè)員工更是可以直接通過(guò)來(lái)賓網(wǎng)絡(luò)上網(wǎng)。

本文將結(jié)合WFilter NGF的相關(guān)功能，來(lái)介紹更進(jìn)階的解決方案。

VLAN可以把網(wǎng)絡(luò)劃分成多個(gè)廣播域，可以有效的控制廣播風(fēng)暴，還可以控制網(wǎng)絡(luò)中不同部門(mén)和網(wǎng)段之間的互相訪問(wèn)。如果您已經(jīng)有了三層交換機(jī)，可以直接在三層交換機(jī)上劃分VLAN，請(qǐng)參閱：多VLAN三層交換機(jī)如何連接WFilter上網(wǎng)行為管理系統(tǒng)？

在沒(méi)有三層交換機(jī)的環(huán)境下，您可以直接用WFilter NGF（WSG網(wǎng)關(guān)）來(lái)劃分VLAN。支持兩種VLAN的劃分方式：

1. 基于端口的VLAN劃分。每個(gè)端口一個(gè)VLAN接二層交換機(jī)。
   

2. 802.1Q VLAN（單臂路由）。和交換機(jī)的trunk口連接，通過(guò)一個(gè)端口實(shí)現(xiàn)多個(gè)VLAN的封裝。

本文將介紹這兩種方式如何配置。

WSG-200E上網(wǎng)行為管理網(wǎng)關(guān)，不是用的最頂尖高端的硬件設(shè)備，但是對(duì)于150-300人局域網(wǎng)范圍，真的是性?xún)r(jià)比最高的一款。系統(tǒng)采用了WFilter NGF企業(yè)級(jí)上網(wǎng)行為管理系統(tǒng)，在硬件方面，采用了Intel B75的主板架構(gòu)，I3-32200的酷睿4核CPU，主頻高達(dá)3.3GHz.實(shí)實(shí)在在的優(yōu)質(zhì)選型。

WSG-500E上網(wǎng)行為管理設(shè)備是WFilter系列上網(wǎng)行為管理中性能非常強(qiáng)悍的一款設(shè)備，系統(tǒng)采用了WFilter NGF企業(yè)級(jí)上網(wǎng)行為管理系統(tǒng)，在硬件方面，采用了Intel B75的主板架構(gòu)，I5-3450的酷睿4核CPU，主頻高達(dá)3.1GHz。很多用戶(hù)對(duì)這個(gè)性能缺少形象的概念，讓我來(lái)簡(jiǎn)單比較下：

1. 普通的路由器芯片，比如典型的MTK7620芯片，主頻是580MHz。

2. D525工控機(jī)，CPU是4核1.8GHz。性能至少是MTK的3-4倍。

3. WSG-500E的I5-3450，采用了新的設(shè)計(jì)，性能差不多又是D525的3-4倍。
   

配合4G的DDR3內(nèi)存，6個(gè)千兆端口，構(gòu)建了性能強(qiáng)悍的WSG-500E。這款設(shè)備，雖然官方推薦是500Mbps的帶寬，實(shí)測(cè)可以達(dá)到900-920M，而且網(wǎng)絡(luò)訪問(wèn)很順暢，一點(diǎn)也不卡頓。

這里說(shuō)的大型局域網(wǎng)是500-1000臺(tái)局域網(wǎng)環(huán)境，一般是一棟樓，廠房或者學(xué)校。大型局域網(wǎng)的組網(wǎng)方案已經(jīng)非常成熟了。大網(wǎng)絡(luò)，多了防火墻，核心交換機(jī)，不同需求的服務(wù)器。這里就不一一贅述，這里重點(diǎn)介紹大局域網(wǎng)的上網(wǎng)行為管理方案。大網(wǎng)環(huán)境數(shù)據(jù)量大，各種協(xié)議走的很復(fù)雜。很多網(wǎng)安廠家把第二代防火墻的概念

（Next Generation Firewall）包括了上網(wǎng)行為管理概念，專(zhuān)業(yè)的上網(wǎng)行為管理是無(wú)法被代替的。協(xié)議分析，應(yīng)用層解析，上網(wǎng)日志記錄，審計(jì)等模塊需要大量的運(yùn)算，后期需要專(zhuān)業(yè)的研發(fā)團(tuán)隊(duì)維護(hù)升級(jí)。所以不應(yīng)該被防火墻，殺毒的概念混亂。上網(wǎng)方式這三十年發(fā)生了天翻地覆的變化，網(wǎng)絡(luò)協(xié)議一年又一年的更新，應(yīng)用協(xié)議天天有新出，移動(dòng)上網(wǎng)方式的應(yīng)用都已經(jīng)變成日常行為了。各種病毒方式已經(jīng)不像原始方式文件打開(kāi)，有的時(shí)候甚至點(diǎn)開(kāi)一個(gè)不安全的網(wǎng)站會(huì)導(dǎo)致病毒入侵，所以?xún)?nèi)網(wǎng)管控不僅僅是上網(wǎng)效率提高，還有上網(wǎng)行為管控，網(wǎng)址庫(kù)，協(xié)議庫(kù)過(guò)濾，才會(huì)讓局域網(wǎng)上網(wǎng)內(nèi)網(wǎng)安全兼得。

提到上網(wǎng)行為管理，最初想到的內(nèi)容記錄、聊天內(nèi)容、郵件內(nèi)容、文件傳輸內(nèi)容、網(wǎng)頁(yè)瀏覽記錄等等。但是再往深里研究，對(duì)于有一定規(guī)模的局域網(wǎng)，內(nèi)容審計(jì)的意義并不是很大，聊天幾句話、瀏覽的幾個(gè)網(wǎng)站都是瞬間的意識(shí)。所以，企業(yè)的對(duì)員工聊天內(nèi)容的審計(jì)實(shí)在沒(méi)有太大的意義。況且國(guó)內(nèi)主流的QQ和微信的通訊，騰訊公司早就進(jìn)行了協(xié)議改進(jìn)和安全強(qiáng)化，加上微信QQ都可以綁定銀行卡。所以，網(wǎng)絡(luò)監(jiān)控解析QQ和微信的內(nèi)容，理論上已經(jīng)不現(xiàn)實(shí)。對(duì)于企業(yè)網(wǎng)絡(luò)管理來(lái)說(shuō)，規(guī)整的上網(wǎng)秩序、上網(wǎng)內(nèi)容的報(bào)表分析以及信息安全才是王道。

WSG-200P上網(wǎng)行為管理路由是一款性?xún)r(jià)比非常高的上網(wǎng)行為管理設(shè)備。和WSG的企業(yè)版（E系列）相比，雖然沒(méi)有上網(wǎng)記錄、域賬號(hào)等功能，但是就上網(wǎng)行為管理和流控來(lái)說(shuō)，與E系列基本是一樣的，可以提供專(zhuān)業(yè)的上網(wǎng)行為管理和流控。下面讓我們一起來(lái)看看WSG-200P這款企業(yè)級(jí)上網(wǎng)行為管理路由有哪些亮點(diǎn)功能吧。

這里說(shuō)的網(wǎng)橋部署，是透明網(wǎng)橋部署。有的局域網(wǎng)環(huán)境里面，路由暫時(shí)不想被代替，那么WSG上網(wǎng)行為管理網(wǎng)關(guān)可以用網(wǎng)橋部署的方式接在局域網(wǎng)里面。

• 網(wǎng)橋模式下，只用到LAN和WAN1這兩個(gè)端口。其他端口都不起作用。

• WSG接在路由器（防火墻）和交換機(jī)之間。

• 內(nèi)網(wǎng)交換機(jī)接在LAN口。

• 上層設(shè)備（路由器或者防火墻）接在WAN1口。

上網(wǎng)行為管理網(wǎng)關(guān)不管是在功能還是在性能上，都是完爆路由器的。隨著生產(chǎn)力的提高，硬件設(shè)備的成本也逐步降低，普及也越來(lái)越廣（例如電器的價(jià)格越來(lái)越低）。上網(wǎng)行為管理網(wǎng)關(guān)部署也將成為一個(gè)趨勢(shì)，因?yàn)榫W(wǎng)關(guān)除了擁有專(zhuān)業(yè)路由的功能以外，還有專(zhuān)業(yè)的網(wǎng)絡(luò)管理功能，和專(zhuān)業(yè)防火墻功能，這個(gè)都是路由硬件芯片做不到的。

那么上網(wǎng)行為管理設(shè)備應(yīng)該如何部署呢？其實(shí)很簡(jiǎn)單，就是和路由器一樣，直接把路由器的相關(guān)配置移植到行為管理設(shè)備上，把之前的路由器替換掉即可。