當(dāng)防火墻檢測到某個IP存在病毒攻擊或者異常流量時，網(wǎng)管技術(shù)人員往往需要到電腦上面進(jìn)行后續(xù)操作。而對于自動獲取IP的局域網(wǎng)來說，如何定位IP地址的電腦位置一直是一個技術(shù)難題。如果沒有好的工具，最笨的辦法就是一臺一臺電腦進(jìn)行查看，通過比對IP地址和mac地址來定位。那么還有哪些聰明一些的辦法呢？

1. 在三層交換機上查看ARP表

有網(wǎng)管交換機時，可以在網(wǎng)管交換機上查看arp表找到該IP地址所在的端口，然后根據(jù)端口順藤摸瓜，從而定位電腦的物理位置。比如，在交換機上執(zhí)行“disp arp”命令（不同型號的交換機命令不一樣），可以得到如下結(jié)果：

在WFilter NGF(WSG上網(wǎng)行為管理網(wǎng)關(guān)）的”Web認(rèn)證“配置中，可以基于IP范圍來配置要進(jìn)行Web認(rèn)證的客戶端。實際使用中，有些局域網(wǎng)電腦和手機無線終端都混雜在同一個網(wǎng)段，這種情況下，如果要只對電腦做認(rèn)證，或者只對手機做認(rèn)證，就不能通過IP范圍來實現(xiàn)了。需要修改默認(rèn)的認(rèn)證頁面，基于瀏覽器的useragent來獲取客戶端操作系統(tǒng)類型，并且判斷是否放行（無需認(rèn)證直接放行）。

如下圖，點擊”編輯Web認(rèn)證頁面”，然后點擊源代碼圖標(biāo)。

在上網(wǎng)行為管理如何實現(xiàn)釘釘掃描二維碼進(jìn)行Web認(rèn)證登錄這篇文章中，我們介紹了如何用手機釘釘掃碼登錄電腦。電腦在上外網(wǎng)之前，需要用手機釘釘掃描二維碼才可以使用網(wǎng)絡(luò)，并且記錄該用戶賬號的上網(wǎng)內(nèi)容。而在實際使用中，有些用戶還想對手機上外網(wǎng)進(jìn)行用戶認(rèn)證，從而可以識別到手機的員工姓名并記錄上網(wǎng)日志。

本文中，我將介紹如何用手機釘釘掃碼對自身手機進(jìn)行Web認(rèn)證。

在認(rèn)證前，該手機是無法上外網(wǎng)的。大部分手機會自動彈出Web認(rèn)證頁面（也可以手動在瀏覽器里面打開），如下圖：

WSG上網(wǎng)行為管理網(wǎng)關(guān)（WFilter NGF）的Web認(rèn)證功能非常強大，可以支持多種用戶名認(rèn)證（本地用戶、郵箱認(rèn)證、域認(rèn)證、Radius認(rèn)證等），還可以支持短信認(rèn)證、微信認(rèn)證、釘釘認(rèn)證等第三方認(rèn)證。不過在有些情況下，用戶還希望WSG可以對接第三方的Web認(rèn)證界面，即通過其他的Web認(rèn)證系統(tǒng)進(jìn)行認(rèn)證，而由WSG來實現(xiàn)上網(wǎng)管控和上網(wǎng)記錄。本例中，我將介紹如何用WSG來對接第三方Web認(rèn)證平臺。

首先，開啟WSG的Web認(rèn)證功能。

“Web認(rèn)證”的需求是對需要管控的員工網(wǎng)段開啟認(rèn)證，一些電腦不開啟認(rèn)證。如圖：
1. 設(shè)置要管控的IP范圍
2. 設(shè)置一個合理的超時重新認(rèn)證時間，1440就是每天都需要重新認(rèn)證一次。
3. 領(lǐng)導(dǎo)的mac地址加到“例外的MAC地址”

企業(yè)微信,是騰訊微信團(tuán)隊為企業(yè)打造的專業(yè)辦公管理工具。與微信一致的溝通體驗,豐富免費的OA應(yīng)用,并與微信消息、小程序、微信支付等互通,助力企業(yè)高效辦公和管理。在“如何實現(xiàn)釘釘掃描二維碼進(jìn)行Web認(rèn)證登錄？”一文中，我們介紹了如何用釘釘掃碼認(rèn)證上網(wǎng)。而一些局域網(wǎng)采用的是企業(yè)微信來做辦公管理。本文，我將結(jié)合WSG上網(wǎng)行為管理網(wǎng)關(guān)（WFilter NGF）中的“Web認(rèn)證”功能，介紹如何利用企業(yè)微信的掃描二維碼功能來實現(xiàn)內(nèi)網(wǎng)用戶的Web認(rèn)證登錄。該功能有如下優(yōu)勢：

1. 直接用企業(yè)微信掃碼登錄，無需在WSG系統(tǒng)內(nèi)創(chuàng)建用戶。
   

2. 可以自動獲取并記錄企業(yè)微信的員工姓名。

3. 可以基于企業(yè)微信員工姓名配置上網(wǎng)策略和統(tǒng)計。

一些配置的步驟和截圖如下：

釘釘（DingTalk）是阿里巴巴集團(tuán)專為中國企業(yè)打造的免費溝通和協(xié)同的多端平臺。釘釘因中國企業(yè)而生，幫助中國企業(yè)通過系統(tǒng)化的解決方案（微應(yīng)用），全方位提升中國企業(yè)溝通和協(xié)同效率。一些局域網(wǎng)為了信息安全和管理需要，需要用戶進(jìn)行Web認(rèn)證后才可以使用局域網(wǎng)，并且記錄該用戶賬號的上網(wǎng)內(nèi)容。

本文，我將結(jié)合WSG上網(wǎng)行為管理網(wǎng)關(guān)（WFilter NGF）中的“Web認(rèn)證”功能，介紹如何利用釘釘?shù)膾呙瓒S碼功能來實現(xiàn)內(nèi)網(wǎng)用戶的Web認(rèn)證登錄。該功能有如下優(yōu)勢：

1. 直接用釘釘掃碼登錄，無需在WSG系統(tǒng)內(nèi)創(chuàng)建用戶。
   

2. 可以自動獲取并記錄釘釘?shù)膯T工姓名。

3. 可以基于釘釘員工姓名配置上網(wǎng)策略和統(tǒng)計。

一些配置的步驟和截圖如下：

在如何對來賓用戶進(jìn)行上網(wǎng)行為管理中，我們介紹了基于VLAN或者DHCP范圍來區(qū)分來訪人員和普通辦公人員。在本文中，我將介紹另外一種較典型的方式：“對辦公人員進(jìn)行IP-MAC綁定；并要求來訪人員Web認(rèn)證?！?/p>

首先需要在IP-MAC綁定中錄入辦公人員的IP和MAC地址（略）。然后再進(jìn)行下述配置：

1. 設(shè)置DHCP范圍

IP-MAC綁定后，辦公電腦DHCP獲取的都是綁定的IP地址。為了區(qū)分辦公電腦和來訪人員的IP地址，我們首先需要設(shè)置DHCP的范圍和辦公電腦綁定的IP范圍區(qū)分開。

蘋果（IOS）、以及一些新的andriod和windows系統(tǒng)，在連接網(wǎng)絡(luò)時，會自動檢測網(wǎng)絡(luò)是否連通以及是否存在認(rèn)證頁面（Captive Web Portal），一旦發(fā)現(xiàn)網(wǎng)絡(luò)需要認(rèn)證，操作系統(tǒng)會自動彈出認(rèn)證頁面供用戶進(jìn)行認(rèn)證。這個功能最早是在IOS上實現(xiàn)的，所以一些老版本的安卓系統(tǒng)或者windows系統(tǒng)并不會自動彈出認(rèn)證頁面。

WFilter NGF中的“Web認(rèn)證”完全按照Web Portal認(rèn)證的標(biāo)準(zhǔn)來實現(xiàn)，在WFilter NGF中開啟”Web認(rèn)證“后，也會存在一部分系統(tǒng)不能自動彈出認(rèn)證頁面的情況。一般有如下原因：

1. 客戶機操作系統(tǒng)比較老舊。安卓4.0和windows 8.0之前的版本都不支持自動彈出。
   

2. 客戶機的瀏覽器問題導(dǎo)致不能自動打開瀏覽器。
   

本文中，我將結(jié)合WSG的相關(guān)功能來介紹如何解決此問題。一般而言有三種辦法，具體描述如下：

在阿里云短信認(rèn)證網(wǎng)關(guān)的具體實現(xiàn)這篇文章中，我們介紹了如何使用阿里云的php sdk來實現(xiàn)短信認(rèn)證功能。在實際使用中，有一些用戶不具備開發(fā)sdk的技術(shù)能力。所以在最新版的WFilter NGF系統(tǒng)中，我們集成了阿里云的SDK模塊。用戶無需搭建SDK的web服務(wù)等環(huán)境，即可實現(xiàn)阿里云短信認(rèn)證的功能。

本文中，我將結(jié)合阿里云短信平臺來介紹WFilter NGF的短信認(rèn)證功能。

1. 阿里云短信平臺相關(guān)配置

首先要創(chuàng)建AccessKey

根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》（第十條、第二十一條、第二十四條）、《中華人民共和國反恐怖主義法》（第十九條、第二十一條）、《計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護(hù)管理辦法》(第十條、第十一條、第十二條、第十七條)、《互聯(lián)網(wǎng)安全保護(hù)技術(shù)措施規(guī)定》(第七條、第八條、第十一條)等相關(guān)法律規(guī)定，公共無線上網(wǎng)場所應(yīng)當(dāng)落實相關(guān)網(wǎng)絡(luò)安全保護(hù)技術(shù)措施。而從2018年11月1日開始正式施行的《公安機關(guān)互聯(lián)網(wǎng)安全監(jiān)督檢查規(guī)定》（公安部令第151號），是網(wǎng)絡(luò)安全執(zhí)法檢查工作與《網(wǎng)絡(luò)安全法》的深度結(jié)合，對執(zhí)法過程進(jìn)行了詳細(xì)的規(guī)定，使得監(jiān)督檢查工作做到依法檢查、依法處置。簡單的說，有兩條需要值得我們重點關(guān)注的地方：

1. 提供WiFi上網(wǎng)服務(wù)的公共場所，必須落實上網(wǎng)實名認(rèn)證。

2. 提供上網(wǎng)服務(wù)的公共場所，必須至少保存六十天的上網(wǎng)記錄備份。

自從2014年騰訊推出“微信連Wi-Fi”功能以來，“微信WiFi”一度成為商業(yè)公眾號的吸粉利器。手機連接WiFi即可自動打開公眾號，或者掃描二維碼打開公眾號。既滿足了客戶WiFi上網(wǎng)，又可以滿足商家漲粉的需要。

對人員流動比較頻繁的局域網(wǎng)來說，首要的一個問題就是要進(jìn)行網(wǎng)絡(luò)的準(zhǔn)入認(rèn)證，記錄用戶的身份信息和上網(wǎng)日志。從而使網(wǎng)絡(luò)行為有據(jù)可查，也能滿足職能部門的督察需要。WFilter NGF中的幾種認(rèn)證機制，優(yōu)缺點比較如下：

1. 用戶名密碼認(rèn)證。需要維護(hù)用戶名密碼，適合人員比較固定的網(wǎng)絡(luò)。
   

2. 微信WiFi認(rèn)證。微信WiFi的流程是打開公眾號即可上網(wǎng)，并且記錄微信的openid。適合在人員流動大的網(wǎng)絡(luò)環(huán)境中做營銷推廣。

3. 手機短信認(rèn)證。通過手機接收驗證碼來上網(wǎng)，記錄手機號和上網(wǎng)記錄。適合人員流動比較大的網(wǎng)絡(luò)環(huán)境留存身份信息和上網(wǎng)審計記錄。
   

本文中， 我將結(jié)合一個實際例子來介紹WFilter NGF（WSG網(wǎng)關(guān)）的短信認(rèn)證功能。

微信WiFi的默認(rèn)流程，已經(jīng)從最初的“關(guān)注公眾號”變成了目前的“打開公眾號”。應(yīng)該說，“打開公眾號但是不強制關(guān)注“其實是一個更加人性化的做法；因為任何誘導(dǎo)/強制關(guān)注，都會影響最終用戶的體驗和公正性原則；長遠(yuǎn)來看會影響公眾號的發(fā)展。微信WiFi如下圖：

WFilter NGF的“Web認(rèn)證”模塊，提供了一系列的上網(wǎng)認(rèn)證解決方案。包括如下認(rèn)證方式：

1. 本地用戶名密碼認(rèn)證
   

2. AD域用戶名密碼認(rèn)證

3. 企業(yè)郵箱用戶名密碼認(rèn)證

4. Radius用戶名密碼認(rèn)證

5. 微信WiFi認(rèn)證

6. Facebook Wifi認(rèn)證

除此，WFilter NGF還有一個“其他”的選項，利用這個選項，你可以擴(kuò)展更多的用戶認(rèn)證方式，比如“短信認(rèn)證”，使用者必須輸入自己的手機號碼，獲取驗證短信后輸入才可以上網(wǎng)。如圖：

對于局域網(wǎng)信息安全來說，首要的一點就是接入認(rèn)證，缺少接入認(rèn)證，那內(nèi)網(wǎng)安全完全無從談起。而在接入認(rèn)證中，“Web Portal認(rèn)證”是目前應(yīng)用最為廣泛的一種方式。那么，今天我們來看看WFilter的“Web認(rèn)證”提供哪些認(rèn)證解決方案。

首先，WFilter NGF的“Web認(rèn)證”包括兩個部分：

1. 用戶名認(rèn)證：基于用戶名口令的認(rèn)證方案
   

2. 營銷認(rèn)證：主要是微信WiFi（國內(nèi)）和Facebook WiFi（國外）。

WFilter NGF（WSG上網(wǎng)行為管理網(wǎng)關(guān)）的“Web認(rèn)證模塊”主要包括兩個部分：“用戶名認(rèn)證”和“營銷認(rèn)證”。

1. 用戶名認(rèn)證：輸入用戶名口令來認(rèn)證上網(wǎng)。

2. 營銷認(rèn)證：國內(nèi)主要是“微信WiFi”，國外主要用“Facebook WiFi”。

本文中，我將簡單介紹如何用WFilter NGF（WSG上網(wǎng)行為管理網(wǎng)關(guān)）來實現(xiàn)微信掃碼上網(wǎng)。

微信WiFi，又名“微信連WiFi”。這個功能要求連接WiFi的用戶關(guān)注公眾號后上網(wǎng)，既可以推廣公眾號，還可以顯示廣告位，具備很實用的商業(yè)價值。微信WiFi認(rèn)證的實現(xiàn)，有如下辦法：

1. 廣告路由器。直接把微信WiFi集成在無線路由器中，通過路由器界面或者云管理來進(jìn)行配置。

2. 認(rèn)證網(wǎng)關(guān)（網(wǎng)橋） + 無線AP的方式。由認(rèn)證網(wǎng)關(guān)網(wǎng)橋來進(jìn)行微信WiFi認(rèn)證，無線AP只提供無線接入。

3. 旁路軟件 + 無線AP的方式。由旁路軟件來推送認(rèn)證頁面，無線AP只提供無線接入。

這三種方案，廣告路由器的方案比較適合小環(huán)境，成本和實施都非常的簡單。如果網(wǎng)絡(luò)有一定規(guī)模，不適合部署多個廣告路由器時，就需要考慮第二和第三種方案?！罢J(rèn)證網(wǎng)關(guān)”和“旁路軟件”的主要差別在于部署模式。

現(xiàn)在很多企業(yè)局域網(wǎng)都是全無線覆蓋，給員工和客戶的網(wǎng)絡(luò)接入提供了很大的便利。無論在公司或者廠區(qū)的任何位置，都可以很方便的接入到公司局域網(wǎng)和互聯(lián)網(wǎng)。但是這樣也帶來了不可避免的安全性問題：一旦有未經(jīng)授權(quán)的網(wǎng)絡(luò)接入，不但會占用寶貴的帶寬資源；而且會帶來病毒、黑客攻擊等局域網(wǎng)安全問題。

所以，局域網(wǎng)在做無線覆蓋的同時，一定要考慮到安全問題。一般來說，可以從兩方面入手：

1. 合理的劃分VLAN。無線接入應(yīng)當(dāng)處于單獨的VLAN，并且控制該VLAN對企業(yè)內(nèi)部資源的訪問。即使有惡意的攻擊，也可以被控制在無線VLAN內(nèi)部。

2. 對無線上網(wǎng)的設(shè)備進(jìn)行用戶認(rèn)證。

3. 對無線上網(wǎng)的設(shè)備進(jìn)行ip-mac綁定。

4. 記錄無線上網(wǎng)的上網(wǎng)記錄，包括ip地址、mac地址、網(wǎng)站訪問等信息。供需要時查詢。

小區(qū)寬帶的網(wǎng)絡(luò)管理、上網(wǎng)行為管理方案，主要需要滿足以下幾點需求：

1. 用戶認(rèn)證；基于電話號碼、身份證號碼、門牌號等進(jìn)行用認(rèn)證。

2. 帶寬分配；對同一個用戶需要進(jìn)行限速和流量限制（比如：2Mb帶寬，每月50G流量）。

3. 行為管理；一些不合適的內(nèi)容需要禁止掉。

4. 上網(wǎng)記錄；訪問的網(wǎng)站、論壇發(fā)帖等行為需要記錄下來，供職能部門審核。

5. 用戶通知；流量套餐的使用情況、賬號到期、是否欠費等情況，都要有途徑通知到用戶。

WFilter NGF的“運營管理”模塊，集成了用戶認(rèn)證、帶寬策略、用戶通知等一系列功能，為小區(qū)寬帶的網(wǎng)絡(luò)管理提供了一個綜合的解決方案。本文將給WFilter NGF的“運營管理”做一個簡單介紹。

酒店局域網(wǎng)的網(wǎng)絡(luò)管理、上網(wǎng)行為管理方案，主要需要滿足以下幾點需求：

1. 用戶認(rèn)證；一般需要基于房號或者身份證號進(jìn)行用戶認(rèn)證。
   

2. 帶寬分配；對同一個用戶需要進(jìn)行限速和流量限制（比如：2Mb帶寬，每天10G流量）。

3. 行為管理；一些不合適的內(nèi)容需要禁止掉。

4. 上網(wǎng)記錄；訪問的網(wǎng)站、論壇發(fā)帖等行為需要記錄下來，供職能部門審核。

WFilter NGF的“運營管理”模塊，集成了用戶認(rèn)證、帶寬策略、用戶通知等一系列功能，為酒店上網(wǎng)行為管理提供了一個綜合的解決方案。本文將給WFilter NGF的“運營管理”做一個簡單介紹。

經(jīng)常有些客戶問到如何用“WFilter上網(wǎng)行為管理軟件（超級嗅探狗）”來禁止局域網(wǎng)內(nèi)未登錄到域的客戶機上網(wǎng)，所以寫了這篇博文。

首先，您應(yīng)該已經(jīng)部署了微軟的域控，并且啟用了“WFilter上網(wǎng)行為管理軟件”中的“域監(jiān)控”功能，具體步驟請參考：WFilter賬號監(jiān)控方案

啟用了賬號監(jiān)控后，請按照如下步驟來禁止未登錄域的客戶機上網(wǎng)。

雖然企業(yè)的域控可以解決電腦權(quán)限的問題，但是如果互聯(lián)網(wǎng)訪問權(quán)限不能和AD域用戶結(jié)合，會促使局域網(wǎng)內(nèi)的用戶采用自帶的移動設(shè)備或者個人電腦來訪問企業(yè)網(wǎng)絡(luò)和互聯(lián)網(wǎng)；從而給企業(yè)網(wǎng)絡(luò)帶來安全隱患。

為了網(wǎng)絡(luò)管理和安全的需要，有些局域網(wǎng)需要禁止非域的客戶機上網(wǎng)，當(dāng)電腦或者移動設(shè)備未登錄到域時，禁止其上網(wǎng)；并且強制未登錄的客戶機進(jìn)行Web用戶認(rèn)證，從而可以基于域用戶進(jìn)行監(jiān)控管理。

本文將介紹如何用“WFilter上網(wǎng)行為管理系統(tǒng)”（WFilter NGF）來禁止非域客戶機上網(wǎng)。具體步驟如下：

有些網(wǎng)絡(luò)環(huán)境，人員的流動比較多，設(shè)備也不固定，很難基于IP地址或者M(jìn)AC地址去進(jìn)行管理?；谫~號的Web認(rèn)證就是首選的認(rèn)證方案。

本文將介紹如何用“WFilter上網(wǎng)行為管理系統(tǒng)”（WFilter NGF）來進(jìn)行Web認(rèn)證。

啟用Web認(rèn)證

輸入Web認(rèn)證的IP范圍，驗證方式等參數(shù)。本例中，用的是域的遠(yuǎn)程Radius認(rèn)證，如果沒有域控制器，您也可以自己在WFilter中添加賬號，進(jìn)行本地認(rèn)證。如下圖：

在局域網(wǎng)環(huán)境中，“基于IP地址“和”基于MAC地址“都是重要的上網(wǎng)行為管理的策略配置方式。但是，兩者都存在各自的優(yōu)缺點：

基于IP地址監(jiān)管的優(yōu)缺點

1. 優(yōu)點：適用于所有網(wǎng)絡(luò)環(huán)境。

對于中小型局域網(wǎng)環(huán)境，以及無線移動設(shè)備上網(wǎng)的環(huán)境，在IP地址不固定，設(shè)備也不固定時，可以使用WFilter中的“自定義賬戶”功能。可以對局域網(wǎng)內(nèi)的客戶機基于賬號進(jìn)行監(jiān)控和上網(wǎng)行為管理。比如上網(wǎng)想做一些管理策略，但是也沒必要做太復(fù)雜的設(shè)置，這個功能是最好的，而且操作設(shè)置特別簡單明了。

本文將介紹如何使用“WFilter上網(wǎng)行為管理軟件”的“自定義賬戶”功能進(jìn)行賬號驗證。