當(dāng)你有多臺WSG時，你可能會想把上網(wǎng)日志和統(tǒng)計數(shù)據(jù)集中保存和管理。集中保存可以保存更長日期的歷史數(shù)據(jù)，也更加便于管理。本文中，我將介紹如何搭建WSG數(shù)據(jù)中心管理系統(tǒng)來實現(xiàn)數(shù)據(jù)的集中存儲管理。
WSG數(shù)據(jù)中心安裝在一臺windows電腦上，該系統(tǒng)的搭建需要安裝以下產(chǎn)品：
SQL Server數(shù)據(jù)庫，所有的日志數(shù)據(jù)都會被導(dǎo)入到SQL Server數(shù)據(jù)庫中。
FTP服務(wù)器，用于提供FTP上傳服務(wù)。
WFilterDC（WFilter數(shù)據(jù)中心管理系統(tǒng)），該系統(tǒng)可以導(dǎo)入數(shù)據(jù)并且提供查詢和統(tǒng)計等功能。
相對于二層交換機的網(wǎng)絡(luò)環(huán)境，在三層交換機環(huán)境下部署上網(wǎng)行為管理的步驟要復(fù)雜一些，差別主要在“靜態(tài)路由”和“MAC地址收集器”，還有上層防火墻的一些安全策略的影響。在本文中，我將結(jié)合一次實際的安裝經(jīng)歷，介紹三層環(huán)境下用網(wǎng)橋模式部署WSG上網(wǎng)行為管理的一些常見問題。
本例中，網(wǎng)關(guān)是華為USG防火墻172.16.200.253，三層交換機是172.16.200.254，子網(wǎng)掩碼都是255.255.255.0。既然200段IP是足夠的，所以我就直接把管理口設(shè)置在網(wǎng)橋上面，把WSG的IP設(shè)置為172.16.200.252，網(wǎng)關(guān)地址和DNS是防火墻的IP地址172.16.200.253。
很多網(wǎng)絡(luò)環(huán)境目前都采用光纖的連接方式，比如主交換機到其他樓層交換機采用光口連接，再從樓層交換機的RJ45電口連接到其他網(wǎng)絡(luò)設(shè)備。這種網(wǎng)絡(luò)環(huán)境中，很多情況下都采用透明網(wǎng)橋的方式部署上網(wǎng)行為管理。本文中，我將介紹如何把上網(wǎng)行為管理的透明網(wǎng)橋串接到光口交換機和電口交換機中間。主要有如下兩種方式：
如下圖，以WSG-500E為例，該型號有6個千兆電口和2個千兆光口，可以把網(wǎng)橋創(chuàng)建在一個光口和一個電口上。光口接上層的匯聚交換機，電口接下面的二層交換機。
利用“擴展插件”中的“NGF配置同步插件”可以同步多臺WFilter NGF（WSG硬件）的相關(guān)配置，這個功能在管理維護(hù)多臺WSG設(shè)備時非常實用。在本文中，我將結(jié)合WSG上網(wǎng)行為管理網(wǎng)關(guān)來介紹“NGF配置同步插件”的使用步驟。
首先要有一臺WSG作為服務(wù)端，其他做為客戶端。服務(wù)端可以直接把配置推送給客戶端，也可以等客戶端主動來進(jìn)行同步。
多臺WSG之間通過Web來同步配置，所以要確保服務(wù)端和客戶端之間的Web連接可達(dá)。（在服務(wù)端可以訪問客戶端的web，或者客戶端可以訪問服務(wù)端的web）
創(chuàng)建同步用戶。每臺WSG都應(yīng)當(dāng)建一個用戶名密碼一樣的操作員用于進(jìn)行同步操作。
下載“NGF配置同步插件”，并且進(jìn)行配置。
二級路由器默認(rèn)都啟用了網(wǎng)絡(luò)地址轉(zhuǎn)換，會把客戶機的IP地址和mac地址都轉(zhuǎn)換成路由器的IP和mac。這樣從上層的行為管理來看，只能看到路由器的IP地址。要區(qū)分二級路由下面的終端，必須把二級路由器改成AP模式（也就是無線交換機模式）。
在WSG上網(wǎng)行為管理網(wǎng)關(guān)的初步設(shè)置詳細(xì)教程中，我們介紹了WSG上網(wǎng)行為管理網(wǎng)關(guān)的初步設(shè)置，該文檔中，我們采用了網(wǎng)關(guān)部署的方式。在實際使用中，網(wǎng)橋部署方式也極為常見；用網(wǎng)橋的方式來部署WSG上網(wǎng)行為管理，是完全透明部署，不需要修改現(xiàn)有的網(wǎng)絡(luò)參數(shù)，也不需要更改路由器和交換機的配置。網(wǎng)絡(luò)拓?fù)鋱D如下：
網(wǎng)橋部署有如下優(yōu)點：
不需要修改現(xiàn)有的網(wǎng)絡(luò)設(shè)置。
無需斷網(wǎng)，即插即用。
功能一樣強大：上網(wǎng)行為記錄、行為管理、流控都可以實現(xiàn)。
硬件bypass（要看具體型號），即使網(wǎng)橋設(shè)備掉電，也可以保證不斷網(wǎng)。
首先需要給WSG設(shè)備分配一個靜態(tài)IP地址。該IP用于遠(yuǎn)程訪問WSG設(shè)備，進(jìn)行Web認(rèn)證等遠(yuǎn)程訪問操作。需要注意如下幾點：
來賓用戶、流動人員比較多的局域網(wǎng)，如果不對來賓上網(wǎng)進(jìn)行管控，不但會占用企業(yè)帶寬資源，還會帶來安全隱患和政策風(fēng)險。對于企業(yè)環(huán)境來說，一般推薦來賓和辦公網(wǎng)絡(luò)采用不同的無線SSID，分開進(jìn)行管控。具體方案如下：
來賓和辦公網(wǎng)絡(luò)采用不同的無線SSID。
對來賓和辦公采用不同的限速和行為管理策略。
來賓和辦公網(wǎng)絡(luò)采用不同的VLAN，并且不允許來賓訪問公司內(nèi)網(wǎng)。
不但要設(shè)置不同的無線密碼，而且需要進(jìn)行IP-MAC綁定等策略，禁止來賓用戶接入到辦公網(wǎng)絡(luò)。
本文將介紹如何用WFilter NGF來實現(xiàn)短信認(rèn)證網(wǎng)關(guān)，以及短信平臺的具體實現(xiàn)步驟。
WFilter NGF的短信發(fā)送通過調(diào)用Web API來實現(xiàn)，支持Web API接口的短信平臺很多（一些短信貓也可以支持Web API）。下文中，我們以阿里云的短信服務(wù)為例。首先需要創(chuàng)建AccessKey，如下圖：
很多局域網(wǎng)考慮到安全需要，會部署兩臺核心交換機做雙機熱備。在這樣的情況下，如果要旁路部署上網(wǎng)行為管理軟件，需要在兩臺核心上都配置端口鏡像，從而實現(xiàn)不間斷的監(jiān)控管理。拓?fù)鋱D如下：
本文將介紹如何用WFilter來監(jiān)控多個局域網(wǎng)（多個互聯(lián)網(wǎng)接入）。由于每個鏡像只監(jiān)控到一個局域網(wǎng)，那么要在一臺監(jiān)控主機上監(jiān)控多個局域網(wǎng)時，需要使用多塊網(wǎng)卡，每塊網(wǎng)卡都接到一個鏡像端口。然后在WFilter的“系統(tǒng)配置”->“監(jiān)控配置”中配置多個監(jiān)控網(wǎng)卡來進(jìn)行監(jiān)控。
以同時監(jiān)控兩個局域網(wǎng)為例，如下圖：
[IMG]upload/morelanMon01.jpg[/IMG]請注意：兩個局域網(wǎng)的網(wǎng)段不能設(shè)置成一樣，否則監(jiān)控記錄會混淆。分別設(shè)置不同的網(wǎng)段，比如：192.168.1.x，192.168.2.x。
在“旁路”過濾模式（通過鏡像端口實現(xiàn)監(jiān)控）下，WFilter（超級嗅探狗）通過在“通訊網(wǎng)卡”上發(fā)送RST包來阻斷TCP連接。所以如果通訊網(wǎng)卡不能通訊或者通訊不暢，就可以導(dǎo)致封堵功能不起作用。
一般情況，用同一塊網(wǎng)卡就可以同時實現(xiàn)監(jiān)控和封堵，當(dāng)下列情況出現(xiàn)時，需要用兩塊網(wǎng)卡。
1. 交換機的鏡像端口不允許通訊。有些交換機是不允許鏡像上網(wǎng)的，該鏡像口只能收包，不能發(fā)包。你可以在監(jiān)控的電腦上ping其他的電腦來檢查這一項。改變交換機的設(shè)置（如果支持的話）或者增加一個獨立的通訊網(wǎng)卡就可以解決這個問題。比如Cisco交換機有一個參數(shù)“ingress”，它能允許鏡像端口進(jìn)行通訊。
2. 監(jiān)聽網(wǎng)卡過于繁忙。由于鏡像端口要接收其他電腦的上網(wǎng)數(shù)據(jù)包，網(wǎng)絡(luò)壓力大時網(wǎng)卡的負(fù)荷會很大。如果需要監(jiān)控50臺及以上的電腦，我們建議您使用兩塊網(wǎng)卡。點擊“系統(tǒng)配置”—>“配置檢測”可以檢查監(jiān)控網(wǎng)卡是否存在此問題（存在此問題時會提示“封堵效率過低”）。
網(wǎng)路分流器(Network Tap)可以透明串聯(lián)在網(wǎng)絡(luò)中實現(xiàn)網(wǎng)絡(luò)流量的監(jiān)控。相比較鏡像交換機而言，network tap有以下優(yōu)點：
網(wǎng)上有很多如何自己制作network tap的帖子，有興趣的同學(xué)可以自己嘗試下，請參見：
隨著虛擬化技術(shù)的日趨成熟，越來越多的用戶選擇使用VMWare ESXi來搭建自己的虛擬化平臺，本文著重介紹如何在VMWare ESXi中部署WFilter（超級嗅探狗）來實現(xiàn)監(jiān)控。
在VMware ESXi環(huán)境下，WFilter（超級嗅探狗）可以支持兩種部署方式：旁路模式和串聯(lián)模式，有關(guān)這兩種模式的區(qū)別和優(yōu)缺點，請參見：[URL=http://meiming08.com/help/doc/WFilter_deployment_mode.htm]WFilter部署模式[/URL]
旁路模式監(jiān)控時，只需要在一臺虛擬機中安裝WFilter，然后開啟虛擬交換機的混雜模式即可。但是由于旁路模式無法禁止UDP通訊，還需要在上層的路由器或者防火墻設(shè)備上禁止UDP端口才可以，請參見：[URL=http://meiming08.com/help/doc/WFilter_blockudp.htm]如何在路由器上禁止UDP端口？[/URL]
本文主要介紹如何在ESXi環(huán)境中，用串聯(lián)模式來部署WFilter。串聯(lián)模式不需要在上層設(shè)備禁止UDP端口即可實現(xiàn)WFilter的所有功能。
用超級嗅探狗局域網(wǎng)管理軟件實現(xiàn)網(wǎng)絡(luò)監(jiān)控，需要把安裝超級嗅探狗的電腦接到交換機的“鏡像端口”上面。本例將以Cisco2950交換機為例，介紹如何通過Cisco2950交換機來實現(xiàn)局域網(wǎng)網(wǎng)絡(luò)監(jiān)控管理。此例也適用于Cisco的其他交換機，如Cisco 2960, Cisco 3750等。
下面本文將以Cisco2950為例，介紹如何配置鏡像端口，部署監(jiān)控軟件。
更多內(nèi)容請參考：
[URL=http://meiming08.com/blog/post/102.html]網(wǎng)絡(luò)監(jiān)控為什么需要端口鏡像交換機？[/URL]
[URL=http://meiming08.com/blog/post/110.html]如何判斷端口鏡像是否成功？[/URL]
某公司電信光纖接入， CISCO2950作為中心交換機。網(wǎng)絡(luò)拓?fù)鋱D如下：
用超級嗅探狗局域網(wǎng)監(jiān)控軟件實現(xiàn)網(wǎng)絡(luò)監(jiān)控，需要把安裝超級嗅探狗的電腦接到交換機的“鏡像端口”上面。本例將以D-Link3226交換機為例，介紹如何通過D-Link3226交換機來實現(xiàn)局域網(wǎng)網(wǎng)絡(luò)監(jiān)控管理。此例也同樣適用于D-Link的其他支持端口鏡像的交換機。
下面本文將著重介紹如何通過D-Link3226交換機實現(xiàn)網(wǎng)絡(luò)監(jiān)控。
更多內(nèi)容請參考：[URL=http://meiming08.com/blog/post/102.html]網(wǎng)絡(luò)監(jiān)控為什么需要端口鏡像交換機？
[URL=http://meiming08.com/blog/post/110.html]如何判斷端口鏡像是否成功？[/URL]
現(xiàn)在很多公司都采用筆記本電腦辦公，但是出于工作效率方面的考慮，很多公司都希望進(jìn)行網(wǎng)絡(luò)監(jiān)控。這種既有有線網(wǎng)絡(luò)又有無線網(wǎng)絡(luò)的情況下，想要實現(xiàn)網(wǎng)絡(luò)監(jiān)控就比較困難。下面將介紹怎樣在這樣的情況下實現(xiàn)監(jiān)控。
[B]1. 通過串聯(lián)有線路由實現(xiàn)監(jiān)控。[/B]
某網(wǎng)絡(luò)環(huán)境如下圖，ADSL接入到linksys寬帶路由器（BEFSR41），然后通過“cisco無線AP”（Cisco 1200）搭建一無線局域網(wǎng)環(huán)境。 局域網(wǎng)內(nèi)既有通過無線上網(wǎng)的機器，又有有線上網(wǎng)的機器。
[IMG]upload/wireless network deployment.jpg[/IMG]在本例中，為了能同時對有線環(huán)境的機器和無線環(huán)境的機器進(jìn)行監(jiān)控。我們增加了一個TPLINK的鏡像交換機（TL-SL2210WEB）。并且需要對無線AP進(jìn)行設(shè)置。 如上圖中框內(nèi)部分。
TPlink鏡像交換機的設(shè)置如下圖： [IMG]upload/tplink_zh.jpg[/IMG]通過無線AP上網(wǎng)的機器，經(jīng)過無線AP后，IP地址會被統(tǒng)一轉(zhuǎn)換，這樣我們就不能區(qū)分。所以，需要禁止無線AP的NAT功能。有兩種方式可以禁止：1)有的無線AP有自帶的禁止功能，可以直接禁止無線AP的NAT功能；2)如果沒有自帶的功能，可以手動將無線AP的廣域網(wǎng)口接線轉(zhuǎn)到LAN口上，使其NAT功能失效。
網(wǎng)絡(luò)實現(xiàn)監(jiān)控，就需要端口鏡像的支持。但是，我們常常會發(fā)現(xiàn)鏡像端口已經(jīng)配置好了，可還是不能實現(xiàn)監(jiān)控。下面將介紹4種可能導(dǎo)致鏡像端口配置不成功的原因：
1. 配置的鏡像端口和實際連接的不一致。比如鏡像的是5號端口，但是實際連接的是6號端口，建議檢查一下接線。
2. 超級嗅探狗實現(xiàn)監(jiān)控需要雙向（發(fā)送+接收）數(shù)據(jù)包，如果只鏡像了單向數(shù)據(jù)是無法實現(xiàn)監(jiān)控的。
3. 安裝嗅探狗的電腦要直接接到鏡像端口。
4. 超級嗅探狗設(shè)置不正確。
5. 監(jiān)控主機的殺毒軟件或者防火墻原因。有些殺毒軟件或者防火墻會自動丟棄掉非本機的數(shù)據(jù)包。建議關(guān)掉防火墻和殺毒軟件以排除其影響。已知的有影響的軟件有：NOD32,、瑞星。具體配置請查看：
某網(wǎng)絡(luò)環(huán)境如下圖，ADSL接入到linksys寬帶路由器（BEFSR41），然后通過“cisco無線AP”（Cisco 1200）搭建一無線局域網(wǎng)環(huán)境。局域網(wǎng)內(nèi)既有通過無線上網(wǎng)的機器，又有有線上網(wǎng)的機器。 [IMG]upload/HomeNetwork.jpg[/IMG] 在本例中，為了能同時對有線環(huán)境的機器和無線環(huán)境的機器進(jìn)行監(jiān)控。我們增加了一個TPLINK的鏡像交換機（TL-SL2210WEB）。如上圖中框內(nèi)部分。 tplink鏡像交換機的設(shè)置如下圖：
某公司電信光纖接入，采用ISA2004做為上網(wǎng)服務(wù)器，CISCO2950做為中心交換機。 網(wǎng)絡(luò)拓?fù)鋱D如下： 如上圖所示，針對這種網(wǎng)絡(luò)結(jié)構(gòu)，有兩種解決方案： 方案一： 直接把超級嗅探狗安裝在代理服務(wù)器上來監(jiān)控局域網(wǎng)。 方案二： 在其他電腦上安裝超級嗅探狗，通過交換機做端口鏡像來監(jiān)控網(wǎng)絡(luò)。 [B]請注意：對于通過內(nèi)部代理服務(wù)器上網(wǎng)的環(huán)境，要把代理服務(wù)器IP添加到超級嗅探狗的“監(jiān)聽配置”的“本地服務(wù)器”中。[/B]
