主管部門發出的安全風險報告，一般只能定位到局域網的公網IP。網管技術人員要處理解決該安全事件，還需要定位到具體的終端電腦。這個定位工作非?？简灳W管的技術，沒有對應的技術儲備，加上沒有合適的工具的話，你就只能一臺電腦一臺電腦的殺毒了。
在如何檢測局域網內感染了木馬病毒的電腦？一文中，我們介紹了如何通過WSG上網行為管理網關的“入侵防御”功能來定位挖礦、中毒、以及感染了木馬的電腦。對絕大部分情況來說，開啟入侵防御功能就可以檢測到被感染的終端電腦。然后對該電腦進行查毒殺毒就可以了。有些情況下，由于特征庫版本不一致，或者檢測技術不一樣，也可能存在并沒有檢測到的情況。這時候，我們還可以通過自定義規則的方式，來擴大檢測的內容。在本文中，我將介紹如何自定義檢測規則。
傳統的異地組網方式要求企業有帶固定公網IP的專線才可以實現；由于IPv4資源的短缺，運營商專線價格高企，大部分企業無法承擔高額的專線費用。為解決此問題，各大網絡廠商各顯神通，研發出了一系列的解決方案。本文中，我將介紹如何利用“SD-WAN技術”來實現沒有公網IP時的異地組網互聯。和傳統的VPN相比，SD-WAN有如下優勢：
自動尋址，無需公網IP。
點對點加密傳輸，無需通過服務器轉發，傳輸安全性高。
多平臺支持。有windows，安卓客戶端。
既能實現多地組網，又可以實現遠程辦公撥入。
隨著互聯網、數字化的迅速發展，遠程辦公、移動辦公、居家辦公已經是企業必備的網絡服務。企業網絡除了滿足日常的局域網組網，還需要可以滿足員工在外、在家時可以隨時隨地接入到企業內網。傳統的做法，一般有如下兩種：
1). 企業申請帶固定IP的企業專線，通過該固定IP提供遠程撥入服務。
2). 在路由器上綁定動態域名，通過動態域名來訪問。
近年以來，由于IPv4資源的短缺，運營商改為只分配內網的IPv4地址，導致動態域名這個方案已經不可行了。而專線方案價格高企，很多企業承受不了。
在如何利用Web VPN來保護內網信息安全一文中，我們介紹了如何用WebVPN來訪問內網的Web服務器。WebVPN可以給內網服務器添加一層認證保護，只有認證過的用戶才可以訪問內網資源，從而有效的保護了內網數據的安全性。對于Web服務器來說，WebVPN是通過子域名的方式，每個web服務都需要對應一個不同的二級域名。在WFilter NGF的2.0版本中，我們給WebVPN添加了轉發到“TCP服務器”的功能，使WebVPN用戶可以在認證后訪問到指定的TCP服務器。以下是Web方式和TCP方式的差別和優缺點分析：
Web方式
只能轉發到指定的Web服務器。
每個Web服務器都必須對應一個二級子域名。
可以對Web站點的內容進行替換。
TCP方式
可以轉發到任意的TCP服務。比如內網的ssh，rdp等，也包括web服務。
每個TCP服務必須對應一個本地端口。
外網用戶必須經過認證才可以訪問TCP端口。
不能對內容進行修改。
鏈路聚合和端口聚合是兩個概念：
1). 鏈路聚合是指多條外線的情況下把多條外線聚合使用。該功能可以通過WSG的“多線均衡”模塊來實現。
2). 端口聚合是指在WSG上接多個內網交換機端口，從而提升內網的上聯帶寬。
挖礦軟件會占用電腦的大量運算資源和電力資源，而且會引起主管部門的關注。局域網內有電腦被安裝了挖礦軟件是一件讓人很頭疼的事情，對成百上千臺電腦一臺一臺的進行排查簡直就和大海撈針一樣，需要耗費大量的時間和人力。所以很多網管人員面對上級部門發來的整改函一籌莫展。
因為局域網出口做了NAT網絡地址轉換，上級部門只能檢測到公司的公網IP，所以只能靠公司內部的網管人員來排查具體的終端了。最笨的辦法就是一臺電腦一臺電腦的檢查，通過檢查程序列表和任務管理器來找挖礦程序。
本文中，我將介紹如何用WSG上網行為管理中的“入侵防御”功能來檢查挖礦電腦。因為WSG上網行為管理是部署在局域網內部的，所以可以檢測到本地挖礦電腦的IP地址和MAC地址，從而準確的定位到具體電腦。
網管在做遠程技術支持的時候，需要連接到客戶的內網或者路由器。對于有公網IP的網絡，可以直接通過公網IP或者動態域名去訪問。由于現在運營商很多都只給內網IP，使得遠程技術支持必須要做內網穿透才可以。所以很多網管在做網絡維護的時候，還需要給用戶安裝FRP或者NPS的內網穿透服務，增加了維護的成本和復雜性。
在本文中，我將介紹如何通過SD-WAN的方式來給客戶提供遠程網管服務。SD-WAN和其他方式相比，可以自動尋址穿透，無需公網IP，也無需云主機轉發。具體步驟如下：
相對于傳統方案而言，SD-WAN有著無可比擬的優勢，很多局域網都采用了SD-WAN的智能組網和遠程辦公方案。SD-WAN的網絡規劃主要考慮如下三個方面：
多地虛擬組網
遠程辦公撥入
網管技術支持
所以，我們在配置SD-WAN網絡時候，主要考慮這三個需求就可以。
如圖：
在“如何用SD-WAN實現多地組網？”一文中，我們介紹了如何用SD-WAN來實現多地組網。實際上SD-WAN不僅可以用于多地組網，而且可以用于遠程辦公撥入。
和傳統的遠程辦公方案相比，SD-WAN有如下優勢：
自動尋址，無需公網IP。
點對點加密傳輸，無需通過服務器轉發，傳輸安全性高。
多平臺支持。有windows，安卓客戶端。
本文中，我將介紹如何用SD-WAN實現遠程辦公撥入。
SD-WAN不需要固定公網IP也可以實現遠程辦公撥入。如下圖，該局域網通過一臺WSG網關連接外網，內網網段是192.168.10.0/24。
SD-WAN即軟件定義廣域網，可以實現異地智能組網，遠程辦公撥入。和傳統的VPN相比，SD-WAN有如下優勢：
自動尋址，無需公網IP。
點對點加密傳輸，無需通過服務器轉發，傳輸安全性高。
多平臺支持。有windows，安卓客戶端。
既能實現多地異地組網，又可以實現遠程辦公撥入。
本文中，我將介紹如何用WSG自帶的SD-WAN來實現多地異地虛擬組網。
現在的視頻資源非常多，抖音、愛奇藝、騰訊視頻、優酷......可以說是數不勝數。而對于公司局域網來說，手機刷視頻不但嚴重影響工作效率，而且是一個非常耗費網絡帶寬的一個行為。
本文中，我將以WSG上網行為管理為例，介紹如何在公司局域網內禁止手機刷抖音等視頻。
局域網內如果有電腦感染了木馬病毒，是一件讓人很頭疼的事情。對成百上千臺電腦一臺一臺的進行查殺，簡直就和大海撈針一樣，需要耗費大量的時間和人力。所以很多網管人員面對上級部門發來的整改函一籌莫展，大部分情況下最終只能一臺一臺的殺毒整理。
從技術原理上來說，上級部門是在網絡上層部署了入侵檢測系統，對網絡流量進行分析，從中識別出木馬病毒的特征；由于出口處做了網絡地址轉換，上級部門只能檢測到公網IP，而無法知道實際中毒的電腦。所以，你只需要在本地局域網中部署了入侵檢測，就可以檢測到本地的中毒電腦的IP地址和MAC地址。然后就可以直接對電腦進行查殺了。
如下圖，在WSG上網行為管理的“安全防護”-“入侵防御”中，點擊“IPS檢測項”，就可以看到入侵防御的各個選項。
當您有多臺WSG設備時，如果有一個集中可以查看多臺設備、網絡狀態的綜合頁面，是不是很有吸引力？在本文中，我將介紹如何用php調用WSG的API，來自己DIY一個集中管控平臺。該平臺的源代碼框架如下：
index.htm： 定義頁面結構。
apidemo.php：php腳本，主要是處理API的調用。
apidemo.js：腳本，主要處理頁面的顯示邏輯。
具體步驟如下：
一些企事業單位的局域網出于安全需要，必須指定的mac地址才可以聯網和訪問服務器資源。在本例中，我將結合WSG上網行為管理網關，來介紹如何通過客戶機的MAC地址來對客戶端進行身份認證，只有通過認證的客戶端設備才可以訪問網絡資源。網絡結構圖如下：
作者:笨小驢 | 分類:企業網絡安全方案設計 | 瀏覽:6288 | 評論:0
有些業務系統出于安全需要，會限制登錄的IP地址，比如只允許總公司的IP訪問。這種情況下，分公司如果想要訪問該業務系統，也必須走總公司的寬帶才可以。要實現這個需求，一般有以下解決方案：
1). 方案一：分公司的電腦先撥入總公司的VPN，走總公司線路訪問外網。
2). 方案二：分公司和總公司之間組建site-to-site虛擬局域網，分公司電腦通過總部的代理服務器訪問業務系統。
3). 方案三：分公司和總公司之間組建site-to-site虛擬局域網，通過在分公司的網關上指定分流訪問。
方案一需要在每臺電腦上都撥入VPN，配置和維護都比較麻煩；方案二需要在總部搭建代理服務器；所以相對來說方案三最為方便快捷。本例中，我將結合WSG上網行為管理網關，介紹如何通過多線均衡和VPN客戶端來實現分公司走總部線路訪問業務系統（方案三）。
相對于二層交換機的網絡環境，在三層交換機環境下部署上網行為管理的步驟要復雜一些，差別主要在“靜態路由”和“MAC地址收集器”，還有上層防火墻的一些安全策略的影響。在本文中，我將結合一次實際的安裝經歷，介紹三層環境下用網橋模式部署WSG上網行為管理的一些常見問題。
本例中，網關是華為USG防火墻172.16.200.253，三層交換機是172.16.200.254，子網掩碼都是255.255.255.0。既然200段IP是足夠的，所以我就直接把管理口設置在網橋上面，把WSG的IP設置為172.16.200.252，網關地址和DNS是防火墻的IP地址172.16.200.253。
WFilter NGF上網行為管理系統支持“Logo修改器”擴展插件，可以實現如下功能：
自定義產品名
自定義產品Logo圖標
自定義網站鏈接
自定義界面皮膚
該“Logo修改器”擴展插件的使用界面如下圖：
采用釘釘做上網實名認證存在很多優勢，比如：
可以直接利用釘釘中現有的組織架構，不需要另行創建認證的賬號。
和短信認證相比，不會產生費用。
電腦和手機都可以支持。
可以自動獲取并記錄釘釘的員工姓名。
可以基于釘釘員工姓名配置上網策略和統計。
在“域賬號”中，我們介紹了在server 2003/2008下如何設置adclient登錄注銷腳本。如果您用的是server 2016之后的windows系統，配置步驟略有差異。本文將介紹如何在server 2016下配置登錄注銷腳本。具體步驟如下：
右鍵點擊“組策略管理”中域的“組策略對象”下面的“Default Domain Policy”。
很多公司出于工作需要，都會提供遠程辦公撥入的VPN，供員工在外地可以連接到企業內網處理工作。但是這也帶來一些安全方面的隱患；所以很多情況下，我們需要對外網撥入后的訪問權限進行控制。
在本例中，我將結合WSG上網行為管理網關的openvpn來介紹如何限制外網撥入后的訪問權限。
網管技術人員經常需要處理網站打不開的問題，而網站打不開可能有很多原因，作為一名合格的網絡技術人員，需要可以快速定位問題所在，然后加以解決。
本文中，我將介紹網站打不開的常見原因以及對應的解決方法。
網站自身問題
DNS解析問題
線路不通
網絡安全策略
本文將介紹如何用阿里云的短信服務來實現WiFi上網實名認證。
首先你要申請一個阿里云賬號，因為短信服務是需要審核的，所以賬號最好要用企業為主體并且完成實名認證。如果是個人賬號，那么申請短信簽名和模板時，流程會復雜一些。企業主體完成實名認證后，界面是這樣的：
然后在“產品和服務”中選擇“短信服務”，并且購買適合的套餐。
在局域網內部署WSG上網行為管理后，可以對全網的上網行為進行分析、記錄和統計。除了內置的一系列報表外，你還可以利用WSG的自定義報表功能，來實現更強大的統計功能。在本文中，我將介紹如何用WSG的統計報表，來對員工找工作的行為進行分析告警，從而使公司領導了解員工的工作心態，減少公司損失。
如下圖，選擇“網頁統計”-“網頁瀏覽次數統計”，勾選“保存該報表”，點擊保存后，再點擊“設置”。
采用企業微信做上網實名認證存在很多優勢，比如：
可以直接利用企業微信中現有的組織架構，不需要另行創建認證的賬號。
和短信認證相比，不會產生費用。
電腦和手機都可以支持。
可以自動獲取并記錄企業微信的員工姓名。
可以基于企業微信員工姓名配置上網策略和統計。
