當(dāng)前，在局域網(wǎng)網(wǎng)絡(luò)管理中，如何控制局域網(wǎng)網(wǎng)速、控制上網(wǎng)流量、控制局域網(wǎng)上網(wǎng)行為，一直是企業(yè)網(wǎng)絡(luò)管理人員的重要工作。但目前國(guó)內(nèi)上網(wǎng)管理軟件、網(wǎng)絡(luò)控制軟件種類繁多，如何選擇適合本單位需要的網(wǎng)管軟件呢？筆者以為，需要對(duì)上網(wǎng)行為管理軟件的前世今生有一個(gè)了解。

一、當(dāng)前上網(wǎng)行為管理軟件的背景         

1、 對(duì)于普通的網(wǎng)關(guān)（路由器、防火墻等網(wǎng)絡(luò)設(shè)備）加非三層交換機(jī)的網(wǎng)絡(luò)環(huán)境，采用ARP欺騙技術(shù)的上網(wǎng)行為管理軟件，通常是在局域網(wǎng)一臺(tái)電腦安裝部署，然后向整個(gè)局域網(wǎng)發(fā)送ARP欺騙報(bào)文，使得局域網(wǎng)其他電腦將安裝上網(wǎng)行為管理軟件的電腦視為網(wǎng)關(guān)，并將網(wǎng)絡(luò)報(bào)文發(fā)送到此電腦，這樣上網(wǎng)行為管理軟件通過(guò)在網(wǎng)卡哪里安裝網(wǎng)絡(luò)報(bào)文過(guò)濾驅(qū)動(dòng)，就可以抓取局域網(wǎng)所有電腦的網(wǎng)絡(luò)報(bào)文，經(jīng)過(guò)處理之后轉(zhuǎn)發(fā)到真正的網(wǎng)關(guān)，以此來(lái)實(shí)現(xiàn)對(duì)局域網(wǎng)電腦上網(wǎng)行為的管控。   

2、而對(duì)于三層交換機(jī)劃分了多個(gè)網(wǎng)段的情況下，通常是在三層交換機(jī)和上聯(lián)出口網(wǎng)絡(luò)設(shè)備（可以為路由器、交換機(jī)或防火墻等）之間部署上網(wǎng)行為管理系統(tǒng)（通常為硬件設(shè)備），并且通常采用串接或橋接的方式部署。也即將上網(wǎng)行為管理設(shè)備的一個(gè)網(wǎng)口連接三層交換機(jī)，另一個(gè)網(wǎng)口連接出口網(wǎng)絡(luò)設(shè)備，然后上網(wǎng)行為管理設(shè)備會(huì)通過(guò)網(wǎng)絡(luò)報(bào)文過(guò)濾驅(qū)動(dòng)抓取流經(jīng)設(shè)備的所有上行報(bào)文和下行報(bào)文，并通過(guò)對(duì)網(wǎng)絡(luò)報(bào)文的控制來(lái)實(shí)現(xiàn)對(duì)三層交換機(jī)各個(gè)網(wǎng)段電腦上網(wǎng)行為的管控。   

3、對(duì)于一些非硬件的上網(wǎng)行為管理系統(tǒng)，針對(duì)三層交換機(jī)網(wǎng)絡(luò)環(huán)境下部署方式則通常采用雙網(wǎng)卡的方式。也即，在一臺(tái)電腦安裝兩塊網(wǎng)卡，并通過(guò)操作系統(tǒng)搭建成“網(wǎng)絡(luò)橋”，然后將上網(wǎng)行為管理軟件安裝在此電腦上網(wǎng)，并在“網(wǎng)絡(luò)橋”上安裝網(wǎng)絡(luò)過(guò)濾驅(qū)動(dòng)，通過(guò)抓取所有流經(jīng)“網(wǎng)絡(luò)橋”的上行報(bào)文和下行報(bào)文的方式來(lái)實(shí)現(xiàn)對(duì)三層交換機(jī)多網(wǎng)段電腦上網(wǎng)行為的管控。   

當(dāng)然，上述網(wǎng)絡(luò)準(zhǔn)入控制方式都可以起到一定的作用，但是由于存在各種局限：   

例如，對(duì)于非三層交換機(jī)的網(wǎng)絡(luò)環(huán)境，也就是網(wǎng)關(guān)加非三層交換機(jī)的網(wǎng)絡(luò)環(huán)境，雖然通過(guò)ARP欺騙技術(shù)的上網(wǎng)行為管理軟件可以實(shí)現(xiàn)對(duì)局域網(wǎng)電腦上網(wǎng)行為的管理，但如果被控制的電腦安裝了ARP防火墻或?qū)W(wǎng)關(guān)進(jìn)行了ARP靜態(tài)綁定的情況下，由于無(wú)法進(jìn)行ARP欺騙而導(dǎo)致上網(wǎng)行為管理功能失效。  

而對(duì)于三層交換機(jī)環(huán)境下的上網(wǎng)行為管理控制，則由于需要在三層交換機(jī)和上層網(wǎng)關(guān)設(shè)備之間采用串接或橋接的方式部署，這使得一旦網(wǎng)絡(luò)設(shè)備出現(xiàn)故障將會(huì)直接導(dǎo)致整個(gè)三層交換機(jī)所有網(wǎng)段電腦無(wú)法上網(wǎng)，極容易出現(xiàn)單點(diǎn)故障。同時(shí)，不管是采用硬件上網(wǎng)行為管理設(shè)備還是基于軟件形態(tài)的上網(wǎng)行為管理系統(tǒng)，由于需要對(duì)三層交換機(jī)所有網(wǎng)段電腦外發(fā)的上行報(bào)文和回傳的下行報(bào)文進(jìn)行全部抓取、過(guò)濾和轉(zhuǎn)發(fā)，這使得網(wǎng)絡(luò)報(bào)文的傳輸始終都會(huì)經(jīng)過(guò)此上網(wǎng)行為管理系統(tǒng)，由此帶來(lái)的網(wǎng)絡(luò)報(bào)文傳輸速度損耗不可避免，尤其是在網(wǎng)絡(luò)報(bào)文傳輸量大的情況下極為明顯，從而導(dǎo)致用戶網(wǎng)絡(luò)速度變慢、網(wǎng)絡(luò)性能下降的情況始終存在。

二、大勢(shì)至局域網(wǎng)網(wǎng)絡(luò)行為管理解決方案   

大勢(shì)至“聚生網(wǎng)管”上網(wǎng)監(jiān)控軟件（下載地址：http://www.grabsun.com/wangguan.html）是當(dāng)前國(guó)內(nèi)安裝部署最簡(jiǎn)單、網(wǎng)絡(luò)管理功能最全面的局域網(wǎng)網(wǎng)絡(luò)監(jiān)控軟件。本系統(tǒng)基于B/S架構(gòu)，只需要在局域網(wǎng)一臺(tái)電腦安裝就可以控制整個(gè)局域網(wǎng)電腦上網(wǎng)行為、限制局域網(wǎng)電腦網(wǎng)速。同時(shí)，在三層交換機(jī)多網(wǎng)段環(huán)境下，也只是將系統(tǒng)部署在三層交換機(jī)的一個(gè)網(wǎng)段，就可以實(shí)現(xiàn)對(duì)三層交換機(jī)所有網(wǎng)段電腦上網(wǎng)行為的管理，是當(dāng)前國(guó)內(nèi)監(jiān)控三層交換機(jī)多網(wǎng)段電腦上網(wǎng)行為的最佳選擇。具體部署方式如下：

圖：三層交換機(jī)多網(wǎng)段環(huán)境下部署聚生網(wǎng)管網(wǎng)絡(luò)監(jiān)控軟件的方法  

圖：聚生網(wǎng)管監(jiān)控軟件截圖

大勢(shì)至聚生網(wǎng)管局域網(wǎng)限速軟件功能：   

1、局域網(wǎng)下載控制，屏蔽P2P下載和禁用右鍵另存為下載 2、局域網(wǎng)帶寬限制、局域網(wǎng)流量控制、局域網(wǎng)網(wǎng)速限制功能 3、禁止聊天軟件、限制即時(shí)通訊軟件、限制上網(wǎng)聊天功能 4、局域網(wǎng)主機(jī)IP和MAC地址綁定功能 5、限制網(wǎng)絡(luò)游戲、屏蔽網(wǎng)頁(yè)游戲、禁止電腦游戲 6、控制炒股軟件、禁止股票軟件、限制局域網(wǎng)炒股功能 7、屏蔽游戲網(wǎng)址、禁止打開(kāi)游戲網(wǎng)站、限制訪問(wèn)游戲網(wǎng)站 8、禁止P2P視頻、屏蔽視頻網(wǎng)站、限制網(wǎng)頁(yè)視頻 9、一鍵禁用購(gòu)物網(wǎng)站、限制公司員工網(wǎng)購(gòu)、禁止上班網(wǎng)購(gòu)的功能 10、有效檢測(cè)局域網(wǎng)無(wú)線路由器、禁止安裝無(wú)線路由器、限制員工私接無(wú)線路由器上網(wǎng)；同時(shí)還可以禁止隨身wifi使用、屏蔽隨身wifi、禁用wifi共享精靈軟件的使用等 11、局域網(wǎng)主機(jī)強(qiáng)制隔離功能、禁止電腦網(wǎng)絡(luò)流量等 12、集成了訪問(wèn)控制規(guī)則(ACL)功能 13、禁止局域網(wǎng)用戶訪問(wèn)共享資源 14、網(wǎng)址黑白名單功能、監(jiān)控上網(wǎng)網(wǎng)址、記錄網(wǎng)站訪問(wèn)功能 15、監(jiān)控郵箱訪問(wèn)、監(jiān)控郵件收發(fā)、記錄郵件內(nèi)容、監(jiān)視敏郵件 16、局域網(wǎng)主機(jī)異常的警報(bào)功能 17、局域網(wǎng)主機(jī)遠(yuǎn)程開(kāi)機(jī)、局域網(wǎng)遠(yuǎn)程關(guān)機(jī)、遠(yuǎn)程重啟電腦、遠(yuǎn)程注銷電腦功能（僅全能版提供） 18、控制局域網(wǎng)主機(jī)對(duì)光驅(qū)、軟驅(qū)、USB的使用（企業(yè)版提供或單獨(dú)購(gòu)買“大勢(shì)至禁用USB端口軟件”（點(diǎn)擊打開(kāi)）功能） 19、監(jiān)控WEB郵件、監(jiān)控論壇發(fā)帖、監(jiān)控網(wǎng)站留言 20、監(jiān)控Outlook郵件、監(jiān)控Foxmail郵件等郵件收發(fā)工具的郵件內(nèi)容 21、限制FTP下載、禁止FTP上傳、禁用FTP功能 22、網(wǎng)絡(luò)限制功能、網(wǎng)絡(luò)訪問(wèn)控制、網(wǎng)址訪問(wèn)限制 23、組策略（上網(wǎng)權(quán)限）管理功能 24、時(shí)間管理 25、跨網(wǎng)段管理電腦上網(wǎng)、監(jiān)控多網(wǎng)段電腦上網(wǎng)行為 26、局域網(wǎng)安全管理 27、防范ARP攻擊、檢測(cè)ARP病毒、防止ARP欺騙、阻斷ARP木馬 28、檢測(cè)混雜網(wǎng)卡、探測(cè)局域網(wǎng)混雜模式網(wǎng)卡、禁止局域網(wǎng)嗅探軟件、禁止局域網(wǎng)抓包軟件、限制網(wǎng)絡(luò)監(jiān)聽(tīng) 29、檢測(cè)局域網(wǎng)內(nèi)代理服務(wù)器、禁止代理上網(wǎng)、禁止充當(dāng)代理服務(wù)器、限制代理軟件、禁止局域網(wǎng)代理 30、網(wǎng)絡(luò)流量控制、上網(wǎng)流量限制、局域網(wǎng)流量控制、上網(wǎng)帶寬限制、上網(wǎng)流量統(tǒng)計(jì) 31、詳細(xì)日志記錄，可以記錄上網(wǎng)網(wǎng)址、記錄P2P下載、記錄炒股行為、記錄網(wǎng)絡(luò)游戲 32、其它功能：檢測(cè)局域網(wǎng)網(wǎng)管軟件、檢測(cè)局域網(wǎng)ARP攻擊、監(jiān)控局域網(wǎng)設(shè)備、監(jiān)視路由器、監(jiān)視防火墻運(yùn)行狀態(tài) 33、提供局域網(wǎng)控制功能、網(wǎng)絡(luò)封鎖功能、網(wǎng)絡(luò)屏蔽功能、網(wǎng)絡(luò)過(guò)濾功能的個(gè)性化定制和開(kāi)發(fā)，滿足企事業(yè)單位個(gè)性化網(wǎng)絡(luò)管理控制需要。

三、大勢(shì)至聚生網(wǎng)管網(wǎng)速控制軟件創(chuàng)新優(yōu)勢(shì)

本系統(tǒng)具有如下領(lǐng)先優(yōu)勢(shì)： 

1、本系統(tǒng)由于是直接接入到三層交換機(jī)上出口網(wǎng)關(guān)所在的網(wǎng)段，而不是通過(guò)串接或橋接的方式部署，從而可以避免通過(guò)串接或橋接方式部署極容易出現(xiàn)的單點(diǎn)故障，從而避免了網(wǎng)絡(luò)中斷的風(fēng)險(xiǎn)。      

2、本系統(tǒng)針對(duì)三層交換機(jī)出口網(wǎng)關(guān)所連接的三層交換機(jī)端口進(jìn)行ARP欺騙，而不是直接對(duì)局域網(wǎng)電腦進(jìn)行網(wǎng)關(guān)的ARP欺騙，從而避免了因?yàn)楸豢刂齐娔X安裝ARP防火墻或?qū)W(wǎng)關(guān)進(jìn)行ARP靜態(tài)綁定后導(dǎo)致無(wú)法進(jìn)行ARP欺騙，由此上網(wǎng)行為管理失效的情況。       

3、本系統(tǒng)只是對(duì)三層交換機(jī)各個(gè)網(wǎng)段電腦的上行報(bào)文進(jìn)行抓取、過(guò)濾和控制，符合管理員預(yù)設(shè)權(quán)限的報(bào)文允許通過(guò)，而違背管理員預(yù)設(shè)權(quán)限規(guī)則的報(bào)文直接丟棄，以此就可以實(shí)現(xiàn)對(duì)電腦上網(wǎng)行為的管理。同時(shí)，由于無(wú)需對(duì)三層交換機(jī)出口網(wǎng)關(guān)回傳的公網(wǎng)下行報(bào)文進(jìn)行抓取和過(guò)濾，而是由出口網(wǎng)關(guān)通過(guò)回指路由的方式直接發(fā)送給各個(gè)網(wǎng)段的電腦，從而避免了因?yàn)閷?duì)下行報(bào)文的抓取、過(guò)濾和轉(zhuǎn)發(fā)而造成的網(wǎng)絡(luò)報(bào)文延遲、速度損耗的風(fēng)險(xiǎn)，使得下行報(bào)文可以直接以線速進(jìn)行轉(zhuǎn)發(fā)，從而顯著降低了因?yàn)椴渴鹕暇W(wǎng)行為管理系統(tǒng)而導(dǎo)致的網(wǎng)速變慢、網(wǎng)絡(luò)性能下降的情況發(fā)生。  

4、當(dāng)本系統(tǒng)所在的電腦或網(wǎng)絡(luò)設(shè)備出現(xiàn)故障時(shí)，一方面可以通過(guò)系統(tǒng)附帶的網(wǎng)絡(luò)恢復(fù)工具實(shí)時(shí)發(fā)送網(wǎng)關(guān)正確的IP和MAC地址信息給出口網(wǎng)關(guān)所連接的三層交換機(jī)端口，從而可以實(shí)時(shí)恢復(fù)網(wǎng)絡(luò)通訊。此外，三層交換機(jī)的出口網(wǎng)關(guān)也會(huì)向連接三層交換機(jī)的端口發(fā)送自身的IP和MAC地址信息，更新此端口ARP表項(xiàng)中所緩存的網(wǎng)關(guān)的IP和MAC地址信息，從而實(shí)現(xiàn)了無(wú)人值守情況下的自動(dòng)恢復(fù)網(wǎng)絡(luò)通訊的功能，從而實(shí)現(xiàn)了更為安全的上網(wǎng)行為管理。   

5、此外，本系統(tǒng)的部署不需要調(diào)整現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)，只需要在三層交換機(jī)出口網(wǎng)關(guān)所在的網(wǎng)段有一個(gè)富余的端口即可，不需要調(diào)整出口網(wǎng)關(guān)和三層交換機(jī)的其他配置，從而降低了部署本系統(tǒng)的工作量和復(fù)雜程度，便于實(shí)現(xiàn)更為快捷和高效的網(wǎng)絡(luò)管理。

最新評(píng)論