當前，在局域網(wǎng)網(wǎng)絡(luò)管理中，如何控制局域網(wǎng)網(wǎng)速、控制上網(wǎng)流量、控制局域網(wǎng)上網(wǎng)行為，一直是企業(yè)網(wǎng)絡(luò)管理人員的重要工作。但目前國內(nèi)上網(wǎng)管理軟件、網(wǎng)絡(luò)控制軟件種類繁多，如何選擇適合本單位需要的網(wǎng)管軟件呢？筆者以為，需要對上網(wǎng)行為管理軟件的前世今生有一個了解。

一、當前上網(wǎng)行為管理軟件的背景         

1、 對于普通的網(wǎng)關(guān)（路由器、防火墻等網(wǎng)絡(luò)設(shè)備）加非三層交換機的網(wǎng)絡(luò)環(huán)境，采用ARP欺騙技術(shù)的上網(wǎng)行為管理軟件，通常是在局域網(wǎng)一臺電腦安裝部署，然后向整個局域網(wǎng)發(fā)送ARP欺騙報文，使得局域網(wǎng)其他電腦將安裝上網(wǎng)行為管理軟件的電腦視為網(wǎng)關(guān)，并將網(wǎng)絡(luò)報文發(fā)送到此電腦，這樣上網(wǎng)行為管理軟件通過在網(wǎng)卡哪里安裝網(wǎng)絡(luò)報文過濾驅(qū)動，就可以抓取局域網(wǎng)所有電腦的網(wǎng)絡(luò)報文，經(jīng)過處理之后轉(zhuǎn)發(fā)到真正的網(wǎng)關(guān)，以此來實現(xiàn)對局域網(wǎng)電腦上網(wǎng)行為的管控。   

2、而對于三層交換機劃分了多個網(wǎng)段的情況下，通常是在三層交換機和上聯(lián)出口網(wǎng)絡(luò)設(shè)備（可以為路由器、交換機或防火墻等）之間部署上網(wǎng)行為管理系統(tǒng)（通常為硬件設(shè)備），并且通常采用串接或橋接的方式部署。也即將上網(wǎng)行為管理設(shè)備的一個網(wǎng)口連接三層交換機，另一個網(wǎng)口連接出口網(wǎng)絡(luò)設(shè)備，然后上網(wǎng)行為管理設(shè)備會通過網(wǎng)絡(luò)報文過濾驅(qū)動抓取流經(jīng)設(shè)備的所有上行報文和下行報文，并通過對網(wǎng)絡(luò)報文的控制來實現(xiàn)對三層交換機各個網(wǎng)段電腦上網(wǎng)行為的管控。   

3、對于一些非硬件的上網(wǎng)行為管理系統(tǒng)，針對三層交換機網(wǎng)絡(luò)環(huán)境下部署方式則通常采用雙網(wǎng)卡的方式。也即，在一臺電腦安裝兩塊網(wǎng)卡，并通過操作系統(tǒng)搭建成“網(wǎng)絡(luò)橋”，然后將上網(wǎng)行為管理軟件安裝在此電腦上網(wǎng)，并在“網(wǎng)絡(luò)橋”上安裝網(wǎng)絡(luò)過濾驅(qū)動，通過抓取所有流經(jīng)“網(wǎng)絡(luò)橋”的上行報文和下行報文的方式來實現(xiàn)對三層交換機多網(wǎng)段電腦上網(wǎng)行為的管控。   

當然，上述網(wǎng)絡(luò)準入控制方式都可以起到一定的作用，但是由于存在各種局限：   

例如，對于非三層交換機的網(wǎng)絡(luò)環(huán)境，也就是網(wǎng)關(guān)加非三層交換機的網(wǎng)絡(luò)環(huán)境，雖然通過ARP欺騙技術(shù)的上網(wǎng)行為管理軟件可以實現(xiàn)對局域網(wǎng)電腦上網(wǎng)行為的管理，但如果被控制的電腦安裝了ARP防火墻或?qū)W(wǎng)關(guān)進行了ARP靜態(tài)綁定的情況下，由于無法進行ARP欺騙而導(dǎo)致上網(wǎng)行為管理功能失效。  

而對于三層交換機環(huán)境下的上網(wǎng)行為管理控制，則由于需要在三層交換機和上層網(wǎng)關(guān)設(shè)備之間采用串接或橋接的方式部署，這使得一旦網(wǎng)絡(luò)設(shè)備出現(xiàn)故障將會直接導(dǎo)致整個三層交換機所有網(wǎng)段電腦無法上網(wǎng)，極容易出現(xiàn)單點故障。同時，不管是采用硬件上網(wǎng)行為管理設(shè)備還是基于軟件形態(tài)的上網(wǎng)行為管理系統(tǒng)，由于需要對三層交換機所有網(wǎng)段電腦外發(fā)的上行報文和回傳的下行報文進行全部抓取、過濾和轉(zhuǎn)發(fā)，這使得網(wǎng)絡(luò)報文的傳輸始終都會經(jīng)過此上網(wǎng)行為管理系統(tǒng)，由此帶來的網(wǎng)絡(luò)報文傳輸速度損耗不可避免，尤其是在網(wǎng)絡(luò)報文傳輸量大的情況下極為明顯，從而導(dǎo)致用戶網(wǎng)絡(luò)速度變慢、網(wǎng)絡(luò)性能下降的情況始終存在。

二、大勢至局域網(wǎng)網(wǎng)絡(luò)行為管理解決方案   

大勢至“聚生網(wǎng)管”上網(wǎng)監(jiān)控軟件（下載地址：http://www.grabsun.com/wangguan.html）是當前國內(nèi)安裝部署最簡單、網(wǎng)絡(luò)管理功能最全面的局域網(wǎng)網(wǎng)絡(luò)監(jiān)控軟件。本系統(tǒng)基于B/S架構(gòu)，只需要在局域網(wǎng)一臺電腦安裝就可以控制整個局域網(wǎng)電腦上網(wǎng)行為、限制局域網(wǎng)電腦網(wǎng)速。同時，在三層交換機多網(wǎng)段環(huán)境下，也只是將系統(tǒng)部署在三層交換機的一個網(wǎng)段，就可以實現(xiàn)對三層交換機所有網(wǎng)段電腦上網(wǎng)行為的管理，是當前國內(nèi)監(jiān)控三層交換機多網(wǎng)段電腦上網(wǎng)行為的最佳選擇。具體部署方式如下：

圖：三層交換機多網(wǎng)段環(huán)境下部署聚生網(wǎng)管網(wǎng)絡(luò)監(jiān)控軟件的方法  

圖：聚生網(wǎng)管監(jiān)控軟件截圖

大勢至聚生網(wǎng)管局域網(wǎng)限速軟件功能：   

1、局域網(wǎng)下載控制，屏蔽P2P下載和禁用右鍵另存為下載 2、局域網(wǎng)帶寬限制、局域網(wǎng)流量控制、局域網(wǎng)網(wǎng)速限制功能 3、禁止聊天軟件、限制即時通訊軟件、限制上網(wǎng)聊天功能 4、局域網(wǎng)主機IP和MAC地址綁定功能 5、限制網(wǎng)絡(luò)游戲、屏蔽網(wǎng)頁游戲、禁止電腦游戲 6、控制炒股軟件、禁止股票軟件、限制局域網(wǎng)炒股功能 7、屏蔽游戲網(wǎng)址、禁止打開游戲網(wǎng)站、限制訪問游戲網(wǎng)站 8、禁止P2P視頻、屏蔽視頻網(wǎng)站、限制網(wǎng)頁視頻 9、一鍵禁用購物網(wǎng)站、限制公司員工網(wǎng)購、禁止上班網(wǎng)購的功能 10、有效檢測局域網(wǎng)無線路由器、禁止安裝無線路由器、限制員工私接無線路由器上網(wǎng)；同時還可以禁止隨身wifi使用、屏蔽隨身wifi、禁用wifi共享精靈軟件的使用等 11、局域網(wǎng)主機強制隔離功能、禁止電腦網(wǎng)絡(luò)流量等 12、集成了訪問控制規(guī)則(ACL)功能 13、禁止局域網(wǎng)用戶訪問共享資源 14、網(wǎng)址黑白名單功能、監(jiān)控上網(wǎng)網(wǎng)址、記錄網(wǎng)站訪問功能 15、監(jiān)控郵箱訪問、監(jiān)控郵件收發(fā)、記錄郵件內(nèi)容、監(jiān)視敏郵件 16、局域網(wǎng)主機異常的警報功能 17、局域網(wǎng)主機遠程開機、局域網(wǎng)遠程關(guān)機、遠程重啟電腦、遠程注銷電腦功能（僅全能版提供） 18、控制局域網(wǎng)主機對光驅(qū)、軟驅(qū)、USB的使用（企業(yè)版提供或單獨購買“大勢至禁用USB端口軟件”（點擊打開）功能） 19、監(jiān)控WEB郵件、監(jiān)控論壇發(fā)帖、監(jiān)控網(wǎng)站留言 20、監(jiān)控Outlook郵件、監(jiān)控Foxmail郵件等郵件收發(fā)工具的郵件內(nèi)容 21、限制FTP下載、禁止FTP上傳、禁用FTP功能 22、網(wǎng)絡(luò)限制功能、網(wǎng)絡(luò)訪問控制、網(wǎng)址訪問限制 23、組策略（上網(wǎng)權(quán)限）管理功能 24、時間管理 25、跨網(wǎng)段管理電腦上網(wǎng)、監(jiān)控多網(wǎng)段電腦上網(wǎng)行為 26、局域網(wǎng)安全管理 27、防范ARP攻擊、檢測ARP病毒、防止ARP欺騙、阻斷ARP木馬 28、檢測混雜網(wǎng)卡、探測局域網(wǎng)混雜模式網(wǎng)卡、禁止局域網(wǎng)嗅探軟件、禁止局域網(wǎng)抓包軟件、限制網(wǎng)絡(luò)監(jiān)聽 29、檢測局域網(wǎng)內(nèi)代理服務(wù)器、禁止代理上網(wǎng)、禁止充當代理服務(wù)器、限制代理軟件、禁止局域網(wǎng)代理 30、網(wǎng)絡(luò)流量控制、上網(wǎng)流量限制、局域網(wǎng)流量控制、上網(wǎng)帶寬限制、上網(wǎng)流量統(tǒng)計 31、詳細日志記錄，可以記錄上網(wǎng)網(wǎng)址、記錄P2P下載、記錄炒股行為、記錄網(wǎng)絡(luò)游戲 32、其它功能：檢測局域網(wǎng)網(wǎng)管軟件、檢測局域網(wǎng)ARP攻擊、監(jiān)控局域網(wǎng)設(shè)備、監(jiān)視路由器、監(jiān)視防火墻運行狀態(tài) 33、提供局域網(wǎng)控制功能、網(wǎng)絡(luò)封鎖功能、網(wǎng)絡(luò)屏蔽功能、網(wǎng)絡(luò)過濾功能的個性化定制和開發(fā)，滿足企事業(yè)單位個性化網(wǎng)絡(luò)管理控制需要。

三、大勢至聚生網(wǎng)管網(wǎng)速控制軟件創(chuàng)新優(yōu)勢

本系統(tǒng)具有如下領(lǐng)先優(yōu)勢： 

1、本系統(tǒng)由于是直接接入到三層交換機上出口網(wǎng)關(guān)所在的網(wǎng)段，而不是通過串接或橋接的方式部署，從而可以避免通過串接或橋接方式部署極容易出現(xiàn)的單點故障，從而避免了網(wǎng)絡(luò)中斷的風(fēng)險。      

2、本系統(tǒng)針對三層交換機出口網(wǎng)關(guān)所連接的三層交換機端口進行ARP欺騙，而不是直接對局域網(wǎng)電腦進行網(wǎng)關(guān)的ARP欺騙，從而避免了因為被控制電腦安裝ARP防火墻或?qū)W(wǎng)關(guān)進行ARP靜態(tài)綁定后導(dǎo)致無法進行ARP欺騙，由此上網(wǎng)行為管理失效的情況。       

3、本系統(tǒng)只是對三層交換機各個網(wǎng)段電腦的上行報文進行抓取、過濾和控制，符合管理員預(yù)設(shè)權(quán)限的報文允許通過，而違背管理員預(yù)設(shè)權(quán)限規(guī)則的報文直接丟棄，以此就可以實現(xiàn)對電腦上網(wǎng)行為的管理。同時，由于無需對三層交換機出口網(wǎng)關(guān)回傳的公網(wǎng)下行報文進行抓取和過濾，而是由出口網(wǎng)關(guān)通過回指路由的方式直接發(fā)送給各個網(wǎng)段的電腦，從而避免了因為對下行報文的抓取、過濾和轉(zhuǎn)發(fā)而造成的網(wǎng)絡(luò)報文延遲、速度損耗的風(fēng)險，使得下行報文可以直接以線速進行轉(zhuǎn)發(fā)，從而顯著降低了因為部署上網(wǎng)行為管理系統(tǒng)而導(dǎo)致的網(wǎng)速變慢、網(wǎng)絡(luò)性能下降的情況發(fā)生。  

4、當本系統(tǒng)所在的電腦或網(wǎng)絡(luò)設(shè)備出現(xiàn)故障時，一方面可以通過系統(tǒng)附帶的網(wǎng)絡(luò)恢復(fù)工具實時發(fā)送網(wǎng)關(guān)正確的IP和MAC地址信息給出口網(wǎng)關(guān)所連接的三層交換機端口，從而可以實時恢復(fù)網(wǎng)絡(luò)通訊。此外，三層交換機的出口網(wǎng)關(guān)也會向連接三層交換機的端口發(fā)送自身的IP和MAC地址信息，更新此端口ARP表項中所緩存的網(wǎng)關(guān)的IP和MAC地址信息，從而實現(xiàn)了無人值守情況下的自動恢復(fù)網(wǎng)絡(luò)通訊的功能，從而實現(xiàn)了更為安全的上網(wǎng)行為管理。   

5、此外，本系統(tǒng)的部署不需要調(diào)整現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)，只需要在三層交換機出口網(wǎng)關(guān)所在的網(wǎng)段有一個富余的端口即可，不需要調(diào)整出口網(wǎng)關(guān)和三層交換機的其他配置，從而降低了部署本系統(tǒng)的工作量和復(fù)雜程度，便于實現(xiàn)更為快捷和高效的網(wǎng)絡(luò)管理。

最新評論