笨驴信息(IMFirewall)博客

在WFilter NGF(WSG上网行为管理网关）的”Web认证“配置中，可以基于IP范围来配置要进行Web认证的客户端。实际使用中，有些局域网电脑和手机无线终端都混杂在同一个网段，这种情况下，如果要只对电脑做认证，或者只对手机做认证，就不能通过IP范围来实现了。需要修改默认的认证页面，基于浏览器的useragent来获取客户端操作系统类型，并且判断是否放行（无需认证直接放行）。

如下图，点击”编辑Web认证页面”，然后点击源代码图标。

在上网行为管理如何实现钉钉扫描二维码进行Web认证登录这篇文章中，我们介绍了如何用手机钉钉扫码登录电脑。电脑在上外网之前，需要用手机钉钉扫描二维码才可以使用网络，并且记录该用户账号的上网内容。而在实际使用中，有些用户还想对手机上外网进行用户认证，从而可以识别到手机的员工姓名并记录上网日志。

本文中，我将介绍如何用手机钉钉扫码对自身手机进行Web认证。

在认证前，该手机是无法上外网的。大部分手机会自动弹出Web认证页面（也可以手动在浏览器里面打开），如下图：

WSG上网行为管理网关（WFilter NGF）的Web认证功能非常强大，可以支持多种用户名认证（本地用户、邮箱认证、域认证、Radius认证等），还可以支持短信认证、微信认证、钉钉认证等第三方认证。不过在有些情况下，用户还希望WSG可以对接第三方的Web认证界面，即通过其他的Web认证系统进行认证，而由WSG来实现上网管控和上网记录。本例中，我将介绍如何用WSG来对接第三方Web认证平台。

首先，开启WSG的Web认证功能。

“Web认证”的需求是对需要管控的员工网段开启认证，一些电脑不开启认证。如图：
1. 设置要管控的IP范围
2. 设置一个合理的超时重新认证时间，1440就是每天都需要重新认证一次。
3. 领导的mac地址加到“例外的MAC地址”

企业微信,是腾讯微信团队为企业打造的专业办公管理工具。与微信一致的沟通体验,丰富免费的OA应用,并与微信消息、小程序、微信支付等互通,助力企业高效办公和管理。在“如何实现钉钉扫描二维码进行Web认证登录？”一文中，我们介绍了如何用钉钉扫码认证上网。而一些局域网采用的是企业微信来做办公管理。本文，我将结合WSG上网行为管理网关（WFilter NGF）中的“Web认证”功能，介绍如何利用企业微信的扫描二维码功能来实现内网用户的Web认证登录。该功能有如下优势：

1. 直接用企业微信扫码登录，无需在WSG系统内创建用户。
   

2. 可以自动获取并记录企业微信的员工姓名。

3. 可以基于企业微信员工姓名配置上网策略和统计。

一些配置的步骤和截图如下：

钉钉（DingTalk）是阿里巴巴集团专为中国企业打造的免费沟通和协同的多端平台。钉钉因中国企业而生，帮助中国企业通过系统化的解决方案（微应用），全方位提升中国企业沟通和协同效率。一些局域网为了信息安全和管理需要，需要用户进行Web认证后才可以使用局域网，并且记录该用户账号的上网内容。

本文，我将结合WSG上网行为管理网关（WFilter NGF）中的“Web认证”功能，介绍如何利用钉钉的扫描二维码功能来实现内网用户的Web认证登录。该功能有如下优势：

1. 直接用钉钉扫码登录，无需在WSG系统内创建用户。
   

2. 可以自动获取并记录钉钉的员工姓名。

3. 可以基于钉钉员工姓名配置上网策略和统计。

一些配置的步骤和截图如下：

在如何对来宾用户进行上网行为管理中，我们介绍了基于VLAN或者DHCP范围来区分来访人员和普通办公人员。在本文中，我将介绍另外一种较典型的方式：“对办公人员进行IP-MAC绑定；并要求来访人员Web认证。”

首先需要在IP-MAC绑定中录入办公人员的IP和MAC地址（略）。然后再进行下述配置：

1. 设置DHCP范围

IP-MAC绑定后，办公电脑DHCP获取的都是绑定的IP地址。为了区分办公电脑和来访人员的IP地址，我们首先需要设置DHCP的范围和办公电脑绑定的IP范围区分开。

苹果（IOS）、以及一些新的andriod和windows系统，在连接网络时，会自动检测网络是否连通以及是否存在认证页面（Captive Web Portal），一旦发现网络需要认证，操作系统会自动弹出认证页面供用户进行认证。这个功能最早是在IOS上实现的，所以一些老版本的安卓系统或者windows系统并不会自动弹出认证页面。

WFilter NGF中的“Web认证”完全按照Web Portal认证的标准来实现，在WFilter NGF中开启”Web认证“后，也会存在一部分系统不能自动弹出认证页面的情况。一般有如下原因：

1. 客户机操作系统比较老旧。安卓4.0和windows 8.0之前的版本都不支持自动弹出。
   

2. 客户机的浏览器问题导致不能自动打开浏览器。
   

本文中，我将结合WSG的相关功能来介绍如何解决此问题。一般而言有三种办法，具体描述如下：

在阿里云短信认证网关的具体实现这篇文章中，我们介绍了如何使用阿里云的php sdk来实现短信认证功能。在实际使用中，有一些用户不具备开发sdk的技术能力。所以在最新版的WFilter NGF系统中，我们集成了阿里云的SDK模块。用户无需搭建SDK的web服务等环境，即可实现阿里云短信认证的功能。

本文中，我将结合阿里云短信平台来介绍WFilter NGF的短信认证功能。

1. 阿里云短信平台相关配置

首先要创建AccessKey

根据《中华人民共和国网络安全法》（第十条、第二十一条、第二十四条）、《中华人民共和国反恐怖主义法》（第十九条、第二十一条）、《计算机信息网络国际联网安全保护管理办法》(第十条、第十一条、第十二条、第十七条)、《互联网安全保护技术措施规定》(第七条、第八条、第十一条)等相关法律规定，公共无线上网场所应当落实相关网络安全保护技术措施。而从2018年11月1日开始正式施行的《公安机关互联网安全监督检查规定》（公安部令第151号），是网络安全执法检查工作与《网络安全法》的深度结合，对执法过程进行了详细的规定，使得监督检查工作做到依法检查、依法处置。简单的说，有两条需要值得我们重点关注的地方：

1. 提供WiFi上网服务的公共场所，必须落实上网实名认证。

2. 提供上网服务的公共场所，必须至少保存六十天的上网记录备份。

自从2014年腾讯推出“微信连Wi-Fi”功能以来，“微信WiFi”一度成为商业公众号的吸粉利器。手机连接WiFi即可自动打开公众号，或者扫描二维码打开公众号。既满足了客户WiFi上网，又可以满足商家涨粉的需要。

对人员流动比较频繁的局域网来说，首要的一个问题就是要进行网络的准入认证，记录用户的身份信息和上网日志。从而使网络行为有据可查，也能满足职能部门的督察需要。WFilter NGF中的几种认证机制，优缺点比较如下：

1. 用户名密码认证。需要维护用户名密码，适合人员比较固定的网络。
   

2. 微信WiFi认证。微信WiFi的流程是打开公众号即可上网，并且记录微信的openid。适合在人员流动大的网络环境中做营销推广。

3. 手机短信认证。通过手机接收验证码来上网，记录手机号和上网记录。适合人员流动比较大的网络环境留存身份信息和上网审计记录。
   

本文中， 我将结合一个实际例子来介绍WFilter NGF（WSG网关）的短信认证功能。

微信WiFi的默认流程，已经从最初的“关注公众号”变成了目前的“打开公众号”。应该说，“打开公众号但是不强制关注“其实是一个更加人性化的做法；因为任何诱导/强制关注，都会影响最终用户的体验和公正性原则；长远来看会影响公众号的发展。微信WiFi如下图：

WFilter NGF的“Web认证”模块，提供了一系列的上网认证解决方案。包括如下认证方式：

1. 本地用户名密码认证
   

2. AD域用户名密码认证

3. 企业邮箱用户名密码认证

4. Radius用户名密码认证

5. 微信WiFi认证

6. Facebook Wifi认证

除此，WFilter NGF还有一个“其他”的选项，利用这个选项，你可以扩展更多的用户认证方式，比如“短信认证”，使用者必须输入自己的手机号码，获取验证短信后输入才可以上网。如图：

对于局域网信息安全来说，首要的一点就是接入认证，缺少接入认证，那内网安全完全无从谈起。而在接入认证中，“Web Portal认证”是目前应用最为广泛的一种方式。那么，今天我们来看看WFilter的“Web认证”提供哪些认证解决方案。

首先，WFilter NGF的“Web认证”包括两个部分：

1. 用户名认证：基于用户名口令的认证方案
   

2. 营销认证：主要是微信WiFi（国内）和Facebook WiFi（国外）。

WFilter NGF（WSG上网行为管理网关）的“Web认证模块”主要包括两个部分：“用户名认证”和“营销认证”。

1. 用户名认证：输入用户名口令来认证上网。

2. 营销认证：国内主要是“微信WiFi”，国外主要用“Facebook WiFi”。

本文中，我将简单介绍如何用WFilter NGF（WSG上网行为管理网关）来实现微信扫码上网。

微信WiFi，又名“微信连WiFi”。这个功能要求连接WiFi的用户关注公众号后上网，既可以推广公众号，还可以显示广告位，具备很实用的商业价值。微信WiFi认证的实现，有如下办法：

1. 广告路由器。直接把微信WiFi集成在无线路由器中，通过路由器界面或者云管理来进行配置。

2. 认证网关（网桥） + 无线AP的方式。由认证网关网桥来进行微信WiFi认证，无线AP只提供无线接入。

3. 旁路软件 + 无线AP的方式。由旁路软件来推送认证页面，无线AP只提供无线接入。

这三种方案，广告路由器的方案比较适合小环境，成本和实施都非常的简单。如果网络有一定规模，不适合部署多个广告路由器时，就需要考虑第二和第三种方案。“认证网关”和“旁路软件”的主要差别在于部署模式。

现在很多企业局域网都是全无线覆盖，给员工和客户的网络接入提供了很大的便利。无论在公司或者厂区的任何位置，都可以很方便的接入到公司局域网和互联网。但是这样也带来了不可避免的安全性问题：一旦有未经授权的网络接入，不但会占用宝贵的带宽资源；而且会带来病毒、黑客攻击等局域网安全问题。

所以，局域网在做无线覆盖的同时，一定要考虑到安全问题。一般来说，可以从两方面入手：

1. 合理的划分VLAN。无线接入应当处于单独的VLAN，并且控制该VLAN对企业内部资源的访问。即使有恶意的攻击，也可以被控制在无线VLAN内部。

2. 对无线上网的设备进行用户认证。

3. 对无线上网的设备进行ip-mac绑定。

4. 记录无线上网的上网记录，包括ip地址、mac地址、网站访问等信息。供需要时查询。

小区宽带的网络管理、上网行为管理方案，主要需要满足以下几点需求：

1. 用户认证；基于电话号码、身份证号码、门牌号等进行用认证。

2. 带宽分配；对同一个用户需要进行限速和流量限制（比如：2Mb带宽，每月50G流量）。

3. 行为管理；一些不合适的内容需要禁止掉。

4. 上网记录；访问的网站、论坛发帖等行为需要记录下来，供职能部门审核。

5. 用户通知；流量套餐的使用情况、账号到期、是否欠费等情况，都要有途径通知到用户。

WFilter NGF的“运营管理”模块，集成了用户认证、带宽策略、用户通知等一系列功能，为小区宽带的网络管理提供了一个综合的解决方案。本文将给WFilter NGF的“运营管理”做一个简单介绍。

酒店局域网的网络管理、上网行为管理方案，主要需要满足以下几点需求：

1. 用户认证；一般需要基于房号或者身份证号进行用户认证。
   

2. 带宽分配；对同一个用户需要进行限速和流量限制（比如：2Mb带宽，每天10G流量）。

3. 行为管理；一些不合适的内容需要禁止掉。

4. 上网记录；访问的网站、论坛发帖等行为需要记录下来，供职能部门审核。

WFilter NGF的“运营管理”模块，集成了用户认证、带宽策略、用户通知等一系列功能，为酒店上网行为管理提供了一个综合的解决方案。本文将给WFilter NGF的“运营管理”做一个简单介绍。

经常有些客户问到如何用“WFilter上网行为管理软件（超级嗅探狗）”来禁止局域网内未登录到域的客户机上网，所以写了这篇博文。

首先，您应该已经部署了微软的域控，并且启用了“WFilter上网行为管理软件”中的“域监控”功能，具体步骤请参考：WFilter账号监控方案

启用了账号监控后，请按照如下步骤来禁止未登录域的客户机上网。

虽然企业的域控可以解决电脑权限的问题，但是如果互联网访问权限不能和AD域用户结合，会促使局域网内的用户采用自带的移动设备或者个人电脑来访问企业网络和互联网；从而给企业网络带来安全隐患。

为了网络管理和安全的需要，有些局域网需要禁止非域的客户机上网，当电脑或者移动设备未登录到域时，禁止其上网；并且强制未登录的客户机进行Web用户认证，从而可以基于域用户进行监控管理。

本文将介绍如何用“WFilter上网行为管理系统”（WFilter NGF）来禁止非域客户机上网。具体步骤如下：

有些网络环境，人员的流动比较多，设备也不固定，很难基于IP地址或者MAC地址去进行管理。基于账号的Web认证就是首选的认证方案。

本文将介绍如何用“WFilter上网行为管理系统”（WFilter NGF）来进行Web认证。

启用Web认证

输入Web认证的IP范围，验证方式等参数。本例中，用的是域的远程Radius认证，如果没有域控制器，您也可以自己在WFilter中添加账号，进行本地认证。如下图：

在局域网环境中，“基于IP地址“和”基于MAC地址“都是重要的上网行为管理的策略配置方式。但是，两者都存在各自的优缺点：

基于IP地址监管的优缺点

1. 优点：适用于所有网络环境。

对于中小型局域网环境，以及无线移动设备上网的环境，在IP地址不固定，设备也不固定时，可以使用WFilter中的“自定义账户”功能。可以对局域网内的客户机基于账号进行监控和上网行为管理。比如上网想做一些管理策略，但是也没必要做太复杂的设置，这个功能是最好的，而且操作设置特别简单明了。

本文将介绍如何使用“WFilter上网行为管理软件”的“自定义账户”功能进行账号验证。

域环境下怎么对上网行为进行管理？域只能用来登陆电脑，管理电脑，那么域账号下的上网行为如何管理？很多域环境企业给每个员工分配域账号，他们的电脑操作管理到了，那上网行为呢？

本文将简单介绍如何用“WFilter上网行为管理系统”（WFilter NGF）来对域账号配置上网策略。