对人员流动比较频繁的局域网来说，首要的一个问题就是要进行网络的准入认证，记录用户的身份信息和上网日志。从而使网络行为有据可查，也能满足职能部门的督察需要。WFilter NGF中的几种认证机制，优缺点比较如下：
用户名密码认证。需要维护用户名密码，适合人员比较固定的网络。
微信WiFi认证。微信WiFi的流程是打开公众号即可上网，并且记录微信的openid。适合在人员流动大的网络环境中做营销推广。
手机短信认证。通过手机接收验证码来上网，记录手机号和上网记录。适合人员流动比较大的网络环境留存身份信息和上网审计记录。
本文中， 我将结合一个实际例子来介绍WFilter NGF（WSG网关）的短信认证功能。
企业为了满足出差人员，在家人员的办公需要，往往需要开通远程办公功能。使得员工可以通过互联网连接到公司内网进行工作。在WFilter NGF中，“OpenVPN服务端“和“PPTP服务端”这两个模块都可以满足远程办公的需要。相对而言，OpenVPN的配置复杂，但是安全性更高一些。
本例中，我将演示如何用WFilter NGF的OpenVPN服务端模块来实现远程办公。
企业微信是腾讯微信团队为企业打造的专业办公管理工具，现在很多企业用企业微信来进行办公沟通。但是一些企业开通了微信后，却发现员工会花大量时间用在个人微信聊天、朋友圈上面。所以，为了不影响工作效率，在使用企业微信的同时还需要禁止个人微信的使用。
本文将介绍如何用WSG上网行为管理网关来实现“允许企业微信的同时屏蔽个人微信”。
很多企业为了工作需要都申请了多WAN接入。而大部分的多WAN口设备在默认配置下都是直接负载均衡；以WSG上网行为管理网关为例，默认配置是这样的：
运营商分流。电信网站的访问会优先走电信线路，联通站点优先走联通线路。
负载均衡。根据wan口的带宽大小进行负载均衡。
在企业的网络内部有着很多重要的IT资源，比如：OA服务器、ERP服务器等，这些业务主机一旦停止工作或者被攻击，会直接影响业务的正常运行，带来重大损失。在有线网络的情况下，安全性还是比较可靠的。而现阶段绝大部分企业都提供了无线上网；客户机只要知道了无线密码，就可以接入企业的局域网，导致安全隐患。而关键的一点在于你的无线密码并不安全：
aircrack等软件可以对无线密码进行暴力破解。
一旦有员工安装了wifi钥匙等软件，你的无线就等于是公开的。
访客网络和办公网络分开的方式，并不能阻止访客连接办公网络。（访客可以直接询问密码，或者通过wifi钥匙等软件接入）
HTTPS（HTTP over SSL）由于其通讯协议的特殊性，域名信息和访问的URL等都处于SSL加密保护下；所以大部分的路由器系统都无法对https网站的域名进行过滤和屏蔽。而诸如WFilter这样的专业级上网行为管理产品，则可以对流量进行深度分析，并提取出https通讯中的域名信息，从而进行过滤屏蔽。
由于无线的便利性，越来越多的企业局域网采用无线办公的方式。而因为无线网络的特殊性，如果缺乏上网行为管理和流控手段，会导致无线缓慢、网络不可用等情况。而且无线网络更加容易产生广播风暴。所以，在WiFi无线局域网中部署上网行为管理和流控是非常必要的。
本文中，我就将来介绍WiFi局域网的上网行为管理方案。
首先，由于无线路由器的稳定性不高，所以主路由不推荐用无线设备。可以用一台有线路由器做网关，后面串接上网行为管理设备。或者直接用上网行为管理做网关。
推荐采用瘦AP的组网方式。通过AC控制器统一管理。
钉钉作为一个免费智能移动办公平台，受到很多公司的欢迎。但是对于网络权限设置比较严格的局域网来说，如何开放钉钉一直是一个难题。之前钉小密给了个局域网需要白名单的一些IP段，参见：https://tieba.baidu.com/p/4358596988 ，但是根据我们的测试，文中的IP段并不能覆盖钉钉需要的IP范围。而且在钉钉的官网已经找不到官方的相关文档了。
为了放行钉钉，我们技术人员做了相关测试。本文，我就来介绍下在WSG上网行为管理网关中如何放行钉钉。钉钉的使用需要通过https访问钉钉相关的网站，另外还有自己的通讯协议（端口443）。所以要放行钉钉，我们需要放行DNS、钉钉和TLS这三个协议。如下图：
合理的IP地址分配是网络安全和网络管理的基础，IP地址管理直接影响着企业员工的工作效率及企业的信息安全。
首先，应当以行政命令的方式规定IP地址管理的权限、流程，以及相应的惩罚手段。如以下这个例子：
广播风暴和网络环路，虽然两者的原理不一样，但是其物理表现却比较相似：“交换机灯狂闪，同时内网丢包或者ping值变高。”作为一名网管，需要可以迅速判断故障的原因，从而制定不同的解决方案。两者的主要差别如下：
广播风暴只在特定的条件下出现，所以广播风暴是不持续的。而环路是持续存在的。
广播风暴由局域网架构的缺陷导致，而网络环路属于网络故障。
网络环路对网络的影响比较大，丢包和ping值都要比广播风暴严重的多。
广播风暴需要通过划分VLAN来解决。网络环路只需要拔掉环路设备或者网线即可。
有经验的网管，还可以通过抓包来区别风暴和环路。如果你不会抓包分析，也可以总结故障出现的规律来进行判断。下面我再介绍下WFilter里面的网络健康度检测插件是如何区分广播风暴和环路的。
在微信需要多大带宽？微信的最低带宽要求 这篇文章中，我们测试了微信的最低带宽要求。今天我们再来测试下手机QQ的最低带宽要求。具体的测试步骤如下：
如下图，不做任何限速，打开手机QQ带宽占用只有几KB；不过在发送文件时，带宽占用上升到80KBps。
微信目前已经成为一个不可或缺的通讯工具。在带宽有限的情况下，要保证微信的正常使用，究竟需要多大的带宽呢？为了研究此问题，我们做了如下的测试。
如上图所示，微信的初始化大概占用了50KBps的带宽，而发送文字消息的带宽占用则小于1kBps。
我们一般把WSG上网行为管理的使用分为三个步骤：安装部署、基本配置、策略配置。
安装部署：把设备安装到网络中，使网络能正常工作。
基础配置：DHCP和VLAN设置、防火墙策略、端口映射、分组设置等基本配置。
策略配置：上网行为的审计策略、过滤策略、查询和报表等功能和配置。
在本文中，我将介绍WSG网关的安装部署的具体步骤。用户拿到设备后，按此步骤即可完成安装部署工作，并且开通远程管理访问。使技术人员可以进行远程协助配置。
来宾用户、流动人员比较多的局域网，如果不对来宾上网进行管控，不但会占用企业带宽资源，还会带来安全隐患和政策风险。对于企业环境来说，一般推荐来宾和办公网络采用不同的无线SSID，分开进行管控。具体方案如下：
来宾和办公网络采用不同的无线SSID。
对来宾和办公采用不同的限速和行为管理策略。
来宾和办公网络采用不同的VLAN，并且不允许来宾访问公司内网。
不但要设置不同的无线密码，而且需要进行IP-MAC绑定等策略，禁止来宾用户接入到办公网络。
对于企业局域网来说，一个合理的IP地址分配是网络安全和网络管理的基础，IP地址管理的好坏直接影响着企业员工的工作效率及企业的信息安全。
局域网的IP地址分配，需要考虑到如下方面：
服务器的IP地址段和办公电脑的IP地址段要区分开。
手机、pad等移动设备需要自动获取IP。
无线由于安全性比较低，一般需要用VLAN进行隔离。
每个网段的客户机数量不宜过多，有线250以内，无线150以内比较合理。否则会引起网络风暴。
下面是我总结的企业局域网IP地址分配方案，希望能对大家有帮助。
现在无线组网越来越普遍，但是不合理的组网方案，往往会导致无线接入缓慢、网络卡的情况。根据我们的经验和抓包分析，由于无线设备（包括AP、AC等）在通讯过程会更多的依赖广播包，非常容易出现广播风暴。无线网络的稳定运行，请注意如下几点：
首先要合理的进行AP布局，保证无线信号强度、并且避免无线信号的互相干扰。
合理的VLAN划分。无线设备的广播包比较多，非常容易产生广播风暴。一个VLAN容纳的无线设备要控制在200以内。
主路由网关的性能要强劲，并且设置上网行为管理策略和流控策略。
定期检测广播风暴等网络问题
某企业由于网络架设比较早，网络设备和网络结构已经不再适合当前的网络需要。为了更好的实现网络管理和信息安全的需要，提出了如下升级改造需求：
带宽扩容，采用两条宽带接入。
内网需要划分不同的VLAN，分为办公、监控、生产几大网段。
内网客户机需要进行严格的IP-MAC绑定，只有绑定后的设备才可以接入。
全网上网行为审计记录。
部署上网行为管理策略，建立上网秩序。
对于局域网而言，断网基本上都是灾难性的，领导、同事立刻唉声占道、催个不停。作为一名网络管理人员，不可避免经常会碰到断网的情况。保持冷静的头脑，迅速的定位问题所在，可以说是一个网管必备的基本素养。
本文中，我将介绍几条dos下的命令，掌握好这几条命令，一分钟内就可以定位断网原因。
很多企业为了解决网速不够用的问题，都升级了带宽资源。比如50M升级到100M，或者干脆多拉几根外线。但是，很多用户发现，带宽升级了但是网络还是慢。
本文中，我整理了企业带宽优化的三点要求。带宽升级后，一定要注意这三点，才能真正的享受带宽升级带来的更好宽带体验。
随着互联网的飞速发展，对带宽的要求也越来越高。一些办公软件动辄就需要几个G，视频会议、视频播放等都需要稳定的带宽资源保障；而且员工的办公和娱乐需要也会占用了大量的带宽。
这种情况下，不但需要对企业的带宽进行升级，而且要对带宽的使用进行更加合理的分配和管理；才可以有效的提高网速和优化带宽的使用效率。本文中，我将列出我们在网络升级中需要重点关注的几点建议，从而真正的达到优化带宽的目的。
由于企业业务的需要，很多企业都会申请专线接入。但是专线的费用比较高，如果用专线来提供办公上网就会非常浪费。所以一般推荐“专线+家庭带宽“的方式：
一根较小带宽的专线接入（比如20M专线），用于提供业务相关的网络服务。
一根较大带宽的家庭带宽，用于提供办公上网。
不合法(私接)的DHCP服务，会使局域网其他客户机获取到错误的IP地址，从而导致上不了网。为了诊断此问题，WFilter的网络健康度检测插件的再次升级添加了"DHCP冲突检测”的功能。具体步骤如下图：
本文将介绍如何用WFilter NGF来实现短信认证网关，以及短信平台的具体实现步骤。
WFilter NGF的短信发送通过调用Web API来实现，支持Web API接口的短信平台很多（一些短信猫也可以支持Web API）。下文中，我们以阿里云的短信服务为例。首先需要创建AccessKey，如下图：
ping命令可以说是网络管理中最常用的一个命令行工具了，利用ping可以非常迅速的诊断出网络问题。今天，我就来教大家如何用ping来检测网络问题。
当网络缓慢，上不了网时，请按如下步骤来执行ping命令：
首先要先ping内网的网关地址，确保内网是畅通的。如下图：
内网的丢包率应该为0，有线ping值一般在1ms以内，无线ping值1ms-20ms之间。如果存在丢包或者ping值很高，那么问题就在内网。需要排查内网网线、环路、交换机等设备问题。
我们在选择网关设备的时候，经常会面临选择路由器还是专业网关（x86架构工控机）的问题。本文将从硬件角度来解释这两者的差别。
两者的硬件架构都由CPU、存储、内存（RAM）组成，但是配件的差别非常大。
