笨驴信息(IMFirewall)博客

现在越来越多的企业开始关注网络安全，但是办公网络安全现状还不容乐观。首先，领导层和员工的安全意识不高。一些员工在密码设置、邮件和文件收发等方面缺少安全意识，很容易使企业网络受到攻击和病毒感染。而且一些企业缺少网络安全应急预案，没有做好数据备份，一旦在发生网络攻击事件时响应迟缓造成巨大损失。其次，缺少网络安全设备；一些企业网络还没有安装防火墙和入侵检测设备，一旦被攻击就抵挡防御。所以，企业网络安全最需要注重如下几个方面：

网络安全已经是企业局域网不可忽视的安全问题。那么企业网络安全的防护技术有哪些呢？主要包括如下几点：防火墙、入侵检测和防御、DDoS防护、内网上网管控。本文中，我将以WSG上网行为管理为例，介绍企业网络防护技术。

1. 防火墙

防火墙是网络防护的第一道门户。企业的网络防护需要对来自外网的访问进行限制。比如：阻止外网访问防火墙，限制外网访问端口映射的IP范围等。

电脑一旦被安装了挖矿程序，会带来很多危害：占用大量的电力和运算资源、拖慢机器、感染局域网内的其他终端......所以，挖矿行为目前是被各级部门明令禁止的，一旦被上级部门检测到有挖矿行为，很可能会被阻止互联网接入直至整改完成。当接到上级部门通告时，作为网管人员需要怎样去处置解决这个问题呢？

被上级部门检测到，一般存在如下三种情况：

1. 访问了矿池或者虚拟货币服务器的目标IP

2. 访问了“挖矿”域名（HTTP/HTTPS）

3. 查询了“挖矿”域名（DNS）

企业内部的ERP、OA服务器很多都是通过端口映射到公网的，这样就不可避免会招来攻击。如下图：

公司网络准入认证方案是网络安全的基础，该方案通过对网络的接入设备进行统一的认证和访问授权管理，以保证内网的网络安全。对于企业局域网来说，比较常见的网络准入认证方案包括802.1X、Portal认证，还有基于企业微信、钉钉等第三方的app认证。

802.1X的认证方式需要支持802.1X的交换机设备，且配置比较复杂，对于大部分用户来说并不适用。本文中，我将介绍利用WSG上网行为管理网关的Portal认证、第三方认证等功能来实现企业网络的准入认证。

作为网管技术人员，你一定会因为IP冲突感到烦恼过。IP冲突会导致电脑上不了网，因为业务正常运行等。一旦发现IP地址冲突，在网络设备上是解决不了的，唯一的解决办法就是找到冲突的这台终端并且修改其IP地址或者改成自动获取IP；而预防IP冲突的唯一办法就是：自动获取IP。通过DHCP服务器，统一规划分配IP，这样就避免了IP冲突的问题。一般来说，可以采用如下的网络规划：

• 服务器、打印机等设备都采用固定IP的方式。

• 办公电脑自动获取IP

• 无线设备自动获取IP

本文以WSG上网行为管理为例，介绍如何检测、管理IP地址冲突。

上级部门通知局域网内存在僵尸木马要求网络进行整改，作为网管人员需要怎样去处置解决这个问题呢？首先，上级部门只能检测到局域网总出口的IP地址，并不能识别终端的IP地址。当网内的终端数量比较多时，每台电脑做病毒查杀的工作量太大了，网管人员会很头疼这个问题。

比较合理的方案是在局域网内部署一台入侵检测系统，通过对网络数据包进行分析检测，从而发现问题主机。在本文中，我将以“WSG上网行为管理”为例，来介绍如何进行内网的木马检测。

WSG上网行为管理中内置了“入侵防御”和“木马检测”这两个安全防护模块，这两个模块的检测原理都是入侵检测snort。如下图：

WSG上网行为管理的“IP-MAC绑定”功能非常强大，可以实现IP-MAC绑定、ARP绑定、分配静态IP等功能。但是配置IP-MAC绑定需要预先收集mac地址并且分配IP，还是有一定的工作量的。在本文中，我将介绍基于用户认证的IP-MAC绑定功能，其实现原理是：“用户一旦认证成功就会自动配置IP-MAC绑定”，这样不但实现了用户认证，而且固定了IP和mac地址；可以说是IP-MAC绑定的一个有效功能补充。具体的步骤如下：

当你有多台WSG时，你可能会想把上网日志和统计数据集中保存和管理。集中保存可以保存更长日期的历史数据，也更加便于管理。本文中，我将介绍如何搭建WSG数据中心管理系统来实现数据的集中存储管理。

1. WSG数据中心的搭建

WSG数据中心安装在一台windows电脑上，该系统的搭建需要安装以下产品：

1. SQL Server数据库，所有的日志数据都会被导入到SQL Server数据库中。

2. FTP服务器，用于提供FTP上传服务。

3. WFilterDC（WFilter数据中心管理系统），该系统可以导入数据并且提供查询和统计等功能。

企业网络信息安全问题日益突出，为了加强企业内部的网络安全建设，网络管理技术人员应当从如下几个方面来设计网络安全解决方案：

1. 合理的制度和管理

首先需要有完善的网络安全管理制度，根据企业的实际工作需要制定符合公司实际情况的管理制度和措施来保证网络的正常运行和网络的安全运行，并且配备专业的技术人员负责管理维护内网的计算机和网络设备。

越来越多的企事业单位开始重视信息安全，企业的技术资料、客户信息等一旦发生信息泄露，会给企业带来不可估计的损失。即使是网络环境比较简单的中小企业，也一样会受到网络安全的威胁。如果不注重网络安全，往往会导致企业的重大损失。本文中，我将从网络安全的角度，来论述如何保障公司内网的网络信息安全。主要涉及到如下四点：

1. 合理的网络架构
   

2. 了解内网的终端
   

3. 管控到外网的访问

4. 管控来自外网的访问
   

为了保障网络安全，提高员工工作效率，企业有必要部署上网行为管理。上网行为管理可对企业内部员工的上网行为进行全方位有效管理，保护Web访问安全，降低互联网使用风险，避免机密信息泄露，提升工作效率，限制下载和视频P等严重消耗带宽的应用，保障企业核心业务带宽。

根据《中华人民共和国网络安全法》（第十条、第二十一条、第二十四条）、《中华人民共和国反恐怖主义法》（第十九条、第二十一条）、《计算机信息网络国际联网安全保护管理办法》(第十条、第十一条、第十二条、第十七条)、《互联网安全保护技术措施规定》(第七条、第八条、第十一条)等相关法律规定：

1. 提供WiFi上网服务的公共场所，必须落实上网实名认证。

2. 提供上网服务的公共场所，必须至少保存六十天的上网记录备份。

短信实名认证是目前最稳定、最普遍的实名认证方案。对于绝大部分WiFi网络而言，只需要在网络出口处部署一台WSG上网行为管理设备，就可以同时实现短信认证和上网记录的功能，满足网络安全法的安全要求。WSG上网行为管理的WiFi短信认证方案，具备如下优势：

1. 一台设备就可以满足认证+审计+安全的功能需求。
   

2. 对内网的网络设备没有要求，不需要更改现有的无线方案。

3. 透明部署、即插即用。

网络拓扑图如下：

局域网内电脑中了木马病毒，会有带来下述坏处：

1. 感染内网其他电脑。

2. 大量攻击数据的存在，使得网络缓慢，被攻击的电脑运行缓慢。

发现内网电脑中毒后，一般都会采取重新安装系统，或者全盘杀毒的方式。但是如果电脑比较多就让人很头疼了。首先要追踪查找到感染了木马病毒的电脑，然后才可以进行病毒查杀。有些杀毒软件或者防火墙可以检测到内网的攻击源，本文中，我将介绍如何用WSG上网行为管理的“木马检测”功能来进行检测。WSG上网行为管理中内置了“入侵防御”和“木马检测”这两个安全防护模块，如下图：

WSG的应用特征库已经包含了“QQ小程序”和“微信小程序”这两个应用特征，只要把对应的应用设置成“禁止”即可屏蔽所有的小程序。但是在实际使用过程中，有些用户只想屏蔽游戏类的小程序，同时允许其他的小程序功能。本文，我将结合管呗上网行为管理，来演示如何实现该需求。

方案一：直接屏蔽“QQ小程序”和“微信小程序”

在“上网策略”的“APP”中，搜索小程序，把QQ小程序和微信小程序设置成“禁止”。这样的效果是直接把所有的小程序都禁用掉。如下图：

WFilter的扩展插件系统有一系列实用的扩展插件。本文中，我将介绍插件中的“远程唤醒”功能，该功能可以给指定的电脑发送WOL（Wake on LAN）数据包，从而实现远程唤醒和远程开机。

具体步骤如下：

1. 搜索IP或者MAC地址

输入IP地址、MAC地址、机器名备注等信息，可以查询出终端列表。如下图：

在“WSG拨号上网如何配置IPv6地址？”一文中，我们介绍了如何在拨号上网的情况下开启IPv6，如文中所述拨号上网时IPv6地址主要都是通过自动获取来实现的。对于静态固定IPv6地址来说，配置方式就不一样了。你需要合理的划分自己的网段。

IPv6不仅能解决网络地址资源数量的问题，而且也解决了多种接入设备连入互联网的障碍。本文中，我将介绍WSG上网行为管理在拨号上网时如何启用和配置IPv6地址。

1. 首先在外网口开启IPv6

配置外网口时，需要在外网口启用IPv6。

在防火墙、上网行为管理如何实现双机热备一文中，我们介绍了如何用两条外线来实现网络双机热备。在有些情况下，一些用户还需要对同一条线路做双机热备。准确的说，外线只有一条，但是要确保防火墙/上网行为管理设备是可以实现热备的。这种情况下，和防火墙、上网行为管理如何实现双机热备一文不同的是，我们需要同时在“内网口”和“外网口”上都开启虚拟IP。这样的效果就是：内网口和外网口都工作虚拟IP上，一旦主设备故障，可以迅速切换到备份设备上去。

多条外线时，我们一般都会配置线路负载均衡或者线路分流。线路均衡负载的配置，请参考：同运营商多条外线如何做负载均衡？ 有时候用户只希望单纯的实现一个线路备份的功能，意思就是正常只用一条外线，另外一条外线只在主线路故障时才启用。本文我就来介绍一下如何用WSG网关来实现两条线路自动主备切换。

笨驴SD-WAN盒子可以非常方便的实现多地组网，无需修改现有网络结构，无需替换现有的网络设备，只要在两地通过旁路方式分别接一台SDWAN盒子即可组建虚拟局域网。网络结构如下图：

本文将介绍笨驴SD-WAN盒子的首次安装步骤。

1. 接线方式

如图所示，SD-WAN盒子这款硬件有如下配置：

• 一个以太网网口，默认自动获取IP。

• 自带wifi（SID: wfilter-sdwan，无线网段是192.168.120.0/24）

随着疫情反反复复，主动或被动采取远程办公的公司越来越多。企业网络除了满足日常的局域网组网，还需要可以满足员工在外、在家时可以随时随地接入到企业内网。传统的做法一般需要企业申请带固定IP的企业专线，通过该固定IP提供远程拨入服务。而由于专线方案价格高，很多企业承受不了。在本文中，我将介绍没有公网IP时如何通过SD-WAN的方案来实现远程办公拨入。网络结构图如下：

为了保障网络的100%畅通，有些情况下需要用两台WSG设备来实现双机热备，一旦主服务器故障，几秒钟网络就会切换到备份机上，从而实现保证流量业务不中断，主备机无缝切换。在本文中，我将介绍如何用两台WSG上网行为管理来实现双机热备。

利用WSG的用户认证和行为管理策略，可以对域用户、非域用户配置不同的上网策略。比如，你可以默认禁止所有的终端上网，当电脑加入域后，则可以根据账号、OU等放行具体的访问内容。本文中，我将介绍如何开启域认证，并且屏蔽非域用户上网。