笨驴技术(IMFirewall)博客

对于三层交换机划分多个VLAN的局域网来说，要设置IP-MAC绑定可真不容易。在三层交换机上进行IP-MAC绑定，不但配置复杂而且维护工作量很大，所以大部分网管都不会直接在三层交换机上进行绑定。在本文中，我将介绍用WSG上网行为管理，在网桥部署的模式下，如何来实现三层交换机下的IP和MAC绑定。

1. 先看下网络拓扑图。

Win10的自动更新非常的频繁，而且windows的更新很耗带宽资源。所以，如果网内的windows电脑比较多，那么一旦windows发布了新的更新包，会占用大量的网络带宽资源。

当然，windows的更新很多都是安全方面的更新，保持系统更新有助于提高终端的安全，我们并不建议关闭更新。不过，有些网络为了节省带宽资源，需要屏蔽局域网内电脑的自动更新。在没有部署上网行为管理的情况下，你需要在路由器或者网关设备上屏蔽站点“.*(officecdn|mp|updates)\.microsoft\.com“（正则表达式）和".*\.windowsupdate\.com”（正则表达式）。“windows更新”的通讯协议描述如下图：

日前，深圳市网络与信息安全信息通报中心发出紧急通告，指出目前知名远程办公工具TeamViewer已经被境外黑客组织APT41攻破，提醒企业组织做好防护措施。也就是说，APT41已经攻破TeamViewer公司的所有防护体，并取得有相关数据权限，危险等级非常高。在teamviewer官方提供解决方案和发布相关补丁之前，我们建议用户暂停teamviewer软件的使用，避免造成不必要的损失。

以下是teamviewer通讯方式介绍，以及如何用WSG上网行为管理来禁止teamviewer。

1. teamviewer通讯方式

1. teamviewer在启动时，首先会连接teamviewer官网（http和https方式都有），来获取ID和路由信息。如果直接连接不了，teamviewer还会获取本机的代理配置，尝试通过代理服务器去连接。
   

2. teamviewer后续的点对点远程控制，大部分通过的端口是tcp 5938。也存在其他动态端口的通讯数据。

有些公司为了安全需要，只允许使用微信等指定软件，同时屏蔽所有的其他网站和软件。这样的管理需求，必须要用专业的上网行为管理产品才可以实现。以我司的WSG上网行为管理为例，只需要两条行为管理规则，即可实现该功能。配置的思路是“应用过滤屏蔽所有+例外设置开通部分应用”这两者结合的方式。下面是具体配置的步骤介绍：

1. 先在应用过滤里面屏蔽所有

如图,应用过滤添加规则,禁止所有应用的访问。

WSG上网行为管理的一些型号,如WSG-500E、WSG-XE都可以支持光口,设备接口如下图：

本文我将介绍如何来使用WSG上网行为管理的光纤接口。

IOS系统的自动更新非常耗带宽，每次IOS版本更新动辄好几个G。每次IOS推出新版本，都是对企业带宽资源的一大考验。

WFilter NGF上网行为管理系统（WSG网关）提供了丰富的系统调用API接口，具体的API接口请参考：WFilter API接口。在本文中，我将介绍如何用WFilter的API接口来直接访问统计报表系统。

1. WFilter的统计报表系统

如图，WFilter中有一系列的内置统计报表，您也可以自己定义需要的报表格式。

本文将介绍如何用WSG上网行为管理网关来记录局域网内的邮件收发内容。邮件收发主要有两种方式：

1. 客户端邮件，比如outlook, foxmail，thundbird等客户端。
   

2. 秒速快3网页邮件，国内比较普遍的是qq和163的网页邮件。

秒速快3“MAC地址认证”通过客户机的MAC地址来对客户端进行身份认证,只有通过认证的客户端设备才可以访问网络以及服务器资源。网络结构图如下：

WFilter的“SSL监控”模块，可以对https以及SSL加密的smtp/imap/pop3的内容进行解密从而记录其内容。该SSL监控模块，既可以对电脑进行管控，而且对手机一样生效。但是要不影响客户机的正常使用，首先需要在客户机上安装ca证书。电脑上安装ca证书比较简单，我们不再赘述。本文中，我将介绍如何在苹果手机（iphone）上安装SSL监控的ca证书，从而实现对iphone的SSL监控。

1. 开启SSL监控